💬 NLP

Stability-Aware Feature Design for Robust Watermark Detection in Machine-Generated Text

이 논문은 로컬 통계적 특징과 패러프레이징된 변체들 간의 안정성 역학을 활용하여 다회차의 패러프레이징 및 짧은 텍스트에 대한 강건성을 크게 향상시키고, 재학습 없이도 다양한 모델과 도메인에 걸쳐 강력한 일반화 성능을 유지하면서 기존 방식보다 10~15% 포인트 높은 AUC를 달성하는 새로운 워터마크 탐지 프레임워크인 패턴 안정성 점수(PSS)를 소개한다.

원저자: Sina Mansouri, Mohit Marvania, Abolfazl Safikhani

게시일 2026-08-20

📖 4 분 읽기☕ 가벼운 읽기

CC BY 4.0

원저자: Sina Mansouri, Mohit Marvania, Abolfazl Safikhani

원본 논문은 CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) 라이선스로 제공됩니다. ✨ 이것은 아래 논문에 대한 AI 생성 설명입니다. 저자가 작성하거나 승인한 것이 아닙니다. 기술적 정확성을 위해서는 원본 논문을 참조하세요. 전체 면책 조항 읽기

현대 디지털 환경에서 거대 언어 모델은 인간의 글쓰기를 놀라울 정도로 정확하게 모방하여 텍스트를 생성할 수 있는 보편적인 도구가 되었습니다. 이러한 시스템이 학교, 뉴스룸, 과학 연구 분야에 통합됨에 따라, 사람이 쓴 콘텐츠와 기계가 생성한 콘텐츠를 어떻게 구별할 것인가라는 중대한 과제가 부상했습니다. 한 가지 유망한 해결책은 기계가 글을 쓰는 과정에서 단어 선택에 미세하게 편향을 주는 기술인 '워터마킹(watermarking)'을 포함하는 것입니다. 모델을 한 명의 작가라고 상상해 보십시오. 이 작가는 이야기를 구성하는 동안, 비밀리에 지시받은 특정 단어 목록을 선호하도록 설정되어 있습니다. 일반적인 독자에게는 이야기가 정상적으로 읽히지만, 비밀 목록을 알고 있는 탐지기에게는 그 텍text가 인공적인 기원을 증명하는 통계적 패턴을 드러냅니다. 그러나 이 방법은 상당한 난관에 봉착해 있습니다. 만약 인간이나 다른 컴퓨터가 의미는 유지하면서 단어를 바꾸는 방식, 즉 '패러프레이징(paraphrasing, 의역/재진술)'을 통해 텍스트를 다시 쓴다면, 숨겨진 패턴이 희석되거나 흩어져서 탐지기가 실패하게 됩니다. 이러한 취약성은 텍스트가 짧거나 여러 번 재작성되었을 때 특히 두드러지며, 정보의 출처를 검증하는 능력에 공백을 남깁니다.

조지 메이슨 대학교의 연구진은 이 간극을 메우기 위해, 워터마크를 깨기 어렵게 만드는 대신 탐지기를 더 똑똑하게 만들어 이를 찾아내도록 하는 새로운 접근 방식을 개발했습니다. 이들의 방법은 '패턴 안정성 점수(Pattern Stability Stability Score)'라고 불리며, 텍스트 전체를 하나의 데이터 블록으로 보는 대신, 텍-스트를 작고 중첩되는 창(window) 단위로 나누어 글의 국소적 구조를 조사합니다. 연구진은 기계가 생성한 워터마크는 특정한 통계적 서명을 생성하는 반면, 인간의 글쓰기는 그렇지 않다는 점에 주목했습니다. 기계가 자신의 텍스트를 재작성할 때, 표면적인 단어는 바뀌더라도 기저의 통계적 편향은 특정 구역에서 지속되는 경우가 많습니다. 반면, 인간이 텍스트를 재작성할 때는 유지해야 할 숨겨진 신호가 없기 때문에 통계적 패턴이 무작위로 요동칩니다. 연구진은 동일한 텍스트의 여러 버전에 걸쳐 이러한 국소적 패턴을 추적하는 시스템을 구축했습니다. 텍-스트가 재작성될 때 이러한 패턴이 얼마나 안정적으로 유지되는지를 측정함으로써, 시스템은 텍스트가 심하게 수정된 후에도 워터마크를 식별할 수 있습니다.

연구팀은 이 방법을 장문 도서, 뉴스 기사, 백과사전 항목이라는 세 가지 뚜렷한 유형의 글에 테스트했습니다. 그들은 여러 종류의 거대 언어 모델을 사용하여 원본 텍스트를 생성한 다음, 서로 다른 AI 시스템을 통한 최대 8회의 재작성 과정을 거치게 했습니다. 이러한 엄격한 테스트에서 새로운 방법은 놀라운 회복력을 보여주었습니다. 텍스트 전체를 살펴보는 기존의 탐지기들이 재작성을 몇 차례만 거쳐도 정확도가 급격히 떨어지는 반면, 새로운 접근 방식은 높은 성능을 유지했습니다. 구체적으로, 이 시스템은 텍스트가 8번 재작성된 후에도 91% 이상의 정확도를 달side 달성한 반면, 복잡한 딥러닝 모델을 포함한 다른 주요 방법들은 정확도가 거의 무작위 추측 수준으로 붕괴되었습니다. 또한 연구진은 이 시스템이 기존 방법들이 어려움을 겪었던 짧은 텍스트에서도 잘 작동한다는 것과, 단일 버전의 탐지기로 재학습 없이도 다양한 유형의 글과 서로 다른 AI 모델을 처리할 수 있다는 것을 발견했습니다.

이러한 성공을 이끈 핵심 통찰은 전역적 평균(global averages)이 진실을 가린다는 깨달음이었습니다. 텍스트가 재작성될 때, 숨겨진 신호는 균일하게 삭제되지 않습니다. 일부 텍스트 부분은 워터마크의 지문을 유지하는 반면, 다른 부분은 이를 잃게 됩니다. 문서 전체에 걸친 워터마크 단어의 총 개수만을 살피는 탐지기는 이러한 집중된 증거 구역들을 놓치게 됩니다. 텍스트를 따라 창(window)을 밀어 넣으며 각 섹션 내의 국소적 통계를 분석함으로써, 이 새로운 방법은 이러한 집중된 흔적들을 포착합니다. 나아가, 여러 버전의 텍스트에 걸쳐 이러한 국소적 패턴이 어떻게 행동하는지를 비교함으로써, 시스템은 기계 워터마크의 일관되면서도 미묘한 지속성과 인간의 재작성이 만드는 혼돈스러운 변동을 구분할 수 있습니다. 이러한 안정성 중심의 설계는 탐지기가 재작사로 인해 도입된 노이즈를 무시하고 남아있는 신호에 집중할 수 있게 해줍니다.

이 연구의 함의는 단순한 탐지를 넘어 확장됩니다. 연구진은 이 방법이 더 복잡한 시스템에 필요한 컴퓨팅 파워의 극히 일부만을 필요로 한다는 점에서 실질적인 활용 가능성을 입증했습니다. 이 시스템은 매일 수천 건의 문서를 처리할 수 있으며, 시간이 촉박한 상황에서도 빠르게 작동할 수 있습니다. 중요한 점은, 이 방법이 텍스트를 생성하는 기계의 변경을 요구하지 않는다는 것입니다. 즉, 이미 존재하는 콘텐츠에 적용할 수 있는 독립적인 도구로서 작동합니다. 이는 방대한 양의 기계 생성 텍스트 아카이브를 콘텐츠를 재생성할 필요 없이 진위 여부를 재평가할 수 있음을 의미합니다. 본 연구는 전역적 평균이 아닌 국소적 패턴의 안정성에 집중함으로써, 우리가 더 강력한 검증 도구를 구축할 수 있으며, 기계 생성 콘텐츠가 점점 늘어나는 세상에서 신뢰할 수 있는 길을 제시할 수 있음을 시사합니다.

기술 요약: 강건한 텍스트 워터마크 탐지를 위한 안정성 인지형 특징 설계

문제 정의

대규모 언어 모델(LLM)의 광범위한 배포로 인해, 기계 생성 텍스트와 인간의 글쓰기를 구별해야 할 시급한 필요성이 제기되었습니다. 워터마킹은 숨겨진 "그린리스트(greenlist)"를 향해 토큰 선택을 편향시킴으로써 원칙적인 해결책을 제공하지만, 기존의 탐지 방법들은 심각한 강건성 문제에 직면해 있습니다. 특히, 전체 그린 토큰의 총합을 집계하는 전역 $z$ -점수(global $z$ -score)에 의존하는 표준 탐지기는 패러프레이징(paraphrasing, 문장 재구성)을 거칠 때 성능이 급격히 저하됩니다. 패러프레이징 공격, 특히 다단계 재작성(multi-step rewrites)은 의미를 변경하지 않으면서도 워터마크 신호를 공간적으로 재배치하거나 희석시키며, 이로 인해 전역 집계 수치가 통계적 유의성을 상실하게 만듭니다. 또한, 현재의 방식들은 증거가 희소한 짧은 텍스트에서 어려움을 겪으며, 많은 딥러닝 기반 탐지기들은 재학습 없이는 서로 다른 도메인, LLM 또는 패러프레이징 모델에 일반화되지 못하는 경향이 있습니다.

방법론

저자들은 패러프레이징이 완벽하게 보존하지 못하는 신호, 즉 국소적 구조와 재작성 깊이에 따른 안정성을 활용하도록 설계된 탐지 중심 프레임워크인 **패턴 안정성 점수(Pattern Stability Score, PSS)**를 제안합니다. 이 방법론은 세 가지 핵심 구성 요소로 이루어집니다.

1. 로컬 롤링 윈도우 통계 (Local Rolling-Window Statistics)

전체 시퀀스에 대해 증거를 집계하는 대신, 이 방법은 이진 지표 시퀀스(그린=1, 레드=0)를 따라 윈도우(기본 크기 $w=50$ , 스트라이드 $s=10$ )를 슬라이딩합니다. 각 윈도우에 대해, 공간적 집중도와 단거리 의존성을 포착하는 20차원 특징 집합을 계산합니다:

$z$ -점수 모멘트: 로컬 $z$ -점수의 평균, 분산, 최솟값, 최댓값, 왜도 및 첨도.
자기상관(Autocorrelation): 로컬 $z$ -점수 시퀀스의 래그-1(lag-1) 및 래그-2(lag-2) 자기상관.
런 길이 통계(Run-length statistics): 연속된 그린 토큰의 최장 길이( $R_i$ )에 대한 6가지 요약 통계와 그 빈도( $F_i$ )에 대한 6가지 통계.

이러한 특징들은 전역 테스트에서 평균화되어 사라질 수 있는 집중된 워터마크 증거의 포켓(pockets)을 포착하며, 패러프레이징이 긴 그린 런(green runs)을 파편화하더라도 부분적으로 온전하게 유지됩니다.

2. 패턴 안정성 점수 (Pattern Stability Score, PSS)

다단계 패러프레이징 문제를 해결하기 위해, 본 방법은 안정성 함수(stability functional)를 도입합니다. 미지의 패러프레이즈 깊이 $j$ ( $x^{(j)}$ )를 가진 텍스트와 그 후속 패러프레이즈들( $x^{(j+1)}, \dots, x^{(K)}$ )이 주어졌을 때, 탐지기는 각 윈도우 위치에 대해 로컬 $z$ -점수를 계산합니다. 특정 윈도우 $i$ 에 대한 PSS는 깊이 $j$ 부터 $K$ 까지의 궤적에 대한 로컬 $z$ -점수의 표준 편차로 정의됩니다:
$PSS_i = \text{std}(z_i^{(j)}, z_i^{(j+1)}, \dots, z_i^{(K)})$

근거: 워터마크가 적용된 텍스트는 표면적인 토큰 변화에도 불구하고 기저의 통계적 편향이 지속되기 때문에, 재작성 과정에서도 안정적인 로컬 패턴을 보이며 낮은 변동성(낮은 P씨에스)을 나타냅니다. 반면, 이러한 편향이 없는 인간의 텍스트는 패러프레이즈 과정에서 로컬 $z$ -점수의 높은 변동성을 보입니다. 계산 시 특정 깊이 $j$ 를 위한 계산에 원본 텍스트 $D_0$ 를 포함하지 않고, 현재 깊이 $j$ 부터 $K$ 까지의 시퀀스를 사용하여 표준 편차를 위한 최소 두 개의 지점을 확보합니다.

3. 하이브리드 분류 (Hybrid Classification)

최종 특징 벡터는 PSS 값(안정성 프로필)을 정적 20차원 특징과 결합합니다. 이 하이브리드 벡터는 경량 지도 학습 분류기(예: XGBoost)에 입력됩니다. 이 접근 방식은 생성 파이프라인이나 모델 아키텍처의 변경 없이 "탐지기 전용(detector-only)"으로 설계되었습니다.

주요 기여

안정성 기반 탐지: 패러프레이즈 깊이에 따른 워터마크 신호의 지속성을 포착하는 원칙적인 척도인 PSS를 도입하고, 이를 로컬 롤링 윈도우 통계와 결합하여 탐지 정밀도를 높였습니다.
압축된 하이브리드 특징 설계: 통계적 모멘트, 자기상관 및 런 길이 속성을 포함하는 20차원 특징 집합을 구축했습니다. 이 표현 방식은 공격적인 패러프레이징 및 짧은 텍스트 환경에서도 판별력을 유지합니다.
적대적 스트레스 하에서의 강건성: 제안된 방식이 여러 데이터셋(PG-19, CNN/DailyMail, WikiText)과 최대 8회의 패러프레이징 단계에서 전역 $z$ -점수 베이스라인 및 최신 딥러닝 방식(예: DeepTextMark, Binoculars, RADAR)보다 일관되게 우수한 성능을 보임을 체계적으로 입증했습니다.
교차 도메인 일반화: 하나의 구성(LLM, 패러프레이저, 도메인)으로 훈련된 단일 범용 분류기가 모든 구성 요소가 훈련 세트와 다르더라도 재학습 없이 효과적으로 일반화되어 높은 AUC를 유지함을 입증했습니다.
포괄적 민감도 분석: 윈도우 크기, 스트라이드, 입력 길이 및 워터마킹 파라미터(그린리스트 비율 $\gamma$ )의 변화에 대해서도 방법론이 강건함을 경험적으로 확인했습니다.

실험 결과

평가는 Llama-3-8B 및 Qwen2-7B를 생성에 사용하고, Mistral-7B, Qwen2-7B, Gemma-7B를 패러프레이징에 사용하여 세 가지 벤치마크 데이터셋에서 수행되었습니다.

패러프레이즈 깊이에 따른 성능: 1,500 토큰 및 깊이 $D_8$ (8회 패러프레이징)에서, 제안된 PSS + Static 방식은 91.2% AUC를 달성했습니다. 반면, 딥러닝 베이스라인은 41–44% AUC로 무너졌고, 전역 $z$ -점수 베이스라인은 **66.8%**로 떨어졌습니다.
짧은 텍스트 강건성: 증거 부족으로 인해 전역 통계가 실패하는 데 관여하는 300 토큰 정도의 짧은 텍스트에서도 우수한 성능을 유지했습니다.
교차 도메인 전이: PG-19에서 훈련하여 CNN/DailyMail에서 테스트했을 때, PSS는 모든 깊이에서 83.8–88.6% AUC를 유지했으나, 딥러닝 방식은 거의 무작위 수준의 성능(29–46% AUC)으로 급락했습니다.
범용 분류기: 단일 구성(Llama-3 + Mistral + PG-19)으로 훈련된 분류기가 완전히 다른 구성(Qwen2 + Qwen2 + WikiText)에 대해 테스트되었을 때, 깊이 $D_1$ 에서 92.6% AUC, 깊이 $D_8$ 에서 87.8% AUC를 달성했습니다.
적응형 공격: 전역 $z$ -점수를 타겟팅하는 DPO 최적화 적응형 공격 하에서도 PSS는 >80% AUC를 유지한 반면, 전역 베이스라인은 무작위 확률 수준(~52%)으로 떨어졌습니다.
효율성: 탐지 파이프라인은 문서당 0.8–3.2초의 시간과 약 200MB의 메모리를 필요로 하여, 트랜스포머 기반 탐지기의 무거운 계산 오버헤드 없이 고처리량 처리가 가능합니다.

의의 및 주장

본 논문은 제안된 접근 방식이 현재의 워터마크 탐지의 결정적 결함인 패러프레이징에 대한 강건성과 짧은 텍스트에서의 안정성 문제를 해결한다고 주장합니다. 생성 모델을 수정하는 대신 탐지기를 개선하는 데 초점을 맞춤으로써, 이 방법은 다음과 같은 실질적인 이점을 제공합니다:

배포 호환성: 생성 파이프라인이나 모델 아키텍처의 변경 없이 기존의 그린리스트 워터마킹 방식(예: SynthID-Text)과 함께 사용할 수 있습니다.
소급 적용 가능성: 재생성 없이 이전에 생성된 콘텐츠 내의 워터마크를 식별할 수 있습니다.
심층 방어(Defense-in-Depth): 워터마크를 고정된 신호로 취급하고 여러 통계적 관점을 통해 증거를 추출함으로써, 복잡하고 적응적인 생성 방식이 도입할 수 있는 새로운 공격 표면을 피합니다.

저자들은 이 연구를 더 강력하고 복잡한 워터마킹 메커니즘의 필요성을 선언하기 전에, 가용한 모든 정보(국소 구조 및 안정성)를 추출함으로써 고정된 워터마킹 방식에 대한 이론적 최적성에 도달하는 단계로 규정합니다. 이 방법은 교육, 저널리즘 및 과학 정책 분야에서 실질적이고 오버헤드가 낮은 실무적 솔루션으로 제시됩니다.