言語モデルのためのロバストな歪みなし透かし

Robust Distortion-free Watermarks for Language Models

July 28, 2023

著者: Rohith Kuditipudi, John Thickstun, Tatsunori Hashimoto, Percy Liang

cs.AI

要旨

自己回帰型言語モデルから生成されたテキストに、特定の最大生成予算までのテキスト分布を変更することなく、摂動に対して頑健な透かしを埋め込む手法を提案します。本手法では、ランダム化された透かしキーを用いて計算された乱数列を言語モデルのサンプルにマッピングすることで、透かし入りテキストを生成します。透かし入りテキストを検出するためには、キーを知っている任意の当事者がテキストを乱数列にアライメントすることが可能です。本透かし手法を、逆変換サンプリングと指数最小サンプリングという2つのサンプリング方式で実装します。これらの透かしを3つの言語モデル（OPT-1.3B、LLaMA-7B、Alpaca-7B）に適用し、その統計的検出力と様々な言い換え攻撃に対する頑健性を実験的に検証します。特に、OPT-1.3BとLLaMA-7Bモデルでは、トークンの40～50％をランダムな編集（置換、挿入、削除）によって改変した後でも、35トークンから透かし入りテキストを信頼性高く検出できることを確認しました（p ≤ 0.01）。Alpaca-7Bモデルについては、典型的なユーザー指示に対する応答の透かしの実現可能性に関するケーススタディを実施しました。応答のエントロピーが低いため、検出はより困難であり、中央値が約100トークンの応答のうち約25％がp ≤ 0.01で検出可能で、また、実装した特定の自動言い換え攻撃に対する頑健性も低いことがわかりました。

English

We propose a methodology for planting watermarks in text from an autoregressive language model that are robust to perturbations without changing the distribution over text up to a certain maximum generation budget. We generate watermarked text by mapping a sequence of random numbers -- which we compute using a randomized watermark key -- to a sample from the language model. To detect watermarked text, any party who knows the key can align the text to the random number sequence. We instantiate our watermark methodology with two sampling schemes: inverse transform sampling and exponential minimum sampling. We apply these watermarks to three language models -- OPT-1.3B, LLaMA-7B and Alpaca-7B -- to experimentally validate their statistical power and robustness to various paraphrasing attacks. Notably, for both the OPT-1.3B and LLaMA-7B models, we find we can reliably detect watermarked text (p leq 0.01) from 35 tokens even after corrupting between 40-50\% of the tokens via random edits (i.e., substitutions, insertions or deletions). For the Alpaca-7B model, we conduct a case study on the feasibility of watermarking responses to typical user instructions. Due to the lower entropy of the responses, detection is more difficult: around 25% of the responses -- whose median length is around 100 tokens -- are detectable with p leq 0.01, and the watermark is also less robust to certain automated paraphrasing attacks we implement.