💬 NLP

Linguistic Holonomy and Statistical Watermarks: Inner Geometry of Meaning-Preserving Transformations

Questo articolo dimostra che le filigrane statistiche per i modelli linguistici sono fondamentalmente vulnerabili alle trasformazioni che preservano il significato poiché il loro rilevamento si basa sulla somiglianza semantica degli endpoint piuttosto che sull'olonomia nascosta del percorso di trasformazione, portando a un'identità matematica precisa che mostra come la sopravvivenza del segnale dipenda criticamente dalla posizione specifica delle modifiche piuttosto che solo dal tasso complessivo di ritenzione.

Autori originali: Daniele Corradetti

Pubblicato 2026-08-21

📖 5 min di lettura🧠 Approfondimento

CC BY 4.0

Autori originali: Daniele Corradetti

Articolo originale sotto licenza CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Questa è una spiegazione generata dall'IA dell'articolo qui sotto. Non è stata scritta né approvata dagli autori. Per precisione tecnica, consulta l'articolo originale. Leggi il disclaimer completo

Nel panorama moderno dell'intelligenza artificiale, i grandi modelli linguistici generano testi che sono sempre più indistinguibili dalla scrittura umana. Per gestire i rischi di questa tecnologia, come la diffusione della disinformazione, i ricercatori hanno sviluppato un metodo per marcare invisibilmente i contenuti generati dalle macchine. Queste marche, note come watermarking, non cambiano il significato o la qualità del testo; invece, spostano sottilmente la probabilità statistica di quale parola venga scelta, creando un segnale nascosto che può essere rilevato in seguito. La sfida centrale per questi watermark è la robustezza: devono sopravvivere quando il testo viene modificato, tradotto o parafrasato. Per anni, la comunità scientifica ha misurato il successo di un attacco a un watermark guardando solo al risultato finale. Se una frase riscritta ha lo stesso significato dell'originale, si assumeva che il watermark fosse sopravvissuto altrettanto bene, indipendentemente dal percorso che il testo avesse compiuto per arrivarci. Questa ipotesi tratta i passaggi intermedi della riscrittura come semplici impalcature, irrilevanti rispetto al risultato finale.

Un ricercatore dell'Instituto Superior Técnico e dell'Università dell'Algarve ha sfidato questa visione di lungo corso, dimostrando che il percorso che un testo compie è importante quanto la sua destinazione. Trattando la sequenza di scelte lessicali come un viaggio geometrico, ha scoperto che due testi possono finire con significati identici pur portando quantità di segnale del watermark completamente diverse. Il ricercatore ha provato che il metodo standard di misurazione della "somiglianza semantica" — ovvero quanto il significato finale sia vicino a quello iniziale — è cieco rispetto a una proprietà nascosta della trasformazione. Ha scoperto che la sopravvivenza del watermark dipende interamente dalla specifica disposizione delle modifiche effettuate lungo il percorso, non solo da quante parole siano state cambiate o da quanto il testo finale appaia simile all'originale. In alcuni casi, un attaccante può rimuovere l'intero segnale del watermark cambiando solo una piccola frazione delle parole, a condizione che tali cambiamenti siano spaziati secondo un modello ritmico specifico.

Lo studio inizia riesaminando la matematica alla base dei "loop linguistici", ovvero catene di trasformazioni che alterano la forma di una frase senza cambiarne il nucleo centrale. Il ricercatore ha mostato che gli strumenti matematici precedentemente utilizzati per analizzare questi loop erano difettosi perché collassavano in un semplice conteggio, mancando della complessa struttura del viaggio. Li ha sostituiti con una descrizione geometrica più precisa, mostrando che la trasformazione del testo è simile a un percorso tracciato su una sfera. La distanza tra il punto di partenza e quello di arrivo indica quanto il significato sia derivato, ma la forma del percorso stesso trasporta una rotazione nascosta, una proprietà nota come olonomia. Questa rotazione è invisibile ai rilevatori che guardano solo il significato finale, eppure è proprio essa a determinare se il watermark sopravviverà. Il ricercatore ha provato che l'endpoint e il percorso sono indipendenti; si può avere un testo che ritorna al suo significato originale dopo un viaggio breve e diretto o dopo un percorso lungo e tortuoso, e il watermark si comporterà diversamente in ciascun caso.

Sul piano pratico della ricerca, il ricercatore ha derivato una legge precisa che governa il decadimento dei watermark quando il testo viene modificato. Ha scoperto che la sopravvivenza del segnale non è determinata dalla percentuale complessiva di parole che rimangono invariate, ma dal fatto che le specifiche "finestre di semina" (seeding windows) del watermark rimangano intatte. Un watermark spesso si basa su un gruppo di parole precedenti per decidere quale debba essere la parola successiva. Se un'edizione interrompe questo gruppo, il segnale si perde. Il ricercatore ha dimostrato che un attaccante che conosce la dimensione di questo gruppo può posizionare strategicamente le modifiche per distruggere l'intero watermark lasciando intatta la stragrande maggioranza del testo. Ad esempio, se il watermark si basa su un contesto di una parola precedente, un attaccante potrebbe rimuovere ogni seconda parola e cancellare completamente il segnale, anche se metà del testo rimane. Questo reperto spiega perché i watermark a volte falliscono molto più velocemente del previsto quando il testo viene modificato in blocchi o schemi, piuttosto che casualmente.

Per verificare queste intuizioni teoriche, il ricercatore ha condotto estesi esperimenti utilizzando sistemi di traduzione automatica reali. Ha preso migliaia di frasi e le ha fatte passare attraverso catene di traduzioni a doppia percorrenza, muovendole attraverso lingue come il tedesco, il francese e lo spagnolo, per poi tornare all'inglese. Ha misurato il segnale del watermark ad ogni passaggio e lo ha confrontato con le proprietà geometriche del percorso che il testo ha seguito. I risultati hanno confermato la sua teoria: la quantità di segnale rimanente era fortemente legata alla specifica forma del percorso, non solo al punteggio di somiglianza finale. In un test sorprendente, ha mantenuto costante il significato finale del testo variando la lunghezza del percorso e la sua complessità. Ha scoperto che testi che terminavano esattamente con lo stesso significato potevano trattenere dal segnale completo a nessun segnale affatto, a seconda esclusivamente della rotta intrapresa. Ciò prova che l'attuale metodo di giudicare la robustezza del watermark basandosi sulla somiglianza finale è fondamentalmente incompleto.

Le implicazioni di questo lavoro sono significative per il futuro della provenienza digitale. Suggerisce che la resilienza di un watermark è una funzione dell'intera storia del testo, non solo del suo stato finale. Il ricercatore ha mostrato che le metriche standard utilizzate per valutare questi sistemi sono insufficienti perché ignorano la struttura geometrica del linguaggio. Ha inoltre evidenziato una vulnerabilità nei design attuali: poiché la sopravvivenza del segnale dipende dalla disposizione delle modifiche, un avversario informato può sfruttare ciò per neutralizzare il watermark senza rendere il testo significativamente diverso. Sebbene lo studio sia stato condotto con modelli e catene di traduzione specifici, i principi geometrici scoperti sembrano essere universali. Il lavoro conclude che, per comprendere veramente come i watermark sopravvivano, dobbiamo smettere di guardare solo alla destinazione e iniziare a mappare il viaggio.

Sintesi Tecnica: Olonomia Linguistica e Watermark Statistici

Definizione del Problema
Gli attuali metodi per valutare la robustezza dei watermark statistici nei Large Language Models (LLM) si basano su metriche di tipo "endpoint" (punto finale). Queste metriche misurano la somiglianza semantica tra il testo originale e quello riscritto, o semplicemente contano il numero di passaggi di editing (hop). Il paper sostiene che questo approccio sia fondamentalmente errato perché tratta gli stati intermedi come mero scaffold (impalcatura). Due catene di trasformazioni possono risultare in testi con identico significato semantico (endpoint identici) ma possono attraversare percorsi vastamente differenti nello spazio degli embedding. Il paper postula che la robustezza di un watermark dipenda non solo dalla distanza semantica finale, ma dalla specifica geometria del percorso intrapreso dal "significante" (la forma del testo) mentre il "significato" (il senso) rimane preservato.

Metodologia
L'autore adatta il formalismo dei "loop linguistici" da lavori precedenti [4] per analizzare la geometria delle trasformazioni che preservano il significato.

Framework Geometrico: Il testo viene mappato in uno spazio di embedding $\mathbb{R}^n$ . Una catena di trasformazioni è vista come un percorso di vettori $v_0, \dots, v_L$ sulla sfera unitaria.
Matrice di Loop: La catena è riassunta da una matrice di loop $R_U \in SO(n)$ , costruita come il prodotto delle rotazioni minime tra stati consecutivi. Questa matrice rappresenta il trasporto parallelo lungo il poligono geodesico formato dalla catena.
Modellazione del Detector: Il paper analizza gli schemi di watermarking "green-list" ed "esponenziali", che si basano su una finestra di contesto di dimensione $h$ . La statistica di rilevamento è modellata come una funzione del numero di "finestre intatte" — posizioni in cui l'intero contesto di seeding è sopravvissuto all'attacco senza modifiche.

Contributi Chiave e Risultati Teorici

Degenerazione dell'Invariante della Firma:
Il paper dimostra che il precedente invariante proposto per i loop linguistici — la firma di Sylvester della matrice $I - R_U^*$ — è degenero. La matrice è sempre semidefinita positiva, il che significa che la sua firma è sempre $(2p, 0, n-2p)$ , non portando più informazioni del suo rango. Il vero invariante è lo spettro angolare (l'insieme degli angoli di rotazione) della matrice di loop.
Fattorizzazione Endpoint-Percorso (Olonomia):
L'autore dimostra una fattorizzazione canonica della matrice di loop: $R_U = R_{dir} H$ .

$R_{dir}$ è la rotazione minima dallo stato iniziale allo stato finale (determinata esclusivamente dal deficit semantico).
$H$ è l'olonomia, un elemento del gruppo stabilizzatore $SO(n-1)$ che fissa lo stato iniziale.
Significato: Il deficit semantico (endpoint) e l'olonomia (geometria del percorso) sono funzionalmente indipendenti. Una catena può avere un deficit semantico nullo (ritornare esattamente allo stesso significato) pur accumulando un'arbitraria olonomia (vagando significativamente nella forma). Su una 2-sfera, questa olonomia corrisponde all'area spazzata dal percorso (teorema di Gauss-Bonnet).

L'Identità della Finestra Intatta:
Il paper deriva un'identità esatta per la statistica di rilevamento residua attesa $E[z_{att}]$ dopo un attacco:
$E[z_{att}] = \frac{|I|}{T'} E[z_0]$
dove $|I|$ è il numero di posizioni la cui intera finestra di seeding di dimensione $h+1$ è sopravvissuta intatta.

Corollario: Se gli edit sono indipendenti, il segnale decade come $\rho^{h+1}$ (dove $\rho$ è il tasso di ritenzione dei token).
Risultato Critico: Se gli edit non sono indipendenti (come nell'editing reale), il tasso di ritenzione $\rho$ è insufficiente a predire la robustezza. Un avversario può organizzare gli edit per distruggere completamente il watermark (riducendo la statistica a zero) pur mantenendo una frazione elevata di token, purché gli edit siano spaziati per rompere ogni possibile finestra di contesto. Nello specifico, se $1-\rho \ge 1/(h+1)$ , il segnale può essere annientato.

Risultati Sperimentali
L'autore ha verificato le proprie affermazioni teoriche utilizzando detector esatti (chiavi detenute dall'autore) e dati reali:

Verifica Geometrica: Esperimenti numerici hanno confermato la degenerazione della firma e l'indipendenza tra endpoint e olonomia. Catene con identici deficit semantici esibivano diverse energie di olonomia a seconda del percorso intrapreso.
Verifica del Detector: La "legge della finestra intatta" è stata confermata con alta precisione (errori < 0.01) attraverso diverse ampiezze di contesto ( $h=0,1,2,3$ ) e tassi di ritenzione.
Traduzione nel Mondo Reale: L'autore ha applicato la traduzione automatica round-trip (Inglese $\to$ $\to$ Pivot $\to$ $\to$ Inglese) a testo watermarked.
- I risultati hanno mostrato che catene con lo stesso deficit semantico ma diversi percorsi (diversi numeri di pivot) hanno prodotto diversi livelli di erosione del watermark.
- Un test di regressione preregistrato ha confermato che, mantenendo costanti il deficit semantico e il tasso di ritenzione, un'energia di olonomia maggiore (percorso più lungo/complesso) correla significativamente con un segnale di watermark residuo inferiore.
- La metrica "intact-window" ha predetto il segnale residuo con maggiore accuratezza rispetto al semplice tasso di ritenzione.

Significatività e Rivendicazioni
Il paper sostiene di aver stabilito che la robustezza di un watermark statistico è un funzionale del percorso, non solo dell'endpoint.

Teorica: Inquadra l'analogia del "ciclo di Wilson" da metafora a teorema matematico, identificando il "deficit semantico" come cieco rispetto all' "olonomia" (la rotazione geometrica della forma).
Pratica: Dimostra che le attuali valutazioni di robustezza basate sulla somiglianza semantica o sui tassi di ritenzione dei token sono sotto-specificate. Un avversario può preservare il significato e il conteggio dei token, distruggendo strategicamente il watermark sfruttando la struttura della finestra di contesto.
Limitazioni: L'autore è modesto, notando che l'identità della finestra intatta assume sostituzioni che preservano la lunghezza e un'ipotesi di campo medio sull'entropia. Riconosce che l'energia di olonomia è una riduzione scalare dissipativa della piena matrice di olonomia e che i suoi risultati empirici sono limitati dai modelli e dagli encoder specifici utilizzati.

Il paper conclude che il linguaggio naturale per descrivere l'erosione del watermark è quello del trasporto parallelo e dell'olonomia, suggerendo che i futuri design di watermark potrebbero dover tenere conto di invarianti dipendenti dal percorso piuttosto che solo di proprietà statiche dei token.

Sintesi Tecnica: Olonomia Linguistica e Watermark Statistici

Articoli simili