기술 요약: 워터마크 기반 언어 모델 탐지 성능 개선

문제 정의

대규모 언어 모델(LLM)의 급격한 확산은 인간이 작성한 텍스트와 AI 생성 콘텐츠(AGC)를 구별해야 하는 시급한 필요성을 낳았습니다. 워터마킹은 모델 소유자가 로그 확률(log-probabilities)을 계산할 수 있는 화이트박스 접근 권한을 갖는 1차(1P) 탐지에서 강력한 전략으로 부상했지만, 그 효과는 언어 모델 출력 분포의 엔트로피에 크게 좌우됩니다. 실제로, 지시어 튜닝(instruction tuning)이나 인간 피드백을 통한 강화 학습(RLHF)을 거친 현대의 많은 모델은 제한된 엔트로피를 보이는 경-향이 있습니다. 이러한 한계는 특히 사실 기반이거나 제약 조건이 강한 프롬프트에 대해 워터마크 기반 탐지를 어렵게 만듭니다. 반대로, 비워터마크 탐지 방식(예: 이진 분류기 또는 가능도 기반 점수)은 고엔트로피 영역에서 워터마킹의 특이성을 따라잡지 못하거나 서로 다른 모델 세대 간을 구분하는 데 어려움을 겪는 경우가 많습니다. 본 연구가 다루는 핵심 문제는, 워터마킹 단독으로는 실패하기 쉬운 저엔트로피 시나리오에서 탐지 정확도를 높이기 위해 이 두 가지 서로 다른 탐지 패러다임을 어떻게 효과적으로 결합할 것인가 하는 것입니다.

방법론

저자들은 워터마크 점수와 비워터마크 탐지 점수를 통합하는 하이브리드 탐지 프레임워크를 제안합니다. 실험 설정은 양성 샘플을 타겟 모델($M_o$, 예: Gemma-7B-instruct)에서 생성된 워터마크가 포함된 텍스트로, 음성 샘플을 인간의 응답 또는 다른 모델($M_t$, 예: Mistral-7B-instruct)에서 생성된 텍스트로 설정한 이진 분류 작업입니다.

주요 구성 요소

1. 워터마크 스킴(Watermark Schemes): 본 연구는 다음과 같은 여러 토큰 수준 워터마킹 방법을 평가합니다:

   • Aaronson (2023): 의사 난수 함수(PRF)를 사용하여 토큰 선택에 편향을 주는 왜곡 없는(distortion-free) 방식.
   • Bahri & Wieting (2024): 여러 시퀀스를 샘플링하는 블랙박스 방식의 왜곡 없는 방식.
   • Kirchenbauer et al. (2023): 로짓(logits)을 "그린 리스트(green list)" 토큰으로 편향시키는 방식.
   • Kuditipudi et al. (2023): n-gram 대신 비밀 시드(seed) 시퀀스를 사용하는 견고한 방식.

2. 비워터마크 탐지기(Non-Watermark Detectors): 본 연구는 다양한 1차(1P) 및 제3자(3P) 탐지 전략을 활용합니다:

   • 로그 가능도(Log-Likelihood, LLh) 및 순위(Rank): 텍스트가 해당 모델 하에서 얼마나 발생 가능성이 높은지 측정하는 표준 지표.
   • DetectLLM / 로그 가능도 로그 순위 비율(LRR): 가능도와 순위 특징을 결합함.
   • Binoculars: 두 가지 서로 다른 LLM의 불확실성 점수를 활용하는 3P 방식.
   • RADAR: 적대적으로 학습된 RoBERTa 기반 탐지기.
   • RoBERTa 분류기: 인간과 모델 생성 텍스트에 대해 레이블링된 데이터를 학습한 미세 조정된 이진 분류기.

3. 하이브리드 스킴(Hybrid Schemes): 워터마크 점수($s_w$)와 비워터마크 탐지 점수($s_d$)를 결합하는 여러 방법을 탐구합니다:

   • 단방향 캐스케이드(One-sided Cascade, 1S): $s_w$가 임계값을 초과하면 샘플을 플래그(flag) 처리하고, 그렇지 않으면 비워터마크 탐지기로 이관합니다.
   • 양방향 캐스케이드(Two-sided Cascade, 2S): $s_w$가 높으면 양성으로 플래그 처리하고, $s_w$가 낮으면 음성으로 플래그 처리하며, 그 외의 경우 비워터마크 탐지기로 이관합니다.
   • 학습 가능한 모델(Learnable Models): 정규화된 $\{s_w, s_d\}$ 특징값에 대해 학습된 로지스틱 회귀(LR), 다층 퍼셉트론(MLP), 결정 트리(Decision Trees).

실험 설정

실험은 databricks-dolly-15k 및 eli-5-category 데이터셋을 대상으로 수행되었습니다. 저자들은 응답 엔트로피, 텍스트 길이의 함수로서의 성능, 그리고 적대적 공격(무작위 토큰 교체 및 패러프레이징) 하에서의 성능을 분석했습니다. 평가 지표로는 낮은 거짓 양성률(FPR)에서의 부분 ROC-AUC(pAUC)와 정확도를 사용했습니다.

주요 기여 및 결과

1. 비워터마크 탐지기가 워터마킹보다 우수한 성능을 보일 수 있음

저자들은 워터마킹이 모든 문제를 해결하는 "만능 열쇠(silver bullet)"가 아님을 입증했습니다. 특정 워터마크 스킴(예: Kuditipudi)이나 특정 비워터마크 탐지기(예: Binoculars)를 사용하는 경우, 비워터마크 방식 단독이 워터마크 탐지기 단독보다 더 높은 정확도를 달eric 수 있음을 보여주었습니다. 예를 들어, Aaronson 스킴 하에서 Binoculars는 93.1%의 정확도를 기록하여 워터마크 탐지기 단독의 90.4%보다 높은 성과를 냈습니다.

2. 하이브리드 접근 방식의 상당한 이점

두 방식을 결합하는 것이 각각의 방식을 단독으로 사용하는 것보다 일관되게 우수한 성능을 보였습니다. 가장 눈에 띄는 개선은 워터마킹 성능이 일반적으로 저하되는 저엔트로피 영역에서 관찰되었습니다.

• 성능 향상: 로지스틱 회귀(LR) 모델을 사용하여 워터마크 점수와 RoBERTa 분류기 점수를 결합했을 때, 엔트로피가 가장 낮은 하위 20%의 프롬프트에 대해 탐지 정확도가 75%에서 95% 이상으로 향상되었습니다 (20%의 절대적 이득).
• 상보성: RoBERTa 분류기는 단독으로는 항상 최상의 비워터마크 탐지기는 아니었지만, 워터마크와 결합했을 때 가장 상보적인 신호를 제공하여 Log-Likelihood와 같은 더 강력한 단독 탐지기보다 더 큰 이득을 가져오는 경우가 많았습니다.

3. 공격 및 길이에 대한 강건성

• 패러프레이징(Paraphrasing): 패러프레이징 공격은 워터마크 신호를 효과적으로 파괴하여 워터마크 탐지를 무작위 수준에 가깝게 떨어뜨립니다. 이 경우, 하이브리드 방식은 비워터마크 신호에 의존하게 되며, 비워터마크 탐지기(RoBERica 등)가 특히 강건하지 않은 한 추가적인 이득이 미미합니다.
• 토큰 교체(Token Replacement): 무작위 토큰 교체는 가능도 기반 탐지기를 심각하게 저하시키지만, RoBERTa 분류기는 놀라울 정도로 강건함을 유지합니다. RoBERTa를 사용하는 하이브리드 방식은 모든 오염 수준에 걸쳐 일관된 개선 효과를 유지했습니다.
• 텍스트 길이: 워터마크 및 가능도 기반 탐지기는 잘 작동하기 위해 긴 텍스트가 필요한 반면, RoBERTa 분류기는 짧은 토큰 수에서도 강력한 성능을 발휘합니다. 하이브리드 접근 방식은 이를 성공적으로 활용하여 다양한 텍스트 길이에서도 높은 성능을 유지합니다.

4. 계산 효율성

제안된 캐스케이드 방식(1S 및 2S)은 계산적 이점을 제공합니다. 계산 비용이 저렴한 워터마크 탐지기를 먼저 배치함으로써, 전체 LLM 추론이나 무거운 모델 로딩이 필요한 더 비싼 비워터마크 탐지기를 호출하지 않고도 상당한 부분(고강도 워터마크 시나리오에서 20~40%)의 샘플을 분류할 수 있습니다.

의의 및 주장

본 논문의 주요 기여는 워터마크와 비워터마크 탐지가 상보적임을 입증했다는 점이라고 주장합니다. 저자들은 엔트로피가 제한된 포스트 트레이닝 모델의 경우 워터마킹에만 의존하는 것은 불충분하다고 주장합니다. 이 두 신호를 지능적으로 결합함으로써 실무자는 다음을 달성할 수 있습니다:

1. 높은 정확도: 특히 어려운 저엔트로피 시나리오에서 탐지율의 실질적인 향상.
2. 강건성: 다양한 텍스트 길이 및 공격 벡터에 걸친 안정적인 성능.
3. 효율성: 워터마크 탐지기를 통해 쉬운 사례를 먼저 필터링함으로써 계산 비용을 줄이는 실용적인 배포 전략(캐스케이드).

저자들은 더 복잡한 모델(MLP, 결정 트리)은 이득이 미미하고 과적합의 위험이 있다는 점을 언급하며, 최적의 학습 가능한 결합 방법으로 **로지스틱 회귀(Logistic Regression)**를 권장합니다. 결론적으로, AGC 탐지가 점점 어려워지고 있지만, 하이브리드 접근 방식은 성능과 계산 제약 사이의 균형을 맞추며 효과적인 실제 배포를 위한 실행 가능한 경로를 제공합니다.