기술 요약: 무작위 키 선택을 통한 생성 모델의 워터마크 위조 완화

1. 문제 제기

생성형 AI(GenAI) 제공업체는 콘텐츠가 자신의 모델에서 생성되었음을 증명하기 위해 워터마킹을 활용하며, 이는 비밀 키를 통해 감지 가능한 숨겨진 신호를 임베딩합니다. 이 생태계에 대한 치명적인 보안 위협은 위조 공격으로, 적대자가 해당 제공업체가 생성하지 않은 콘텐츠에 해당 제공업체의 워터마크를 삽입하는 행위입니다. 이를 통해 공격자는 허위 정보, 폭력성, 또는 스팸과 같은 유해한 콘텐츠를 신뢰할 수 있는 제공업체의 것으로 잘못 귀속시켜 해당 제공업체의 평판을 훼손하고 법적 책임을 노출시킬 수 있습니다.

기존 방어 수단에는 상당한 한계가 존재합니다:

• 통계적 탐지: 토큰 분포나 아티팩트를 분석하는 방식은 적응형 공격자에게는 종종 실패합니다.
• 키 회전: $N$개의 샘플 이후에 키를 회전시키는 방식은 관리의 복잡성을 초래하며, 최적의 $N$ 값을 불명확하게 만듭니다.
• 다중 키 임베딩: 단일 샘플에 여러 개의 키를 임베딩하면 모델의 유용성이 저하되며, 이전 연구에 따르면 공격자가 워터마크 패턴을 추출하기에 충분한 수 ($N$) 의 워터마크가 포함된 샘플을 수집할 경우 여전히 취약합니다.

핵심적인 과제는 생성 모델의 유용성을 저하시키지 않으면서도, 공격자가 수집할 수 있는 워터마크 샘플의 수와 관계없이 효과적인 위조 저항성을 달성하는 것입니다.

2. 방법론

저자들은 기존 워터마킹 방법 (텍스트 및 이미지 모달리티 모두 적용 가능) 에 대한 블랙박스 래퍼 역할을 하는 무작위 키 선택 전략을 제안합니다.

핵심 메커니즘

1. 생성: 모든 사용자 쿼리에 대해, 제공업체는 $r$개의 키 ($K = \{k_1, ..., k_r\}$) 풀에서 정확히 하나의 비밀 키를 무작위로 선택하여 생성된 콘텐츠에 워터마크를 적용합니다. 이는 생성 오버헤드 측면에서 표준 단일 키 워터마킹과 동일합니다.
2. 탐지: 제공업체는 풀에 있는 모든 $r$개의 키에 대해 콘텐츠에서 탐지 테스트를 수행합니다.
3. 결정 규칙:
   • 진짜: 정확히 하나의 키가 탐지됨 (통계적으로 유의미함).
   • 위조: 영개의 키가 탐지됨 (콘텐츠가 해당 제공업체에서 생성된 것이 아님) 또는 두 개 이상의 키가 탐지됨.
   • 논리: 각 샘플이 서로 다른 무작위 키를 사용하는 워터마크 샘플 데이터셋에서 패턴을 추출하여 워터마크를 위조하려는 공격자는 부득이하게 워터마크 신호의 "혼합체"를 학습하게 됩니다. 결과적으로, 그들의 위조된 콘텐츠는 동시에 여러 키에 대한 탐지를 유발하여 거절당할 가능성이 높습니다.

이론적 프레임워크

이 방법은 특정 샘플을 생성하는 데 사용된 구체적인 키를 구별할 수 없는 맹목적인 (blind) 공격자를 가정합니다.

• 임계값 보정: $r$개의 테스트에 대한 가족 단위 오류율 (FWER) 을 통제하기 위해, 키당 임계값 $\tau$는 Šidák 보정을 사용하여 조정됩니다: $\alpha = 1 - (1 - \alpha_{fw})^{1/r}$.
• 이론적 상한: 맹목적인 공격자의 경우, 성공적으로 샘플을 위조할 확률 (정확히 하나의 키를 유발) 은 상한이 정해져 있습니다. 성공률은 키당 탐지 확률이 $1/r$일 때 최대화되며, 상한은 $(1 - 1/r)^{r-1}$입니다. 중요한 점은 이 상한이 공격자가 사용할 수 있는 샘플 수 ($N$) 와 무관하다는 것이며, $N$이 증가함에 따라 보장 수준이 저하되는 이전의 다중 키 접근법과 대조적입니다.

3. 주요 기여

1. 무작위 키 선택 전략: 새로운 워터마킹 체계를 요구하지 않고 다양한 공격에 대한 워터마크 위조 저항성을 크게 향상시키는 단순한 블랙박스 접근법.
2. 이론적 보장: 공격자가 샘플 크기를 구별할 수 없는 경우 (맹목적 공격), 공격자의 샘플 크기와 무관한 위조 성공에 대한 최초의 이론적 상한.
3. 실증적 검증: 텍스트 (LLM) 및 이미지 (확산 모델) 모달리티에 대한 광범위한 테스트를 통해 일관된 위조 성공률 감소를 입증.
4. 오픈 소스: 구현 코드 공개.

4. 실험 결과

저자들은 AdvBench, HarmfulQ, CelebA 와 같은 데이터셋을 사용하여 적응형 공격자 (맹목적 및 정보 획득형 모두) 에 대해 방법을 평가했습니다.

• 텍스트 모달리티:
  • 네 가지 워터마킹 변형 (KGW-SelfHash, Unigram, KGW-Soft, KGW-Hard) 을 사용할 때, 이 방법은 단일 키 기준 (최대 100% 에 달하는 완벽한 위조 성공) 에서 4 개의 키를 사용할 경우 위조 성공률을 **2%**까지 낮췄습니다.
  • 예를 들어, AdvBench 에서 Unigram 방식을 사용할 경우, 위조 성공률은 단일 키 기준 68% 에서 4 개 키 기준 16% 로 감소했습니다.
  • 이 방법은 더 큰 모델 (예: LLaMA-13B) 로 확장하거나 추출 기반 공격에 대해서도 유효하게 유지되었습니다.
• 이미지 모달리티:
  • Tree-Ring 워터마킹 방법에 적용된 이 접근법은 단일 키 기준 100% 였던 위조 성공률을 4 개의 키를 사용하면 **2%**로 낮췄습니다.
  • 이 방어 수단은 공격자가 사용할 수 있는 훈련 이미지 수 (최대 5,000 개 샘플까지 테스트) 와 관계없이 낮은 위조율을 유지했습니다.
• 유용성 및 강건성:
  • 거짓 음성율 (FNR): 이 방법은 진짜 콘텐츠의 탐지를 유지합니다. 진짜 워터마크가 포함된 콘텐츠의 FNR 은 4 개의 키를 사용하더라도 0~3% 로 미미하게 유지되어 모델 유용성이나 탐지 정확도의 유의한 저하가 없음을 나타냅니다.
  • 강건성: 래퍼가 임베딩 과정을 변경하지 않기 때문에, 재문장 공격 (예: Dipper) 에 대한 강건성은 기본 워터마킹 체계와 일관되게 유지되었습니다.

5. 의의 및 한계

의의:
이 논문은 이 접근법이 기존 워터마킹 시스템에 실용적이고 배포 가능한 보안 계층을 제공한다고 주장합니다. 키 선택을 무작위화하고 "정확히 하나" 탐지 규칙을 강제함으로써 평균 기반 공격이 극복할 수 없는 통계적 장벽을 생성합니다. 복잡한 키 회전 일정을 제거하고 높은 모델 유용성을 유지합니다.

한계 및 가정:

• 맹목적 vs 정보 획득형 공격자: 이론적 보장은 맹목적인 공격자에 대해 유효합니다. 공격자가 특정 샘플을 생성한 키를 추론할 수 있는 경우 (예: 시스템 침해 또는 사이드 채널을 통해), 키별로 샘플을 클러스터링하여 더 효과적으로 위조할 수 있습니다. "정보 획득형" 공격자 (키 레이블을 가진 경우) 를 대상으로 한 실험에서는 위조 성공률이 약 65% 에서 정체되었으나, 이는 실제 환경에서 키 레이블에 대한 비현실적인 접근이 필요함을 의미합니다.
• 인스턴스 기반 공격: 이 방법은 단일 샘플 ($N=1$) 을 사용하여 워터마크를 위조할 수 있는 "인스턴스 기반" 공격에는 방어할 수 없습니다. 이는 제안된 방어 체계가 아니라 기본 워터마킹 방법 (예: Tree-Ring) 의 취약점입니다.
• 계산 오버헤드: 검증은 키 수 ($r$) 에 비례하여 선형적으로 확장됩니다. 텍스트의 경우 (마이크로초 단위) 무시할 수 있지만, 확산 모델 역전이가 필요한 이미지 워터마크의 경우 계산적으로 더 복잡합니다.
• 트레이드오프: 전역 거짓 양성율을 유지하기 위해 키 수를 늘리면 탐지 임계값을 높여야 하므로, 기본 워터마크의 진짜 양성율 (강건성) 이 약간 감소합니다. 다만, 실증적 결과는 이 영향이 미미함 (2~3%) 을 보여줍니다.

결론적으로, 저자들은 키 기밀성이 추론에 대해 유지되는 전제 하에, 무작위 키 선택이 현재 휴리스틱 워터마킹 체계에 대한 워터마크 위조 위협을 효과적으로 완화하는 배포 준비가 된 솔루션이라고 주장합니다.