Riepilogo Tecnico: Ogni Bit, Ovunque, Tutto in Una Volta: Un Filigrana Multibit Binomiale per LLM

Enunciato del Problema

La filigrana (watermarking) per i Modelli Linguistici di Grande Dimensione (LLM) è passata dalla ricerca teorica al dispiegamento commerciale, concentrandosi principalmente su filigrane a zero bit che rispondono a una domanda binaria: "Questo testo è stato generato da un modello specifico?". Tuttavia, le applicazioni pratiche emergenti richiedono filigrane multibit capaci di codificare payload complessi (ad esempio, ID utente, timestamp, metadati di licenza) direttamente nel testo generato.

Gli schemi multibit esistenti si basano prevalentemente sull'allocazione di posizioni (ad esempio, MPAC, MirrorMark), dove ogni passo di generazione codifica un solo bit del payload in una posizione specifica. Questo approccio soffre di due limitazioni principali:

1. Sub-ottimalità: Codificare un solo bit per token è inefficiente e le posizioni allocate possono essere distribuite in modo non uniforme.
2. Scalabilità: Gli approcci alternativi che evitano l'allocazione di posizioni (ad esempio, Cycle-Shift, ArcMark) sono limitati computazionalmente a payload brevi, poiché il tempo di decodifica aumenta esponenzialmente con la lunghezza del messaggio.

La sfida centrale affrontata da questo lavoro è progettare uno schema di filigrana multibit in grado di codificare efficacemente stringhe di bit lunghe senza fare affidamento sull'allocazione di posizioni, mantenendo al contempo un'elevata accuratezza del messaggio e robustezza.

Metodologia

Gli autori propongono un approccio fondamentalmente nuovo basato sulla codifica binomiale, che codifica l'intera stringa di bit del messaggio in ogni posizione del token.

1. Codifica e Decodifica Binomiale

A differenza dei lavori precedenti che selezionano un singolo bit da codificare per token, questo metodo codifica ogni bit del payload di $m$ bit a ogni passo di generazione.

• Codifica: A ogni posizione del token $t$, il sistema campiona $m$ vettori di punteggio indipendenti Bernoulli(0.5) ($G^1_t, \dots, G^m_t$) utilizzando un generatore di numeri pseudocasuali (PRNG) inizializzato con il contesto e una chiave privata. Per ogni bit $M_i$ nel payload, il corrispondente vettore di punteggio viene invertito (complementato) se $M_i = 1$. Il vettore di punteggio finale $\tilde{G}_t$ è la somma di questi $m$ vettori modificati. La distribuzione dei token viene quindi distorta verso i token con punteggi $\tilde{G}_t$ più elevati.
• Decodifica: Per decodificare, il sistema ricalcola i punteggi Bernoulli per ogni token nel testo. Il bit decodificato per la posizione $i$ è determinato da una votazione di maggioranza su tutti i token. Crucialmente, il metodo fornisce un punteggio di confidenza per bit utilizzando test binomiali a due vie, permettendo al sistema di valutare la significatività statistica di ogni bit decodificato senza assumere che il testo sia filigranato.

2. Codificatore con Stato

Per migliorare l'accuratezza dei bit, gli autori introducono un codificatore con stato che reindirizza dinamicamente la pressione di codifica durante la generazione.

• Il codificatore tiene traccia della statistica di decodifica corrente per ogni bit basandosi sulla sequenza parzialmente generata.
• Calcola l'accuratezza del bit nel caso peggiore atteso per ogni bit se i token rimanenti venissero generati senza filigrana.
• La funzione di punteggio viene modificata per dare priorità ai bit attualmente sottocodificati (cioè quelli con statistiche di decodifica vicine al limite decisionale), massimizzando così l'accuratezza complessiva attesa dei bit.

3. Metriche di Valutazione

Il documento mette in discussione le metriche di valutazione esistenti (ad esempio, l'accuratezza grezza del messaggio) che assumono che il testo in input sia già noto come filigranato. Gli autori sostengono che, nel dispiegamento reale, si debba prima rilevare se esiste un messaggio. Introducono l'Accuratezza dei Bit al $\alpha\%$ di Falsi Positivi (BA@$\alpha\%$FPR) come metrica più pratica. Questa metrica misura la probabilità di decodificare correttamente un bit garantendo che il testo non filigranato non venga erroneamente segnalato come contenente un messaggio più del $\alpha\%$ delle volte.

Contributi Chiave

1. Prima Filigrana Multibit Senza Allocazione di Posizioni: Gli autori introducono il primo schema che codifica l'intera stringa di bit del messaggio in ogni posizione del token tramite codifica binomiale, evitando i limiti di scalabilità ed efficienza dell'allocazione di posizioni.
2. Codificatore con Stato: Un meccanismo innovativo che dà priorità dinamica ai bit sottoperformanti durante la generazione, migliorando significativamente l'accuratezza dei bit senza alterare la strategia di decodifica.
3. Nuovo Framework di Valutazione: Il documento critica le metriche precedenti per la mancanza di insight pratico sui falsi positivi e propone il punteggio di confidenza per bit (BA@$\alpha\%$FPR) come standard per valutare le filigrane multibit in scenari realistici.
4. Valutazione Completa: Esperimenti estesi contro 8 baseline su payload di 16, 32 e 64 bit dimostrano prestazioni superiori in termini di accuratezza dei bit, accuratezza del messaggio e robustezza, in particolare nei regimi a bassa distorsione e con payload più grandi.

Risultati

La valutazione è stata condotta utilizzando LLAMA3.1-8B e MINISTRAL-3-14B con payload di 16, 32 e 64 bit.

• Accuratezza del Messaggio: Lo schema proposto (in particolare la versione con stato, "Ours+") supera tutte le 8 baseline (inclusi MPAC, MirrorMark, ArcMark e StealthInk) nell'accuratezza del messaggio, con un divario di prestazioni che si amplia per payload più lunghi (32 e 64 bit) e impostazioni a bassa distorsione.
• Accuratezza Basata sulla Confidenza (BA@1%FPR): La versione senza stato del metodo proposto raggiunge un BA@1%FPR significativamente più alto rispetto alle baseline, indicando una capacità superiore di distinguere i bit filigranati dal rumore casuale controllando i falsi positivi.
• Robustezza: Sebbene la robustezza rimanga una sfida per tutte le filigrane multibit (l'accuratezza crolla drasticamente con una cancellazione di parole o parafrasi superiore al 10%), il metodo proposto supera costantemente le baseline in varie modifiche del testo.
• Scalabilità: Lo schema scala più favorevolmente con il numero di token rispetto alle baseline; a 500 token, il metodo proposto raggiunge un'accuratezza dei bit >90%, mentre la migliore baseline raggiunge circa l'80%.

Significato e Affermazioni

Il documento afferma di aprire una nuova direzione per la ricerca sulla filigrana multibit dimostrando che la codifica binomiale è un paradigma più potente dell'allocazione di posizioni. Gli autori affermano che il loro approccio codifica efficacemente grandi payload senza l'intrattabilità computazionale dei precedenti metodi senza allocazione (come Cycle-Shift).

Inoltre, il lavoro evidenzia un divario critico nel campo: la mancanza di metriche di valutazione pratiche per le filigrane multibit. Introducendo il punteggio di confidenza per bit, gli autori sostengono che la ricerca e il dispiegamento futuri debbano tenere conto della probabilità di falsi positivi quando si decodificano messaggi da testi arbitrari, non solo da testi filigranati.

Gli autori mantengono un atteggiamento modesto riguardo alle limitazioni, riconoscendo che la robustezza contro le modifiche del testo (ad esempio, la parafrasi) è ancora un problema aperto e che, sebbene i loro risultati empirici mostrino la superiorità rispetto all'allocazione di posizioni, non vengono forniti proof teorici di ottimalità rigorosa per i metodi senza allocazione di posizioni. Notano inoltre che il codificatore con stato, pur migliorando l'accuratezza del messaggio, potrebbe ridurre leggermente le metriche basate sulla confidenza perché ottimizza per l'accuratezza attesa piuttosto che per la significatività statistica per bit.