기술 요약: 선형 앙상블을 통한 워터마크 제거 (Linear Ensembles Wash Away Watermarks)

문제 정의

본 논문은 현재 대규모 언어 모델(LLM) 워터마킹 체계의 근본적인 취약점을 다룬다. 워터마킹은 텍스트 생성 시 통계적 서명을 삽입하여 탐지와 속성을 가능하게 하지만, 기존 연구들은 공격자가 단 하나의 워터마크가 적용된 모델에만 접근할 수 있다는 단순화된 가정을 전제로 한다. 실제로는 사용자가 여러 이종(heterogeneous) LLM(예: Hugging Face 플랫폼을 통해)에 동시에 접근할 수 있다. 저자들은 각 제공업체가 독립적인 비밀 키와 아키텍처 설계를 사용하는 경쟁적인 시장에서, 워터마킹에 의해 도입된 섭동(perturbations)은 모델 간에 독립적일 것이라고 상정한다. 이러한 독립성은 구조적 약점을 만들어낸다. 즉, 여러 모델의 출력을 결합함으로써 이러한 독립적인 섭동들을 상쇄시켜, 원래의 워터마크가 없는 분포를 복구하고 워터마크를 탐지 불가능하게 만들 수 있다는 것이다.

방법론

이론적 토대

저자들은 워터마킹을 공유된 기저 합의 분포(consensus distribution) $p^*$에 적용되는 확률적 섭동 $\delta_i$로 정식화한다. $N$개의 독립적인 제공업체에 대해 다음을 가정한다:

1. 독립성: 섭동 $\delta_i$는 제공업체 간에 독립적이다.
2. 영 평균(Zero Mean): 섭동은 로그 공간에서 합의 분포를 중심으로 한다 ($E[\delta_i] = 0$).
3. 유한한 크기: 텍스트 품질을 유지하기 위해 섭동의 크기는 제한된다.

이러한 가정하에, 본 논문은 $N$개 모델의 선형 앙상블 평균인 $\bar{p}_N = \frac{1}{N}\sum p_i$가 오차 항 $O(1/\sqrt{N})$과 함께 합의 분포 $p^*$로 수렴함을 증명한다. 워터마크 신호는 상관관계가 없는 노이즈로서 작용하여 점진적으로 씻겨 나가며(washed out), 오직 2차 오차 항만을 남긴다.

WASH 알고리즘

이론적 통찰을 실무로 전환하기 위해, 저자들은 WASH(Watermark Attenuation via Statistical Hybridisation)를 도입한다. WASH는 이종 앙상블에서의 두 가지 핵심적인 실무적 과제인 어휘 불일치(vocabulary misalignment)와 토큰화 차이를 해결한다.

1. 합집합 기반 앙상블(Union-Based Ensemble): 모든 모델의 어휘 교집합으로 샘플링을 제한하는 대신(이는 표현력을 제한함), WASH는 모든 어휘의 합집합 위에서 앙상블 분포를 구축한다. 특정 모델의 어휘에 존재하지 않는 토큰에 대해서는 해당 모델의 확률을 0으로 설정한다.
2. 유창성 인지 라우팅(Fluency-Aware Routing): 일부 모델에만 존재하는 토큰(특화 토큰, "specialist" token)이 선택되었을 때, WASH는 해당 토큰을 지원하는 모델들로만 후속 생성 단계를 동적으로 라우팅한다. 이는 자기회귀적 사슬(autoregressive chain)이 끊어지는 것을 방지한다. 결정적으로, 특화 세트 내의 모델 선택은 새로운 체계적 편향이 도입되어 탐지 도구에 의해 악용되는 것을 피하기 위해 무작위로 이루어진다.
3. 컨텍스트 재동기화(Context Re-synchronization): 서로 다른 토크나이저를 가진 모델들 간의 일관성을 유지하기 위해, WASH는 디코드-인코드(decode-encode) 주기를 채택한다. 토큰이 생성된 후, 문자열을 디코딩하고 각 모델의 특정 토크나이저로 재토큰화하여 모든 모델이 다음 단계를 위해 의미론적으로 동등한 컨텍스트를 관찰하도록 보장한다.
4. 효율성: 이 방법은 응답 캐싱을 활용한 병렬 추론을 사용하여, 앙상블 크기에 관계없이 토큰당 상수 시간 복잡도를 달성하며, 이전 공격들이 요구했던 반복적인 프로빙이나 컨텍스트 재인코딩을 피한다.

주요 기여

1. 취약성에 대한 이론적 증명: 본 논문은 선형 앙상블이 점진적으로 워터마크가 없는 분포를 복구하며 $O(1/\sqrt{N})$의 수렴 속도를 가진다는 엄격한 증명을 제공하여, 다중 제공업체 환경에서 편향되지 않은 워터마킹의 근본적인 한계를 확립한다.
2. WASH 알고리즘: 유창성 인지 라우팅과 컨텍스트 재동기화를 통해 이종 앙상블에서의 어휘 불일치를 극복하는 새로운 프레임워크를 제시하며, 의미적 무결성을 해치지 않고 효과적인 확률 집계를 가능하게 한다.
3. 체계적 평가: 6개의 대표적인 워터마킹 기법(AAR, DIPMark, ITSEdit, KGW, Exp-Edit, Water-Bag)과 3개의 LLM(Qwen, Llama, Ministral)에 대해 생성 시점 및 최종 텍스트 탐지 설정 모두에서 종합적인 실험을 수행하였다.

실험 결과

탐지 효능

• 생성 시점 탐지: WASH는 단 3개의 모델만 사용해도 강력한 베이스라인들의 $z$-점수(5에서 300 사이)를 표준 탐지 임계값인 4 미만인 2 이하(무작위 확률에 근접)로 성공적으로 억제한다.
• 최종 텍스트 탐지: 네이티브 시퀀스 탐지기의 경우, WASH는 테스트된 모든 기법에 대해 5% 허위 양성률에서의 진양성률(TPR@5%FPR)을 50% 미만으로 낮추어 워터마크를 통계적으로 탐지 불가능하게 만든다.
• 대조 실험: 모델들이 조정된 워터마크(동일한 신호를 모든 어휘에 공유)를 공유하는 경우, 앙상블 공격이 실패함을 확인하였다. 이는 제거 효능이 섭동의 독립성에 의존함을 입증한다.

품질 및 효율성

• 품질: WASH는 긴 시퀀스 생성 작업에서 최상의 베이스라인(De-mark) 대비 생성 품질을 27.5% 향상시켰으며, GSM8K, MMLU, SQuAD와 같은 벤치마크에서 워터마크가 적용된 베이스라인 및 다른 제거 방법들(ToBlend, RandomWalk)보다 우수한 성능을 보였다.
• 효율성: WASH는 긴 시퀀스에 대해 최상의 베이스라인(De-mark)보다 약 6배 빠르게 실행된다. De-mark는 반복적인 프로빙으로 인해 30배38배의 오버헤드가 발생하는 반면, WASH는 결정론적 샘플링과 동기화된 KV 캐싱을 통해 베이스라인 비용의 약 1.0배2.4배 수준에서 작동한다.

의의 및 주장

본 논문은 현재의 AI 텍스트 워터마킹 패러다임에 드러난 "근본적인 취약점"을 밝혀냈다고 주장한다. 저자들은 경쟁적인 다중 제공업체 시장에서 강건한 탐지는 전례 없는 수준의 협력이 이루어지지 않는 한 수학적으로 불가능하다고 주장한다. 구체적으로 다음과 같이 결론짓는다:

• 편향되지 않은 워터마킹 기법은 시장 논리에 의해 독립적인 키와 유한한 섭동이 필요하기 때문에 선형 앙상블에 본질적으로 취약하다.
• 진정한 강건성을 위해서는 이 취약성을 수용하거나, 모든 모델이 공통된 신호를 공유하는 조정된 워터마킹 전략을 구현해야 한다.
• 이 연구 결과는 모델 제공업체와 연구자들에게 경고의 메시지를 전달하며, 고립된 모델 수준의 방어는 교차 모델 위협에 불충분하며 효과적인 출처 검증을 위해 산업 전반의 표준화가 필요함을 시사한다.

본 연구는 새로운 워터마킹 기법을 제안하는 것이 아니라 기존 기법의 한계를 규명하는 데 목적이 있으며, 워터마킹의 "아킬레스건"은 경쟁적인 시장 구조 그 자체임을 강조한다.