技術概要：大規模言語モデルのための多数派ビット認識型透かし

問題定義

大規模言語モデル（LLM）の広範な展開は、有害または欺瞞的なコンテンツの生成を含む、重要なセキュリティおよび倫理的課題をもたらしています。生成されたテキストの発生源を追跡するために透かし技術が提案されてきましたが、既存のマルチビット透かし手法は、テキストの質と復号精度の間の根本的なトレードオフに直面しています。

現在の摂動ベースの手法（MPAC、RSBH など）は、埋め込まれたメッセージを復号するために、「グリーンリスト」（語彙のサブセット）に含まれるトークンの出現頻度を数えることに依存しています。正確な復号のための強力な透かし信号を確保するために、これらの手法は通常、グリーンリストのサイズ（グリーンリスト比率 $\gamma$）を制限します。しかし、$\gamma$ が小さいと、モデルは文脈的に適切なトークンから選択できる範囲が狭くなり、生成されたテキストの流暢さや質が低下します。逆に、テキストの質を維持するために $\gamma$ を増大させると、透かし信号が弱まり、復号精度が低下します。本論文は、この経験的なトレードオフを、現在のマルチビット透かしにおける重要なボトルネックとして特定しています。

手法

著者は、透かし信号の強度をグリーンリストサイズの厳密な制約から解き放つ、多数派ビット認識符号化と呼ばれる新しい符号化パラダイムを提案します。

中核概念：多数派ビット認識符号化

特定のメッセージビットを特定のトークン部分集合にマッピングする代わりに、この手法はメッセージの多数派ビット（$\lambda$）の統計的性質を利用します。

1. 語彙の分割: 語彙 $V$ を $b$ 個の互いに素なシャードに分割し、各シャードは $b$ ビットメッセージ内の特定のビット位置に対応します。
2. グリーンリストの構築: グリーンリスト $G$ は、メッセージの多数派ビットに対応するすべてのシャードの和集合として構築されます。多数派ビットが 1 の場合、$G$ は $m_i=1$ であるビットのすべてのシャードを含み、0 の場合は $m_i=0$ であるすべてのシャードを含みます。
3. 信号の維持: 多数派ビットは少なくとも $\lceil b/2 \rceil$ 回現れるため、この戦略はグリーンリスト比率 $\gamma \ge 0.5$ を保証します。これにより、復号の目的がトークン頻度の数え上げから、どの特定のシャードが強化されたかを推論することへ移行するため、テキストの質を維持する大きなグリーンリストを使用しながらも、検出可能な強力な信号を維持することが可能になります。

提案手法

著者はこのパラダイムを 2 つの手法として具体化しました。

1. MajorMark:

   • 符号化: 全体の $b$ ビットメッセージに直接多数派ビット認識符号化を適用します。理論的な分析により、期待されるグリーンリスト比率は $E_m[\gamma] \approx 0.5 + 1/\sqrt{2\pi b}$ であることが示されています。
   • 復号: クラスタリングベースの復号器を使用します。各トークンに対するトークンからシャードへのマッピングを再構築し、シャードごとのトークン数を集約します。クラスタリングアルゴリズム（例：K-Means）は、出現頻度に基づいてシャードを 2 つのグループに分割します。平均カウントが高いグループが多数派ビットに対応するため、完全なメッセージを回復できます。
   • ハッシュ関数: 頻出語によるグリーンリストの反復を防止するため、ハッシュシードには直前の 2 つのトークン（$x_{t-1}, x_{t-2}$）と多数派ビット $\lambda$ が組み込まれます。

2. MajorMark+:

   • 最適化: $b \to \infty$ となるにつれて MajorMark からの $\gamma$ の増加が減少する、より長いメッセージに対する性能向上を目的として設計されています。
   • ブロック単位符号化: メッセージを $r$ 個のブロックに分割し、多数派ビット認識符号化を各ブロックに独立して適用します。これにより、より大きな期待グリーンリスト比率が得られます：$E_m[\gamma] \approx 0.5 + 1/\sqrt{2\pi(b/r)}$。
   • 決定論的復号: クラスタリングアプローチに代わり、決定論的復号手法を採用します。教師なしクラスタリングに依存する代わりに、復号器は各ブロックについて多数派ビットとその出現回数の可能な組み合わせを網羅的に列挙します。シャードごとのトークン分布が最も偏った構成を選択します。これにより、クラスタリング境界への感応性が排除され、特に弱い透かしバイアス下で精度が向上します。

主要な貢献

1. 新規符号化戦略: 透かしの検出可能性を小さなグリーンリストサイズに依存させない多数派ビット認識符号化を導入し、質と精度のトレードオフを実質的に打破しました。
2. 2 つの新しい手法: 著者は、新しい符号化戦略を利用するMajorMarkと**MajorMark+**を提示しました。MajorMark+ は、ブロック単位処理と決定論的復号を通じて、長いメッセージに対する手法のスケーラビリティを特に解決します。
3. 理論的保証: 両手法とも $\gamma \ge 0.5$ のグリーンリスト比率を保証し、有限のメッセージ長さについては期待比率が厳密に 0.5 より大きいことを示す理論的証明を提供しています。
4. 包括的評価: 最先端の LLM（LLaMA-2、Qwen、Gemma など）を用いた広範な実験（テキスト完了、物語生成、要約などのタスク、および C4、Essays、OpenGen データセット）により、アプローチの有効性が検証されました。

実験結果

著者は、ビット精度（BA）、パープレキシティ（PPL）（テキストの質の代理指標）、およびTop-5 ヒット率の指標を用いて、最先端のベースライン（DepthW、CycleShift、MPAC、RSBH）に対して手法を評価しました。

• 優れたトレードオフ: MajorMark と MajorMark+ は、既存の手法よりも一貫して高い復号精度と低いパープレキシティ（優れたテキストの質）を達成しました。例えば、メッセージ長さ $b=64$ の場合、MajorMark+ は BA 94.82%、PPL 6.29 を達成し、RSBH（BA 89.74%、PPL 6.85）を上回りました。
• 頑健性: コピー＆ペーストや言い換え攻撃を含む、生成後の編集攻撃に対して手法は頑健であることを示しました。すべての手法が言い換え攻撃の影響を受けましたが、MajorMark と MajorMark+ はベースラインと比較して競争力のある性能を維持しました。
• 効率性: MajorMark+ の復号計算量はブロック数（$b/r - 1$）に対して線形であり、指数時間列挙手法（CycleShift など）よりも大幅に効率的で、RSBH よりも高速です。
• 汎用性: 手法は、異なるモデルアーキテクチャ（LLaMA、Qwen、Gemma）および下流タスク全体で強い汎用性を示しました。

意義と主張

本論文は、提案された多数派ビット認識符号化パラダイムが、LLM に対するマルチビット透かしの実現可能性を根本的に向上させると主張しています。復号の目的をトークン頻度の数え上げからシャード選択の推論へ移行させることで、この手法は復号精度を犠牲にすることなく、大規模なグリーンリストの使用を可能にします。

著者は、これらの手法により、サービス提供者が生成されたテキストに複雑なメタデータ（ユーザー識別子やモデルバージョンなど）を埋め込みながら、高いテキスト有用性を維持できることを強調しています。これは、強力な透かし信号の必要性によって高品質なテキスト生成がしばしば犠牲にされてきた、現在の透かし研究における重要なギャップを埋めるものです。この研究は、MajorMark と MajorMark+ が、LLM-as-a-Service シナリオにおける実用的な展開候補であり、発生源の追跡と不正利用の調査のバランスの取れた解決策を提供することを示唆しています。