AliMark: Enhancing Robustness of Sentence-Level Watermarking Against Text Paraphrasing

기술적 요약: AliMark

문제 제기
SemStamp 와 같은 대형 언어 모델 (LLM) 을 위한 기존 문장 단위 워터마킹 방법은 토큰 수준의 패턴이 아닌 문장 의미에 워터마크를 고정함으로써 재문맥화 (paraphrasing) 에 대한 견고성을 강화하는 것을 목표로 합니다. 그러나 이러한 방법들은 일반적으로 접두사 기반 설계에 의존하는데, 여기서 문장의 워터마크 신호는 그 앞의 문맥 (예: 바로 앞 문장) 에 조건부로 결정됩니다.

이 논문은 이러한 설계의 치명적인 취약점인 구조적 교란을 지적합니다. DIPPER, GPT-3.5 와 같은 고급 재문맥화 모델은 문장을 분할하거나 병합함으로써 텍스트 구조를 자주 변경합니다. 문장이 분할되거나 병합되면 후속 문장들의 문맥이 변경됩니다. 워터마크 신호가 이러한 특정 문맥에 의사무작위적으로 조건부로 결정되기 때문에, 문맥의 어떤 변경도 탐지에 필요한 의사무작위 관계를 깨뜨립니다. 결과적으로 단일 구조적 변경이 연쇄적으로 작용하여 후속 여러 문장에서의 워터마크 신호 손실을 초래하며, 기존 프레임워크를 강력한 재문맥화 공격 하에서 취약하게 만듭니다.

방법론: AliMark
이를 해결하기 위해 저자들은 문장 간 의존성에 의존하는 대신, 잠재적 워터마크 텍스트와 비밀 비트 시퀀스 간의 비트 시퀀스 인코딩 및 정렬 문제로 문장 단위 워터마킹을 재정의하는 AliMark라는 프레임워크를 제안합니다.

이 프레임워크는 두 가지 주요 단계로 작동합니다:

1. 워터마크 텍스트 생성 (임베딩):

   • 접두사 문맥에 조건부로 결정되는 대신, AliMark 는 워터마크 키로 전역 비밀 비트 시퀀스 $s$를 사용합니다.
   • 이 시퀀스는 크기 $M$의 블록으로 분할되며, 각 블록은 단일 문장에 임베딩된 비트 신호에 해당합니다.
   • 생성 과정에서 LLM 은 다음 위치를 위해 $Q$개의 후보 문장을 생성합니다.
   • 비트 신호 추출기(문장 임베딩과 비밀 벡터를 사용) 는 각 후보의 의미 임베딩을 이산 비트 시퀀스로 변환합니다.
   • 시스템은 추출된 비트 시퀀스가 비밀 비트 시퀀스의 해당 블록과 일치하는 후보를 선택합니다. 이를 통해 전체 텍스트가 문장 경계에 독립적인 순차 비트 패턴을 인코딩하도록 보장합니다.

2. 워터마크 텍스트 탐지:
   재문맥화로 인한 구조적 교란 (분할, 병합, 삽입, 삭제) 을 처리하기 위해 AliMark 는 2 단계 탐지 전략을 사용합니다:

   • 재구조화기 (Re-Structurer, RS): 이 모듈은 텍스트 수준에서 작동하여 잠재적인 원본 구조를 복원합니다. 두 개의 연속된 문장을 결합하는 단일 단계 재병합 (re-merging) 과 문장을 두 개로 나누는 재분할 (re-splitting) 연산을 수행하여 여러 텍스트 변형을 생성합니다. 이는 재구조화된 텍스트의 후보 집합을 생성합니다.
   • 적응형 비트 시퀀스 정렬 (Adaptive Bit Sequence Alignment, ABSA): 이 모듈은 비트 수준에서 작동합니다. 각 재구조화된 후보에 대해 비트 시퀀스를 추출하고, 문장 수 변화를 고려하기 위해 다양한 길이의 비밀 비트 시퀀스 후보 집합과 정렬합니다.
   • 정렬 지표: 저자들은 문장 단위 시나리오에 맞게 조정된 **블록 편집률 (Block Edit Rate, BER)**을 도입합니다. 표준 편집 거리와 달리 BER 은 문장 (M 비트 블록) 의 삽입/삭제를 고정 비용의 단일 연산으로 취급하는 반면, 치환 비용은 비트 블록 간의 해밍 거리에 기반합니다.
   • 점수 매기기: 시스템은 각 정렬 시도마다 $z$-점수를 계산합니다. 최종 워터마크 점수는 모든 재구조화된 변형과 모든 비밀 시퀀스 길이 후보를 통해 얻은 최대 $z$-점수입니다.

주요 기여

1. 구조적 취약점 식별: 이 논문은 구조적 교란 (문장 분할 및 병합) 이 자동화된 재문맥화에서 흔하며, 접두사 기반 문장 단위 워터마킹 방법의 성능을 치명적으로 저하시킨다는 것을 입증합니다.
2. 새로운 공식화: AliMark 는 문장 단위 워터마킹을 전역 비트 시퀀스 인코딩 및 정렬 작업으로 재정의하여 워터마크 신호를 특정 문장 문맥에서 분리하는 새로운 방식을 제안합니다.
3. 견고한 탐지 메커니즘: 재구조화기와 적응형 비트 시퀀스 정렬의 통합을 통해 텍스트 구조가 크게 변경되더라도 워터마크 신호를 복원할 수 있게 합니다.
4. 실증적 검증: 광범위한 실험은 AliMark 가 DIPPER 및 GPT-3.5 와 같은 강력한 모델을 포함한 다양한 재문맥화 공격 하에서 SemStamp, k-SemStamp 및 KGW 와 같은 토큰 단위 방법을 포함한 최첨단 베이스라인을 크게 능가함을 보여줍니다.

실험 결과

• 성능: Booksum 및 C4 와 같은 데이터셋에서 AliMark 는 베이스라인이 실패하는 강력한 재문맥화 공격 하에서도 높은 True Positive Rate(TPR) 를 유지합니다. 예를 들어, OPT-1.3B 를 사용할 때 AliMark 는 DIPPER 하에서 TPR@5% 가 61.6%, GPT-3.5 하에서 **66.6%**를 기록하는 반면, 가장 우수한 베이스라인 (SemStamp) 은 각각 **26.7%**와 **22.0%**로 떨어집니다.
• 적대적 견고성: 무작위 문장 삽입, 삭제 및 재배열을 포함하는 탐지 실험에서 AliMark 는 일관되게 베이스라인을 능가하며, 교란율이 0.4~0.5 에 달할 때도 탐지 가능성을 유지합니다.
• 텍스트 품질: 퍼플렉시티 분석은 AliMark 가 워터마크가 없는 출력에 비해 텍스트 품질에 미미한 저하를 초래함을 나타내며, 블록 크기 $M$이 증가함에 따라 약간만 증가하는 것으로 관찰됩니다.
• 효율성: 탐지 과정은 여러 후보를 생성하지만, 동적 프로그래밍 테이블 계산 통합과 같은 엔지니어링 최적화로 실행 시간을 관리 가능하게 유지하며, 입력 문장 수에 따라 선형적으로 확장됩니다.

의의 및 주장
이 논문은 AliMark 가 구조적 변화에 대한 의미 기반 방법의 특정 취약성을 해결함으로써 LLM 워터마킹에 필요한 진화를 제공한다고 주장합니다. 문맥 의존적 접두사 해싱에서 전역 시퀀스 정렬로 전환함으로써 AliMark 는 현대 LLM 의 정교한 재작성 능력에 대한 견고한 방어를 제공합니다. 저자들은 자동화된 작성 및 재문맥화가 만연한 시대에 콘텐츠 출처 및 학술적 무결성을 보장하기 위한 중요한 단계로 이 작업을 위치시킵니다. 저자들은 현재 재구조화기가 단일 단계 방식을 사용하며 복잡한 다단계 구조적 변경을 완벽하게 처리하지 못할 수 있다는 한계를 인정하며, 향후 연구는 더 정교한 재구조화 휴리스틱이나 커스텀 훈련 모델을 포함할 수 있음을 시사합니다.