Robust Distortion-free Watermarks for Language Models

要約

我々は、特定の最大生成バジェットまでテキスト全体の分布を変更することなく、摂動に対して堅牢な自己回帰言語モデルからテキストにウォーターマークを埋め込むための方法論を提案します。
一連の乱数 (ランダム化された透かしキーを使用して計算) を言語モデルのサンプルにマッピングすることによって、透かし入りのテキストを生成します。
透かし入りのテキストを検出するには、キーを知っている当事者なら誰でも、テキストを乱数シーケンスに合わせて配置できます。
逆変換サンプリングと指数最小サンプリングという 2 つのサンプリング スキームを使用してウォーターマーク手法をインスタンス化します。
これらの透かしを 3 つの言語モデル (OPT-1.3B、LLaMA-7B、Alpaca-7B) に適用して、その統計的検出力とさまざまな言い換え攻撃に対する堅牢性を実験的に検証します。
特に、OPT-1.3B モデルと LLaMA-7B モデルの両方で、トークンの $40$ ～ $50\%$ が破損した後でも、$35$ トークンから透かし入りテキスト ($p \leq 0.01$) を確実に検出できることがわかりました。
ランダムな編集 (置換、挿入、削除など)。
Alpaca-7B モデルについては、典型的なユーザーの指示に対する透かし応答の実現可能性に関するケーススタディを実施します。
応答のエントロピーが低いため、検出はより困難です。応答の約 $25\%$ (長さの中央値は約 $100$ トークン) は $p \leq 0.01$ で検出可能であり、ウォーターマークも小さくなります。
当社が実装する特定の自動言い換え攻撃に対して堅牢です。

要約(オリジナル)

We propose a methodology for planting watermarks in text from an autoregressive language model that are robust to perturbations without changing the distribution over text up to a certain maximum generation budget. We generate watermarked text by mapping a sequence of random numbers — which we compute using a randomized watermark key — to a sample from the language model. To detect watermarked text, any party who knows the key can align the text to the random number sequence. We instantiate our watermark methodology with two sampling schemes: inverse transform sampling and exponential minimum sampling. We apply these watermarks to three language models — OPT-1.3B, LLaMA-7B and Alpaca-7B — to experimentally validate their statistical power and robustness to various paraphrasing attacks. Notably, for both the OPT-1.3B and LLaMA-7B models, we find we can reliably detect watermarked text ($p \leq 0.01$) from $35$ tokens even after corrupting between $40$-$50\%$ of the tokens via random edits (i.e., substitutions, insertions or deletions). For the Alpaca-7B model, we conduct a case study on the feasibility of watermarking responses to typical user instructions. Due to the lower entropy of the responses, detection is more difficult: around $25\%$ of the responses — whose median length is around $100$ tokens — are detectable with $p \leq 0.01$, and the watermark is also less robust to certain automated paraphrasing attacks we implement.

arxiv情報

提供元, 利用サービス

arxiv.jp, Google