기술 요약: LLM 워터마킹에 관한 조사: 이론 및 배포

1. 문제 정의

대규모 언어 모델(LLM)의 급격한 확산은 콘텐츠 출처, 지적 재산(IP) 도용, 유해하거나 오해의 소지가 있는 콘텐츠 생성과 관련된 상당한 위험을 초래했습니다. LLM이 인간의 글쓰기를 점점 더 정교하게 모방함에 따라, 인간이 작성한 텍스트와 기계가 생성한 텍스트를 구별하는 것이 어려워졌습니다. 이러한 모호성은 공격자가 독점적인 API를 쿼리하여 원본 모델을 모방하는 로컬 모델을 미세 조정하는 "서비스 탈취(service stealing)"를 용이하게 하며, 명확한 귀속 없이 허위 정보를 유포하는 것을 가능하게 합니다.

이러한 위험을 완화하기 위한 다양한 전략이 존재하지만, LLM 워터마킹(모델 출력에 보이지 않지만 기계가 탐지 가능한 서명을 삽입하는 기술)은 귀속 및 감사를 위한 주요 기술적 계층으로 부상했습니다. 그러나 현재의 문헌은 파편화되어 있습니다. 기존의 분류 방식은 서로 독립적인 설계 선택 사항들을 혼합하여 제시하는 경우가 많아, 방법론을 비교하거나 보안 보장을 추론하거나 연구를 배포 가능한 시스템으로 변환하는 데 어려움을 줍니다. 또한, 워터마크의 강건성(robustness), 모델 효용성(utility), 그리고 적대적 공격(예: 패러프레이징, 번역, 적응형 제거)에 대한 취약성 사이의 트레이드오프에 관한 체계적인 분석이 부족합니다.

2. 방법론 및 분류 체계

본 조사는 LLM 워터마킹에 대해 체계적이고 배포 지향적인 검토를 제공합니다. 저자들은 단순히 연대기적 목록을 나열하는 대신, 실무자들이 답해야 하는 핵심 질문을 중심으로 영역을 구성합니다:

• 임베딩 위치: 생성 시점(In-processing) vs 학습 시점(Training-time); 토큰 수준 vs 표현(Representation) 수준.
• 탐지 권한: 공개형(누구나 검증 가능) vs 비공개형(비밀 키 필요).
• 가정: 로짓(logits) 접근 권한, 샘플링 제어, 비밀 키, 또는 모델 소유권 여부.
• 위협 모델: 패러프레이징, 번역, 요약, 스타일 전이, 토큰 조작, 적응형 제거.

본 논문은 기술들을 두 가지 주요 계열로 합성합니다:

A. 인-프로세싱(In-Processing) 워터마킹

이 방법들은 텍스트 생성 과정 중에 신호를 삽입하며, 일반적으로 모델의 내부 로짓이나 샘플링 메커니즘에 대한 접근을 필요로 합니다.

• 샘플링 편향(Sampling Biasing): KGW(Kirchenbauer et al., 2023)와 같은 초기 방법들은 비밀 키를 사용하여 어휘를 "그린(green)" 리스트와 "레드(red)" 리스트로 나누고, 모델이 그린 토큰을 선호하도록 편향을 줍니다. 변형 모델로는 Unigram-WM(고정 분할)과 SIR(의미 공간 임베딩)이 있습니다.
• 적응형 및 의미론적 접근법: Adaptive-WM과 같은 방법은 텍스트 품질을 유지하기 위해 엔트로피가 높은 위치에서만 편향을 적용합니다. SemStamp와 k-SemStamp는 패러프레이징에서도 생존할 수 있도록 의미적 일관성을 강제합니다.
• 분포 보존형(Distribution-Preserving): Unbiased-WM 및 Undetectable-WM은 통계적 탐지를 피하기 위해 기대값 측면에서 원래의 토큰 분포를 유지하는 것을 목표로 하며, SynthID는 대규모 배포를 위해 토너먼트 방식의 샘플링을 사용합니다.
• 자기 워터마킹(Self-Watermarking): ModelShield와 같은 접근 방식은 승인되지 않은 모델 추출이나 모방을 탐지하기 위해 신호를 임베딩합니다.

B. 포스트-프로세싱(Post-Processing) 워터마킹

이 방법들은 텍스트 생성 후에 내용을 수정하며, 모델 내부 구조에 접근할 수 없는 블랙박스 시나리오에 적합합니다.

• 어휘 치환(Lexical Substitution): 의미를 보존하면서 탐지 가능한 패턴을 삽리하기 위해 단어를 동의어로 교체하거나 철자를 변경하는 방식입니다(예: He et al., 2022; POSTMARK).
• 문맥 인식 및 학습 기반: DeepTextMark와 같은 접근 방식은 동의어 치환을 통해 워터마크를 삽입하기 위해 딥러닝을 사용하며, SafeSeal은 재학습 없이 토큰 선택을 편향시키기 위해 문맥 의존적 해싱을 사용합니다.
• 가역적 워터마킹(Reversible Watermarking): 일부 방법(예: Xiang et al., 2024)은 민감한 단어를 식별하고 교체하는 데 집중하여, 원래의 텍스트를 정확하게 복구할 수 있도록 합니다.

3. 주요 기여

본 논문은 이 분야에 다섯 가지 주요 기여를 합니다:

1. 구조화된 리스크 개요: 기술적 강건성, IP 권리, 오정보, 책무성을 아우르는 LLM 리스크에 대한 체계적인 개요를 제공합니다.
2. 포괄적 분류 체계: 설계 원칙, 작동 메커니즘, 특정 공격에 대한 효과를 구분하는 워터마킹 기술의 상세한 분류를 도입합니다.
3. 적대적 분석: 제거 공격(패러프레이징, 역번역), 스푸핑(위조), 적응형 공격을 포함한 적대적 위협을 분석하고, 이들이 신뢰성과 다운스트림 작업에 미치는 영향을 조사합니다.
4. 시나리오 적합성: 다양한 워터마킹 계열에 적합한 응용 시나리오를 식별하고, 배포 맥락(예: 화이트박스 vs 블랙박스)에 따른 한계와 적합성을 비교합니다.
5. 신뢰성 프레임워크: 설명 가능성, 공정성, 강건성, 보안성, 개인정보 보호, 책무성 및 신뢰성을 기준으로 워터마킹을 평가하기 위한 프레임워크를 구축합니다.

4. 주요 결과 및 발견

광범한 실험과 문헌 합성을 통해 저자들은 세 가지 결정적인 발견을 강조합니다:

1. IP 보호 효능: 워터마크는 LLM 출력의 고유성과 차별성을 크게 향상시켜, 통제된 환경에서 IP 보호를 강화하고 무단 사용을 줄이는 데 효과적임을 입증했습니다.
2. 효용성 트레이드오프: 워터마크가 모델 효용성(유창성, 퍼플렉시티 및 다운스트림 작업 성능)에 미치는 영향은 중간에서 상당한 수준까지 다양합니다. 이러한 영향은 워터마크 유형과 LLM 아키텍처에 따라 다르며, 고품질 출력이 매우 중요한 실제 애플리케이션 적용을 제한할 수 있습니다.
3. 공격에 대한 취약성: 워터마크를 겨냥한 공격은 모델 효용성에 주목할 만한 비용을 발생시킵니다. 패러프레이징이나 번역과 같은 단순한 편집은 탐지 정확도를 급격히 떨어뜨릴 수 있습니다(예: 토큰 수준 워터마크는 40%의 패러프레이징 이후 참 양성률(True Positive Rate)이 0.4 미만으로 하락함).

준비성 결론: 모델 효용성에 미치는 부정적인 영향과 적응형 제거 공격에 대한 상당한 취약성 때문에, LLM 워터마크는 아직 광범적인 실제 배포를 위한 준비가 되지 않았습니다.

5. 의의 및 향후 방향

본 연구의 의의는 이론적 제안에서 배포 지향적 관점으로의 전환에 있습니다. 본 논문은 워터마킹이 시스템적 트레이드오프임을 명확히 합니다. 즉, 더 강력한 탐지력과 강건성을 확보하려면 디코딩이나 학습에 대한 더 큰 제어가 필요하며 이는 분포 변화를 초래할 수 있는 반면, 낮은 섭동(perturbation) 설계는 품질을 보존하지만 적대적 조건에서는 실패할 가능성이 높습니다.

논문은 신뢰할 수 있고 책임 있는 LLM 배포를 위해 필요한 몇 가지 열린 과제와 연구 방향을 식별합니다:

• 표준화: 특히 캘리브레이션(calibration) 및 허위 양성(false-positive) 제어와 관련하여 표준화된 벤치마크가 필요합니다.
• 강건성: 적응형 제거, 교차 모델 전이, 다단계 파이프라인에 탄력적인 방법을 개발해야 합니다.
• 거버넌스: 키 관리, 공정성(특정 언어나 방언에 대한 편향 방지), 귀속의 윤리적 함의 문제를 해결해야 합니다.
• 통합: 과도한 계산 비용 없이 워터마킹을 기존의 모니터링 및 법적 워크플로우에 통합할 수 있는 통합 프레임워크를 구축해야 합니다.

궁극적으로, 본 조사는 보이지 않는 서명이 신뢰할 수 있는 AI 거버넌스를 위한 유망한 계층이지만, 그 잠재력을 실현하기 위해서는 강건성과 효용성 보존 측면의 현재 한계를 극복해야 한다고 주장합니다.