Resumen Técnico: SLAM (Marcado de Activación Lingüística Estructural)

Declaración del Problema

El despliegue generalizado de Modelos de Lenguaje Grandes (LLM) hace necesaria una atribución de procedencia fiable para distinguir el texto generado por IA del contenido escrito por humanos. Los esquemas de marca de agua actuales enfrentan un compromiso fundamental entre detectabilidad, calidad del texto y robustez.

Los paradigmas dominantes (por ejemplo, KGW, EWD, Unigram) operan sesgando la distribución del siguiente token del modelo (por ejemplo, mediante la selección de tokens de la lista verde). Aunque eficientes, este enfoque incurre en un costo medible de calidad: en los modelos Gemma-2, estos métodos pierden entre 7.5 y 11.5 puntos de recompensa y exhiben ratios de perplejidad condicional colapsados (0.30–0.42), lo que indica una salida repetitiva y poco natural. Por el contrario, los métodos recientes basados en autoencoders dispersos (SAE), como SAEMark, logran una calidad casi sin pérdidas pero sufren de una alta sobrecarga computacional (muestreo de $N=50$ candidatos por paso) y vulnerabilidad a cambios semánticos y ediciones simples de texto.

Metodología: SLAM

SLAM (Marcado de Activación Lingüística Estructural) propone un esquema de marca de agua de caja blanca que desacopla la detección del sesgo de frecuencia de tokens. En lugar de alterar qué tokens se muestrean, SLAM escribe la marca de agua en la geometría estructural del flujo residual del modelo.

Mecanismo Central

1. Minería de Características Estructurales:

   • Los autores construyen un conjunto de datos contrastivo de 46,579 pares de oraciones que cubren 104 fenómenos lingüísticos (alternancias sintácticas, tiempo verbal, morfología, discurso). Estos pares mantienen constante el contenido semántico mientras varían las formas estructurales (por ejemplo, voz activa vs. pasiva).
   • Utilizando Autoencoders Dispersos (SAE) entrenados en el flujo residual, el método identifica subespacios específicos y localizados que codifican estas características estructurales.
   • Un mecanismo de puntuación compuesto (magnitud contrastiva $\times$ pureza $\times$ consistencia interdominio) aísla direcciones SAE que responden robustamente a cambios estructurales en lugar de al contenido semántico.

2. Construcción de Direcciones (SVD):

   • Para fenómenos donde los conceptos estructurales se distribuyen a través de múltiples características débilmente discriminativas (común en modelos más grandes como Gemma-2 9B), SLAM realiza una Descomposición en Valores Singulares (SVD) sobre la matriz de diferencias contrastivas.
   • Esto produce $k$ modos estructurales ortogonales. El método admite tanto la dirección de una sola característica ($k=1$) como la dirección de subespacio compuesto ($k>1$), permitiendo escalar eficazmente a modelos más grandes.
   • Minería Bidireccional: El sistema extrae direcciones tanto para la estructura objetivo como para su inversa, duplicando el conjunto de direcciones dirigibles para reducir las tasas de colisión durante la selección.

3. Dirección Causal e Inyección:

   • En el momento de la generación, SLAM se conecta al flujo residual en capas específicas (determinadas por la capa de activación máxima del fenómeno).
   • Añade un vector escalado ($\alpha \cdot v_{estructura}$) al flujo residual de los tokens recién generados. Esto sesga al modelo hacia la producción de una variante sintáctica específica (por ejemplo, voz pasiva) sin restringir la elección léxica de los tokens individuales.
   • Selección de Características: Se selecciona un subconjunto de características por documento mediante muestreo ponderado con clave HMAC para garantizar unicidad y seguridad.
   • Generación con Parada Temprana: El sistema genera hasta $N=4$ candidatos y devuelve el primero que supera un umbral de detección calibrado ($\hat{z} \ge 2.0$), reduciendo significativamente la sobrecarga en comparación con los métodos de puntuación de candidatos.

4. Detección:

   • La detección requiere un solo pase hacia adelante del modelo. Las activaciones del flujo residual se proyectan sobre las direcciones estructurales precalculadas para calcular una puntuación $z$ de Stouffer.
   • No se requiere un pase hacia adelante del SAE en el momento de la detección, lo que hace que el proceso sea computacionalmente eficiente.

Contribuciones Clave

1. Pipeline de Minería Contrastiva: Un pipeline que aísla direcciones SAE estructurales mediante una puntuación compuesta a través de 104 fenómenos y 5 dominios semánticos, garantizando la invariancia de dominio.
2. Direcciones Estructurales PCA-Bidireccionales: Un método basado en SVD para construir direcciones compuestas ortogonales ($k>1$), que permite a SLAM manejar representaciones estructurales distribuidas en modelos más grandes (9B+) y ofrece un compromiso ajustable entre calidad y detección.
3. Esquema Eficiente de Caja Blanca: Un sistema completo de marca de agua con selección clave HMAC y un bucle de generación con parada temprana. Requiere un orden de magnitud menos de llamadas a LLM que SAEMark ($N \le 4$ frente a $N=50$) y opera con una sobrecarga moderada ($\sim 1.6\times$ tiempo de generación).
4. Validación Empírica: Evaluación exhaustiva en Gemma-2 2B y 9B frente a seis líneas base en cuatro familias de métricas de calidad y siete ataques de robustez.

Resultados Experimentales

Evaluado en modelos preentrenados Gemma-2 2B y 9B:

• Rendimiento de Detección: SLAM logra una Tasa de Verdaderos Positivos (TPR) del 100% con una Tasa de Falsos Positivos (FPR) del 2.3% en ambos tamaños de modelo.
• Preservación de la Calidad:
  • Brecha de Recompensa: SLAM incurre en una penalización de recompensa de solo $\Delta$Recompensa = -1.3 (2B) y -1.9 (9B). Esto es significativamente menor que las líneas base de distribución de tokens (KGW, EWD, Unigram), que pierden entre 7.5 y 11.5 puntos.
  • Naturalidad: SLAM preserva las métricas de distribución de salida (distinct-n, Self-BLEU, MAUVE) y los ratios de perplejidad condicional (1.24/1.36) mucho más cerca de la línea base sin marca de agua que otros métodos. A diferencia de los métodos de distribución de tokens, no induce texto repetitivo (colapso del ratio PPL).
  • Gramática: Las tasas de errores gramaticales se mantienen cerca de los niveles de la línea base.
• Perfil de Robustez:
  • Ataques a Nivel de Palabra: SLAM es 100% robusto a la sustitución de sinónimos, eliminación de palabras, sustitución de palabras y reordenamiento de oraciones.
  • Ataques de Parafraseo: SLAM es vulnerable al parafraseo de reestructuración sintáctica (por ejemplo, DIPPER), donde la TPR cae a ~10–12%. Sin embargo, el artículo señala que tales ataques imponen un costo de calidad al atacante (degradando el texto), y esta vulnerabilidad es la contraparte de los métodos de distribución de tokens (que son robustos al parafraseo pero vulnerables a ediciones a nivel de palabra).

Significado y Afirmaciones

El artículo afirma que SLAM demuestra que la calidad y la detección no necesitan compensarse cuando la marca de agua se codifica en el nivel apropiado de abstracción lingüística (geometría estructural frente a frecuencias de tokens).

• Perspectiva Mecanística: Al dirigir qué variante estructural produce el modelo en lugar de qué tokens muestrea, SLAM deja la superficie léxica y el significado semántico esencialmente sin restricciones. Esto explica su rendimiento superior en modelos de recompensa, perplejidad y métricas de diversidad.
• Robustez Complementaria: El artículo posiciona la vulnerabilidad de SLAM al parafraseo de reestructuración sintáctica como un costo calculado y aceptable para lograr una calidad de generación casi sin pérdidas, contrastándolo con la firma de "texto repetitivo" de los métodos de sesgo de tokens.
• Escalabilidad: El uso de subespacios compuestos ($k>1$) se identifica como el habilitador crítico para escalar el marcaje estructural a modelos más grandes donde las características están distribuidas.

Los autores concluyen que, aunque SLAM requiere acceso de caja blanca y es sensible a reescrituras estructurales severas, ofrece un equilibrio superior de detectabilidad y preservación de calidad para la atribución de procedencia en comparación con los enfoques existentes de distribución de tokens y puntuación semántica.