技術概要：Every Bit, Everywhere, All at Once：二項分布に基づくマルチビット LLM ウォータマーク

問題提起

大規模言語モデル（LLM）のウォータマーク技術は、理論的研究から商用展開へと移行しており、主に「このテキストは特定のモデルによって生成されたか？」という二値の問いに答える「ゼロビット・ウォータマーク」に焦点が当てられてきた。しかし、 emerging な実用的応用では、生成テキストに直接ユーザー ID、タイムスタンプ、ライセンスメタデータなどの複雑なペイロードを符号化できる「マルチビット・ウォータマーク」が必要とされている。

既存のマルチビット方式は、主に「位置割り当て（position allocation）」（例：MPAC、MirrorMark）に依存しており、各生成ステップで特定の位置におけるペイロードから単一のビットのみを符号化する。このアプローチには以下の 2 つの主要な限界がある：

1. 最適性の欠如：トークンあたり 1 ビットのみを符号化するのは非効率的であり、割り当てられた位置は不均一に分布する可能性がある。
2. スケーラビリティの問題：位置割り当てを回避する代替アプローチ（例：Cycle-Shift、ArcMark）は、メッセージ長が増加するにつれて復号時間が指数関数的に増加するため、短いペイロードにのみ計算的に適用可能である。

本研究が取り組む中心的な課題は、位置割り当てに依存することなく、高いメッセージ精度と堅牢性を維持しつつ、長いビット列を効果的に符号化できるマルチビット・ウォータマーク方式を設計することである。

手法

著者らは、**二項符号化（binomial encoding）**に基づく根本的に新しいアプローチを提案する。これは、すべてのトークン位置でメッセージのビット列全体を符号化するものである。

1. 二項符号化と復号

先行研究がトークンあたり 1 つのビットを選択して符号化するのに対し、この手法は生成の各ステップで m ビットペイロードのすべてのビットを符号化する。

• 符号化：各トークン位置 $t$ において、システムはコンテキストと秘密鍵をシードとする擬似乱数発生器（PRNG）を用いて、$m$ 個の独立したベルヌーイ (0.5) スコアベクトル（$G^1_t, \dots, G^m_t$）をサンプリングする。ペイロード内の各ビット $M_i$ について、$M_i = 1$ の場合、対応するスコアベクトルを反転（補完）する。最終的なスコアベクトル $\tilde{G}_t$ は、これら $m$ 個の修正されたベクトルの和となる。その後、トークン分布は、より高い $\tilde{G}_t$ スコアを持つトークンへとバイアスされる。
• 復号：復号には、テキスト内の各トークンに対してベルヌーイ・スコアを再計算する。位置 $i$ の復号ビットは、すべてのトークンにわたる多数決によって決定される。重要なのは、この手法が両側二項検定を用いたビットごとの信頼性スコアリングを提供し、テキストがウォータマークされていると仮定することなく、各復号ビットの統計的有意性を評価できる点である。

2. 状態依存エンコーダ

ビット精度を向上させるため、著者らは生成中に符号化の圧力を動的に再配向する状態依存エンコーダを導入する。

• エンコーダは、部分的に生成されたシーケンスに基づき、各ビットの現在の復号統計を追跡する。
• 残りのトークンがウォータマークなしで生成された場合の、各ビットの期待される最悪ケースのビット精度を計算する。
• 符号化が不足しているビット（つまり、復号統計が決定境界に近いビット）を優先するようにスコア関数を調整し、期待される全体のビット精度を最大化する。

3. 評価指標

本論文は、入力テキストが既にウォータマークされていると仮定する既存の評価指標（例：生メッセージ精度）に挑戦する。著者らは、実世界の展開においては、まずメッセージの存在を検出する必要があると主張する。より実用的な指標として、**$\alpha\%$ の偽陽性率におけるビット精度（BA@$\alpha\%$FPR）**を導入する。この指標は、非ウォータマークされたテキストが $\alpha\%$ を超える頻度で誤ってメッセージを含むとフラグ付けされないことを保証しつつ、ビットを正しく復号する確率を測定する。

主要な貢献

1. 位置割り当てを不要とした初のマルチビット・ウォータマーク：著者らは、二項符号化を通じて各トークン位置で完全なメッセージビット列を符号化する初の方式を導入し、位置割り当てのスケーラビリティと効率性の限界を回避した。
2. 状態依存エンコーダ：生成中に性能が低いビットを動的に優先する新しいメカニズムであり、復号戦略を変更することなくビット精度を大幅に向上させる。
3. 新しい評価フレームワーク：先行指標が偽陽性に関する実用的な洞察に欠けている点を批判し、現実的なシナリオにおけるマルチビット・ウォータマークの評価基準として**ビットごとの信頼性スコアリング（BA@$\alpha\%$FPR）**を提案する。
4. 包括的な評価：16、32、64 ビットのペイロードに対して 8 つのベースラインとの広範な実験を行い、特に低歪み領域および大規模ペイロードにおいて、ビット精度、メッセージ精度、堅牢性の面で優れた性能を示した。

結果

評価は、16、32、64 ビットのペイロードを用いてLLAMA3.1-8BおよびMINISTRAL-3-14Bで行われた。

• メッセージ精度：提案された方式（特に状態依存版の「Ours+」）は、MPAC、MirrorMark、ArcMark、StealthInkを含むすべての 8 つのベースラインを上回るメッセージ精度を達成し、ペイロードが長い場合（32 ビットおよび 64 ビット）や低歪み設定において、性能差が拡大した。
• 信頼性に基づく精度（BA@1%FPR）：提案手法の状態非依存版は、ベースラインよりも著しく高い BA@1%FPR を達成し、偽陽性を制御しながらウォータマークされたビットをランダムノイズから区別する能力が優れていることを示した。
• 堅牢性：堅牢性は、すべてのマルチビット・ウォータマークにとって課題であり（10% を超える単語の削除や言い換えにより精度が急激に低下する）、提案手法はさまざまなテキスト改変に対して一貫してベースラインを上回った。
• スケーリング：この方式は、ベースラインと比較してトークン数に対してより有利にスケーリングする。500 トークンにおいて、提案手法は 90% 超のビット精度を達成するのに対し、最良のベースラインは約 80% に留まる。

意義と主張

本論文は、二項符号化が位置割り当てよりも強力なパラダイムであることを実証することで、マルチビット・ウォータマーク研究に新たな方向性を開くと主張している。著者らは、自らのアプローチが、以前の非割り当て方式（Cycle-Shift など）の計算上の非現実性なしに、大規模なペイロードを効果的に符号化できると述べている。

さらに、この研究は分野における重要なギャップ、すなわちマルチビット・ウォータマークの実用的な評価指標の欠如を浮き彫りにしている。ビットごとの信頼性スコアリングを導入することで、著者らは、将来の研究と展開において、ウォータマークされたテキストだけでなく任意のテキストからのメッセージ復号における偽陽性の確率を考慮する必要があると主張している。

著者らは限界について率直であり、テキスト改変（言い換えなど）に対する堅牢性はまだ未解決の問題であることを認めつつ、経験的な結果が位置割り当てに対して優位性を示しているものの、非位置割り当て方式の厳密な最適性の理論的証明は提供されていないと述べている。また、状態依存エンコーダはメッセージ精度を向上させる一方で、統計的有意性ではなく期待精度を最適化するため、信頼性に基づく指標をわずかに低下させる可能性もあるとも指摘している。