Covert Multi-bit LLM Watermarking: An Information Theory and Coding Approach

非常に賢いロボットが物語、メール、コードを書くことを想像してください。このロボットは人間の文章を模倣するのが上手すぎて、あるテキストが人間によって書かれたのか、それともロボットによって書かれたのかを判別するのが困難です。この論文の著者たちは、特定の課題を解決したいと考えています：ロボットによる文章を、その文章が奇妙に聞こえたり、質が低下したりすることなく、秘密裏にマーク付けして、それがロボットによるものであることを証明するにはどうすればよいか？

彼らはこれを「透かし（ウォーターマーキング）」と呼びます。これは、肉眼では見えないが、特殊なスキャナで検出できる紙幣の隠し透かしのようなものです。

以下に、日常の比喩を用いた彼らのアプローチの簡単な解説を示します。

1. 課題：ロボットが厳格すぎる

通常、ロボットが文章を書くとき、直前に書いた単語に基づいて、単語を一つずつ厳格に選びます。これは単一の線路を走る列車のようなもので、駅を出発したら、次の駅がどのような様子か先を見て確認することができません。

著者たちは、ロボットが先を見ることができれば——たとえわずかな先であっても——秘密メッセージをより効果的に隠せることに気づきました。彼らは、ロボットが動作する新しい方法を提案します：ブロック自己回帰（Block-Autoregressive）。

• 比喩： 単語を一つずつ選ぶ代わりに、ロボットが一度に 8 単語の小さな「ブロック」を選ぶと想像してください。その 8 単語を確定させる前に、それらの 8 単語のあらゆる組み合わせを検討します。これにより、テキストがどのように「なりうるか」についての「非因果的」な視点（直近の未来への一瞥）が得られます。

2. 解決策：「秘密のメニュー」

核心となるアイデアは、この「一瞥」を利用して、テキストの中に秘密メッセージ（デジタル ID タグのようなもの）を隠すことです。

• 設定： ロボットには、通常どのように単語を選ぶかを示す「基本メニュー」があると想像してください。
• トリック： 著者たちは「秘密のメニュー」（透かし）を導入します。ロボットが単語のブロックを選ぶ直前に、その秘密のメニューを確認します。
  • 秘密メッセージが「0」の場合、特定のグループから選ばれる確率がわずかに高い単語の組み合わせを選びます。
  • 秘密メッセージが「1」の場合、異なるグループから選びます。
• 魔法： ロボットはこの操作を非常に微妙に行うため、テキスト全体の「風味」（統計的なパターン）は、透かしが入っていないテキストとほぼ同一のままです。人間の読者にとっては、物語は完璧に聞こえます。一方、秘密鍵を持つ特別なデコーダにとっては、選択のパターンが隠されたメッセージを明らかにします。

3. 数学：「完璧なバランス」

この論文は、テキストを壊すことなくどれだけの秘密データを隠せるかを証明するために、高度な数学（情報理論）を用いています。

• ゲルファンド・ピンスキーの比喩： あなたがノイズの多いラジオチャンネルを通じてメッセージを送ろうとしているが、話す前にノイズがどのような音になるかを正確に知っている状況を想像してください。あなたはノイズを完全に打ち消すように声を調整できます。著者たちは、ロボットが自然に行う単語の選択を「ノイズ」として、秘密メッセージを「信号」として扱います。ロボットは自らの「ノイズ」（単語選択の確率）を事前に知っているため、メッセージをより効率的に隠すことができます。
• 結果： 彼らはデータを隠すことができる理論的な最大速度を計算しました。その結果、この「先読み」方法を使用することで、生成される単語あたり約0.375 ビットのデータを隠せることがわかりました。これは、読者に気づかれることなく、すべての単語の中に小さな秘密のメモを隠すようなものです。

4. アルゴリズム：「賢い交通管理者」

これを現実世界で機能させるために、彼らは単に推測したのではなく、2 つの主要なツールを使用したスマートなシステムを構築しました。

• CMDP（制約付きマルコフ決定過程）： これはロボットのための交通管理者だと考えてください。管理者はメッセージを隠すためにどの単語を選ぶかを決めなければなりません。しかし、ルールがあります。「テキストが奇妙に聞こえないようにすること」。管理者は常に確認します：「この単語を選んで'1'を隠すなら、次の 7 単語は依然として自然に聞こえるか？」それは、データを隠す必要性と、テキストの質を高く保つ必要性とのバランスを取ります。
• ポーラ符号： これは特定の種類の誤り訂正符号（安全網のようなもの）です。後でテキストがわずかに変更された場合（またはデコーダが少し不確かな場合）でも、この符号により、隠されたメッセージを正しく復元できることが保証されます。

5. 結果：機能する！

著者たちは、実際の言語モデル（LLaMA）を使用してシステムをテストしました。

• 隠密性： 透かしが入ったテキストは、通常のテキストとほとんど区別がつかないものでした。「パープレキシティ（テキストがどれほど混乱しているか、不自然かを測る指標）」はほとんど変化しませんでした。
• 信頼性： 彼らは非常に低い誤り率でメッセージを隠すことに成功しました（隠されたビットの 10% 未満が失われました）。
• 注意点： このシステムは、短いテキストブロック（1 回に 8 単語など）で最もよく機能します。あまり先を見すぎると（より長いブロックの場合）、数学が複雑になりすぎて、コンピュータが迅速に処理できなくなります。

まとめ

この論文は、モデルが何を書くか決定する前に、未来の単語の小さなグループを「一瞥」させることで、大規模言語モデルの出力を秘密裏にスタンプする方法を提案しています。この一瞥を利用して単語の選択をわずかに誘導することで、隠された ID メッセージを埋め込むことができます。数学はこの手法が文章の質を損なうことなく可能であることを証明しており、彼らのコンピュータアルゴリズムは実際にそれを成功裏に実証しました。

この論文が主張していないこと：

• 任意の長さのテキストに対して瞬時に機能すると主張しているわけではありません（非常に長いブロックでは困難を伴います）。
• すべての AI 悪用に対する完璧な防御策であると主張しているわけではなく、追跡とタイムスタンプのための手法に過ぎません。
• 医療や臨床的な用途については議論していません。これは純粋に文章生成と情報理論に関するものです。