Robust and Secure Code Watermarking for Large Language Models via ML/Crypto Codesign

Technische Samenvatting: Robuuste Zero-Knowledge Verifieerbare Watermarking van Code LLM's met ML/Crypto Co-Design

Probleemstelling
De proliferatie van door AI gegenereerde code door Large Language Models (LLM's) roept belangrijke zorgen op over intellectueel eigendom (IP), waaronder plagiaat, injectie van kwetsbaarheden en ongeautoriseerd commercieel gebruik. Watermarking wordt voorgesteld als een oplossing om LLM-gegenereerde code te identificeren. Bestaande methoden kampen echter met een kritiek tri-objectief conflict: detecteerbaarheid (het vermogen om de watermark te vinden), getrouwheid (het behoud van de codefunctionaliteit) en robuustheid (weerstand tegen verwijdering).

Een specifieke bottleneck in code watermarking is de lage entropie van code. In tegenstelling tot natuurlijke taal heeft code een beperkte ruimte voor hoogwaardige signatures. Huidige verificatiemethoden vereisen dat de eigenaren van LLM's hun geheime signatures onthullen aan derden (arbitrators) voor juridische validatie. Deze onthulling creëert een beveiligingsparadox: zodra een signature wordt onthuld, moet deze opnieuw worden gecodeerd voor toekomstige artefacten om vervalsing te voorkomen. In laag-entropie code leidt het opnieuw coderen vaak tot degradatie van de codefunctionaliteit of een vermindering van de weerstand van de watermark, wat de herbruikbaarheid van het watermarking-schema beperkt. Bovendien vertrouwen bestaande neurale methoden vaak op oppervlakkige netwerken die vanaf nul worden getraind, wat de mogelijkheden voor feature extractie beperkt, terwijl inferentie-gebaseerde methoden tokens op manieren manipuleren die de syntaxis kunnen breken.

Methodologie: RoSeMary Framework
Het artikel introduceert RoSeMary, een framework dat gebruikmaakt van ML/Crypto co-design om deze uitdagingen aan te pakken. Het bestaat uit twee primaire componenten: een robuuste ML-gebaseerde watermarking architectuur en een op maat gemaakt Zero-Knowledge Proof (ZKP) verificatieprotocol.

1. ML-gebaseerde Watermarking Architectuur:

   • Backbone: RoSeMary gebruikt CodeT5, een pre-trained sequence-to-sequence model getraind op miljoenen code-snippets, als de backbone voor feature extractie. Dit maakt gebruik van pre-trained kennis om de semantiek van code beter te begrijpen dan modellen die vanaf nul worden getraind.
   • Insertie: De encoder fuseert de originele code-features met een watermark bericht. Twee decoders ($S_{d1}$ en $S_{d2}$) voorspellen de waarschijnlijkheden voor syntactische transformaties (bijv. loop-types, operator substitutie) en variabele hernoeming. De watermarked code wordt gegenereerd door de meest waarschijnlijke transformaties toe te passen.
   • Adversarial Training: Om robuustheid te garanderen, genereert het systeem tijdens de training adversariële varianten door de transformatie waarschijnlijkheidsverdelingen te verstoren. Het extractie-module wordt getraind om het bericht te herstellen uit zowel de standaard watermarked code als deze adversariële getransformeerde versies.
   • Trainingsdoelstellingen: Het systeem wordt end-to-end getraind om drie verliezen te minimaliseren:
     • Functionality Loss ($L_f$): Zorgt ervoor dat de watermarked code identiek compileert en uitvoert als de originele code (met behulp van een feature approximatie netwerk $R_f$).
     • Detectability Loss ($L_d$): Minimaliseert de fout tussen de gecodeerde en geëxtraheerde berichten.
     • Robustness Loss ($L_r$): Minimaliseert de fout tussen het gecodeerde bericht en het bericht dat uit adversariële voorbeelden is geëxtraheerd.

2. Zero-Knowledge Verificatie (ZKP):

   • Doel: Maakt juridische verificatie van eigendom mogelijk zonder dat de LLM-eigenaar de geheime signature aan de arbitrator hoeft te onthullen, waardoor de signature behouden blijft voor hergebruik.
   • Mechanisme: RoSeMary maakt gebruik van non-interactieve Zero-Knowledge Proofs (NIZK) gebaseerd op het Halo2 zk-SNARK systeem.
   • Proces:
     • De LLM-eigenaar (Prover) genereert een bewijs dat een specifieke watermarked code-snippet een geldige signature bevat die overeenkomt met hun private key, zonder de signature zelf te onthullen.
     • De arbitrator (Verifier) controleert het bewijs met behulp van een publieke verificatie sleutel.
   • Optimalisaties: Om ZKP haalbaar te maken voor neurale netwerk inferentie, hebben de auteurs vier aangepaste optimalisaties geïmplementeerd:
     1. Polynomiale Approximatie: Vervanging van de ReLU activatie door een polynoom ($x^2 + x$) om dure range-check lookups te vermijden.
     2. Quantisatie: Gebruik van Bfloat16 voor parameters om het geheugenoverhead te verminderen.
     3. Custom zkBER Circuit: Een specifief circuit om de Bit Error Rate (BER) te berekenen binnen het zero-knowledge bewijs, wat het geëxtraheerde bericht bindt aan een binaire signature.
     4. Composability: Het fuseren van de feed-forward en BER circuits in één enkele computationele graaf om de bewijsgrootte en verificatietijd te verminderen.

Belangrijkste Bijdragen

• RoSeMary Framework: Een nieuw code LLM watermarking systeem dat detecteerbaarheid, getrouwheid en robuustheid gezamenlijk optimaliseert met behulp van een pre-trained CodeT5 backbone.
• Vertrouwelijke Verificatie: De eerste toepassing van aangepaste ZKPs op code watermarking, waardoor eigendom kan worden geverifieerd zonder de signature te onthullen, wat het probleem van de herbruikbaarheid in laag-entropie code oplost.
• Adversarial Training: Een end-to-end trainingsstrategie die expliciet modellen en verdedigt tegen variabele hernoeming, refactoring en re-watermarking aanvallen.
• Systeem-niveau Co-Design: Integratie van ML en Crypto componenten met specifieke optimalisaties (quantisatie, polynomiale benaderingen) om efficiënte bewijsgeneratie en -verificatie te bereiken.

Experimentele Resultaten
Evaluaties werden uitgevoerd op de HumanEval, MBPP (Python, C++, Java) en EvalPlus benchmarks:

• Detecteerbaarheid & Getrouwheid: RoSeMary behaalde een AUROC van 0,97 over de benchmarks, terwijl een Pass Rate van ~95-97% werd behouden, waarmee het inferentie-gebaseerde baselines (KGW, SWEET) in getrouwheid en neurale baselines (SrcMarker) in detecteerbaarheid aanzienlijk overtrof.
• Robuustheid: Onder variabele hernoeming (tot 50% van de variabelen) en LLM-gebaseerde refactoring aanvallen, behield RoSeMary een AUROC boven de 0,73, waarmee het SrcMarker en SWEET overtrof. Het toonde ook veerkracht tegen re-watermarking aanvallen.
• ZKP Efficiëntie:
  • Bewijsgeneratie: Duurt ongeveer 7,15 seconden (eenmalige kosten door de eigenaar).
  • Verificatie: Duurt ongeveer 118,6 ms door de arbitrator.
  • Communicatie: De bewijsgrootte is 17,12 KB, en de verificatiesleutel is 577,3 KB.
  • Schaalbaarheid: De verificatietijd blijft statistisch invariant over verschillende programmeertalen (Python, Java, C++) en watermark lengtes (4 tot 16 bits), hoewel het toeneemt met de decoder breedte.

Significantie en Claims
Het artikel claimt dat RoSeMary een gebalanceerde oplossing biedt voor praktische code watermarking systemen. Door de ML en Crypto componenten te co-designen, bereikt het:

1. Hoogwaardige Watermarks: Het behoud van de codefunctionaliteit terwijl een hoge detectiegraad en robuustheid tegen veelvoorkomende aanvallen worden gegarandeerd.
2. Signature Herbruikbaarheid: Het elimineren van de noodzaak om watermarks opnieuw te coderen na juridische verificatie, wat cruciaal is voor laag-entropie code waar de signature ruimte beperkt is.
3. Privacy-Preserving Verificatie: Het mogelijk maken voor derden (arbitrators) om eigendom juridisch te verifiëren zonder toegang te krijgen tot de propriëtaire signature, waardoor de intellectuele eigendommen van de eigenaar worden beschermd.

De auteurs benadrukken dat hoewel de ZKP generatie computationeel zwaarder is dan standaard inferentie, het een eenmalige kostenpost is per artefact, waardoor het totale systeem efficiënt is voor implementatie. Het framework wordt gepresenteerd als een levensvatbaar hulpmiddel voor het reguleren van LLM-gegenereerde content en het beschermen van intellectueel eigendom in de softwareontwikkelingscyclus.