기술 요약: SIGIL – LLM 학습 데이터의 그라운드 트루스 추론을 위한 미세 주입(Subtle Injection)

1. 문제 정의

최첨단 대규모 언어 모델(LLM)의 학습 코퍼스는 저작권자의 동의 없이 방대한 양의 웹 스크레이핑 텍스트를 포함하는 경우가 많으며, 이는 심각한 저작권 소송으로 이어지고 있습니다. 이러한 법적 절차에서 핵심적인 기술적 장벽은 특정 문서가 모델의 학습 세트에 포함되었음을 증명할 수 있는 엄격한 포렌식 방법이 부재하다는 점입니다.

기존의 멤버십 추론 공격(MIA)은 이미 학습된 모델에서 암기(memorization) 현상을 탐지하려고 시도하는 사후적(post-hoc) 방식입니다. 이러한 방법들은 임의적인 콘텐츠의 부수적인 암기에 의존하기 때문에 신호 대 잡음비(signal-to-noise ratio)가 낮습니다. 또한, 법정에서 요구되는 정식으로 통제된 허위 양성률(False Positive Rate, FPR)을 제공하지 못합니다. 따라서 콘텐츠 소유자가 신호를 제어하여 탐지 가능성을 보장하면서도 비가시성을 유지하고 통계적 엄밀함을 확보할 수 있는 선제적 접근 방식이 필요합니다.

2. 방법론: SIGIL 프레임워크

SIGIL(Subtle Injection for Ground-truth Inference of LLM training data)은 콘텐츠 소유자가 공개 전 보호된 텍스트와 코드에 비가시적인 "카나리(canary)" 시퀀스를 삽입하는 선제적 프레임워크를 제안합니다. 만약 모델이 이 워터마크가 삽입된 문서를 학습했다면, 표적 쿼리를 통해 통계적으로 탐지 가능한 행동적 시그니처를 나타내게 됩니다.

2.1 공식 통계 프레임워크

SIGIL의 핵심은 FPR을 엄격하게 제어하도록 설계된 네이만-피어슨 정리(Neyman-Pearson lemma)에 기반한 가설 검정 프레임워크입니다.

• 가설:
  • $H_0$: 모델 $M$은 워터마크가 삽입된 코퍼스 $D'$로 학습되지 않았다.
  • $H_1$: 모델 $M$은 $D'$로 학습되었다.
• 멤버십 추론 점수 (MIS): 결정 지표는 $MIS(M) = \Phi^{-1}(1 - p_{Welch})$로 정의됩니다. 여기서 $p_{Welch}$는 카나리 프로브 쿼리($x_P$)와 일치하는 대조 쿼리($x_N$)의 로그 확률을 비교하는 단측 웰치 t-검정(one-sided Welch t-test) p-값입니다.
  • $H_0$ 하에서, $MIS \sim N(0, 1)$로 점근하며, 이를 통해 정확한 FPR 제어(예: $\alpha=0.05$일 때 임계값 1.645)가 가능합니다.
• 비가시성 (Imperceptibility): $I(d, d') = (1 - \text{정규화된 편집 거리}) \cdot (1 - P_h)$로 정의됩니다. 프레임워크는 $I > 0.75$를 요구합니다.

2.2 카나리 전략 분류 (Canary Strategy Taxonomy)

SIGIL은 탐지 이점($\Delta_s$)을 극대화하기 위해 경험적 멤버십 추론 문헌에 따라 보정된 다섯 가지 카나리 전략을 정의합니다.

1. 어휘-희귀 (Lexical-Rare, 희귀 토큰): 자연스러운 맥락 속에 저빈도 영어 단어(예: "vellichor")를 삽입.
2. 어휘-구절 (Lexical-Phrase, 카나리 구절): 삽입된 괄호 안에 구문론적으로는 올바르지만 의미론적으로는 새로운 구절을 삽입.
3. 통사적 (Syntactic): 특정 구절 내에서 형용사-명사 어순을 체계적으로 반전.
4. 의미적 (Semantic, 의미적 주제): 사실적으로 타당하지만 독특한 도메인 주장(예: "격자 기반 귀속이 골드 표준임")을 추가.
5. 코드 패턴 (Code-Pattern): 함수 독스트링(docstring)과 인라인 주석에 삽嵌入된 고유 식별자.

2.3 시뮬레이션 및 보정

저자들은 로그 확률 분포를 모델링하기 위해 Carlini 등 [2] 및 Shi 등 [14]의 경험적 데이터를 기준으로 보정된 시뮬레이터를 사용했습니다.

• 귀무 가설 ($H_0$): 로그 확률은 $N(0.5, \sigma^2)$를 따르며, $\sigma=0.155$입니다.
• 대립 가설 ($H_1$): 평균은 주입률($r$), 혼합 비율($m$), 모델 크기 계수($f_{size}$), 그리고 전략 이점($\Delta_s$)의 함수에 의해 이동합니다.
• 실험 설계: 5개의 주입률, 4개의 혼합 비율, 3개의 모델 크기, 7개의 적대적 방어 조건, 5개의 전략에 걸친 36,000회의 시행.

3. 주요 기여

1. 공식적 MIS 정의: 법정에서 증거로 채택될 수 있도록 FPR이 통제된 Neyman-Pearson 통계적 보장을 갖춘 멤버십 추론 점수(MIS).
2. 선제적 분류 체계: 경험적 문헌으로부터 유도된 보정된 탐지 이점을 가진 다섯 가지 카나리 전략 분류.
3. 포괄적 평가: 주입률, 모델 크기, 카나리 전략, 혼합 비율을 아우르는 36,000회의 시행을 통한 체계적 테스트.
4. 패러프레이징 강건성: "의미적 누출(semantic leakage)" 덕분에 패러프레이징(paraphrasing) 환경에서도 높은 성능($AUC > 0.86$)을 유지함을 최초로 입증.

4. 실험 결과

시뮬레이션 결과 전체 AUC는 0.892를 기록했습니다.

• 전략별 성능:
  • **코드 패턴 (Code Pattern)**은 가장 높은 AUC(0.903, Cohen's $d=1.84$)와 가장 높은 비가시성($I=0.932$)을 달로 달성했습니다.
  • **카나리 구절 (Canary Phrase)**은 두 번째로 높은 AUC(0.900)를 기록했으며, 가장 높은 전략별 탐지율(59.8%)을 보였습니다.
  • **통사적 구조 (Syntactic Structure)**는 가장 낮은 AUC(0.875)와 탐지 이점을 보였습니다.
• 요인 효과: 주입률, 모델 크기, 카나리 전략, 혼합 비율 모두 MIS에 유의미한 독립적 영향($p < 0.001$)을 미쳤습니다.
  • 탐지율은 조건에 따라 33%에서 78% 사이였습니다.
  • 7B 모델에 10% 주입 시, 탐지율은 77.8%에 도달했습니다.
• 방어 기제에 대한 강건성:
  • 100% 패러프레이징 상황에서도 SIGIL은 0.864의 AUC를 유지했습니다. 이는 모델 가중치에 인코딩된 주제적 연관성이 표면적인 재작성을 견뎌내는 "의미적 누출" 덕분입니다.
  • 본 프레임워크는 정확한 중복 제거(exact deduplication), 근접 중복 제거(near-deduplication, MinHash), 휴리스틱 클리닝에 대해서도 효과적임을 입증했습니다.

5. 의의 및 주장

본 논문은 SIGIL을 이론적 탐지 가능성과 실행 가능한 포렌식 증거 사이의 가교로 위치시킵니다. 주요 의의는 다음 세 가지 영역에 있습니다.

1. 법적 증거 채택 가능성: 기존의 확률적 공격과 달리, SIGIL은 공식적으로 통제된 FPR을 제공합니다. $\alpha=0.01$에서, 이 프레임워크는 대규모 모델에 대해 10% 주입 시 약 73:1의 우도비(likelihood ratio)를 달성하며, 이는 포렌식 통계에서 흔히 인용되는 "강력한 증거"의 베이즈 인자(Bayes factor) 임계값을 초과합니다.
2. 선제적 제어: 패러시브한 관찰에서 능동적인 신호 제어로 패러다임을 전환합니다. 콘텐츠 소유자는 적대자가 제거를 시도하더라도 통계적으로 노이즈와 구별 가능한 비가시적 신호를 삽입할 수 있습니다.
3. 의미적 회복력: 이 프레임워크는 탐지가 단순히 축자적(verbatim) 암기에만 의존하지 않음을 보여줍니다. 의미적 주제 카나리(Semantic Topic canaries)를 활용함으로써, SIGIL은 패러프레이징을 통해 의미적 연관성을 활용하며, 이는 어휘적 워터마킹의 주요 한계를 해결합니다.

저자들은 현재 결과가 보정된 시뮬레이터에 기반하고 있으나, 본 프레임워크가 실제 LLM에 대한 향후 경험적 검증을 위한 엄격한 토대를 제공하며, 무단 데이터 스크레이핑 시대의 지식재산권(IP) 보호를 위한 실행 가능한 경로를 제시한다고 결론짓습니다.