💬 NLP

TextSeal: A Localized LLM Watermark for Provenance & Distillation Protection

TextSeal is een state-of-the-art, vervormingsvrij LLM-watermerksysteem dat robuuste herkomstdetectie en distillatiebescherming garandeert via dubbele-sleutelgeneratie en multi-regio-localisatie, terwijl het tegelijkertijd de outputkwaliteit behoudt en ondersteuning biedt voor serving-optimalisaties zonder inferentie-overhead.

Oorspronkelijke auteurs: Tom Sander, Hongyan Chang, Tomáš Souček, Tuan Tran, Valeriu Lacatusu, Sylvestre-Alvise Rebuffi, Alexandre Mourachko, Surya Parimi, Christophe Ropers, Rashel Moritz, Vanessa Stark, Hady Elsahar, Pierre

Gepubliceerd 2026-05-13

📖 5 min leestijd🧠 Diepgaand

CC BY 4.0

Oorspronkelijke auteurs: Tom Sander, Hongyan Chang, Tomáš Souček, Tuan Tran, Valeriu Lacatusu, Sylvestre-Alvise Rebuffi, Alexandre Mourachko, Surya Parimi, Christophe Ropers, Rashel Moritz, Vanessa Stark, Hady Elsahar, Pierre Fernandez

Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer

Stel je voor dat je een bakker bent die elke dag duizenden heerlijke broden bakt. Je wilt weten of een brood in een supermarkt door jou is gebakken, of dat iemand anders je recept heeft gekopieerd en het zelf heeft gebakken. Maar hier zit de adder onder het gras: je kunt niet zomaar "Gemaakt door Bakker Tom" op het brood stempelen, want dat ruïneert de smaak en textuur. Je hebt een geheim ingrediënt nodig dat onzichtbaar is voor de menselijke tong, maar een unieke, detecteerbare vingerafdruk achterlaat voor je speciale scanner.

Dit is precies het probleem dat TextSeal oplost voor Large Language Models (AI). Het is een nieuwe, high-tech "onzichtbare watermerk" die bewijst wie een stuk tekst heeft geschreven, zonder de klank of het uiterlijk van de tekst te veranderen.

Hieronder wordt uitgelegd hoe TextSeal werkt, opgesplitst in eenvoudige concepten:

1. Het Geheim Ingrediënt (Generatie met Dubbele Sleutels)

Oudere watermerken waren als een stempel die altijd hetzelfde merkteken op dezelfde plek zette. Als je de AI twee keer dezelfde vraag stelde, gaf het beide keren exact hetzelfde antwoord. Dit is saai voor gebruikers en kan de AI zelfs vast laten lopen in repetitieve lussen (zoals een nummer dat herhaaldelijk wordt afgespeeld).

De Oplossing van TextSeal: Het gebruikt twee geheime sleutels in plaats van één. Elke keer dat de AI een woord kiest, gooit het een munt om te beslissen welke sleutel wordt gebruikt.

De Analogie: Stel je voor dat je twee verschillende geheime specerijen hebt. Soms strooi je Specerij A, soms Specerij B. Voor de eter smaakt het brood precies hetzelfde (geen vervorming), maar voor je scanner creëert het patroon van specerijen een unieke, gevarieerde vingerafdruk die bewijst dat het van jou komt. Dit houdt de antwoorden van de AI fris en divers, terwijl ze toch traceerbaar blijven.

2. De Slimme Scanner (Entropie-gewogen Detectie)

Het detecteren van een watermerk is moeilijk, omdat de AI soms zeer voorspelbare dingen schrijft (lage "entropie") en soms zeer creatieve, onvoorspelbare dingen (hoge entropie).

Het Probleem: Als de AI 99% zeker weet dat het volgende woord "de" is, is het toevoegen van een watermerk daar als proberen een fluistering te verstoppen in een orkaan. Het is moeilijk te horen. Maar als de AI tussen veel woorden moet gokken, is het watermerksignaal veel sterker.
De Oplossing van TextSeal: Het gebruikt een "slimme scanner" die weet dat het extra aandacht moet besteden aan de delen van de tekst waar de AI onzeker was (hoge entropie). Het negeert de saaie, voorspelbare delen en richt zich op de creatieve delen waar het watermerksignaal het sterkst is. Dit maakt de detectie veel nauwkeuriger, zelfs in lange documenten.

3. De Naald in de Hooiberg Vinden (Gelokaliseerde Detectie)

Stel je voor dat iemand een alinea die jij schreef, mengt in een 50 pagina's tellend essay dat door een mens is geschreven, en claimt dat het hele stuk van hen is. Oude watermerken zouden naar het hele essay kijken, in de war raken door al het menselijke schrijven en zeggen: "Ik kan het watermerk niet vinden."

De Oplossing van TextSeal: Het kijkt niet alleen naar het hele document; het scant op specifieke gebieden.

De Analogie: In plaats van te proberen een enkel zandkorreltje op een strand te vinden, zoekt TextSeal naar kleine, specifieke plekken zand met een unieke kleur. Zelfs als de AI-tekst slechts 5% van een enorm document uitmaakt, kan TextSeal die 5% isoleren, de rest negeren en zeggen: "Aha! Deze specifieke alinea is zeker door AI gegenereerd." Dit werkt zelfs als de AI-tekst is opgehakt en verspreid door het document.

4. Het "Radioactieve" Effect (Bescherming tegen Distillatie)

Dit is misschien wel het krachtigste kenmerk. Als een concurrent probeert de "hersenen" van je AI te stelen door hun eigen model te trainen op je met watermerk voorziene outputs, blijft het watermerk niet alleen in de tekst zitten; het wordt geleerd.

De Analogie: Stel je voor dat je geheime specerij zo krachtig is dat als een concurrent probeert brood te bakken met je oude broden als referentie, hun nieuwe brood nog steeds een vaag spoor van je specerij draagt, zelfs als ze je geheime recept nooit hebben gezien.
De Claim: Het artikel toont aan dat als een studentmodel wordt getraind op TextSeal-watermerkte data, dat studentmodel "radioactief" wordt. Je kunt het studentmodel testen en het zal nog steeds het watermerksignaal tonen, wat bewijst dat het is getraind op jouw data. Dit stopt concurrenten erin hun model's kennis in het geheim te kopiëren.

Waarom is dit een groot ding?

Het is Onzichtbaar: Het artikel testte dit met mensen die duizenden voorbeelden lazen. Ze konden geen verschil zien tussen tekst met en zonder watermerk. Het liet de AI niet robotachtig klinken of fouten maken.
Het is Snel: Het voegt bijna geen tijd toe aan het denkproces van de AI, zodat het in real-time apps kan worden gebruikt.
Het is Sterk: Het verslaat eerdere methoden (zoals Google's SynthID) bij het detecteren van watermerken, zelfs wanneer de tekst sterk is verdund of gemengd met menselijke schrijfsels.

Kortom, TextSeal is een manier om het werk van je AI te ondertekenen met een onzichtbare, onbreekbare inkt die bestand is tegen kopiëren, mengen en zelfs "leren" door andere modellen, allemaal zonder de kwaliteit van de tekst te ruïneren.

Technische Samenvatting: TextSeal

Probleemstelling

De snelle implementatie van Large Language Models (LLM's) in productiesystemen vereist betrouwbare mechanismen voor contentprovenance. Watermerken beogen een onwaarneembaar, algoritmisch detecteerbaar signaal in gegenereerde tekst in te bedden om AI-oorsprong te identificeren, te voldoen aan opkomende regelgeving (bijv. de EU AI Act) en ongeautoriseerd gebruik te voorkomen, zoals modeldistillatie of zelftraining op synthetische data.

Bestaande state-of-the-art methoden staan voor een kritieke afweging tussen detecteerbaarheid en diversiteit. Waar vervormingsvrije methoden zoals Gumbel-max-sampling de oorspronkelijke uitvoerverdeling van het model behouden (zodat er geen kwaliteitsverlies optreedt), zijn ze volledig deterministisch: een vaste prompt en geheime sleutel leveren altijd dezelfde output op. Dit elimineert generatiediversiteit, wat leidt tot repetitieve lussen en een slechte gebruikerservaring. Omgekeerd compromitteren methoden die randomisatie introduceren om diversiteit te herstellen vaak de statistische sterkte van het watermerk of brengen ze vervorming mee (door de uitvoerverdeling te beïnvloeden). Bovendien worstelen bestaande detectoren met verdunning, waarbij ze gefaalde watermerkteksten niet kunnen identificeren wanneer deze worden gemengd met grote hoeveelheden menselijk geschreven tekst of verspreid zijn over een document.

Methodologie: TextSeal

TextSeal is een vervormingsvrij, niet-deterministisch watermerkschema gebaseerd op het Gumbel-max-raamwerk. Het introduceert drie kern-technische innovaties om de beperkingen van voorgaand werk aan te pakken:

1. Dubbel-sleutelgeneratie voor Diversiteit

Om het determinisme van standaard Gumbel-max te overwinnen, hanteert TextSeal Dubbel-sleutelrouting.

Mechanisme: Bij elke generatiestap selecteert het systeem willekeurig één van twee geheime sleutels, $k^{(1)}$ of $k^{(2)}$ , met respectievelijk de kansen $1-\alpha$ en $\alpha$ . Het token wordt geselecteerd via de Gumbel-max-truc met behulp van de PRF-waarde (Pseudo-Random Function) afgeleid van de gekozen sleutel.
Impact: Dit herstelt uitvoerdiversiteit (door deterministische lussen te doorbreken) terwijl het vervormingsvrije karakter behouden blijft.
Optimalisatie: De routingskans $\alpha$ kan dynamisch worden afgestemd op acceptatiepercentages bij speculatieve decoding (bijv. in Multi-Token Prediction-scenario's), waardoor compatibiliteit met leveringsoptimalisaties wordt gewaarborgd zonder inferentielatentie toe te voegen.

2. Entropie-gewogen Detectie

Standaard detectiescores behandelen alle tokens gelijk, maar het watermerksignaal is inherent zwakker in regio's met lage entropie (waar het model zeer zeker is en het top-token domineert, ongeacht de PRF).

Mechanisme: TextSeal weegt de detectiescore van elk token af op basis van zijn lokale entropie, geschat via een lichtgewicht proxy-model. Posities met hoge entropie, waar het watermerk meer invloed heeft, dragen meer bij aan de uiteindelijke statistiek.
Statistische Kalibratie: De gewogen som van scores volgt een hypo-exponentiële verdeling. Om ge-calibreerde p-waarden efficiënt te berekenen, maakt TextSeal gebruik van een moment-gematchte Gamma-benadering, die de heterogeniteit van gewichten en de variantie door dubbel-sleutelrouting verwerkt.

3. Gelokaliseerde Multi-Regio Detectie

Globale detectoren falen wanneer watermerkteksten een klein deel vormen van een lang document (verdunning) of verspreid liggen over niet-aaneengesloten segmenten (fragmentatie).

Mechanisme: TextSeal hanteert een geometrische overdekkingszoektocht om watermerksegmenten te identificeren. In plaats van alle mogelijke intervallen te testen ( $O(n^2)$ ), zoekt het in een dyadisch rooster van venstergroottes ( $L, 2L, 4L, \dots$ ).
Extractie: Een greedy-algoritme haalt disjuncte intervallen met de laagste p-waarden uit, aggregeert deze en past strikte Bonferroni-correcties toe om de family-wise error rate te beheersen.
Adaptief Ensemble: Het systeem selecteert adaptief het meest significante resultaat uit drie strategieën: een globale full-text-test, een enkel beste venster, of een multi-regio-aggregatie. Dit waarborgt robuustheid, ongeacht of de tekst puur gewatermerkt is of sterk gemengd.

Belangrijkste Bijdragen

State-of-the-Art Afweging: TextSeal domineert strikt de Pareto-grens voor diversiteit-detecteerbaarheid en presteert beter dan SynthID-text en standaard Gumbel-max. Het bereikt hoge detecteerbaarheid terwijl het diversiteit herstelt die vergelijkbaar is met niet-gewatermerkte generatie.
Robuustheid tegen Verdunning: Door gelokaliseerde detectie behoudt TextSeal een zelfverzekerde detectie, zelfs wanneer watermerkteksten met een factor 10x worden verdund of zijn gefragmenteerd in meerdere kleine regio's binnen lange documenten, waar globale baselines falen.
Zero Inferentie-Overhead: Het schema voegt verwaarloosbare sampling-overhead toe ( $\le 0.3\%$ ) en is volledig compatibel met speculatieve decoding en Multi-Token Prediction (MTP) zonder dat modelparameters of KV-cache-aanpassingen nodig zijn.
Radioactiviteit via Distillatie: TextSeal toont aan dat zijn watermerksignaal "radioactief" is. Wanneer een studentmodel wordt gedistilleerd uit gewatermerkte teacher-outputs, erft het studentmodel een detecteerbare token-bias, waardoor ongeautoriseerde distillatie kan worden gedetecteerd, zelfs zonder toegang tot de oorspronkelijke generatiecontext.
Behoud van Capaciteiten: Uitgebreide evaluaties over 12 benchmarks (wiskunde, code, redenering, kennis) en meertalige menselijke evaluaties bevestigen dat TextSeal de downstream-modelprestaties behoudt en geen waarneembare kwaliteitsvermindering introduceert.

Experimentele Resultaten

Detecteerbaarheid versus Diversiteit: In evaluaties op het ELI5-dataset bereikt TextSeal (met $\alpha=0.1$ ) aanzienlijk lagere p-waarden (hogere detecteerbaarheid) dan SynthID en Gumbel-max bij equivalente Self-BLEU-diversiteitsscores.
Weerstand tegen Verdunning: Het adaptieve ensemble van TextSeal behoudt sterke detectie ( $-\log_{10} p > 4$ ), zelfs wanneer 400 tokens gewatermerkte tekst zijn ingebed in 12.000 tokens niet-gewatermerkte tekst (3,3% gewatermerkt aandeel). Globale baselines dalen onder significantiedrempels bij veel lagere verdunningsniveaus.
Prestatiebehoud: Op benchmarks waaronder AIME, MATH, GSM8K en HumanEval vertoont TextSeal geen statistisch significante daling in prestaties vergeleken met vanilla-generatie. Minor fluctuaties die werden waargenomen in code-benchmarks werden toegeschreven aan opmaakruis in plaats van degradatie van redenering.
Menselijke Perceptie: Een meertalige menselijke evaluatie (6.000 A/B-vergelijkingen over 5 talen) vond geen waarneembare kwaliteitsverschillen. Equivalentietesten (TOST) bevestigden dat het voorkeursverschil tussen gewatermerkte en niet-gewatermerkte outputs is begrensd tot $\pm 5\%$ .
Distillatie-overdracht: In distillatie-experimenten (DeepSeek-R1 naar Qwen2.5-3B) hebben watermerkte sporen het signaal succesvol overgedragen aan het studentmodel. TextSeal bereikte het sterkste detectiesignaal in de oorspronkelijke opstelling vanwege hogere data-retentie, terwijl Gumbel-max een sterker per-token-signaal vertoonde onder gecontroleerde datavolumes.

Betekenis en Claims

Het artikel positioneert TextSeal als een praktische, productieklaar oplossing voor LLM-watermerken. De primaire betekenis ligt in het oplossen van de langdurige spanning tussen diversiteit en detecteerbaarheid zonder vervormingsvrijheid op te offeren.

De auteurs beweren dat TextSeal een "radioactieve" beveiliging biedt tegen ongeautoriseerde modeldistillatie, een kritieke zorg aangezien open-weight modellen steeds vaker worden getraind op synthetische data. Door detectie van gewatermerkte sporen in studentmodellen mogelijk te maken, biedt TextSeal een mechanisme om modelgebruik te monitoren en intellectueel eigendom te beschermen.

Het artikel blijft bescheiden wat betreft beperkingen: het erkent dat hoewel het watermerk vervormingsvrij is voor enkele generaties, de vermindering in diversiteit (via het dubbel-sleutelmecanisme) workflows kan beïnvloeden die vertrouwen op diverse outputs (bijv. best-of-N herordening). Het merkt echter op dat moderne redeneringsmodellen vaak van nature gecollapsed entropie vertonen, wat deze marginale verlies mogelijk kan mitigeren. Het werk vestigt een nieuwe benchmark voor watermerken die theoretisch onderbouwd, empirisch robuust en compatibel is met moderne inferentie-infrastructuur.