技術概要：推論における共鳴：思考連鎖によるステルス性と有効性を兼ね備えた透かし技術

1. 問題定義

思考連鎖（Chain-of-Thought: CoT）推論能力を備えた大規模言語モデル（LLM）は、高価値の知的財産を表していますが、不正な盗用や無許可の商業化という深刻な脅威に直面しています。既存のブラックボックス透かし手法は、堅牢性とモデルの有用性のバランスを取ることに苦慮しています。

• バックドアベースのアプローチは、固定されたトリガー - 動作パターンに依存しており、これがモデルに過学習を強いるため、複雑なタスクや汎化における忠実性が損なわれます。また、トリガーが漏洩した場合、検出やフィルタリングに対して脆弱です。
• モデル編集ベースのアプローチは、透かしを硬直したテンプレートを通じて暗記すべき静的知識として扱うため、分布のシフトやプロンプト構造に対する適応型攻撃に対して脆弱です。
• 根本的な限界：両方のパラダイムは、通常、最終回答を変更することで所有権を検証します。これにより、正しさ（有用性）と透かしの強度との間でゼロサム的な対立が生じます。最終回答を変更することは、下流タスクにおけるモデルのパフォーマンスを低下させる傾向があります。

本論文は、最終回答ではなく思考連鎖（CoT）の推論プロセスへと検証の場をシフトさせることで、モデルの忠実性を厳密に維持しつつ、ステルス性と有効性の両方を達成するパラダイムが存在すると仮説立てています。

2. 手法：BiCoT

著者らは、所有権信号を最終出力ではなく、推論痕跡の内部幾何学に埋め込む透かしフレームワークBiCoT（Bi-level Chain-of-Thought）を提案します。この手法は 3 つの段階で動作します。

A. 幾何学的定式化（段階 I）

BiCoT は、LLM の潜在状態を高次元の推論多様体上の軌道としてモデル化します。

• 構造的アンカー：勾配サリエンシー分析を通じて、著者らは特定のトークン（数学的推論における数字、他のドメインにおける論理接続詞など）が「構造的アンカー」として機能し、推論ダイナミクスを不釣り合いに支配していることを特定しました。
• 多様体アライメント：このフレームワークは、単位ベクトル $v$ によってパラメータ化されたプライベートなシグネチャ部分空間（$S_v$）を定義します。
  • アンカートークン：それらの隠れ状態は、シグネチャ部分空間上に収束するように制約されます（$\cos(h_t, v) \to 1$）。
  • 制御トークン：通常の言語トークン（接続詞、ストップワード）は、意味容量と推論の忠実性を維持するため、シグネチャに対して直交するように強制されます（$\cos(h_t, v) \to 0$）。
• 因果的ハロー：アンカーに直後に続くトークンは別のカテゴリーとして扱われます。これらは短距離の残差アライメントを示す可能性がありますが、急速に減衰するため、透かしが通常のテキストを全球的に汚染しないことを保証します。

B. 透かし注入（段階 II）

注入プロセスはバイレベル最適化問題として定式化されます。

• 内側ループ：アンカー状態のシグネチャ部分空間への射影を最大化する仮想的な隠れ状態摂動（$\delta^*$）を計算します。
• 外側ループ：モデルパラメータ（$\theta$）を更新して、以下の組み合わせ目的関数を最小化します。
  1. タスク損失（$L_{task}$）：モデルが下流の推論タスクでのパフォーマンスを維持することを保証します。
  2. 幾何学的損失（$L_{geo}$）：アンカーのシグネチャへの収束と、制御トークンの直交性を強制します。
  3. 一貫性正則化項（$L_{KL}$）：CoT プレフィックスにおいて、透かしモデルとベースモデルの間の局所的一貫性を維持します。
     この設計により、透かしは推論に関連する表現と結合され、一貫した推論を支える特徴を乱すことなく除去することが困難になります。

C. 堅牢な部分空間登録（段階 III）

攻撃（微調整、量子化など）によって引き起こされる表現のドリフトに対処するため、著者らは**堅牢な部分空間登録（RSR）**を導入します。

• センチネルトークン：シグネチャ部分空間に敏感に反応する事前に特定されたトークンのセットがプローブとして使用されます。
• ドリフト較正：検証器は、センチネルトークンのベース統計からの中央値偏差を計算することで、体系的な分布ドリフトベクトル（$\hat{\mu}_{drift}$）を推定します。
• 再アライメント：観測されたログオッズから推定されたドリフトを減算することで補正を行い、仮説検定を行う前にドリフトした多様体を効果的に標準的なシグネチャ空間へと再中心化します。
• 検証：システムは、Top-$k$ 対数確率のみ（ブラックボックスアクセス）を使用して、較正されたセンチネルトークンのログオッズに対して仮説検定を実行します。

3. 主要な貢献

1. CoT の因果分析：本論文は、CoT 生成が、特定の「構造的アンカー」が推論ダイナミクスを支配する明確な因果階層を有していることを明らかにします。また、低エントロピーの最終回答よりも、CoT が信号のためのより豊かで、高容量で、多様な担体を提供することを示しています。
2. BiCoT フレームワーク：所有権を推論多様体の幾何学に埋め込む新しい透かしパラダイムです。バイレベル最適化を利用して透かしを推論プロセス自体に絡み合わせると同時に、制御トークンを直交させて有用性を維持します。
3. 堅牢な検証（RSR）：センチネルベースの登録を通じて表現ドリフトに対処できるブラックボックス検証器であり、モデルレベルの摂動や適応型攻撃下でも信頼性の高い検出を保証します。

4. 実験結果

実験は主にQwen2.5-7B-Instructで行われ、Mistral-7B、DeepSeek-7B、Qwen2.5-14B 全体で検証されました。

• 検出可能性：BiCoT は、すべてのテストモデルにおいて、0.1% および 1.0% の偽陽性率（FPR）でAUC 1.0および**100% の透かし成功率（WSR）**を達成し、iSeal、llmmap、SEAL などのベースラインを大幅に上回りました。
• 忠実性：透かしモデルは下流のパフォーマンスを維持します。推論タスク（GSM8K）において、パフォーマンスの低下は軽微（$\approx -0.0083$）です。文レベルの理解タスクでは変動が小さく、一部のタスクではわずかな向上が見られました。
• 堅牢性：
  • モデルレベルの攻撃：ガウスノイズ、全パラメータ教師あり微調整（SFT）、パラメータ効率微調整（PEFT/LoRA）、および積極的な量子化（8 ビット）の下でも、透かしは検出可能です（AUC $\approx$ 1.0）。
  • 出力レベルの攻撃：この手法は、推論中に敵対者が明示的に数字トークンをマスクする標的型「ANCHOR」攻撃を含む適応型攻撃に対して耐性があります。注意機構の内在的な再分配により、透かしは存続します。
• アブレーション研究：透かし損失を除去すると、ランダム推測レベルのパフォーマンスになります。再アンカーリング（RSR）メカニズムを除去すると、ドリフト下での検出が壊滅的に低下し、その必要性が実証されました。

5. 意義と主張

本論文は、BiCoT が検証信号を最終回答から切り離すことで、透かしの強度とモデルの有用性の間の根本的なトレードオフを解決すると主張しています。所有権を推論プロセスの幾何学に埋め込むことで、この手法は以下の点を実現します。

• ステルス性：透かしは最終出力テキストには見えず、壊れやすいトリガーに依存しません。
• 有効性：適応型攻撃やモデルドリフトに対する堅牢な検出を提供します。
• 忠実性：モデルの推論能力と汎化性を厳密に維持します。

著者らは、このアプローチが、その推論エンジンとしての有用性を損なうことなく、オープンソースおよび商用 LLM のモデル出所と知的財産保護をサポートすることを強調しています。この研究は、ログ確率を有効にしたブラックボックス設定（Top-$k$ 次のトークン確率へのアクセス）を前提としており、著者らはこれを多くの現代の API 展開における実用的な境界であり、非現実的なオラクル仮定ではないと論じています。