PMark: Towards Robust and Distortion-free Semantic-level Watermarking with Channel Constraints

Dit paper introduceert PMark, een robuuste en vervormingsvrije methode voor semantische watermerking in grote taalmodellen die gebruikmaakt van proxyfuncties en kanaalbeperkingen om de weerstand tegen parafrase-aanvallen te vergroten en de tekstkwaliteit te behouden.

De kern

PMARK: Een Onzichtbare, Onverwoestbare Handtekening voor AI-tekst

Stel je voor dat kunstenaars in de toekomst hun schilderijen niet meer met een handtekening op de achterkant, maar met een onzichtbare, magische inkt op de verf zelf tekenen. Als iemand het schilderij probeert na te maken of de kleuren te veranderen, blijft die handtekening toch zichtbaar.

Dit is precies wat PMARK doet, maar dan voor teksten die door kunstmatige intelligentie (zoals ChatGPT) worden geschreven.

Hier is hoe het werkt, vertaald naar alledaagse taal:

1. Het Probleem: De "Verf" van AI

Tegenwoordig schrijven AI's prachtige verhalen, artikelen en e-mails. Maar hoe weet je of een tekst door een mens of een robot is geschreven?

• De oude methode (Token-watermerken): Stel je voor dat je een tekst schrijft en elke 10e letter een beetje "rood" maakt. Als iemand de tekst herschrijft (bijvoorbeeld door woorden te vervangen of zinnen te herschikken), is die rode letter weg. De "handtekening" is vernietigd.
• De huidige "slimme" methode (Semantische watermerken): Hierbij kijkt men naar hele zinnen. Maar tot nu toe was dit als het proberen om een perfecte kopie van een schilderij te maken, waarbij je soms hele stukken van het origineel moet weggooien om de "rode inkt" te krijgen. Dit maakt de tekst vaak minder natuurlijk (vervorming).

2. De Oplossing: PMARK (De Magische Kompasnaald)

PMARK is een nieuwe manier om AI-teksten te "watermerken" (van een onzichtbaar stempel voorzien) zonder de tekst te bederven.

Het geheim: De Proxy Functie (De Kompasnaald)
In plaats van te kijken naar letters of zinnen, gebruikt PMARK een wiskundig trucje.

• Stel je voor dat elke zin een punt is in een gigantische, onzichtbare ruimte.
• PMARK heeft een kompasnaald (een wiskundige vector) die in die ruimte staat.
• De "Proxy Functie" meet gewoon: Hoeveel lijkt deze zin op de richting van mijn kompasnaald?

De "Online" Versie: Het Gokspel met Gelijke Kansen
Wanneer de AI een zin moet schrijven, doet PMARK het volgende:

1. De AI bedenkt 64 mogelijke zinnen (alsof je 64 verschillende routes op een kaart tekent).
2. PMARK meet voor elke zin hoe goed die past bij de kompasnaald.
3. De magische stap: PMARK kijkt naar het midden (de mediaan) van al die metingen.
   • Als de AI een "groene" route moet kiezen, kiest hij willekeurig uit de bovenste helft van de zinnen.
   • Als hij een "rode" route moet kiezen, kiest hij uit de onderste helft.
   • Belangrijk: Omdat hij willekeurig kiest uit een groep die precies even groot is, is de kans dat hij een "goede" zin kiest exact hetzelfde als zonder watermerk. De tekst klinkt dus perfect natuurlijk (geen vervorming).

De "Offline" Versie: De Vooraf Bepaalde Regels
Voor situaties waar je niet 64 keer hoeft te rekenen, gebruikt PMARK een vaste regel: "Als de zin meer dan 0 op de kompasnaald lijkt, is het een 'groene' zin." Omdat AI-teksten in de natuur vaak rond de 0 liggen, werkt dit ook heel goed en is het heel snel.

3. Waarom is PMARK zo sterk? (Meerdere Kompasnaalden)

Het grootste probleem van eerdere methoden was dat als iemand de tekst herschrijft (paraphraseren), de "handtekening" vaak verdween.

• De analogie: Stel je voor dat je een handtekening maakt met één pen. Als de dader de inkt wegveegt, is je handtekening weg.
• PMARK's oplossing: PMARK gebruikt 4 verschillende kompasnaalden tegelijk (4 kanalen). Het is alsof je je handtekening maakt met 4 verschillende pennen die allemaal in een andere richting wijzen.
• Als een dader de tekst herschrijft, verandert de richting van de zinnen misschien een beetje, maar het is bijna onmogelijk om alle 4 kompasnaalden tegelijk te "verdraaien" zonder de tekst onleesbaar te maken. De handtekening blijft dus overeind, zelfs als de tekst flink is aangepast.

4. Het Resultaat: Beter dan ooit

De auteurs hebben PMARK getest en het werkt fantastisch:

• Kwaliteit: De teksten klinken net zo goed als normale AI-teksten (geen rare zinnen).
• Sterkte: Zelfs als iemand de tekst door een andere AI laat herschrijven (zoals "schrijf dit anders"), blijft het watermerk detecteerbaar.
• Snelheid: Het kost minder rekenkracht dan de beste methoden van nu.

Kortom:
PMARK is als een onzichtbare, onuitwisbare stempel op de zin zelf, in plaats van op de letters. Het gebruikt slimme wiskunde om ervoor te zorgen dat de AI een "stempel" op de tekst zet zonder de tekst zelf te veranderen, en het gebruikt meerdere "stempels" tegelijk zodat niemand ze kan verwijderen door de tekst te herschrijven. Het is een grote stap voorwaarts om te weten wie er echt schrijft: een mens of een robot.

Technische samenvatting

Probleemstelling

De snelle opkomst van generatieve AI (GenAI) heeft de traceerbaarheid van gegenereerde tekst en auteursrechtbescherming tot een kritiek onderwerp gemaakt. Hoewel watermerking een veelbelovende oplossing is, kampen bestaande methoden met twee fundamentele tekortkomingen:

1. Token-niveau watermerking: Methoden zoals "Green-Red" zijn kwetsbaar voor semantische aanval (zoals parafraseren), waarbij een aanvaller de tekst herschrijft zonder de betekenis te veranderen, waardoor het watermerk verdwijnt.
2. Semantisch-niveau watermerking (SWM): Bestaande SWM-methoden (zoals SemStamp) behandelen zinnen als een eenheid om robuustheid te verhogen. Echter, deze methoden gebruiken vaak reject-sampling (afkeuren en opnieuw proberen). Dit leidt tot:
   • Vervorming (Distortion): De gegenereerde tekst wijkt af van de oorspronkelijke verdeling van het taalmodel, wat de kwaliteit (perplexity) verslechtert.
   • Theoretische onzekerheid: Er ontbreken sterke theoretische garanties voor robuustheid en vervormingsvrijheid.
   • Sampling-falen: Als geen enkel kandidaat-zin in het geldige gebied valt, faalt het generatieproces.

Methodologie: PMARK

De auteurs introduceren PMARK, een nieuwe semantisch-niveau watermerkingstechniek die zowel robuust als vervormingsvrij is. De kern van de methode rust op een nieuw theoretisch kader gebaseerd op Proxy Functions (PF).

1. Proxy Functies (PF)

In plaats van direct te werken in de oneindige tekstuele ruimte, wordt een zin $s$ afgebeeld naar een scalair waarde via een proxy functie $F(s)$.

• In PMARK is de PF gedefinieerd als de cosinus-ähnelijkheid tussen de embedding van de zin en een vooraf gedefinieerde willekeurige vector (pivot vector).
• Dit maakt het mogelijk om statistische eigenschappen van de verdeling te analyseren en te sturen.

2. Vervormingsvrije Sampling (Theoretisch Fundament)

Het paper bewijst dat als men de mediaan van de PF-verdeling kent, men kan bemonsteren zonder de onderliggende verdeling te verstoren.

• Enkel-kanaal: Door een set kandidaat-zinnen te genereren en deze te splitsen in twee gelijke groepen (boven en onder de mediaan), en vervolgens willekeurig één groep te selecteren, blijft de marginale verdeling identiek aan die van het originele model. Dit garandeert distortion-free (vervormingsvrije) output.

3. Multi-Kanaal Beperkingen (Robuustheid)

Om het probleem van de lage dichtheid van watermerkbewijs (wat kwetsbaar maakt voor parafraseren) op te lossen, introduceert PMARK meerdere kanalen.

• Er worden $b$ orthogonale pivot vectoren gebruikt (kanalen).
• Voor elke zin worden de PF-waarden berekend voor elk kanaal.
• De watermerkcode bepaalt welke helft van de kandidaten (boven of onder de mediaan) voor elk kanaal geldig is.
• Een zin wordt alleen geselecteerd als deze voldoet aan de beperkingen van alle kanalen. Dit verhoogt de dichtheid van het watermerkbewijs aanzienlijk, waardoor parafraserende aanvallen minder effectief zijn.

4. Online vs. Offline Implementatie

• Online PMARK: Schat de mediaan dynamisch voor elke gegenereerde zin door te bemonsteren. Dit garandeert theoretisch perfecte vervormingsvrijheid.
• Offline PMARK: Benut de observatie dat in hoge dimensies de PF-waarden (cosinus-ähnelijkheid) vaak rond nul geconcentreerd zijn. Het gebruikt 0 als een vooraf bepaalde mediaan. Dit elimineert de noodzaak voor dynamische mediaan-schatting tijdens de detectie, wat de rekenefficiëntie drastisch verbetert en de toepasbaarheid in de praktijk vergroot.

5. Detectie: Soft-z-test

Voor de detectie wordt een soft-z-test gebruikt. In plaats van een harde drempelwaarde, wordt een "smooth counting" mechanisme toegepast dat rekening houdt met de afstand tot de geschatte mediaan. Dit verhoogt de detectie-accuraatheid, zelfs als de geschatte mediaan tijdens detectie licht afwijkt van de generatie-mediaan.

Belangrijkste Bijdragen

1. Unificerend Theoretisch Kader: Het introduceert het concept van "Proxy Functions" om bestaande SWM-methoden te analyseren en een solide theoretische basis te leggen voor prestatie-evaluatie.
2. Vervormingsvrije SWM: Het is de eerste methode die een semantisch-niveau watermerk biedt met theoretische garanties voor vervormingsvrijheid (distortion-free).
3. Multi-Kanaal Robuustheid: Het identificeert dat de kwetsbaarheid van bestaande SWM-methoden voortkomt uit de schaarsheid van bewijs en lost dit op door meerdere orthogonale kanalen te gebruiken, wat de weerstand tegen parafraserende aanvallen sterk verhoogt.
4. Efficiënte Implementaties: Het biedt zowel een online versie (hoogste kwaliteit/robuustheid) als een offline versie (lagere rekentijd) die beide superieur presteren aan de state-of-the-art.

Resultaten

De experimenten zijn uitgevoerd op modellen zoals OPT-1.3B en Mistral-7B, met datasets C4 en BOOKSUM, en vergeleken met token-level (KGW, UPV, SynthID) en semantische baselines (SemStamp, k-SemStamp, SimMark).

• Robuustheid: PMARK presteert aanzienlijk beter tegen parafraserende aanvallen (via GPT-3.5, Parrot, Pegasus).
  • De online versie behaalde een True Positive Rate (TPR@1% FPR) van >93% over verschillende aanvallen, wat een verbetering is van tot wel 44,6% ten opzichte van de beste token-level methoden en 14,8% ten opzichte van de beste semantische methoden.
  • Het is ook zeer robuust tegen woord-niveau aanvallen (verwijdering en synoniemen), waar bestaande SWM-methoden vaak falen.
• Tekstkwaliteit: PMARK behoudt een hoge tekstkwaliteit.
  • De perplexity (PPL) ligt tussen 4.37 en 4.71, wat lager (beter) is dan de beste bestaande methoden. De online versie is zelfs beter dan de beste token-level baseline (EXP).
• Efficiëntie:
  • De online versie verbruikt slechts 20% van de token-resources (sampling budget) in vergelijking met de beste bestaande semantische methoden.
  • De offline versie is nog efficiënter en vereist geen dynamische mediaan-schatting tijdens detectie.

Betekenis en Impact

PMARK vertegenwoordigt een doorbraak in het veld van AI-watermerking. Het lost het fundamentele compromis op tussen robuustheid (weerstand tegen aanval) en kwaliteit (vermijden van tekstvervorming).

• Het biedt een theoretisch onderbouwde oplossing die bewijst dat semantisch-niveau watermerking niet per se tot kwaliteitsverlies hoeft te leiden.
• Door de invoering van multi-kanaal beperkingen, maakt het watermerken effectief tegen de meest geavanceerde semantische manipulaties.
• De methode is klaar voor praktische implementatie dankzij de efficiënte offline variant, wat een belangrijke stap is voor de bescherming van auteursrechten en de detectie van machine-genererde content in de echte wereld.

Kortom, PMARK stelt een nieuwe standaard neer voor het veilig, onzichtbaar en robuust markeren van tekst gegenereerd door Large Language Models.