MirrorMark: A Distortion-Free Multi-Bit Watermark for Large Language Models

以下は、論文「MirrorMark: A Distortion-Free Multi-Bit Watermark for Large Language Models」の詳細な技術的サマリーです。

1. 問題定義

大規模言語モデル（LLM）がコンテンツ作成において普及するにつれ、誤情報の撲滅と知的財産の保護のために、信頼性の高いコンテンツ帰属（プロベナンス）の必要性が極めて重要になっています。既存の透かし技術は、根本的なトレードオフに直面しています。

• 歪みベースの手法: ロジットバイアスなどを通じてトークンの確率分布を変更し、信号を埋め込みます。頑健性が高い一方で、テキストの質を低下させ（パープレキシティの増加）、多くの場合、バイナリ（ゼロビット）検出のみをサポートします。
• 歪みフリーの手法: テキストの質を維持するために元のトークン分布を保持します。しかし、既存の歪みフリー手法は、検出性の低さ、編集攻撃（挿入/削除）に対する頑健性の欠如、または豊富なメタデータ（マルチビットペイロード）の埋め込み能力の欠如に悩まされることが多いです。
• ギャップ: マルチビット埋め込み（モデル ID やタイムスタンプなどのメタデータ用）、歪みフリーな生成（テキストの質の保持）、編集攻撃に対する高い頑健性を同時に提供する手法が存在しません。

2. 手法：MirrorMark

MirrorMark は、以下の 3 つの中核コンポーネントを通じてこれらの課題に対処します。

A. Mod-1 ミラーリング（埋め込みメカニズム）

トークンのロジットにバイアスをかけるのではなく、MirrorMark は測度保存的な方法でサンプリングのランダム性を操作します。

• メカニズム: Gumbel-max トリック（AA で使用）またはトーナメントサンプリング（SynthID で使用）を利用します。これらの手法は、次のトークンを決定するために乱数 $u \sim \text{Uniform}(0,1)$ を生成します。
• 変換: $m$ ビットメッセージ $M$ を埋め込むために、システムはメッセージ固有のピボット $\psi_M = M / 2^{m+1}$ を中心に、乱数 $u$ をmod-1 ミラーリング操作を用いて反射させます。
  $$\Psi(u; \psi_M) = (2\psi_M - u) \mod 1$$
• 歪みフリーの保証: 数学的に、この変換は測度保存的な対合です。$u$ が一様分布に従う場合、ミラーリングされた値 $\Psi(u; \psi_M)$ も一様分布に従ったままです。その結果、トークン選択確率 $p(x)$ は変化せず、テキストの質に対する歪みゼロが保証されます。
• 仮説の分離: 対称的な仮説を作成する巡回シフト手法（ThreeBricks など）とは異なり、ミラーリングは相補的な分布を作成します。正しいメッセージの場合、変換された値は 1 側に偏り、誤ったメッセージの場合、0 側に偏ります。これにより、トークンごとに真のメッセージと誤った仮説との間の統計的分離が最大化されます。

B. コンテキストアンカー型バランス型スケジューラ（CABS）

編集（挿入/削除）に対して頑健にマルチビットペイロードを処理するために、MirrorMark はトークンをメッセージ位置に割り当てる方法を管理する CABS を導入します。

• 単純な割り当ての問題: 単純な擬似ランダム割り当ては、メッセージ位置間でのトークン分布の偏り（一部の位置にトークンが割り当てられない）や、編集時の同期のずれを引き起こす可能性があります。
• CABS の解決策:
  • バランス型割り当て: 文脈ウィンドウに基づいてトークンをメッセージ位置にマッピングし、各位置が信頼性の高い復号に必要な十分な数のトークンを受け取るようにします。
  • コンテキストアンカー型フレーミング: シーケンスを「フレーム」に分割します。新しいフレームは、文脈ウィンドウのハッシュが特定の条件（例：最下位 $f$ ビットがゼロ）を満たすときに開始されます。
  • 頑健性: 挿入または削除が発生した場合、それは現在のフレームと次のフレームの境界にのみ影響を及ぼします。これによりエラーがシーケンス全体に伝播するのを防ぎ、テキストの一部が変更されても復号器が透かしを回復できるようにします。

C. 復号と検出

• 復号: 各メッセージ位置について、復号器は割り当てられたトークンからのミラーリングされた $u$ 値を集約します。スコア関数（Gumbel-max 用の LogScore、トーナメントサンプリング用の WeightedMeanScore または BayesianScore）を使用して、最も可能性の高い記号 $M$ を決定します。
• 検出: 復号された記号を使用して期待分布を再構成します。グローバルスコアを計算し、しきい値を超えた場合、そのテキストは透かしが施されたものとして識別されます。

3. 主な貢献

1. 歪みフリーのマルチビット透かし: MirrorMark は、LLM の出力分布を変更することなく、歪みフリーサンプリングパラダイム（AA、SynthID）をマルチビットペイロードに拡張する最初のフレームワークです。
2. Mod-1 ミラーリング: サンプリングのランダム性を反射させることで情報を埋め込む新しい数学的変換であり、一様分布を保持しつつ、正しい仮説と誤った仮説との対比を明示的に最大化します。
3. CABS スケジューラ: メッセージ位置間でのトークン割り当てをバランスさせ、編集攻撃の影響を局所化する頑健なスケジューリングメカニズムであり、挿入および削除に対する耐性を大幅に向上させます。
4. 理論的解析: 著者は等誤り率（EER）の理論的特徴付けを提供し、それをシーケンスエントロピーおよびトークン数と関連付け、これは経験的結果と密接に一致します。

4. 実験結果

実験は、C4 および ELI5 データセット上で LLaMA-2-7B と Gemma-7B-it を使用して行われました。

• テキストの質: MirrorMark は、非透かしテキストと区別できないパープレキシティおよび GPT-4o 品質スコアを達成します。これに対し、歪みベースのベースライン（MPAC、RSBH）は、パープレキシティの著しい低下を示します（例：RSBH のパープレキシティは約 32 に対し、MirrorMark は約 7.2）。
• 検出性:
  • 300 トークンに54 ビットを埋め込んだ場合、MirrorMark は最先端の手法と比較してビット精度を**8–12%**向上させます。
  • 1% の偽陽性率（FPR）において、ベースラインと比較して最大11% 多い透かしテキストを正しく識別します。
  • Gumbel-max ベースの MirrorMark は、一般的にビット精度においてトーナメントベースのバリアントを上回りますが、どちらも高い AUC（約 1.0）を維持します。
• 頑健性:
  • コピーペースト攻撃: テキストの 40% が非透かしコンテンツに置き換えられても、MirrorMark は高い検出率（AUC > 0.99）を維持します。
  • 言い換え: トークンレベルの依存関係によりビット精度は低下しますが（予想通り）、MirrorMark は強力な AUC の分離を維持し、検出率においてゼロビットベースラインを上回ります。
• 比較: MirrorMark は、より良い仮説分離により、巡回シフト拡張版であるThreeBricksをビット精度において大幅に上回ります。また、RSBHおよびMPACよりもテキストの質において優れ、その頑健性と同程度かそれ以上を達成します。

5. 意義

MirrorMark は、AI コンテンツのプロベナンスにおける重要な進歩を表しています。検出性とテキストの歪みを分離することで、生成されたテキストの流暢さや自然さを損なうことなく、豊富なメタデータ（マルチビット）の埋め込みを可能にします。これは、高品質なテキスト生成が最優先される実世界での展開において極めて重要です。さらに、CABS の導入は、既存の透かしが編集攻撃に対して持つ致命的な脆弱性に対処し、動的でユーザー編集が行われる環境におけるコンテンツ保護のためにこの技術を実用的なものにします。EER の理論的裏付けは、シーケンスエントロピーと長さに基づいて透かしパラメータを調整するための予測可能な枠組みを提供します。