Resumo Técnico: Ensembles Lineares Apagam Marcas d'Água

Declaração do Problema

O artigo aborda uma vulnerabilidade fundamental nos atuais esquemas de marca d'água para Grandes Modelos de Linguagem (LLMs). Enquanto a marca d'água incorpora assinaturas estatísticas no texto gerado para permitir detecção e atribuição, a pesquisa existente baseia-se na premissa simplificadora de que um adversário tem acesso a apenas um único modelo com marca d'água. Na realidade, os usuários podem acessar múltiplos LLMs heterogêneos (por exemplo, via Hugiais Face) simultaneamente. Os autores postulam que, em um mercado competitivo onde os provedores utilizam chaves secretas e designs arquiteturais independentes, as perturbações introduzidas pela marca d'água são independentes entre os modelos. Essa independência cria uma fraqueza estrutural: ao agregar saídas de múltiplos modelos, essas perturbações independentes podem se cancelar, recuperando a distribuição original, sem marca d'água, e tornando a marca d'água indetectável.

Metodologia

Fundamentação Teórica

Os autores formalizam a marca d'água como uma perturbação estocástica $\delta_i$ aplicada a uma distribuição de consenso subjacente compartilhada $p^*$. Eles assumem que para $N$ provedores independentes:

1. Independência: As perturbações $\delta_i$ são independentes entre os provedores.
2. Média Zero: As perturbações estão centradas em torno da distribuição de consenso no espaço logarítmico ($E[\delta_i] = 0$).
3. Magnitude Limitada: As perturbações são limitadas para manter a qualidade do texto.

Sob essas premissas, o artigo prova que a média do ensemble linear de $N$ modelos, $\bar{p}_N = \frac{1}{N}\sum p_i$, converge para a distribuição de consenso $p^*$ com um termo de erro de $O(1/\sqrt{N})$. Os sinais da marca d'água, atuando como ruído não correlacionado, são assintoticamente apagados, deixando apenas um termo de erro de segunda ordem.

O Algoritmo WASH

Para traduzir esse insight teórico para a prática, os autores introduzem o WASH (Watermark Attenuation via Statistical Hybridisation - Atenuação de Marca d'Água via Hibridização Estatística). O WASH aborda dois desafios práticos críticos em ensembles heterogêneos: desalinhamento de vocabulário e diferenças de tokenização.

1. Ensemble Baseado em União: Em vez de restringir a amostragem à interseção de todos os vocabulários dos modelos (o que limita a expressividade), o WASH constrói uma distribuição de ensemble sobre a união de todos os vocabulários. Para tokens não presentes no vocabulário de um modelo específico, a probabilidade desse modelo é definida como zero.
2. Roteamento Consciente de Fluência: Quando um token é selecionado e este existe apenas em um subconjunto de modelos (um token "especialista"), o WASH roteia dinamicamente as etapas de geração subsequentes apenas para os modelos que suportam o token. Isso evita a quebra da cadeia autorregressiva. Crucialmente, a seleção do modelo dentro do conjunto especialista é randomizada para evitar a introdução de novos vieses sistemáticos que poderiam ser explorados por detectores.
3. Resincronização de Contexto: Para manter a coerência entre modelos com diferentes tokenizadores, o WASH emprega um ciclo de decodificação-codificação. Após a geração de um token, a string é decodificada e re-tokenizada pelo tokenizador específico de cada modelo para garantir que todos os modelos observem contextos semanticamente equivalentes para a etapa seguinte.
4. Eficiência: O método utiliza inferência paralela com cache de resposta, alcançando complexidade de tempo constante por token, independentemente do tamanho do ensemble, evitando a sondagem iterativa ou a re-codificação de contexto exigida por ataques anteriores.

Principais Contribuições

1. Prova Teórica de Vulnerabilidade: O artigo fornece uma prova rigorosa de que o ensembling linear recupera assintoticamente a distribuição sem marca d'água com uma taxa de convergência de $O(1/\sqrt{N})$, estabelecendo um limite fundamental para marcas d'água imparciais em ambientes de múltiplos provedores.
2. Algoritmo WASH: Um framework inovador que supera desalinhamentos de vocabulário em ensembles heterogêneos através de roteamento consciente de fluência e resincronização de contexto, permitindo a agregação de probabilidade eficaz sem sacrificar a integridade semântica.
3. Avaliação Sistemática: Experimentos abrangentes em seis esquemas de marca d'água representativos (AAR, DIPMark, ITSEdit, KGW, Exp-Edit, Water-Bag) e três LLMs (Qwen, Llama, Ministral) sob configurações de detecção de tempo de geração e de texto final.

Resultados Experimentais

Eficácia de Detecção

• Detecção em Tempo de Geração: O WASH suprime com sucesso a detecção de escores $z$ de baselines fortes (variando de 5 a 300) para valores abaixo de 2 (próximo ao acaso) usando apenas 3 modelos. Isso está abaixo do limiar padrão de detecção de 4.
• Detecção de Texto Final: Para detectores de sequência nativos, o WASH reduz a Taxa de Verdadeiros Positivos no nível de 5% de Falsos Positivos (TPR@5%FPR) para abaixo de 50% em todos os esquemas testados, tornando as marcas d'água estatisticamente indetectáveis.
• Experimento de Controle: Quando os modelos compartilham uma marca d'água coordenada (mesmo sinal através dos vocabulários), o ataque de ensemble falha, confirmando que a eficácia da remoção depende da independência das perturbações.

Qualidade e Eficiência

• Qualidade: O WASH melhora a qualidade da geração em 27,5% em comparação com o melhor baseline (De-mark) em tarefas de geração de sequências longas, superando tanto a baseline com marca d'água quanto outros métodos de remoção (ToBlend, RandomWalk) em benchmarks como GSM8K, MMLU e SQuAD.
• Eficiência: O WASH executa aproximadamente 6 vezes mais rápido que o melhor baseline (De-mark) em sequências longas. Enquanto o De-mark incorre em custos de 30x–38x devido à sondagem iterativa, o WASH opera a aproximadamente 1,0x–2,4x o custo da baseline através de amostragem determinística e cache de KV sincronizado.

Significância e Alegações

O artigo afirma revelar uma "vulnerabilidade fundamental" no paradigma atual de marca d'água de texto de IA. Os autores argumentam que a detecção robusta em um mercado competitivo de múltiplos provedores é matematicamente inalcançável sem uma coordenação sem precedentes entre os provedores de modelos. Especificamente, eles concluem que:

• Esquemas de marca d'água imparciais são inerentemente frágeis contra ensembling linear porque as forças de mercado exigem chaves independentes e perturbações limitadas.
• A verdadeira robustez requer ou aceitar essa vulnerabilidade ou implementar estratégias de marca d'água coordenadas, onde um sinal comum é compartilhado entre todos os modelos.
• As descobertas servem como um alerta para provedores de modelos e pesquisadores, sugerindo que defesas isoladas ao nível do modelo são insuficientes contra ameaças cross-model e que a padronização em nível industrial é necessária para uma verificação de proveniência eficaz.

O trabalho não propõe novos esquemas de marca d'água, mas sim caracteriza os limites dos esquemas existentes, enfatizando que o "calcanhar de Aquiles" da marca d'água é a própria estrutura de mercado competitivo.