AliMark: Enhancing Robustness of Sentence-Level Watermarking Against Text Paraphrasing
يُعد ™AliMark إطار عمل قوي للعلامات المائية على مستوى الجملة، حيث يعيد صياغة عملية الكشف كمسألة محاذاة لتسلسل البتات، ويستخدم استراتيجية مرحلية من مرحلتين مع متغيرات نصية مُعاد هيكلتها بشكل تكيفي لمقاومة الاضطرابات الهيكلية مثل تقسيم الجمل ودمجها بفعالية.
شرح ورقة بحث "AliMark" باستخدام لغة بسيطة وتشبيهات إبداعية.
المشكلة: "المصافحة السرية" التي تنكسر
تخيل أنك تحاول إثبات أن قصة ما كُتبت بواسطة ذكاء اصطناٍعي معين. للقيام بذلك، تعطي الذكاء الاصطناعي مصافحة سرية (علامة مائية) يجب عليه تنفيذها أثناء الكتابة.
الطريقة القديمة (على مستوى الكلمات/Tokens): يقوم الذكاء الاصطناعي بتغيير لون الكلمات الفردية (مثل جعل كلمة "الـ" باللون الأزرق وكلمة "قط" باللون الأحمر). إذا قام إنسان أو ذكاء اصطناعي آخر بإعادة كتابة القصة واستبدل "قط" بـ "هر"، فإن نمط اللون الأزرق والأحمر ينكسر، وتضيع المصافحة السرية.
الطريقة الأفضل (على مستوى الجمل): بدلاً من تلوين الكلمات، يجعل الذكاء الاصطناعي معنى كل جملة يتبع نمطاً سرياً. على سبيل المثال: الجملة 1 يجب أن تكون "سعيدة"، الجملة 2 يجب أن تكون "حزينة"، والجملة 3 يجب أن تكون "غاضبة". هذا النوع أصعب في الكسر لأنك تستطيع تغيير الكلمات ("هر" بدلاً من "قط") ولكن المعنى (العاطفة) يظل كما هو.
المشكلة الجديدة: تجادل الورقة البحثية بأن حتى هذه الطريقة "على مستوى الجمل" بها عيب قاتل. فهي تعتمد على تفاعل متسلسل (سلسلة ردود فعل).
العيب: "المصافحة السرية" للجملة 2 تعتمد على الجملة 1. والمصافحة للجملة 3 تعتمد على الجملة 2.
الهجوم: برامج إعادة الصياغة المتقدمة بالذكاء الاصطناعي (مثل DIPPER أو GPT-3.5) تشبه المحررين غير المهرة؛ فهي لا تكتفي باستبدال الكلمات فحًا، بل تقوم بـ دمج جملتين لتصبح جملة واحدة أو تقسيم جملة واحدة إلى جملتين.
النتيجة: إذا تم دمج الجملة 1 و2 لتصبحا "جملة فائقة" واحدة، تنكسر السلسلة. "الجملة الفائقة" لن تعرف كيف تصافح الجملة 3 بعد الآن. تعديل واحد صغير يؤدي إلى انهيار الرمز السري بالكامل، مما يجعل العلامة المائية غير قابلة للاكتشاف.
الحل: AliMark (نهج "قطع الأحجية")
يقترح المؤلفون AliMark، وهي طريقة جديدة لإخفاء الرمز السري لا تعتمد على سلسلة هشة.
1. السر عبارة عن خيط طويل من الخرز (تسلسل البتات/Bit Sequence) بدلاً من أن تحتاج الجملة 2 لمعرفة ما حدث في الجملة 1، يعطي AliMark الذكاء الاصطناعي خيطاً طويلاً وسرياً من الخرز (تسلسل من الأصفار والآحاد).
الجملة 1 يجب أن تطابق الخرزات القليلة الأولى.
الجملة 2 يجب أن تطابق الخرزات القليلة التالية.
الجملة 3 يجب أن تطابق الخرزات القليلة التي تليها.
الفرق الجوهري: الجملة 2 لا تهتم بما فعلته الجملة 1. هي تهتم فقط بمطابقة مكانها المحدد في الخيط الطويل.
2. أدوات المحقق: "إعادة الهيكلة" (The Re-Structurer) عندما يحاول محقق العثور على العلامة المائية في نص تمت إعادة صياغته، فإنه يعلم أن "المحرر غير الماهر" قد دمج الجمل أو قسمها. لذا، يستخدم AliMark أداة إعادة الهيكلة.
التشبيه: تخيل أن لديك أحجية (Puzzle) أفسدها شخص ما عن طريق لصق قطعتين معاً أو تمزيق قطعة واحدة إلى نصفين.
الإجراء: تحاول أداة "إعادة الهيكلة" تجربة كل طريقة معقولة لإصلاح الأحجية. فهي تحاول لصق الجمل معاً مرة أخرى وتقسيمها مرة أخرى، مما ينتج عنه العديد من "النسخ" المختلفة من النص.
3. "المطابق التكيفي" (The Adaptive Matcher) بمجرد أن يمتلك المحقق هذه النسخ المختلفة، يحاول مطابقتها مع خيط الخرز السري.
يستخدمون مسطرة خاصة تسمى معدل تحرير الكتل (Block Edit Rate). هذه المسطرة ذكية بما يكفي لتقول: "أوه، هذه الجملة انقسمت إلى اثنين، لذا سأحسبها كخرزتين"، أو "هاتان الجملتان تم دمجهما معاً، لذا سأحسبهما ككتلة واحدة".
يبحث النظام عن النسخة التي تتطابق فيها الخرزات بشكل أفضل. إذا تطابقت نسخة واحدة فقط من النص جيداً مع خيط الخرز السري، يتم العثور على العلامة المائية.
لماذا ينجح هذا؟ (النتائج)
اختبرت الورقة البحثية هذا النهج ضد "المحررين غير المهرة" (برامج إعادة الصياغة القوية مثل GPT-3.5 و DIPPER).
الطرق القديمة: عندما تم دمج أو تقسيم النص، انخفض معدل الكشف إلى الصفر تقريًا (مثل محاولة العثور على إبرة في كومة قش تم إشعال النار فيها).
AliMark: حتى عندما تم إعادة صياغة النص أو دمجه أو تقسيمه بشكل كبير، استطاع AliMark العثيد على خرزات السر في النسخ "المعاد هيكلتها". لقد حافظ على معدلات كشف عالية لأنه لم يعتمد على سلسلة هشة؛ بل بحث فقط عن النمط الصحيح في المكان الصحيح، بغض النظر عن كيفية ترتيب الجمل.
الملخص
AliMark يشبه المحقق الذي يعرف أن المجرم قد يعيد ترتيب الأثاث في الغرفة لإخفاء دليل ما. وبدلاً من البحث عن الدليل في مكان محدد (والذي قد يكون قد تغير)، يحاول المحقق إعادة الأثاث إلى مواضعه الأصلية في ذهنه، ثم يبحث عن الدليل. ولأن الدليل عبارة عن نمط مستقل (ليس معتمداً على ما يليه)، يمكن للمحقق العثود إليه مهما تم العبث بترتيب الغرفة.
ملخص تقني: AliMark
بيان المشكلة تهدف طرق العلامات المائية على مستوى الجملة الحالية للنماذج اللغوية الكبيرة (LLMs)، مثل SemStamp، إلى تعزيز المتانة ضد إعادة الصياغة من خلال ربط العلامات المائية بالدلالات (semantics) للجملة بدلاً من الأنماط على مستوى الرمز (token). ومع ذلك، تعتمد هذه الطرق عادةً على تصميم قائم على البادئة (prefix-based design)، حيث يتم تكييف إشارة العلامة المائية للجملة بناءً على سياقها السابق (على سبيل المثال، الجملة السابقة مباشرة).
تحدد الورقة البحثية ثغرة حرجة في هذا التصميم: الاضطرابات الهيكلية (structural perturbations). فنماذج إعادة الصياغة المتقدمة (مثل DIPPER وGPT-3.5) تغير هيكل النص بشكل متكرر عن طريق تقسيم أو دمج الجمل. وعندما يتم تقسيم جملة أو دمجها، يتغير السياق للجمل اللاحقة. ولأن إشارة العلامة المائية مشروطة عشوائياً بهذا السياق المحدد، فإن أي تغيير في السياق يكسر العلاقة العشوائية المطلوبة للكشف. وبناءً على ذلك، يمكن لتغيير هيكلي واحد أن يتسبب في تأثير متسلسل، مما يؤدي إلى فقدان إشارات العلامة المائية عبر عدة جمل لاحقة، مما يجعل الأطر الحالية هشة أمام هجمات إعادة الصياغة القوية.
المنهجية: AliMark لمعالجة ذلك، يقترح المؤلفون AliMark، وهو إطار عمل يعيد صياغة العلامة المائية على مستوى الجملة كمسألة ترميز ومحاذاة تسلسل بتات (bit sequence encoding and alignment) بين نص قد يحتوي على علامة مائية وتسلسل بتات سري، بدلاً من الاعتماد على التبعيات بين الجمل.
يعمل الإطار عبر مرحلتين رئيسيتين:
توليد النص المحمي بالعلامة المائية (التضمين - Embedding):
بدلاً من التكييف مع سياق البادئة، يستخدم AliMark تسلسل بتات سري عالميs كمفتاح للعلامة المائية.
يتم تقسيم هذا التسلسل إلى كتل بحجم M، حيث تقابل كل كتلة إشارات البتات المضمنة في جملة واحدة.
أثناء التوليد، ينتج النموذج اللغوي الكبير Q من الجمل المرشحة للموقع التالي.
يقوم مستخرج إشارات البتات (Bit Signals Extractor) (باستخدام نموذج تضمين جمل ومتجهات سرية) بتحويل التضمين الدلالي لكل مرشح إلى تسلسل بتات منفصل.
يختار النظام المرشح الذي يتطابق تسلسل البتات المستخرج منه مع كتلة التسلسل السري المقابلة. يضمن ذلك أن النص بأكمله يشفر نمط بتات متسلسل مستقل عن حدود الجمل.
الكشف عن النص المحمي بالعلامة المائية: للتعامل مع الاضطرابات الهيكلية (التقسيم، الدمج، الإدراج، الحذف) الناتية عن إعادة الصياغة، يستخدم AliMark استراتيجية كشف ثنائية المراحل:
إعادة الهيكلة (Re-Structurer - RS): تعمل هذه الوحدة على مستوى النص لاستعادة الهياكل الأصلية المحتملة. فهي تولد متغيرات متعددة للنص من خلال إجراء عمليات دمج أحادية الخطوة (جمع جملتين متتاليتين) وعمليات تقسيم أحادية الخطوة (تقسيم جملة إلى اثنتين). وهذا ينشئ مجموعة من النصوص المعاد هيكلتها.
المحاذاة التكيفية لتسلسل البتات (Adaptive Bit Sequence Alignment - ABSA): تعمل هذه الوحدة على مستوى البت. لكل مرشح معاد الهيكلة، تقوم باستخراج تسلسل البتات ومحاذاته مقابل مجموعة من مرشحات تسلسل البتات السرية ذات أطوال متفاوتة (لمراعاة التغيرات في عدد الجمل).
مقياس المحاذاة: يقدم المؤلفون معدل تعديل الكتلة (Block Edit Rate - BER)، وهو تعديل لمسافة ليفنشتاين (Levenshtein Distance) مصمم خصيصاً لسيناريوهات مستوى الجملة. بخلاف مسافة التعديل القياسية، يعامل BER إدراج/حذف جملة (كتلة من M بت) كعملية واحدة بتكلفة ثابتة، بينما تعتمد تكاليف الاستبدال على مسافة هامينج (Hamming distance) بين كتل البتات.
التسجيل (Scoring): يحسب النظام درجة z-score لكل محاولة محاذاة. وتكون درجة العلامة المائية النهائية هي أقصى درجة z-score يتم الحصول عليها عبر جميع متغيرات إعادة الهيكلة وجميع مرشحات طول التسلسل السري.
المساهمات الرئيسية
تحديد الثغرة الهيكلية: تثبت الورقة أن الاضطرابات الهيكلية (تقسيم ودمج الجمل) شائعة في إعادة الصياغة الآلية وتؤدي إلى تدهور كارثي في أداء طرق العلامات المائية على مستوى الجملة القائمة على البادئة.
صياغة جديدة: يقترح AliMark صياغة جديدة للعلامة المائية على مستوى الجملة كمهمة ترميز ومحاذاة تسلسل عالمي، مما يفصل إشارات العلامة المائية عن سياقات الجمل المحددة.
آلية كشف قوية: يسمح دمج "إعادة الهيكلة" مع "المحاذاة التكيفية لتسلسل البتات" للنظام باستعادة إشارات العلامة المائية حتى عندما يتم تغيير هيكل النص بشكل كبير.
التحقق التجريبي: تظهر التجارب المكثفة أن AliMark يتفوق بشكل كبير على أفضل النماذج المرجعية (بما في ذلك SemStamp وk-SemStamp والطرق على مستوى الرمز مثل KGW) تحت هجمات إعادة صياغة متنوعة، لا سيما ضد النماذج القوية مثل DIPPER وGPT-3.5.
النتائج التجريبية
الأداء: في مجموعات بيانات مثل Booksum وC4، يحافظ AliMark على معدلات مرتفعة للنتائج الإيجابية الحقيقية (TPR) تحت هجمات إعادة صياغة قوية تفشل فيها النماذج المرجعية. على سبيل المثال، باستخدام OPT-1.3B، يحقق AliMark نسبة TPR@5% تبلغ 61.6% تحت DIPPER و66.6% تحت GPT-3.5، بينما تنخفض أفضل النماذج المرجعية (SemStamp) إلى 26.7% و22.0% على التوالي.
المتانة ضد الهجمات: في تجارب الفحص التي تتضمن إدراج، حذف، وإعادة ترتيب الجمل عشوائياً، يتفوق AliMark باستمرار على النماذج المرجعية، محافظاً على القدرة على الكشف حتى عند معدلات اضطراب تصل إلى 0.4–0.5.
جودة النص: يشير تحليل الارتباك (Perplexity) إلى أن AliMark يسبب تدهوراً ضئيلاً في جودة النص مقارنة بالمخرجات غير المحمية بالعلامة المائية، مع ملاحظة زيادات طفيفة فقط مع زيادة حجم الكتلة M.
الكفاءة: رغم أن عملية الكشف تتضمن توليد عدة مرشحات، إلا أن التحسينات الهندسية (مثل دمج حسابات جداول البرمجة الديناميكية) تجعل وقت التشغيل معقولاً، حيث يتناسب خطياً مع عدد جمل المدخلات.
الأهمية والادعاءات تدعي الورقة أن AliMark يمثل تطوراً ضرورياً في العلامات المائية للنماذج اللغوية الكبيرة من خلال معالجة الهشاشة المحددة للطرق القائمة على المعنى تجاه التغييرات الهيكلية. ومن خلال الانتقال من التجزئة المعتمدة على السياق (prefix hashing) إلى المحاذاة التسلسلية العالمية، يوفر AliMark دفاعاً قوياً ضد قدرات إعادة الكتابة المتطورة للنماذج اللغوية الكبيرة الحديثة. ويضع المؤلفون هذا العمل كخطوة حاسمة نحو ضمان أصالة المحتوى والنزاهة الأكاديمية في عصر يسود فيه الكتابة وإعادة الصياغة الآلية. كما يقرون بوجود قيود، وتحديداً أن "إعادة الهيكلة" الحالية تستخدم نهج الخطوة الواحدة وقد لا تتعامل مع التغييرات الهيكلية المعقدة متعددة الخطوات بشكل مثالي، مما يشير إلى أن العمل المستقبلي قد يتضمن قواعد استدلالية أكثر تطوراً لإعادة الهيكلة أو نماذج مدربة خصيصاً.