[논문 리뷰] A Resilient and Accessible Distribution-Preserving Watermark for Large Language Models

Yihan Wu, Zhengmian Hu외 3명|arXiv (Cornell University)|2023. 10. 11.

Internet Traffic Analysis and Secure E-voting인용 수 4

한 줄 요약

DiPmark는 모델의 출력 분포를 유지하면서 도청 가능성, 효율성, 내성성을 확보하기 위해 맥락 인식 해시 함수와 재가중 전략을 사용하여 출력 분포를 변화시키지 않고 워터마크를 삽입하는 분포 유지 워터마킹 프레임워크를 제안한다. API 접근 없이도 1,000개의 LLaMA-2 시퀀스에 대해 90초 이내로 감지가 가능하며, 30% 이하의 텍스트 편집 상황에서도 높은 감지 정확도(AUC > 0.95)를 유지한다.

ABSTRACT

Watermarking techniques offer a promising way to identify machine-generated content via embedding covert information into the contents generated from language models. A challenge in the domain lies in preserving the distribution of original generated content after watermarking. Our research extends and improves upon existing watermarking framework, placing emphasis on the importance of a extbf{Di}stribution- extbf{P}reserving (DiP) watermark. Contrary to the current strategies, our proposed DiPmark simultaneously preserves the original token distribution during watermarking (distribution-preserving), is detectable without access to the language model API and prompts (accessible), and is provably robust to moderate changes of tokens (resilient). DiPmark operates by selecting a random set of tokens prior to the generation of a word, then modifying the token distribution through a distribution-preserving reweight function to enhance the probability of these selected tokens during the sampling process. Extensive empirical evaluation on various language models and tasks demonstrates our approach's distribution-preserving property, accessibility, and resilience, making it a effective solution for watermarking tasks that demand impeccable quality preservation.

연구 동기 및 목표

• 모델의 분포를 유지하면서도 빠른 감지와 텍스트 수정에 저항하는 워터마킹 기법의 부재를 해결한다.
• 기존 방법의 한계를 극복하여 모델 품질 저하, API 접근 필요성, 또는 텍스트 편집에 취약함을 해결한다.
• 비밀 키와 워터마크가 삽입된 텍스트만으로도 증명 가능하게 분포를 유지하는 워터마킹 프레임워크를 개발한다.
• 삽입, 삭제, 치환과 같은 일반적인 텍스트 수정에 대해 성능 저하 없이 내성성을 확보한다.

제안 방법

• 기밀 키와 맥락 의존 해시 함수를 사용하여 생성 중인 토큰 확률을 재가중하는 전략을 도입하여 고유한 i.i.d. 암호문을 할당한다.
• 정적 해시 함수를 활용해 각 맥락에 대해 고유한 그린리스트 토큰을 생성함으로써 다양한 프롬프트 간에도 일관된 워터마킹 삽입을 보장한다.
• z-스코어를 활용한 가설 검증을 통해 비밀 키와 워터마크 텍스트만으로도 효율적인 워터마크 감지를 수행하며, 모델 가중치나 API 접근이 필요하지 않다.
• 그린리스트 토큰의 빈도 기반 통계적 감지 메커니즘을 적용하여, 최대 30%의 토큰 수정에 대해 증명 가능한 강건성을 확보한다.
• 재가중 전략이 기존 확률 분포를 크게 이동시키지 않도록 하여 원본 모델의 출력 분포를 유지함으로써 분포 유지성을 확보한다.
• 텍스트 요약 및 시 생성과 같은 작업을 통해 BART-large, LLaMA-2 등 여러 LLM에서 품질과 감지 가능성 평가를 수행하여 방법의 타당성을 검증한다.

실험 결과

연구 질문

• RQ1 모델의 원래 출력 분포를 변화시키지 않고 LLM 생성 텍스트에 워터마크를 삽입할 수 있는가, 이를 통해 도청 가능성을 확보할 수 있는가?
• RQ2 모델의 API나 가중치에 접근하지 않고도 워터마크 감지를 효율적으로 수행할 수 있는가?
• RQ3 삽입, 삭제, 치환과 같은 일반적인 텍스트 수정에 워터마크가 얼마나 내성적인가?
• RQ4 증가하는 수준의 편집(예: 20–30% 토큰 변경) 상황에서 워터마크의 감지 가능성은 어느 정도 유지되는가?
• RQ5 분포 유지 워터마크가 다양한 생성 작업에서 높은 감지 정확도를 유지하면서 낮은 오류 발생률을 보일 수 있는가?

주요 결과

• DiPmark는 원본 모델과 거의 동일한 출력 분포를 유지하며, 녹색 토큰 비율이 α=0.5일 때 0.9940, α=0.45일 때 0.9940로 나타나 강력한 도청 가능성 확보.
• 비밀 키와 API 접근 없이도 LLaMA-2의 1,000개 워터마크 텍스트 시퀀스 감지에 단 90초가 소요되어 높은 효율성 입증.
• 랜덤 편집(삽입, 삭제, 치환)이 30%일 경우, DiPmark는 α=0.45일 때 AUC 점수 0.8060, α=0.5일 때 0.8006을 유지하여 강력한 내성성 확보.
• 이deal 조건에서 진짜 양성률은 1.0, 오류 양성률은 0.0이며, 편집 수준 ≤0.2일 경우 AUC 점수는 항상 0.95 이상 유지.
• 편집 수준 증가에 따라 감지 z-스코어는 점진적으로 감소하지만 통계적으로 유의미하게 유지되어, 중간 수준의 편집 상황에서도 강건함을 입증.
• 실험적 평가에서 긴 시퀀스(n=260±5)일수록 감지 정확도 향상되며, z-스코어는 시퀀스 길이 증가에 따라 증가하여 이론적 기대와 일치함.