🤖 AI

ChainMark: Model-Free LLM Watermarking with Closed-Form Calibration

ChainMark introduce un esquema de marca de agua activo y libre de modelos que particiona el vocabulario en estados con clave para imponer transiciones de Markov estrictas, permitiendo la calibración de parámetros de detección mediante fórmulas cerradas y logrando una robustez demostrable contra ataques de traslación y sustitución sin requerir acceso al modelo de lenguaje generador.

Autores originales: Chengheng Li-Chen, Kyuhee Kim

Publicado 2026-07-22

📖 8 min de lectura🧠 Análisis profundo

CC BY 4.0

Autores originales: Chengheng Li-Chen, Kyuhee Kim

Artículo original bajo licencia CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Esta es una explicación generada por IA del artículo a continuación. No ha sido escrita ni avalada por los autores. Para mayor precisión técnica, consulte el artículo original. Leer descargo de responsabilidad completo

Imagina que estás caminando por una biblioteca gigante donde los robots escriben historias. A veces, los robots son tan buenos que no puedes distinguir si una historia fue escrita por un humano o por una máquina. Este es un gran problema para el futuro: si los robots pueden escribir cualquier cosa, ¿cómo sabemos qué es real? Los científicos están tratando de resolver esto dándole a los robots una forma secreta de marcar su trabajo, como una firma oculta que solo un detector especial puede ver. Esto se llama "marcado de agua" (watermarking). Piensa en ello como un código secreto oculto en el ADN de una oración.

Sin embargo, verificar estos códigos ha sido complicado. La mayoría de los métodos antiguos son como un juego de "adivinar la contraseña" que requiere que el propio robot esté presente para verificar el trabajo. Si el robot se ha ido, o si alguien cambia ligeramente la historia (como traducirla a otro idioma), los códigos antiguos suelen romperse o desaparecer. Además, los reguladores (las personas que crean las reglas) quieren una forma sencilla de decir: "Necesito un código que falle menos del 1% de las veces, que funcione en textos cortos y que sobreviva a las ediciones", pero no habían tenido una fórmula clara para decirle exactamente a los ingenieros cómo construir ese código.

Este artículo presenta una nueva solución llamada ChainMark. Es un marcado de agua "independiente del modelo" (model-free), lo que significa que no necesitas al robot para verificar el trabajo; solo necesitas una clave secreta. Los autores encontraron una forma de crear un código que actúa como un baile secreto. Demuestran que este baile es muy difícil de romper frente a tipos específicos de ataques, y proporcionan una receta matemática clara para que los reguladores les digan a los ingenieros exactamente cómo configurarlo.

El Baile Secreto: Cómo funciona ChainMark

Imagina que el vocabulario del robot (todas las palabras que puede usar) es una caja gigante de teselas de colores. ChainMark toma una clave secreta y clasifica cada una de las teselas en cinco cubetas de colores (digamos, Rojo, Azul, Verde, Amarillo y Púrpura). Estas cubetas están dispuestas en un círculo, como la esfera de un reloj: Rojo → Azul → Verde → Amarillo → Púrpura → Rojo.

Cuando el robot escribe una historia, ChainMark no le permite elegir cualquier palabra. En ciertos puntos de la historia (aproximadamente la mitad de las veces), el robot se ve obligado a elegir una palabra que pertenezca al siguiente color en el círculo. Si la última palabra fue Roja, la siguiente debe ser Azul. Si la anterior fue Azul, la siguiente debe ser Verde. El robot sigue eligiendo la mejor palabra que pueda encontrar, pero solo se le permite elegir de la cubeta "Azul".

Esto crea un camino oculto, o una "cadena", a través del texto. La historia es esencialmente un paseo alrededor de este reloj de colores.

El Detective sin un Robot

Aquí está la parte mágica: para verificar si una historia tiene marca de agua, no necesitas al robot en absoluto. Solo necesitas la clave secreta y el texto. Un verificador (el detective) toma el texto, busca la clave secreta y vuelve a clasificar cada palabra en sus cubetas de colores. Luego, simplemente cuenta cuántas veces los colores siguen el orden correcto (Rojo a Azul, Azul a Verde, etc.).

Si la historia fue escrita por un humano o por un robot sin el secreto, los colores saltarán de forma aleatoria. La probabilidad de acertar el orden por accidente es muy baja (solo 1 de cada 5, o 20%). Pero si la historia fue escrita con ChainMark, los colores seguirán la cadena casi perfectamente. El detective realiza este cálculo en un instante, sin necesidad de pedir ayuda al robot.

Por qué esto es importante

El artículo muestra que ChainMark resuelve tres grandes dolores de cabeza que tenían otros métodos:

No se necesita al Robot: Los métodos antiguos a menudo necesitaban el "cerebro" del robot para verificar el trabajo. ChainMark solo necesita el texto y la clave. Esto significa que un tercero, como un regulador o un editor de noticias, puede verificar si una historia es generada por IA sin necesidad de tener acceso al modelo de IA secreto de la empresa.
La Receta Perfecta: Los autores derivaron una fórmula de "forma cerrada". Esta es una manera elegante de decir que encontraron una ecuación matemática directa. Si un regulador dice: "Necesito una tasa de falsas alarmas del 1% para un texto de 200 palabras", el ingeniero puede introducir esos números en la fórmula e instantáneamente sabrá exactamente cuántas cubetas de colores debe usar. Se acabó el adivinar o el ensayo y error.
Sobrevive al "Ataque de Traducción": Una de las mayores formas de romper los antiguos marcados de agua es traducir un texto a otro idioma (como el chino) y luego traducirlo de nuevo. Esto suele desordenar el código secreto. El artículo probó ChainMark contra esto y encontró que es increíblemente resistente. Incluso después de traducir el texto al chino y de vuelta, ChainMark todavía identificó correctamente el texto con marca de agua el 72.8% de las veces. En contraste, otros métodos populares (llamados KGW y SWEET) cayeron por debajo del 20% de tasa de éxito bajo las mismas condiciones.

El Intercambio (Trade-Off)

El artículo es honesto sobre el costo. Para que este baile secreto funcione, el robot tiene que estar ligeramente más restringido al elegir palabras. Esto hace que el texto sea un poco menos "fluido" o natural en comparación con un robot completamente libre. Los autores midieron esto usando una puntuación llamada "perplejidad". La puntuación de ChainMark fue de aproximadamente 3.66, mientras que los otros métodos rondaban los 1.80 a 1.93. Esto significa que ChainMark es aproximadamente el doble de "rígido" que los demás, pero el intercambio es que es mucho más difícil de romper y mucho más fácil de verificar sin el robot.

La Red de Seguridad "Universal"

El artículo también descubrió algo sorprendente sobre cuánta edición puede sobrevivir el código frente a un atacante "ciego" (uno que no tiene la clave secreta). Demostraron matemáticamente que si alguien intercambia palabras al azar (como un ataque de "cortar y pegar"), el código sobrevivirá siempre que las ediciones sean menores al 29.3% del texto. Este número es una "constante universal", lo que significa que no importa cuántas cubetas de colores uses o qué tan largo sea el texto; el código se mantiene hasta que alcanzas ese muro específico del 29.3%.

Sin embargo, los autores advierten que esta red de seguridad tiene límites. Se aplica a intercambios aleatorios y traducciones, pero no garantiza la supervivencia frente a un hacker superinteligente que conozca la clave secreta o que pueda hacer preguntas repetidas al detector para averiguar el patrón. Además, el artículo aún no ha probado reescrituras gramaticales complejas (donde el significado se mantiene exactamente igual pero las palabras cambian), por lo que, aunque el código es muy fuerte contra la traducción y los intercambios aleatorios, todavía queda trabajo por hacer en otros tipos de ataques.

Lo que NO es

Los autores son cuidadosos al decir lo que su método no hace. Admiten que si un hacker superinteligente conoce la clave secreta o puede hacer preguntas al detector una y otra vez para descifrar el patrón, podría ser capaz de romperlo. El artículo se centra en un atacante "ciego" que no tiene la clave. Además, no han probado todos los tipos de edición (como reescrituras gramaticales complejas que mantienen el significado exacto), por lo que, aunque el código es muy fuerte contra la traducción y los intercambios aleatorios, todavía hay trabajo por hacer en otros tipos de ataques.

La Conclusión

ChainMark es como darle a los escritores de IA un movimiento de baile secreto, difícil de romper, que deja un rastro de huellas, siempre y cuando el atacante sea ciego a la clave y el ataque sea aleatorio o de traducción. Incluso si alguien intenta borrar las huellas traduciendo la historia o intercambiando palabras, el patrón permanece visible para cualquiera que tenga la clave secreta. Lo más importante es que proporciona a los reguladores un manual de instrucciones matemáticas claro para configurar estos marcados de agua exactamente como los necesitan, sin tener que adivinar o depender de la empresa de IA para realizar la verificación. Es un paso hacia un futuro donde podemos confiar en nuestro texto digital, sabiendo exactamente quién (o qué) lo escribió.

Resumen Técnico: ChainMark: Marca de agua para LLM sin modelo con calibración de forma cerrada

1. Planteamiento del problema

El artículo aborda los desafíos técnicos de implementar marcas de agua legibles por máquina para el texto generado por Modelos de Lenguaje de Gran Escala (LLM), específicamente en el contexto de mandatos regulatorios como la Ley de IA de la UE (Artículo 50). Los autores identifican tres deficiencias estructurales en los esquemas de marcas de agua existentes (p. ej., KGW, SWEET, EWD) que obstaculizan las auditorías orientadas a reguladores:

Detección vinculada al modelo: Los métodos existentes a menudo requieren acceso al modelo generador o a su estado interno (p. ej., logits, entropía) en el momento de la detección, lo que impide que terceros auditores verifiquen el texto sin el modelo.
Falta de calibración de forma cerrada: Ningún esquema existente proporciona un mapeo matemático de los objetivos específicos de un regulador (tasa de falsos positivos $\alpha$ , longitud mínima de texto $n_{min}$ y presupuesto de marca de agua $\rho$ ) a los parámetros de configuración concretos (p. ej., fuerza de la marca de agua) necesarios para el despliegue.
Robustez frágil: Los esquemas actuales sufren una degradación significativa en las tasas de verdaderos positivos (TPR) bajo ataques comunes como la traducción (p. ej., retrotraducción al chino) y la sustitución aleatoria, cayendo a menudo por debajo del 20% de TPR con presupuestos equivalentes.

2. Metodología: El esquema ChainMark

ChainMark es un esquema de marca de agua activo diseñado para ser sin modelo (model-free) en la detección y calibrado mediante matemáticas de forma cerrada.

Mecanismo central

Partición de estados: Se utiliza una clave secreta $\kappa$ con una función hash (SHA-256) para mapear cada token del vocabulario $v$ a uno de los $S$ estados discretos: $\sigma_\kappa(v) = \text{SHA-256}(\kappa \parallel v) \mod S$ . Esto particiona el vocabulario en $S$ conjuntos disjuntos $V_0, \dots, V_{S-1}$ .
Transición de relojería: Los estados se organizan en un ciclo fijo ( $s \to (s+1) \mod S$ ).
Generación (Incrustación): En una fracción $\rho$ de las posiciones de los tokens (determinada por una puerta de entropía), el modelo está restringido a emitir un token del siguiente estado en el ciclo. Específicamente, los logits para los tokens que no están en el conjunto de estados objetivo se enmascaran a $-\infty$ , y el modelo selecciona el argmax de los tokens válidos restantes. En las posiciones no controladas por la puerta, el modelo muestrea libremente.
Detección (Verificación): Un verificador, que posee únicamente la clave secreta y el tokenizador (sin acceso al LLM), vuelve a calcular el estado para cada token en el texto. El verificador calcula la fracción de transiciones válidas $\phi$ $ϕ$ donde la secuencia de estados sigue el ciclo.
- Hipótesis nula ( $H_0$ ): Para el texto no marcado, las transiciones son aleatorias, produciendo una tasa esperada de $p_0 = 1/S$ (para una cadena de relojería de 1-regular).
- Hipótesis alternativa ( $H_1$ ): El texto con marca de agua exhibe una tasa válida de $\approx 1/S + \rho(1 - 1/S)$ .
- Prueba estadística: Se realiza una prueba $z$ estándar sobre $\phi$ para determinar si el texto tiene una marca de agua. La complejidad de detección es $O(n)$ operaciones de hash.

Calibración y robustez

Calibración de forma cerrada: Los autores derivan una fórmula $S^\star(n, \rho, \alpha)$ que mapea directamente los objetivos del regulador al número mínimo de estados $S$ requerido para garantizar una tasa de falsos positivos (FPR) $\le \alpha$ .
Recalibración empírica: Para dar cuenta de la distribución no uniforme de los tokens del lenguaje natural a través de los estados hash, se propone un paso de recalibración de un solo corpus. Esto ajusta el umbral de detección basándose en la media y la desviación estándar empírica del valor $z$ en texto no marcado, restaurando la FPR objetivo sin alterar la configuración de la marca de agua.
Umbral de robustez universal: El artículo demuestra que, bajo sustitución aleatoria uniforme, la marca de agua sobrevive hasta una fracción de edición $\delta^\star = 1 - 1/\sqrt{2} \approx 29.3\%$ . Crucialmente, este umbral es invariante a los parámetros $S$ , $\rho$ y $n$ .

3. Contribuciones clave

Detección sin modelo: ChainMark permite la auditoría de terceros utilizando únicamente la clave secreta y el tokenizador, eliminando la necesidad del LLM generador en el momento de la inferencia.
Calibración orientada al operador: La derivación del mapa de forma cerrada $S^\star(n, \rho, \alpha)$ permite a los reguladores especificar objetivos de detección que se traducen directamente en configuraciones desplegables.
Garantías de robustez: Las pruebas teóricas establecen un umbral de robustez universal ( $\approx 29.3\%$ ) contra la sustitución uniforme, independiente de los parámetros del sistema.
Generalizabilidad: El marco se extiende a cualquier topología de transición doblemente estocástica $k$ -regular, no solo a la simple cadena de relojería.

4. Resultados experimentales

Los experimentos se realizaron en tres LLM ajustados por instrucciones (Llama-3.1-8B, Qwen-2.5-7B, Mistral-7B) a través de cuatro dominios (código, factual, wiki, escritura).

Rendimiento con presupuesto igualado: Comparado con KGW y SWEET con un presupuesto de marca de agua fijo ( $\rho=0.5$ $ρ = 0.5$ ), ChainMark superó significativamente a los modelos de base bajo ataque.
- Texto limpio: ChainMark logró un 100% de TPR.
- Sustitución aleatoria ( $\delta=0.20$ ): ChainMark retuvo un 99.9% de TPR, mientras que KGW y SWEET cayeron a ~55% y ~51% respectivamente.
- Retrotraducción al chino: ChainMark retuvo un 72.8% de TPR, mientras que KGW y SWEET cayeron por debajo del 20% (19.4% y 18.0%).
Costo de calidad: Esta robustez conlleva un costo de mayor autoperplejidad (Chain-Mark: 3.66 frente a los modelos de base: ~1.80–1.93).
Validación de la calibración: Los resultados empíricos confirmaron que la calibración de forma cerrada proporciona el orden correcto de los conteos de estados, y que la recalibración empírica redujo con éxito la tasa de falsos positivos de ~2.0% al 1% objetivo sin sacrificar la detección de verdaderos positivos.

5. Significancia y afirmaciones

El artículo afirma que ChainMark proporciona el sustrato técnico necesario para los marcos regulatorios como la Ley de IA de la UE al resolver el problema de la "auditabilidad". Su principal significancia radica en:

Mapeo de política a configuración: Traduce requisitos regulatorios abstractos (FPR, longitud de texto, presupuesto) en parámetros de sistema concretos y auditables.
Auditabilidad por terceros: Al desacoplar la detección del modelo, permite la verificación independiente del contenido generado por IA, un requisito previo para una gobernanza transparente.
Intercambio entre robustez y calidad: Los autores reconocen que ChainMark impone un costo de calidad medible (mayor perplejidad), pero argumentan que es un intercambio necesario para lograr una alta robustez contra ataques de traducción y sustitución, ante los cuales los métodos actuales de vanguardia fallan.

Los autores mantienen la modestia respecto a las limitaciones, señalando que sus afirmaciones de robustez actuales son contra la traducción y la sustitución uniforme, y que el esquema aún no cubre ataques de paráfrasis que preservan la gramática (p. ej., DIPPER) o adversarios con acceso de consulta al detector de forma adaptativa. También destacan los riesgos de "efecto inhibitorio" (chilling effect) y de "falsos positivos" como daños asimétricos que deben gestionarse mediante una cuidadosa calibración de umbrales.