Riepilogo Tecnico: ArcMark

Enunciato del Problema

Il documento affronta la sfida del watermarking multi-bit per i Modelli Linguistici di Grande Dimensione (LLM). Sebbene i metodi esistenti possano incorporare un singolo bit (watermarking zero-bit) per rilevare testi generati dall'IA, o incorporare più bit estendendo i principi zero-bit (ad esempio, un bit per token), questi approcci sono limitati in capacità. I metodi attuali faticano a incorporare in modo affidabile più di pochi bit in sequenze di centinaia di token.

Gli autori identificano un divario critico: le applicazioni pratiche (come l'incorporazione di ID utente, versioni del modello o lo stesso prompt) richiedono la capacità di incorporare multipli byte di informazioni. Inoltre, un "gold standard" per il watermarking degli LLM è un incorporamento privo di distorsione, dove il processo di watermarking non altera le previsioni medie del token successivo dell'LLM, preservando così la qualità del testo e la perplessità. Il documento pone due domande centrali:

1. Qual è il limite teorico (capacità) delle informazioni che possono essere incorporate nell'output di un LLM senza distorcere le previsioni del token successivo?
2. È possibile che uno schema pratico si avvicini a questo limite per ottenere un'inserzione multi-byte affidabile?

Metodologia: ArcMark

Gli autori introducono ArcMark, una costruzione di watermarking basata sulla teoria dei codici e sul trasporto ottimale. L'idea fondamentale è ripensare il watermarking multi-bit non come una sequenza di decisioni indipendenti sui token, ma come un problema di codifica di canale con informazioni laterali disponibili sia al codificatore (watermarker) che al decodificatore.

1. Formulazione Teorica dell'Informazione

Gli autori modellano l'LLM come un canale rumoroso dove il "rumore" è la casualità intrinseca della distribuzione del token successivo ($Q_{X_t}$). Derivano la capacità di Shannon per il watermarking multi-bit privo di distorsione.

• Vincolo di Assenza di Distorsione: La distribuzione marginale dei token marcati deve essere uguale alla distribuzione originale dell'LLM in attesa rispetto alle informazioni laterali condivise: $E_{S_t}[Q_{X_t|S_t, M=m}] = Q_{X_t}$.
• Derivazione della Capacità: Assumendo che le distribuzioni dei token successivi siano variabili casuali indipendenti e identicamente distribuite (i.i.d.), la capacità è definita come la massima informazione reciproca $I(W; X)$ tra il messaggio codificato $W$ e l'output $X$, soggetto al vincolo di assenza di distorsione.
• Limite Teorico: Per una specifica classe di distribuzioni binarie dei token, la capacità è derivata come circa 0,2787 bit/token quando la dimensione del vocabolario tende all'infinito.

2. La Costruzione ArcMark

ArcMark ottiene un incorporamento affidabile mappando il problema in uno spazio geometrico e risolvendo un problema di ottimizzazione:

• Rappresentazione Geometrica: Il vocabolario dei token, i simboli delle parole di codice del messaggio e le chiavi casuali condivise sono tutti mappati su punti di un cerchio unitario (angoli).
  • I token sono mappati a $2\pi i / N$.
  • I simboli del messaggio sono mappati a $2\pi c / p$.
  • Le informazioni laterali (spostamento casuale) sono mappate a $2\pi v / r$.
• Codifica (Codifica Lineare): Il messaggio di $k$ bit è mappato in un simbolo di parola di codice $C_m(t)$ utilizzando un codice lineare casuale sugli interi modulo $p$. Questo simbolo è combinato con uno spostamento casuale condiviso $V_t$ per produrre un angolo target $z_t$ sul cerchio.
• Incorporamento (Trasporto Ottimale): Per incorporare il messaggio senza distorcere la distribuzione di output dell'LLM, il watermarker deve selezionare un token $X_t$ che sia "vicino" all'angolo target $z_t$ soddisfacendo al contempo il vincolo di assenza di distorsione. Questo è formulato come un problema di Trasporto Ottimale (OT).
  • Il watermarker risolve per una distribuzione condizionale $Q^*_{X_t|Z_t}$ che minimizza la distanza angolare attesa tra il token selezionato e l'angolo target, soggetto al vincolo che la distribuzione marginale corrisponda alla distribuzione originale dell'LLM.
  • Questo viene risolto in modo efficiente utilizzando l'algoritmo di Sinkhorn.
• Decodifica: Il decodificatore osserva la sequenza di token e le informazioni laterali condivise. Stima gli angoli trasmessi, rimuove la casualità condivisa per recuperare i simboli delle parole di codice ed esegue la decodifica a minima distanza su tutti i possibili messaggi per recuperare il messaggio completo.

Contributi Chiave

1. Algoritmo ArcMark: Un nuovo schema di watermarking multi-bit privo di distorsione capace di incorporare multipli byte di informazioni in poche centinaia di token.
2. Caratterizzazione della Capacità: Una derivazione formale della capacità di Shannon per il watermarking multi-bit privo di distorsione negli LLM, inquadrando il problema come codifica di canale con informazioni laterali.
3. Ottimalità Teorica: Una dimostrazione che, sotto specifiche ipotesi semplificative (distribuzioni binarie dei token), ArcMark raggiunge la capacità di Shannon derivata.
4. Validazione Empirica: Una valutazione completa che dimostra come ArcMark superi i metodi multi-bit esistenti (in particolare BiMark e MPAC) in termini di accuratezza del messaggio e robustezza, mantenendo al contempo proprietà prive di distorsione.

Risultati Sperimentali

Gli autori hanno valutato ArcMark su tre modelli a pesi aperti (Llama3-8B, Mistral-7B, Qwen3-8B) utilizzando il dataset C4-RealNewslike.

• Accuratezza del Messaggio: ArcMark supera significativamente BiMark nel recuperare l'intero messaggio (accuratezza del messaggio), in particolare per carichi utili più grandi (2, 3 e 4 byte). Sebbene l'accuratezza a livello di bit sia importante, il documento enfatizza l'accuratezza del messaggio come metrica operativa, notando che un singolo errore di bit rende l'intero messaggio (ad esempio, un ID utente) errato.
• Robustezza: ArcMark dimostra una robustezza superiore contro gli attacchi di parafrasi (in particolare la retro-traduzione in francese). Anche con alti tassi di attacco (30% delle frasi parafrasate), ArcMark mantiene un'accuratezza del messaggio superiore rispetto a BiMark non attaccato.
• Proprietà Prive di Distorsione:
  • Perplessità: La perplessità di ArcMark è quasi identica alla baseline senza watermark e più vicina rispetto a BiMark, confermando la preservazione della distribuzione di output dell'LLM.
  • Utilità a valle: Nella risposta a domande estrattive (SQuAD), nel completamento del codice in contesti lunghi (LCC) e nella correttezza funzionale del codice (HumanEval), ArcMark non mostra un degrado significativo rispetto alla baseline senza watermark.
• Rilevamento Zero-Bit: ArcMark supporta il rilevamento zero-bit (determinare se un testo è marcato) con alta accuratezza, raggiungendo tassi di rilevamento quasi perfetti a partire da 150 token.

Significato e Affermazioni

Il documento afferma di ripensare il watermarking multi-bit da un problema euristico a un problema di codifica di canale con informazioni laterali, una formulazione che risale a Claude Shannon. Spostando la prospettiva verso la capacità e la progettazione dei codici, gli autori sostengono che la teoria dell'informazione fornisce sia una base matematica per comprendere i limiti dei watermark degli LLM sia un percorso costruttivo per progettarli.

Il significato di ArcMark risiede nella sua capacità di incorporare byte (non solo bit) di informazioni in modo affidabile e senza distorcere la qualità del testo. Questo abilita applicazioni pratiche come il tracciamento dei prompt degli utenti, delle versioni del modello e di istanze specifiche del modello, che sono cruciali per la responsabilità e la conformità normativa. Gli autori notano che ottimizzando per l'accuratezza a livello di messaggio piuttosto che a livello di bit, il rischio di attribuzione errata è ridotto.

Il documento conclude che, sebbene la loro analisi della capacità si basi su ipotesi specifiche relative alle distribuzioni, il quadro teorico apre la porta a caratterizzazioni teoriche più ampie e alla progettazione di watermark con tassi di recupero più elevati e garanzie di robustezza più forti.