Watermarking Should Be Treated as a Monitoring Primitive

기술 요약: 워터마킹은 모니터링 원시적 요소로 취급되어야 함

문제 제기
생성 모델에 대한 워터마킹의 현재 평가는 탐지를 회피하거나 오검출을 유도하려는 적대자에 대한 개별 샘플의 강건성에 거의 전적으로 초점을 맞추고 있습니다. 이러한 위협 모델은 워터마크 신호를 제거하거나 위조하려는 대상으로 간주합니다. 그러나 이러한 관점은 관찰자가 여러 출력에 걸쳐 워터마크 신호를 집계하여 엔티티 수준의 정보를 추론할 수 있는 중요한 능력을 간과합니다. 이 논문은 워터마킹이 단순히 출처 증명을 위한 방어 메커니즘이 아니라 본질적으로 모니터링 원시적 요소로 기능한다고 주장합니다. 엔티티별 할당 키와 함께 배포될 때, 워터마킹은 추적, 링크 가능성, 그리고 시간 경과에 따른 재식별을 가능하게 하는 지속적인 통계적 구조를 도입하며, 이러한 능력들은 표준 강건성 지표로는 포착되지 않습니다.

방법론
저자들은 개별 샘플 조작에서 출력 스트림에 걸친 신호의 수동적 집계로 초점을 이동시키는 관찰자 기반 위협 모델을 제시합니다. 이 모델은 두 가지 유형의 관찰자를 구분합니다:

1. 내부 관찰자: 워터마크 탐지기와 비밀 키에 접근할 수 있는 엔티티입니다. 멀티키 배포 환경에서 이들은 출력을 직접 특정 엔티티에 귀속시킬 수 있습니다.
2. 외부 관찰자: 키나 탐지기에 접근할 수 없는 엔티티입니다. 이들은 관찰 가능한 출력과 통계적 학습에 의존하여 워터마킹 과정에서 유발된 지속적이고 키에 의존적인 패턴을 악용함으로써 소스 신원을 추론합니다.

이 연구는 엔티티 재식별을 두 출력이 동일한 엔티티에서 기원하는지 판단하는 작업으로 공식화합니다. 저자들은 텍스트 및 이미지 모달리티에 걸쳐 제로비트 워터마킹(명시적 신원 메시지가 인코딩되지 않은 경우) 하에서 이를 평가합니다.

• 모델: 텍스트용 Qwen2.5-14B, 이미지용 Stable Diffusion v2.1.
• 워터마킹 방법: KGW, Unigram, EWD, MorphMark, EXP, IE, SWEET, SEMSTAMP, SynthID, TreeRing, Wind, Gaussian Shading을 포함한 여러 제로비트 방식.
• 실험 설정: 서로 다른 엔티티에 고유한 키를 할당하는 멀티키 배포. 귀속이 프롬프트 차이보다는 워터마크 유발 구조에 의존하도록 프롬프트 매칭 설정을 사용했습니다.
• 지표:
  • 내부: Top-1 귀속 정확도 (TPR@1%FPR).
  • 외부: 관찰 가능한 특징으로 학습된 분류기 (텍스트용 BERT-Base, 이미지용 CLIP-RN50) 를 사용한 Top-1 및 Top-3 분류 정확도.
• 통제: 키 의존적 구조의 효과를 분리하기 위해 워터마크가 없는 생성 및 공유 키 배포를 베이스라인으로 포함했습니다.

주요 기여

1. 관찰자 기반 위협 모델: 이 논문은 관찰자가 출력을 가로질러 신호를 집계하여 엔티티 수준의 추론을 수행하는 위협 모델을 공식화하며, 본질적 모니터링 (내부) 과 창발적 모니터링 (외부) 을 구분합니다.
2. 제로비트 방식의 본질적 모니터링: 저자들은 멀티키 배포에서 제로비트 워터마킹조차 모니터링이 불가피함을 입증했습니다. 서로 다른 키는 명시적 신원 인코딩 없이도 내부 관찰자가 출력을 귀속할 수 있게 하는 지속적 통계적 구조를 유발합니다.
3. 창발적 외부 모니터링: 이 연구는 외부 관찰자가 키나 탐지기에 접근하지 않더라도 약한 신호를 집계함으로써 시간이 지남에 따라 생성 엔티티를 식별하는 것을 학습할 수 있음을 보여줍니다. 이 능력은 워터마킹 설계가 도입한 통계적 구조에서 창발됩니다.
4. 이중 사용 긴장: 이 작업은 워터마킹의 의도된 용도 (귀속, 안전) 와 의도하지 않은 능력 (추적, 개인정보 유출) 사이의 근본적인 긴장을 강조하며, 평가 프로토콜이 개별 샘플 강건성을 넘어 확장되어야 한다고 주장합니다.

결과

• 내부 귀속: 멀티키 제로비트 워터마킹 하에서 내부 관찰자는 모든 테스트된 방식에서 거의 완벽한 귀속 정확도 (TPR@1%FPR) 를 달성했습니다. 엔티티 수가 4 개에서 16 개로 증가함에 따라 성능은 경미한 저하만 보이며 높게 유지되었습니다. 이는 키가 구별될 때 제로비트 방식이 본질적으로 신뢰할 수 있는 엔티티 추적을 지원함을 확인시켜 줍니다.
• 외부 재식별: 외부 관찰자는 초기에 무작위 추측 수준이었으나, 엔티티당 관찰된 샘플 수가 증가함에 따라 상당한 개선을 보였습니다.
  • 텍스트 (KGW) 의 경우 16 개 엔티티에서 엔티티당 4,000 개의 샘플로 Top-1 정확도가 약 11.3% 에서 73.0% 로 상승했습니다.
  • 이미지 (TreeRing) 의 경우 수렴이 더 빨라 16 개 엔티티와 4,000 개의 샘플로 Top-1 정확도 91.0% 에 도달했습니다.
• 통제 실험:
  • 워터마크 없음: 식별 정확도가 무작위 확률 수준으로 붕괴되어 신호가 모델이나 프롬프트에 내재된 것이 아님을 확인했습니다.
  • 공유 키: 모든 엔티티가 동일한 키를 사용할 때 식별 정확도도 확률 수준으로 붕괴되어 모니터링 능력이 구체적으로 키 의존적 통계적 구조에 의존함을 증명했습니다.

의의 및 주장
이 논문은 워터마킹이 단순히 출처 증명 도구가 아닌 모니터링 기술로 재평가되어야 한다고 주장합니다. 저자들은 다음과 같이 주장합니다:

• 모니터링의 불가피성: 엔티티별 키가 배포되면 내부 모니터링은 시스템 설계의 직접적인 결과이며, 귀속 유용성을 희생하지 않고는 (예: 공유 글로벌 키 사용) 기술적으로 방지할 수 없습니다.
• 창발적 능력: 외부 모니터링은 워터마킹 설계에 의존하는 창발적 속성입니다. 분산 보존 또는 탐지 불가능한 방식이 외부 위험을 완화할 수 있지만, 멀티키 설정에서 내부 모니터링 능력을 제거하지는 않습니다.
• 평가 격차: 현재 평가 프로토콜은 워터마킹 시스템의 모니터링 능력을 현저히 과소평가하고 있습니다. 저자들은 향후 평가가 시간 경과에 따라 관찰된 엔티티 및 샘플 수의 함수로서 귀속 정확도를 명시적으로 보고할 것을 권장합니다.

저자들은 워터마킹을 출처 증명 메커니즘으로만 취급할 경우 EU AI 법과 같은 규제 및 표준화 노력이 불완전하다고 결론지었습니다. 그들은 시간이 지남에 따라 추적 및 추론을 가능하게 하는 본질적 능력에 대한 투명성 강조를 통해 워터마킹 시스템 거버넌스에 대한 보다 광범위한 논의를 촉구하고 있습니다.