MirrorMark: A Distortion-Free Multi-Bit Watermark for Large Language Models

1. Planteamiento del Problema

A medida que los Modelos de Lenguaje Grandes (LLM) se vuelven ubicuos en la creación de contenido, la necesidad de una atribución de contenido fiable (procedencia) ha cobrado un papel crítico para combatir la desinformación y proteger la propiedad intelectual. Las técnicas de marca de agua existentes enfrentan un compromiso fundamental:

• Métodos Basados en Distorsión: Modifican la distribución de probabilidad de los tokens (por ejemplo, mediante sesgo en los logits) para incrustar señales. Aunque son robustos, estos métodos degradan la calidad del texto (aumentando la perplejidad) y a menudo solo soportan detección binaria (cero bits).
• Métodos Sin Distorsión: Preservan la distribución original de los tokens para mantener la calidad del texto. Sin embargo, los enfoques sin distorsión existentes a menudo sufren de una detectabilidad débil, una pobre robustez frente a ataques de edición (inserciones/borrados) o carecen de la capacidad de incrustar metadatos ricos (cargas útiles multibit).
• La Brecha: Existe una falta de un método que ofrezca simultáneamente incrustación multibit (para metadatos como ID del modelo o marca de tiempo), generación sin distorsión (preservando la calidad del texto) y alta robustez frente a ataques de edición.

2. Metodología: MirrorMark

MirrorMark aborda estos desafíos a través de tres componentes principales:

A. Espejo Mod-1 (El Mecanismo de Incrustación)

En lugar de sesgar los logits de los tokens, MirrorMark manipula la aleatoriedad de muestreo de una manera que preserva la medida.

• Mecanismo: Utiliza el truco Gumbel-max (usado en AA) o el Muestreo por Torneos (usado en SynthID). Estos métodos generan un valor aleatorio $u \sim \text{Uniforme}(0,1)$ para determinar el siguiente token.
• Transformación: Para incrustar un mensaje de $m$ bits $M$, el sistema refleja el valor aleatorio $u$ alrededor de un pivote específico del mensaje $\psi_M = M / 2^{m+1}$ utilizando una operación de espejo mod-1:
  $$\Psi(u; \psi_M) = (2\psi_M - u) \mod 1$$
• Garantía Sin Distorsión: Matemáticamente, esta transformación es una involución que preserva la medida. Si $u$ está distribuido uniformemente, el valor reflejado $\Psi(u; \psi_M)$ permanece distribuido uniformemente. En consecuencia, la probabilidad de selección del token $p(x)$ permanece sin cambios, asegurando distorsión cero en la calidad del texto.
• Separación de Hipótesis: A diferencia de los métodos de desplazamiento cíclico (como ThreeBricks) que crean hipótesis simétricas, el espejo crea distribuciones complementarias. Para el mensaje correcto, los valores transformados se inclinan hacia 1; para mensajes incorrectos, se inclinan hacia 0. Esto maximiza la separación estadística entre el mensaje verdadero y las hipótesis falsas por token.

B. Programador Equilibrado Anclado al Contexto (CABS)

Para manejar cargas útiles multibit de manera robusta frente a la edición (inserciones/borrados), MirrorMark introduce CABS para gestionar cómo se asignan los tokens a las posiciones del mensaje.

• Problema con la Asignación Ingenua: Una asignación seudorrandom simple puede conducir a una distribución desigual de tokens a través de las posiciones del mensaje (algunas posiciones no reciben tokens) y a una desincronización tras la edición.
• Solución CABS:
  • Asignación Equilibrada: Mapea los tokens a las posiciones del mensaje basándose en la ventana de contexto, asegurando que cada posición reciba un número suficiente de tokens para una decodificación fiable.
  • Enmarcado Anclado al Contexto: La secuencia se divide en "marcos". Un nuevo marco comienza cuando un hash de la ventana de contexto cumple una condición específica (por ejemplo, los $f$ bits más bajos son cero).
  • Robustez: Si ocurre una inserción o borrado, solo afecta al marco actual y potencialmente al límite del siguiente. Evita la propagación de errores a través de toda la secuencia, permitiendo que el decodificador recupere la marca de agua incluso si partes del texto son alteradas.

C. Decodificación y Detección

• Decodificación: Para cada posición del mensaje, el decodificador agrega los valores $u$ reflejados de los tokens asignados. Utiliza una función de puntuación (LogScore para Gumbel-max, WeightedMeanScore o BayesianScore para muestreo por torneos) para determinar el símbolo más probable $M$.
• Detección: Los símbolos decodificados se utilizan para reconstruir la distribución esperada. Se calcula una puntuación global; si supera un umbral, el texto se identifica como marcado con agua.

3. Contribuciones Clave

1. Marca de Agua Multibit Sin Distorsión: MirrorMark es el primer marco que extiende los paradigmas de muestreo sin distorsión (AA, SynthID) a cargas útiles multibit sin alterar la distribución de salida del LLM.
2. Espejo Mod-1: Una transformación matemática novedosa que incrusta información reflejando la aleatoriedad de muestreo, maximizando explícitamente el contraste entre hipótesis correctas e incorrectas mientras preserva la distribución uniforme.
3. Programador CABS: Un mecanismo de programación robusto que equilibra la asignación de tokens a través de las posiciones del mensaje y localiza el impacto de los ataques de edición, mejorando significativamente la resiliencia frente a inserciones y borrados.
4. Análisis Teórico: Los autores proporcionan una caracterización teórica de la Tasa de Error Igual (EER), vinculándola a la entropía de la secuencia y al recuento de tokens, lo cual se alinea estrechamente con los resultados empíricos.

4. Resultados Experimentales

Los experimentos se realizaron utilizando LLaMA-2-7B y Gemma-7B-it en los conjuntos de datos C4 y ELI5.

• Calidad del Texto: MirrorMark logra puntuaciones de perplejidad y calidad de GPT-4o indistinguibles del texto sin marca de agua. En contraste, las líneas base basadas en distorsión (MPAC, RSBH) muestran una degradación significativa de la perplejidad (por ejemplo, perplejidad de RSBH ~32 vs. MirrorMark ~7.2).
• Detectabilidad:
  • Con 54 bits incrustados en 300 tokens, MirrorMark mejora la precisión de bits en un 8–12% en comparación con los métodos más avanzados.
  • Identifica correctamente hasta un 11% más de textos marcados con agua en una Tasa de Falsos Positivos (FPR) del 1% en comparación con las líneas base.
  • MirrorMark basado en Gumbel-max generalmente supera a las variantes basadas en torneos en precisión de bits, mientras que ambas mantienen un AUC alto (~1.0).
• Robustez:
  • Ataques de Copiar y Pegar: MirrorMark mantiene altas tasas de detección (AUC > 0.99) incluso con el 40% del texto reemplazado por contenido sin marca de agua.
  • Parafraseo: Aunque la precisión de bits disminuye (como se espera para dependencias a nivel de token), MirrorMark mantiene una fuerte separación de AUC, superando a las líneas base de cero bits en tasas de detección.
• Comparación: MirrorMark supera significativamente a ThreeBricks (extensión de desplazamiento cíclico) en precisión de bits debido a una mejor separación de hipótesis. Supera a RSBH y MPAC en calidad de texto mientras iguala o supera su robustez.

5. Significado

MirrorMark representa un avance significativo en la procedencia del contenido de IA. Al desacoplar la detectabilidad de la distorsión del texto, permite la incrustación de metadatos ricos (multibit) sin comprometer la fluidez o naturalidad del texto generado. Esto es crucial para la implementación en el mundo real, donde la generación de texto de alta calidad es primordial. Además, la introducción de CABS aborda la vulnerabilidad crítica de las marcas de agua existentes frente a ataques de edición, haciendo viable la tecnología para proteger contenido en entornos dinámicos editados por usuarios. La base teórica de la EER proporciona un marco predecible para ajustar los parámetros de la marca de agua basándose en la entropía y la longitud de la secuencia.