Resumo Técnico: SAMARK - Marca d'Água de Texto Autoancorada com Robustez ao Paráfrase em Nível de Parágrafo

1. Definição do Problema

O avanço rápido da IA Generativa (GenAI) exige métodos robustos para identificar texto gerado por máquinas. Embora a marca d'água para Modelos de Linguagem de Grande Escala (LLM) tenha surgido como uma solução, os métodos existentes enfrentam uma vulnerabilidade crítica: Ataques de Paráfrase em Nível de Parágrafo (PPA).

Os esquemas atuais de marca d'água dividem-se em duas categorias:

• Marca d'Água em Nível de Token (TWM): Modifica as distribuições de amostragem de tokens (por exemplo, listas Verde-Vermelho). Embora eficientes, esses sinais são facilmente diluídos ou removidos por edições locais, substituições de palavras ou deleções.
• Marca d'Água em Nível Semântico (SWM): Trata sentenças como a unidade básica, incorporando sinais no espaço semântico. Embora mais robustas a edições locais, os métodos SWM existentes (por exemplo, SemStamp, PMark) dependem de sementes aleatórias dependentes do passo. Essas sementes são tipicamente derivadas do contexto precedente (hashing de contexto) ou de índices de passo fixos.
  • Vulnerabilidade Dependente do Contexto: Se um atacante parafrasear as sentenças precedentes, a semente reconstruída muda, fazendo com que o sinal de detecção falhe.
  • Vulnerabilidade Dependente do Passo: Se um atacante reordenar sentenças dentro de um parágrafo, a semente indexada pelo passo não corresponde mais à posição da sentença, interrompendo a pontuação de detecção.

O problema central abordado é a falta de um esquema de marca d'água em nível semântico que seja inerentemente robusto ao PPA (reordenação e paráfrase global) enquanto mantém alta qualidade textual e precisão de detecção.

2. Metodologia: Framework SAMARK

Os autores propõem o SAMARK (Marca Autoancorada), um framework que elimina a dependência da ordem das sentenças e do contexto estabelecendo uma região verde independente do passo no espaço semântico.

2.1. Insight Central: Condição Autoancorada (SAC)

A inovação fundamental é a Condição Autoancorada, onde a semente aleatória para uma sentença depende apenas da semântica intrínseca da própria sentença, e não de sua posição ou contexto precedente.

• Mecanismo: Para uma sentença $u$, a semente aleatória é $r_t = R(\phi(u); k)$, onde $\phi(u)$ é a representação semântica e $k$ é uma chave privada.
• Garantia Teórica: O Teorema 1 prova que essa condição estabelece uma "região viável" (região verde) globalmente estática $\mathcal{G} \subseteq \Omega$. Uma sentença pertence à região verde se e somente se sua própria semântica mapear para uma partição válida sob a chave, independentemente de quando ou onde ela aparece no texto. Isso garante robustez contra reordenação e modificação de contexto.

2.2. Gerador: Amostragem Hiperbólica Multicanal

Para gerar texto com marca d'água, o SAMARK emprega uma estratégia de amostragem por rejeição aprimorada por um mecanismo de pontuação hiperbólica multicanal:

1. Geração de Candidatos: Amostra $N$ sentenças candidatas do LLM base.
2. Correspondência de Canais: Filtra candidatos para reter apenas aqueles cujos embeddings semânticos alinham-se com um padrão de bandeira alvo $R$ através de $c$ vetores pivô (canais).
3. Pontuação Hiperbólica: Em vez de usar similaridade de cosseno bruta, o método aplica uma transformação tangente hiperbólica ($\tanh$) às similaridades de cosseno assinadas:
   $$S_{wm}(x) = \sum_{j=1}^{c} \tanh(\kappa \cdot r_j \cdot \cos(E(x), v_j))$$
   • Propósito: Isso amplifica candidatos com forte alinhamento (empurrando pontuações para $\pm 1$) enquanto suprime ruído próximo a zero. Previne a concentração de pontuações próximas ao limite de decisão, que é um ponto de falha conhecido sob ataques de paráfrase.
4. Filtragem Consciente de Diversidade: Para evitar a degradação de qualidade frequentemente associada a restrições estritas de marca d'água (por exemplo, texto repetitivo), o SAMARK integra:
   • Filtragem Rígida: Remove candidatos com alta sobreposição de n-gramas ou alta similaridade semântica com sentenças geradas anteriormente.
   • Regularização Suave: Adiciona bônus de diversidade ($\lambda_{div}$ para diversidade semântica, $\lambda_{nov}$ para novidade de vocabulário) à pontuação final de seleção.
5. Seleção: Uma distribuição softmax é aplicada aos candidatos filtrados para introduzir estocasticidade controlada.

2.3. Detector: Detecção Cega por Voto Majoritário

O detector opera sem conhecimento prévio das bandeiras alvo específicas usadas durante a geração:

1. Segmentação e Embedding: Divide o texto em sentenças e computa embeddings.
2. Inferência Cega de Bandeiras: Como as bandeiras verdadeiras $R$ são desconhecidas, o detector as infere via voto majoritário sobre as respostas direcionais de todas as sentenças no texto.
3. Alinhamento Hiperbólico: Aplica a mesma transformação $\tanh$ usada na geração às bandeiras inferidas.
4. Teste Z: Computa uma estatística z global baseada na matriz de alinhamento transformada. Se a estatística exceder um limiar, o texto é classificado como com marca d'água.

3. Contribuições Principais

1. Paradigma Autoancorado: O primeiro framework a desacoplar sinais de marca d'água da ordem e do contexto das sentenças, tornando-os robustos ao PPA.
2. Pontuação Hiperbólica Multicanal: Um mecanismo de pontuação inovador que amplifica sinais robustos e suprime ruído, abordando o problema da concentração de pontuações próximas aos limites.
3. Filtragem Consciente de Diversidade: Uma estratégia combinada de filtragem rígida/suave que mitiga o trade-off robustez-qualidade, prevenindo redundância semântica e geração repetitiva.
4. Validação Empírica: Avaliação abrangente demonstrando desempenho de última geração em robustez e qualidade.

4. Resultados Experimentais

Os experimentos foram conduzidos nos conjuntos de dados C4 e BOOKSUM usando os modelos Llama-3.1-8B e Mistral-Small-3.1-24B.

• Robustez (RQ1): O SAMARK supera significativamente as bases existentes (incluindo KGW, SemStamp e PMark) sob PPA.
  • Sob o ataque desafiador Doc-P II (paráfrase agressiva), o SAMARK alcança 90,2% TP@FP1% em Mistral+BOOKSUM, comparado a 57,5% para a próxima melhor base (PMark).
  • Isso representa uma melhoria média de mais de 30% sobre as bases anteriores mais fortes.
  • O SAMARK mantém altas taxas de detecção (>72%) em todos os cenários de ataque, enquanto as bases frequentemente caem abaixo de 30%.
• Qualidade do Texto (RQ2): O SAMARK preserva a qualidade de geração competitiva com texto sem marca d'água.
  • Julgamentos pareados por LLM mostram que o SAMARK alcança altas taxas de vitória contra bases sem marca d'água.
  • Métricas como Duplicata de Sentença (SD) e Distinto-2 (D-2) indicam que a filtragem consciente de diversidade previne efetivamente os problemas de repetição comuns em outros métodos SWM.
• Eficiência (RQ3):
  • O SAMARK reduz a sobrecarga computacional dos métodos em nível semântico. Requer 47,44 tokens amostrados por token de saída, significativamente menos que o SemStamp (64,5) ou o PMark (49,73).
  • A latência de detecção é negligenciável (0,0014s por token), pois evita a re-geração baseada em LLM exigida por alguns métodos de múltiplos bits.
• Estudos de Ablação (RQ4):
  • Remover a transformação hiperbólica na geração causa uma queda massiva na robustez (por exemplo, Doc-P II TP@FP1% cai de 93,2% para 67,4%), confirmando seu papel crítico.
  • Desabilitar filtros de diversidade leva a degradação significativa da qualidade (aumento de repetição e menor distintividade).

5. Significado e Alegações

O artigo alega que o SAMARK representa uma mudança de paradigma na marca d'água em nível semântico. Ao afastar-se de sementes dependentes do passo para uma abordagem autoancorada, resolve o problema "intratável" da robustez ao paráfrase em nível de parágrafo que tem limitado o campo.

• Quebrando o Trade-off: O SAMARK quebra com sucesso o trade-off tradicional entre robustez e qualidade textual, alcançando altas taxas de detecção sob ataques severos sem sacrificar fluência ou diversidade.
• Implantação Prática: O método é apresentado como uma solução viável para serviços reais de LLM onde o conteúdo é frequentemente editado, encurtado ou parafraseado por usuários.
• Limitações: Os autores modestamente reconhecem que o SAMARK ainda incorre em maior latência que métodos em nível de token devido à necessidade de amostragem de candidatos em nível de sentença (uma limitação dos LLMs autoregressivos atuais) e que atualmente suporta detecção de zero bits (sim/não) em vez de incorporação de carga útil de múltiplos bits.

Em conclusão, o SAMARK estabelece um novo estado da arte para marca d'água em nível semântico, oferecendo uma solução robusta, de alta qualidade e eficiente para identificar texto gerado por IA em ambientes adversariais.