QuantileMark: A Message-Symmetric Multi-bit Watermark for LLMs

1. Il Problema: Asimmetria del Messaggio nelle Filigrane Multi-bit

Con la diffusione dei Large Language Models (LLM) per la generazione di contenuti, la necessità di tracciare l'origine (provenienza) dei testi è diventata cruciale per contrastare la disinformazione e gestire i diritti d'autore. Mentre le prime filigrane (watermark) si concentravano sulla rilevazione binaria (presenza/assenza), le implementazioni reali richiedono filigrane multi-bit per codificare metadati complessi (es. ID utente, versione del modello, timestamp).

Il problema centrale identificato dagli autori è la mancanza di simmetria del messaggio nelle soluzioni esistenti, in particolare quelle basate sulla partizione del vocabolario (vocabulary partitioning):

• Asimmetria nella Generazione: Nei metodi tradizionali, i messaggi vengono mappati su sottoinsiemi disgiunti del vocabolario. In contesti a bassa entropia (dove il modello è molto sicuro su quali token scegliere), alcuni messaggi possono essere codificati utilizzando i token ad alta probabilità, mentre altri sono costretti a usare token a bassa probabilità (coda della distribuzione). Questo degrada la qualità del testo in modo dipendente dal messaggio specifico.
• Asimmetria nella Rilevazione: Di conseguenza, la forza statistica della prova (evidence) per rilevare un messaggio varia a seconda di quale messaggio è stato inserito. Alcuni messaggi sono facili da rilevare, altri deboli, rendendo il sistema iniquo e meno robusto.

2. Metodologia: QuantileMark

Gli autori propongono QuantileMark, una filigrana multi-bit "white-box" (che richiede accesso al modello durante la rilevazione) che risolve l'asimmetria operando sullo spazio continuo delle probabilità cumulative piuttosto che sullo spazio discreto del vocabolario.

Principi Fondamentali

1. Partizione a Massa Uguale (Equal-Mass Partitioning):

   • Invece di dividere il vocabolario, QuantileMark divide l'intervallo continuo delle probabilità cumulative $[0, 1)$ in $M$ bin (cestini) di massa di probabilità uguale ($1/M$ ciascuno).
   • Ad ogni passo di generazione, il sistema identifica il bin target corrispondente al simbolo del messaggio da inserire.
   • Il modello campiona un valore $u$ uniformemente all'interno di quel bin specifico e seleziona il token il cui intervallo di probabilità copre $u$.
   • Risultato: Ogni simbolo del messaggio riceve un budget di probabilità fisso di $1/M$, indipendentemente dall'entropia del contesto o dalla distribuzione dei token.

2. Simmetria del Messaggio (Message Symmetry):

   • Poiché ogni messaggio ha lo stesso budget di probabilità, la qualità del testo generato non dipende dal messaggio inserito.
   • La forza della prova statistica è uniforme per tutti i messaggi, garantendo una rilevazione equa.

3. Rilevazione e Decodifica (Teacher Forcing):

   • Il rilevatore, avendo accesso white-box, ricostruisce la stessa partizione quantile basandosi sulla distribuzione base del modello ($p_0$) e sulla chiave segreta.
   • Calcola la probabilità a posteriori che il token osservato provenga da un determinato bin.
   • Utilizza il Log Posterior Odds (LPO) come metrica di evidenza passo-passo, aggregando le prove lungo la sequenza per decodificare il messaggio originale.

Proprietà Teoriche

• Message-Unbiasedness: Gli autori dimostrano teoricamente che, mediando su tutti i possibili messaggi, la distribuzione generata è identica alla distribuzione base del modello ($p_0$). Questo garantisce che la filigrana non introduca distorsioni sistematiche.
• Cipher-Unbiasedness: Anche se il messaggio è fisso, la permutazione casuale dei bin (guidata dalla chiave) assicura che la distribuzione rimanga invariata in media.

3. Risultati Sperimentali

Gli esperimenti sono stati condotti su due task principali: continuazione di testo su C4 (usando Llama-2-7B) e Risposta a Domande a Lungo Termine (LFQA) su ELI5 (usando Llama-3.1-8B-Instruct).

• Recupero del Messaggio e Rilevazione:
  • QuantileMark supera significativamente i baselines (MPAC e StealthInk) in termini di accuratezza di recupero dei bit (Bit Acc) e Area Sotto la Curva (AUC) per la rilevazione.
  • Su LFQA, dove le distribuzioni sono spesso molto piccate (bassa entropia), QuantileMark raggiunge un'accuratezza di bit del 98.93% (vs 97.02% di MPAC) e un AUC di 0.9995, dimostrando una robustezza superiore in scenari difficili.
• Qualità della Generazione:
  • L'impatto sulla qualità del testo è trascurabile. Il Perplexity (PPL) di QuantileMark è quasi identico a quello del modello senza filigrana (es. 7.404 vs 7.684 su C4), confermando la proprietà di message-unbiasedness. Al contrario, metodi distortivi come MPAC mostrano un aumento significativo del PPL.
• Robustezza agli Attacchi:
  • Il sistema resiste bene a sostituzioni di sinonimi e copie/incollate.
  • Come per tutte le filigrane multi-bit, gli attacchi di parafrasi profonda e cancellazione casuale riducono le prestazioni, ma QuantileMark mantiene un vantaggio rispetto agli altri metodi.
• Efficienza:
  • Il costo computazionale per la rilevazione è limitato alla latenza di generazione stessa, rendendolo fattibile per i provider interni.

4. Contributi Chiave

1. Framework QuantileMark: Introduzione di un nuovo schema di filigrana che definisce il canale di comunicazione nello spazio continuo delle probabilità cumulative, garantendo un budget di probabilità uniforme per ogni simbolo.
2. Garanzia Teorica di Simmetria: Formalizzazione e dimostrazione della proprietà di message-unbiasedness, fornendo una base teorica solida per la simmetria nella generazione e nella rilevazione.
3. Prestazioni Superiori: Dimostrazione empirica che l'approccio a massa uguale supera i metodi basati sulla partizione del vocabolario sia nella robustezza del recupero che nella qualità del testo generato, specialmente in contesti a bassa entropia.

5. Significato e Implicazioni

QuantileMark rappresenta un passo avanti fondamentale per l'implementazione pratica delle filigrane multi-bit nei LLM.

• Equità Operativa: Risolve il problema della disparità di trattamento tra diversi messaggi, garantendo che tutti gli utenti ricevano lo stesso livello di qualità del servizio e affidabilità di attribuzione.
• Adattabilità ai Provider Interni: Sfruttando l'accesso white-box (necessario per la rilevazione interna), il metodo può permettersi di concentrare l'energia statistica nel bin target, massimizzando la rilevabilità senza compromettere la qualità, cosa che i metodi "black-box" non possono fare.
• Fondamento per la Provenienza: Offre una soluzione praticabile per tracciare l'origine dei contenuti generati dall'IA, bilanciando sicurezza, privacy (l'ID è significativo solo per il provider) e utilità del modello.

In sintesi, QuantileMark trasforma la simmetria del messaggio da un vincolo difficile da soddisfare in un vantaggio strutturale, permettendo una rilevazione più robusta e una generazione di testo indistinguibile dall'originale.