Global Sketch-Based Watermarking for Diffusion Language Models

Sintesi Tecnica: Watermarking Globale Basato su Sketch per Modelli di Diffusione del Linguaggio

Definizione del Problema
La rapida adozione dei modelli linguistici di grandi dimensioni (LLM) rende necessari metodi affidabili per distinguere il testo scritto da esseri umani dai contenuti generati dai modelli, al fine di mitigare l'inquinamento dei dati e gli abusi. Sebbene il watermarking per i modelli autoregressivi (AR) sia ben studiato, gli schemi esistenti presentano limitazioni significative. I watermark AR si basano tipicamente su schemi di contesto locale che perturbano la distribuzione del token successivo in base ai token precedenti. Questo approccio lega il segnale del watermark al processo di campionamento specifico (filtrazione sinistra-destra), rendendo difficile separare il segnale dal processo di generazione. Inoltre, i watermark AR soffrono spesso di vulnerabilità di sicurezza (ad esempio, rilevabili da utenti non in possesso della chiave tramite regolarità condizionate dal contesto) e di scarsa robustezza contro le modifiche (inserimenti, cancellazioni, riordinamenti) a causa della loro dipendenza dall'ordine sequenziale dei token.

I Modelli di Diffusione del Linguaggio (DLM), in particolare le varianti mascherate, offrono un paradigma generativo differente in cui i token vengono de-noizzati simultaneamente anziché sequenzialmente. Ciò consente l'accesso alle distribuzioni marginali su tutte le posizioni non risolte, abilitando strategie di controllo globale che sono computazionalmente impraticabili per i modelli AR. Tuttavia, gli schemi di watermarking efficaci per i DLM rimangono scarsamente esplorati.

Metodologia
Gli autori propongono un watermark basato su sketch per i modelli di diffusione del linguaggio mascherati. A differenza dei metodi AR che polarizzano le distribuzioni locali dei token in base al contesto, questo approccio controlla una rappresentazione sketch globale, vettoriale, dell'intera sequenza di testo.

1. Sketch del Testo (Count-Sketch): Il metodo utilizza una funzione Count-Sketch, $H(y)$, che mappa una sequenza di testo $y$ in uno spazio vettoriale reale a dimensione finita. Lo sketch è una statistica additiva: $H(y) = \sum \phi(y_j)$. Lo sketch è costruito utilizzando una chiave segreta $k$ composta da una chiave di sketch ($k_{sk}$) per le funzioni di hash e segno, e una chiave di direzione ($k_{dir}$) per un vettore target $u_k$.
2. Punteggio di Rilevamento: Il rilevatore calcola un punteggio $S_k(y)$ basato sul prodotto scalare tra lo sketch e la direzione target, penalizzato dalla norma dello sketch:
   $$S_k(y) := 2\langle u_k, h_k(y) \rangle - \lambda \|h_k(y)\|_2^2$$
   Questo punteggio è massimizzato quando lo sketch si allinea con la direzione target $u_k/\lambda$.
3. Embedding tramite Score-Gradient: Durante il processo di de-noising del DLM, le distribuzioni marginali del modello per le posizioni mascherate vengono polarizzate. La polarizzazione è determinata dal gradiente del punteggio del detector valutato sullo sketch atteso attuale ($\hat{h}_{k,t}$).
   • Poiché lo sketch è additivo, lo sketch atteso in ogni step $t$ è trattabile dalle marginali condizionali senza richiedere la distribuzione congiunta completa.
   • La direzione della polarizzazione è il "gradiente residuo" $r_{k,t} = u_k - \lambda \hat{h}_{k,t}$.
   • Le marginali sono esponenzialmente inclinate (tilted) in base a questa direzione: $\tilde{p}_i^{(t)}(v) \propto p_i^{(t)}(v) \exp\{\eta_t a_{k,t}(v)\}$, dove $a_{k,t}(v)$ è la proiezione della funzione di mappa del token sul gradiente residuo.
4. Proprietà Chiave: Questa formulazione scollega il rilevamento dai contesti locali, risultando in una statistica indipendente dall'ordine (order-agnostic). La regola di watermarking non si manifesta come un bias del token semplice e statico, bensì come un aggiustamento dinamico e dipendente dallo stato.

Contributi Chiave e Risultati Teorici
Il documento fornisce un'analisi teorica dello schema proposto, dimostrando tre proprietà primarie:

• Decomposizione della Distorsione KL: Gli autori dimostrano una regola di catena per la distorsione di Kullback-Leibler (KL) lungo il percorso di de-noising (Teorema 5.1). Dimostrano che la distorsione totale è la somma delle distorsioni ad ogni step. Inoltre, dimostrano che l'inclinazione esponenziale proposta con un coefficiente comune $\eta_t$ è localmente ottimale rispetto alla KL (Proposizione 5.2). Ciò significa che il metodo ottiene il guadagno di punteggio desiderato con una distorsione minima, e le posizioni con maggiore varianza locale nello score trasportano naturalmente più segnale (Corollario 5.3).
• Solidità Randomizzata dalla Chiave: Il Teorema 5.4 stabilisce un limite di solidità (soundness) per il detector. Dimostra che per qualsiasi testo non watermarked indipendente dalla chiave, la probabilità di un falso positivo è esponenzialmente limitata. La penalità della norma ($\lambda$) serve a prevenire che sketch arbitrariamente grandi inneschino falsi positivi.
• Robustezza alle Modifiche: Il documento analizza la sensibilità dello score rispetto alle modifiche (sostituzioni, inserimenti, cancellazioni). Il Lemma 5.6 e il Teorema 5.7 forniscono limiti che mostrano come lo score degradi linearmente con il numero di modifiche (distanza di Levenshtein). Ciò suggerisce che il watermark è robusto contro le modifiche post-generazione moderate, poiché sarebbe richiesto un numero significativo di cambiamenti nei token per degradare il potere di rilevamento.

Significato e Rivendicazioni
Il lavoro posiziona questa ricerca come un'introduzione preliminare a una nuova classe di watermarking per i modelli di diffusione. La sua importanza risiede nel:

• Disaccoppiamento dal Contesto Locale: Utilizzando uno sketch globale, il metodo evita il "collo di bottiglia del controllo a singolo passaggio" dei modelli AR, permettendo il controllo a livello di sequenza senza fissare immediatamente i token.
• Rilevamento Indipendente dall'Ordine: Il watermark non è legato all'ordine di generazione sequenziale, offrendo potenzialmente una migliore robustezza contro gli attacchi di riordinamento rispetto agli schemi AR.
• Fondamento Teorico: Il lavoro fornisce la prima analisi rigorosa di distorsione, solidità e sensibilità alle modifiche specificamente per un approccio basato su sketch nei DLM.

Gli autori caratterizzano il lavoro come "preliminare", concentrandosi sulle proprietà teoriche (distorsione, solidità, robustezza) del metodo piuttosto che su estesi benchmark empirici. Notano che lo schema sfrutta la geometria nativa dei DLM per abilitare strategie di controllo che non sono disponibili per i modelli autoregressivi.