[Paper] Post-Hoc Watermarking과 Language Model Rephrasing의 성능은 얼마나 좋은가?

Source: arXiv - 2512.16904v1

Overview

이 논문은 post‑hoc watermarking을 조사합니다. 이 기술은 언어 모델이 이미 작성된 텍스트를 다시 쓰면서 숨겨진 통계적 신호(“워터마크”)를 삽입할 수 있게 합니다. 이러한 접근 방식은 저작권이 있는 자료를 보호하거나, 학습 파이프라인에서 사용된 AI‑생성 콘텐츠에 태그를 붙이거나, 검색‑보강 생성(RAG) 시스템에서 워터마크가 포함된 텍스트의 존재를 감지하는 데 도움이 될 수 있습니다. 워터마크 삽입 단계를 생성 시점이 아니라 재작성 단계로 옮김으로써, 저자들은 텍스트 품질과 워터마크 탐지 가능성 사이의 균형을 개선할 수 있는 새로운 레버—더 큰 재작성 모델, 빔 서치, 다중 후보 생성, 그리고 엔트로피 기반 필터링—를 탐색합니다.

Key Contributions

• 기존 문서에 대해 생성 시 워터마킹의 실용적인 대안으로 사후 워터마킹을 도입합니다.
• 컴퓨팅 할당(모델 크기, 빔 폭, 후보 수, 탐지 시 필터링)이 품질‑탐지 가능성 트레이드오프에 어떻게 영향을 미치는지 체계적으로 평가합니다.
• 단순 Gumbel‑max 샘플링이 핵 샘플링(nucleus sampling) 하에서 더 정교한 워터마킹 스킴보다 우수함을 보여줍니다.
• 긴 형식의 개방형 텍스트(예: 책)에서 강력한 탐지 가능성과 의미 충실도를 입증합니다.
• 놀라운 제한점을 밝혀냅니다: 소스 코드와 같이 검증이 쉬운 텍스트의 경우, 작은 재작성 모델이 오히려 큰 모델보다 더 신뢰성 있게 워터마크를 삽입합니다.
• 개발자가 오늘 바로 적용할 수 있는 실용적인 레시피(빔 서치 + 엔트로피 필터링, 다중 후보 투표)를 제공합니다.

방법론

1. Baseline Generation‑Time Watermark – 저자들은 생성 중 토큰 선택을 편향시키는 표준 워터마크(예: “green‑list” vs. “red‑list” 토큰)에서 시작합니다.
2. Post‑Hoc Re‑writing Pipeline – LLM( re‑writer )이 기존 구절을 받아 내부적으로 동일한 워터마크 로직을 적용하면서 패러프레이즈하도록 지시받습니다.
3. Compute‑Allocation Strategies
   • Model Size: 0.7B‑에서 13B‑파라미터 모델까지 실험합니다.
   • Beam Search: 다양한 빔 폭(1, 4, 8)을 사용해 다양하면서도 높은 확률의 재작성 결과를 탐색합니다.
   • Multi‑Candidate Generation: 입력당 여러 패러프레이즈를 생성하고, 워터마크 신호가 가장 강한 것을 선택합니다.
   • Entropy Filtering at Detection: 탐지 시점에 낮은 엔트로피(높은 확신) 토큰을 제외하여 워터마크의 통계적 서명을 희석시키는 것을 방지합니다.
4. Evaluation Metrics
   • Detectability: 워터마크를 얼마나 강하게 복원할 수 있는지를 나타내는 “radioactivity” 점수로 측정합니다.
   • Semantic Fidelity: BLEU, ROUGE 및 의미 보존에 대한 인간 평가를 통해 평가합니다.
   • Domain Split: 개방형 산문(책)과 검증이 쉬운 코드 스니펫을 위한 별도 테스트 세트를 사용합니다.

결과 및 발견

전체적으로, 산문에 가장 성능이 좋은 레시피는 Gumbel‑max + beam = 8 + entropy filtering이며, 탐지 재현율 >90%를 달성하면서 원본 텍스트 대비 BLEU >0.85를 유지함.

실용적 함의

• Copyright Protection: 출판사는 배포 전에 원고에 가벼운 리라이터를 실행하여, OCR, 요약 등 하위 변환을 거쳐도 살아남는 숨겨진 태그를 삽입할 수 있습니다.
• Training‑Data Auditing: 기업은 대규모 말뭉치를 “워터마크 방사능” 여부로 스캔하여 보호된 출처에서 파생된 가능성이 있는 콘텐츠를 표시하고, 데이터 사용 정책을 시행하는 데 도움을 줄 수 있습니다.
• RAG Safeguards: 검색‑증강 파이프라인은 강한 워터마크가 포함된 문서를 폐기하거나 가중치를 낮춰, 생성된 답변에 독점 텍스트가 무심코 유출되는 위험을 감소시킬 수 있습니다.
• Tooling Integration: 이 연구의 레시피는 기존 오픈소스 LLM 스택(예: Hugging Face Transformers)과 호환됩니다. 빔 서치와 엔트로피 필터링을 구현해도 단일 포워드 패스에 비해 지연 시간이 거의 없습니다.
• Code‑Specific Use Cases: 소스 코드 저장소의 경우, 워터마크 탐지를 유지하기 위해 작은 리라이터(≈1B 파라미터)를 사용해야 하며, 이는 “듀얼 모델” 전략을 제안합니다—문어에는 대형 모델, 코드에는 소형 모델을 사용합니다.

제한 사항 및 향후 작업

• 도메인 민감도: 이 접근법은 코드, 법적 조항 등과 같이 매우 결정적인 텍스트에서 사소한 패러프레이징조차도 기능적 정확성을 깨뜨릴 수 있어 어려움을 겪는다.
• 적대적 제거: 공격자는 공격적인 패러프레이징이나 역번역을 적용해 워터마크를 희석시킬 수 있으며, 이러한 공격에 대한 견고성은 아직 미해결 질문이다.
• 확장성: 빔 서치를 사용하면 결과가 개선되지만 계산 비용이 증가한다; 실시간 서비스는 지연 시간과 워터마크 강도 사이의 균형을 맞춰야 할 수 있다.
• 평가 범위: 실험은 영어 산문과 파이썬 코드에만 제한되었으며, 다국어 및 교차 언어 시나리오에 대한 탐구가 필요하다.

핵심 요약: 사후 워터마크는 기존 텍스트에 추적 가능한 신호를 삽입하는 실용적인 경로를 열어 주며, 개발자에게 지적 재산을 보호하고 데이터 사용을 모니터링할 새로운 수단을 제공한다—단, 현재 방법의 제약을 존중하고 견고성 및 확장성에 관한 최신 연구를 지속적으로 관찰해야 한다.

저자

• Pierre Fernandez
• Tom Sander
• Hady Elsahar
• Hongyan Chang
• Tomáš Souček
• Valeriu Lacatusu
• Tuan Tran
• Sylvestre‑Alvise Rebuffi
• Alexandre Mourachko

논문 정보

• arXiv ID: 2512.16904v1
• 분류: cs.CR, cs.CL
• 출판일: 2025년 12월 18일
• PDF: Download PDF