Global Sketch-Based Watermarking for Diffusion Language Models

Resumo Técnico: Marca d'água Global Baseada em Sketch para Modelos de Linguagem de Difusão

Definição do Problema
A rápida adoção de modelos de linguagem de grande escala (LLMs) exige métodos confiáveis para distinguir textos escritos por humanos de conteúdo gerado por modelos, a fim de mitigar a poluição de dados e abusos. Embora a marca d'água para modelos autorregressivos (AR) seja bem estudada, os esquemas existentes enfrentam limitações significativas. As marcas d'água AR dependem tipicamente de esquemas de contexto local que perturbam a distribuição do próximo token com base nos tokens precedentes. Essa abordagem vincula o sinal da marca d'água ao processo de amostragem específico (filtragem esquerda-direita), tornando difícil separar o sinal do processo de geração. Além disso, as marcas d'água AR frequentemente sofrem com vulnerabilidades de segurança (ex: detectáveis por usuários sem chave via regularidades condicionadas ao contexto) e baixa robustez contra edições (inserções, deleções, reordenação) devido à sua dependência da ordenação sequencial de tokens.

Modelos de Linguagem de Difusão (DLMs), particularmente variantes mascaradas, oferecem um paradigma generativo diferente, onde os tokens são denoisados simultaneamente em vez de sequencialmente. Isso permite o acesso às distribuições marginais sobre todas as posições não resolvidas, possibilitando estratégias de controle global que são computacionalmente inviáveis para modelos AR. No entanto, esquemas eficazes de marca d'água para DLMs permanecem pouco explorados.

Metodologia
Os autores propõem uma marca d'água baseada em sketch para modelos de linguagem de difusão mascarados. Diferente dos métodos AR que enviesam distribuições locais de tokens com base no contexto, esta abordagem controla uma representação de sketch global, vetorial, de toda a sequência de texto.

1. Sketch de Texto (Count-Sketch): O método utiliza uma função Count-Sketch, $H(y)$, que mapeia uma sequência de texto $y$ para um espaço vetorial real de dimensão finita. Este sketch é uma estatística aditiva: $H(y) = \sum \phi(y_j)$. O sketch é construído usando uma chave secreta $k$ composta por uma chave de sketch ($k_{sk}$) para funções de hash e sinal, e uma chave de direção ($k_{dir}$) para um vetor alvo $u_k$.
2. Pontuação de Detecção: O detector computa uma pontuação $S_k(y)$ baseada no produto escalar entre o sketch e a direção alvo, penalizada pela norma do sketch:
   $$S_k(y) := 2\langle u_k, h_k(y) \rangle - \lambda \|h_k(y)\|_2^2$$
   Esta pontuação é maximizada quando o sketch se alinha com a direção alvo $u_k/\lambda$.
3. Incorporação via Gradiente de Pontuação: Durante o processo de denoising de um DLM, as distribuições marginais do modelo para as posições mascaradas são enviesadas. O viés é determinado pelo gradiente da pontuação do detector avaliado no sketch esperado atual ($\hat{h}_{k,t}$).
   • Como o sketch é aditivo, o sketch esperado em qualquer etapa $t$ é tratável a partir das marginais condicionais sem exigir a distribuição conjunta completa.
   • A direção do viés é o "gradiente residual" $r_{k,t} = u_k - \lambda \hat{h}_{k,t}$.
   • As marginais são exponencialmente inclinadas (tilted) com base nesta direção: $\tilde{p}_i^{(t)}(v) \propto p_i^{(t)}(v) \exp\{\eta_t a_{k,t}(v)\}$, onde $a_{k,t}(v)$ é a projeção do mapa de características do token sobre o gradiente residual.
4. Propriedades Principais: Esta formulação desacopla a detecção dos contextos locais, resultando em uma estatística agnóstica à ordem. A regra da marca d'água não se manifesta como um viés de token simples e estático, mas sim como um ajuste dinâmico e dependente do estado.

Contribuições Principais e Resultados Teóricos
O artigo fornece uma análise teórica do esquema proposto, provando três propriedades primárias:

• Decomposição de Distorção KL: Os autores provam uma regra de cadeia para a distorção de Kullback-Leibler (KL) ao longo do caminho de denoising (Teorema 5.1). Eles mostram que a distorção total é a soma das distorções em cada etapa. Além disso, demonstram que o inclinação exponencial proposta com um coeficiente comum $\eta_t$ é localmente ótima em termos de KL (Proposição 5.2). Isso significa que o método alcança o ganho de pontuação desejado com distorção mínima, e posições com maior variância local na pontuação carregam naturalmente mais sinal (Corolário 5.3).
• Solidez Randomizada por Chave: O Teorema 5.4 estabelece um limite de solidez para o detector. Prova que, para qualquer texto não marcado independente da chave, a probabilidade de um falso positivo é exponencialmente limitada. A penalidade de norma ($\lambda$) mostra-se capaz de evitar que sketches arbitrariamente grandes disparem falsos positivos.
• Robustez a Edições: O artigo analisa a sensibilidade da pontuação a edições (substituições, inserções, deleções). O Lema 5.6 e o Teorema 5.7 fornecem limites mostrando que a pontuação degrada linearmente com o número de edições (distância de Levenshtein). Isso sugere que a marca d'água é robusta contra edições moderadas pós-geração, pois seria necessária uma quantidade significativa de mudanças de tokens para degradar o poder de detecção.

Significância e Alegações
O artigo posiciona este trabalho como uma introdução preliminar a uma nova classe de marca d'água para modelos de difusão. Sua significância reside em:

• Desacoplamento do Contexto Local: Ao utilizar um sketch global, o método evita o "gargalo de controle de passagem única" dos modelos AR, permitindo o controle ao nível da sequência sem fixar os tokens imediatamente.
• Detecção Agnóstica à Ordem: A marca d'água não está presa à ordem sequencial de geração, oferecendo potencialmente melhor robustez contra ataques de reordenação em comparação com esquemas AR.
• Fundamentação Teórica: O trabalho fornece a primeira análise rigorosa de distorção, solidez e sensibilidade à edição especificamente para uma abordagem baseada em sketch em DLMs.

Os autores caracterizam o trabalho como "preliminar", focando nas propriedades teóricas (distorção, solidez, robustez) do método, em vez de benchmarks empíricos extensos. Eles observam que o esquema aproveita a geometria nativa dos DLMs para permitir estratégias de controle que não estão disponíveis para modelos autorregressivos.