기술 요약: 증발기 - 대규모 언어 모델 출력의 워터마킹 scheme 파괴

문제 정의

대규모 언어 모델 (LLM) 의 급속한 채택은 콘텐츠 진위성, 표절, 모델 귀속에 관한 중대한 우려를 불러일으켰다. 이를 해결하기 위해 생성된 텍스트에 저작권을 검증하기 위한 보이지 않는 신호를 삽입하는 워터마킹 기법이 제안되었다. 그러나 기존 scheme 들은 견고하고 생산 등급이라고 주장되지만, 의미 보존 텍스트 조작에 대한 취약성은 아직 충분히 탐구되지 않았다. 이 논문에서 다루는 핵심 문제는 현재 통계적이거나 암호학적인 워터마킹 방법들이 텍스트의 표면 구조를 변경하면서도 의미적 무결성을 유지하는 공격에 취약할 수 있으며, 이로 인해 텍스트를 사용할 수 없게 만들지 않고도 워터마킹 신호를 효과적으로 파괴할 수 있다는 점이다.

방법론

저자들은 포괄적인 수정된 텍스트 공격에 대비하여 세 가지 최첨단 LLM 워터마킹 scheme 의 견고성을 테스트하기 위한 체계적인 평가 프레임워크를 개발했다. 이 연구는 ChatGPT 가 생성한 100 개의 다양한 작성 프롬프트로 구성된 데이터셋을 활용하여, 대상 워터마킹 시스템을 통해 처리된 워터마킹된 출력을 생성했다. 또한 기준 비교를 위해 워터마킹이 적용되지 않은 텍스트의 대조군도 생성했다.

대상 워터마킹 Scheme

이 연구는 현재 진보를 대표하는 세 가지 다른 접근 방식을 평가했다:

1. 검증 가능한 견고한 워터마킹 (Zhao et al., 2024): 생성 중 토큰 선택을 편향시키기 위해 "녹색"과 "적색" 토큰 목록을 사용하는 통계적 방법.
2. 공개적으로 탐지 가능한 워터마킹 (Fairoze et al., 2025): 해시 함수를 사용하여 특정 토큰 시퀀스 내에 디지털 서명을 인코딩하는 암호학적 접근 방식.
3. SynthID (Dathathri et al., 2024): Google DeepMind 의 하이브리드 전략으로, 토너먼트 기반 샘플링과 비밀 키로 시드된 점수 함수를 사용하여 토큰을 선택한다.

공격 전략

저자들은 텍스트 품질 보존과 균형을 이루는 세 가지 주요 공격 범주를 구현했다:

• 어휘 변환: 동의어 교체 (WordNet 사용), 무작위 단어 삭제, 무작위 단어 교체, 인접 단어 교체를 포함함.
• 기계 번역: MarianMT 프레임워크를 사용한 양방향 번역 (영어 $\leftrightarrow$ 프랑스어/독일어/스페인어).
• 신경적 의역: 의미를 유지하면서 텍스트를 재구성하기 위해 BART (facebook/bart-large-cnn) 와 Pegasus 모델을 활용함.

단일 단계 및 점진적 공격을 수행하여 수정 강도와 워터마킹 저하 사이의 관계를 분석했다.

평가 지표

공격의 효과는 두 가지 주요 기준에 따라 측정되었다:

1. 워터마킹 제거: 탐지 점수 (통계적 방법의 경우 Z-점수, SynthID 의 경우 g-점수) 로 정량화됨. 특정 임계값 (예: 0 또는 0.5) 미만의 점수는 성공적인 제거를 나타냄.
2. 의미 및 품질 보존: 다음을 사용하여 평가됨:
   • BERT 점수: 원본 텍스트와의 의미적 유사성을 측정하기 위해 사용.
   • 텍스트 복잡성: Gunning Fog Index 를 통해 측정.
   • 가독성: Flesch Reading Ease 지수를 사용하여 평가.
   • 문법 오류: LanguageTool 을 사용하여 탐지 및 분류.

주요 결과

실험 결과는 세 가지 scheme 전반에 걸쳐 다양한 수준의 취약성을 드러냈으며, 합리적인 노력으로 워터마킹을 제거할 수 있다는 일관된 발견을 보였다.

1. 검증 가능한 견고한 워터마킹

• 취약성: 세 가지 중 가장 강한 저항력을 보임.
• 최적 공격: Pegasus 의역이 가장 높은 성공률 (샘플의 23% 가 탐지 임계값 이하로 떨어짐) 과 가장 낮은 평균 Z-점수 (0.93) 를 달성함.
• 기타 공격: 번역 기반 공격은 중간 정도의 효과 (4-5% 성공) 를 보였으며, 동의어 교체와 같은 어휘 변환은 가장 효과가 낮았음 (1-4% 성공).
• 품질 트레이드오프: Pegasus 의역은 제거를 달성하면서도 합리적인 문법 오류율을 유지한 반면, 단순 의역과 동의어 교체는 심각한 품질 저하를 초래함 (예: 동의어 교체 시 문법 오류가 797% 증가).

2. SynthID

• 취약성: 중간 정도의 취약성을 보임.
• 최적 공격: Pegasus 의역이 다시 한번 가장 효과적이었으며 성공률은 14% 였음. 동의어 교체 (11%) 와 단어 교체 (9%) 가 그 뒤를 이음.
• 품질 트레이드오프: 신경적 의역이 가장 좋은 균형을 제공하여 BERT 점수 감소를 12.8% 로 제한하면서 제거를 달성함. 번역 기반 공격은 덜 효과적이었음 (2-3% 성공) 하지만 의미 내용을 잘 보존함.

3. 공개적으로 탐지 가능한 워터마킹

• 취약성: 완전한 취약성을 보임.
• 결과: 테스트된 모든 공격 방법이 워터마킹 제거에서 100% 성공률을 달성함.
• 품질 트레이드오프: 제거는 보편적이었으나 텍스트 품질에 미치는 영향은 다양함. 단어 교체는 의미 내용을 잘 보존함 (BERT 감소 9.25%), 반면 번역 기반 공격은 심각한 왜곡을 초래함 (예: 독일어 번역은 텍스트 복잡성을 315% 증가시킴).

일반적 발견

• 신경적 의역의 우세: 모든 scheme 에서 신경적 의역 기법 (특히 Pegasus) 은 언어적 품질을 보존하면서 워터마킹 탐지 가능성을 저하시키는 데 가장 효과적임.
• 역관계: 공격 효과와 텍스트 품질 사이에는 명확한 트레이드오프가 존재함. 성공적인 제거는 필연적으로 의미 보존, 가독성, 또는 문법적 정확성을 저하시킴.
• 점진적 공격: 점진적인 텍스트 수정은 의미 보존의 저하와 거의 선형적인 관계로 워터마킹 탐지 가능성을 점차적으로 감소시킴.

주요 기여

이 논문은 다음과 같은 기여를 한다:

1. 최초의 포괄적 증명: 선도적인 LLM 워터마킹 scheme 이 광범위한 의미 보존 공격에 취약하다는 경험적 증거를 제시함.
2. 체계적 평가 프레임워크: 저자들은 어휘, 번역, 신경 등 여러 공격 벡터와 Z-점수, BERT, 가독성, 오류 등 탐지 지표를 포괄하는 프레임워크를 개발함.
3. 트레이드오프의 정량화: 이 연구는 다양한 공격 유형에 대해 워터마킹 제거 효과와 텍스트 품질 저하 사이의 구체적인 트레이드오프를 정량화함.
4. 점진적 수정 분석: 점진적인 텍스트 변경이 탐지 점수와 의미 보존에 미치는 영향을 분석함.
5. 설계 권장사항: 저자들은 미래 시스템이 단순한 어휘 조작이 아닌 신경적 의역을 차단하는 데 초점을 맞추고 하이브리드 탐지 접근 방식을 고려해야 한다는 통찰을 제공함.

중요성과 주장

저자들은 그들의 작업이 기존 LLM 워터마킹 시스템의 강점과 약점을 밝혀냈다고 주장함. 주요 중요성은 현재 scheme 의 취약성, 특히 공개적으로 탐지 가능한 워터마킹 scheme 의 완전한 실패와 "검증 가능한" 견고한 방법들조차 정교한 신경적 의역에 취약하다는 경험적 증명에 있음.

이 논문은 워터마킹이 지각할 수 없는 수정을 도입하는 것을 목표로 하지만, 적응형 변환이 이러한 신호를 지우기 위해 언어의 고유한 유연성을 악용한다고 주장함. 저자들은 다음과 같이 결론 내림:

• 현재 scheme 은 적대적 환경에서 신뢰할 수 있는 귀속에 불충분함.
• 제거 효율성과 텍스트 충실도 사이에는 피할 수 없는 트레이드오프가 존재하며, 품질 지표를 통합한 하이브리드 탐지 시스템(예: 마진 워터마킹 점수를 가지지만 품질이 저하된 콘텐츠를 플래그하는 시스템) 이 견고성을 향상시킬 수 있음을 시사함.
• 미래 워터마킹 설계는 표면적 텍스트 특징을 넘어 심층 의미 구조 내에 신호를 삽입하여 신경적 의역에 견딜 수 있어야 함.
• 테스트된 scheme 중 검증 가능한 견고한 워터마킹이 현재 가장 안전한 옵션을 제공하지만, 정교한 공격에는 여전히 취약함.

이 연구는 이러한 발견이 실제 응용 분야에서 워터마킹 방법의 신뢰성을 강화하고 더 안전한 콘텐츠 인증 기술 개발을 안내하는 데 중요함을 강조함.