Global Sketch-Based Watermarking for Diffusion Language Models

Resumen Técnico: Esteganografía Global Basada en Bocetos para Modelos de Lenguaje de Difusión

Planteamiento del Problema
La rápida adopción de los modelos de lenguaje extensos (LLM) requiere métodos fiables para distinguir el texto escrito por humanos del contenido generado por modelos para mitigar la contaminación de datos y el abuso. Aunque la esteganografía para modelos autorregresivos (AR) está bien estudiada, los esquemas existentes enfrentan limitaciones significativas. Las marcas de agua AR suelen depender de esquemas de contexto local que perturban la distribución del siguiente token basándose en los tokens precedentes. Este enfoque vincula la señal de la marca de agua al proceso de muestreo específico (filtración de izquierda a derecha), lo que dificulta la separación de la señal del proceso de generación. Además, las marcas de agua AR suelen sufrir vulnerabilidades de seguridad (por ejemplo, detectables por usuarios sin clave mediante regularidades condicionadas al contexto) y una baja robustez frente a ediciones (inserciones, eliminaciones, reordenación) debido a su dependencia del orden secuencial de los tokens.

Los Modelos de Lenguaje de Difusión (DLM), particularmente las variantes con máscara, ofrecen un paradigma generativo diferente donde los tokens se denoizan simultáneamente en lugar de secuencialmente. Esto permite el acceso a las distribuciones marginales sobre todas las posiciones no resueltas, permitiendo estrategias de control global que son computacionalmente inviables para los modelos AR. Sin embargo, los esquemas de esteganografía efectivos para los DLM siguen estando poco explorados.

Metodología
Los autores proponen una marca de agua basada en bocetos (sketch-based) para modelos de lenguaje de difusión con máscara. A diferencia de los métodos AR que sesgan las distribuciones locales de los tokens basándose en el contexto, este enfoque controla una representación de boceto global y de valor vectorial de toda la secuencia de texto.

1. Boceto de Texto (Count-Sketch): El método utiliza una función de Count-Sketch, $H(y)$, que mapea una secuencia de texto $y$ a un espacio vectorial real de dimensión finita. Este boceto es una estadística aditiva: $H(y) = \sum \phi(y_j)$. El boceto se construye utilizando una clave secreta $k$ que comprende una clave de boceto ($k_{sk}$) para las funciones de hash y signo, y una clave de dirección ($k_{dir}$) para un vector objetivo $u_k$.
2. Puntuación de Detección: El detector calcula una puntuación $S_k(y)$ basada en el producto punto entre el boceto y la dirección objetivo, penalizado por la norma del boceto:
   $$S_k(y) := 2\langle u_k, h_k(y) \rangle - \lambda \|h_k(y)\|_2^2$$
   Esta puntuación se maximiza cuando el boceto se alinea con la dirección objetivo $u_k/\lambda$.
3. Incrustación mediante el Gradiente de la Puntuación: Durante el proceso de denoisado de un DLM, las distribuciones marginales del modelo para las posiciones enmascaradas son sesgadas. El sesgo se determina por el gradiente de la puntuación del detector evaluado en el boceto esperado actual ($\hat{h}_{k,t}$).
   • Debido a que el boceto es aditivo, el boceto esperado en cualquier paso $t$ es tratable a partir de las marginales condicionales sin requerir la distribución conjunta completa.
   • La dirección del sesgo es el "gradiente residual" $r_{k,t} = u_k - \lambda \hat{h}_{k,t}$.
   • Las marginales se inclinan exponencialmente basándose en esta dirección: $\tilde{p}_i^{(t)}(v) \propto p_i^{(t)}(v) \exp\{\eta_t a_{k,t}(v)\}$, donde $a_{k,t}(v)$ es la proyección del mapa de características del token sobre el gradiente residual.
4. Propiedades Clave: Esta formulación desacopla la detección de los contextos locales, resultando en una estadística agnóstica al orden. La regla de la marca de agua no se manifiesta como un sesgo de token simple y estático, sino como un ajuste dinámico dependiente del estado.

Contribuciones Clave y Resultados Teóricos
El artículo proporciona un análisis teórico del esquema propuesto, demostrando tres propiedades primarias:

• Descomposición de la Distorsión KL: Los autores demuestran una regla de cadena para la distorsión de Kullback-Leibler (KL) a lo largo de la trayectoria de denoisado (Teorema 5.1). Muestran que la distorsión total es la suma de las distorsiones en cada paso. Además, demuestran que la inclinación exponencial con una pendiente común $\eta_t$ es localmente óptima en términos de KL (Proposición 5.2). Esto significa que el método logra la ganancia de puntuación deseada con una distorsión mínima, y las posiciones con mayor varianza local en la puntuación portan naturalmente más señal (Corolario 5.3).
• Solidez Aleatorizada por Clave: El Teorema 5.4 establece un límite de solidez para el detector. Demuestra que para cualquier texto sin marca de agua independiente de la clave, la probabilidad de un falso positivo está acotada exponencialmente. Se demuestra que la penalización de la norma ($\lambda$) evita que bocetos arbitrariamente grandes disparen falsos positivos.
• Robustez ante Ediciones: El artículo analiza la sensibilidad de la puntuación ante ediciones (sustituciones, inserciones, eliminaciones). El Lema 5.6 y el Teorema 5.7 proporcionan límites que muestran que la puntuación se degrada linealmente con el número de ediciones (distancia de Levenshtein). Esto sugiere que la marca de agua es robusta contra la edición moderada post-generación, ya que se requeriría un número significativo de cambios de tokens para degradar el poder de detección.

Significación y Reivindicaciones
El artículo posiciona este trabajo como una introducción preliminar a una nueva clase de esteganografía para modelos de difusión. Su significación radica en:

• Desacoplamiento del Contexto Local: Al utilizar un boceto global, el método evita el "cuello de botella de control de paso único" de los modelos AR, permitiendo el control a nivel de secuencia sin fijar los tokens inmediatamente.
• Detección Agnóstica al Orden: La marca de agua no está ligada al orden de generación secuencial, ofreciendo potencialmente una mejor robustez contra ataques de reordenación en comparación con los esquemas AR.
• Fundamento Teórico: El trabajo proporciona el primer análisis riguroso de la distorsión, la solidez y la sensibilidad a la edición específicamente para un enfoque basado en bocetos en DLM.

Los autores caracterizan el trabajo como "preliminar", centrándose en las propiedades teóricas (distorsión, solidez, robustez) del método más que en comparativas empíricas extensas. Observan que el esquema aprovecha la geometría nativa de los DLM para permitir estrategias de control que no están disponibles para los modelos autorregresivos.