LLMウォーターマークってなんだ？

この記事が語ること

LLMウォーターマークとは？
LLMウォーターマークがあると何が嬉しいの？
技術の限界は？などについてまとめる。

AIが書いた文章を見分けられるか？

この文章、このAIが書きました。

……と言われても、文章だけを見て本当に判別できるのだろうか？

AIの生成した文章に隠し文字を入れる？
そのAIが生成したという証明書をつける？
AIらしい表現であることを読んで判別する？

いずれの方法も微妙な感じを受ける。
簡単に改竄ができてしまうし、人間が見抜くのも容易ではない。

ではどうするのが筋がよいのか？

あえて簡単に表現するなら、一つの答えは以下のようになる。

AIが文章を生成した時に「この生成システムが生成した」という印をつけておければいいのだ。
しかも、誰にも悟られないように。

LLMウォーターマークは、そんな方策についての研究分野だ。

LLMウォーターマークという発想

一般的にウォーターマークと言えば

• 画像に透かしを入れる
• 音声に信号を入れる
• 動画に識別情報を入れる

というイメージがあるだろう。

では、文章にウォーターマークを入れるとはどういうことか？

答えは、
"文章の見た目をほとんど変えずに、生成されたトークンの選ばれ方そのものに統計的な偏りを入れる"
だ。

ポイントは、文章に直接「印」を埋め込んでいるわけではないということだ。

人間には気づかれないレベルの微小な偏りを埋め込み、後から検出器がその文章が特定のウォーターマーク付き生成システムから生成されたものかを統計的に検証する。
ざっくり言うとこういうフローになっている。

KGW系ウォーターマーク

代表的な方式の一つとして、KGW(Kirchenbauer-Geiping-Wen)系のウォーターマークというものがある。

段階的に説明していこう。

1. 文脈+秘密鍵->シードを生成
   その時点までに出力したトークン列と秘密鍵をハッシュして、次のトークン生成ステップ専用の乱数シードを作る。

seed_t = H(secret_key, context_t)

2. モデル内部の全トークンをシードを用いた疑似乱数で二分割
   50,000トークンがモデルの辞書に含まれるとしたら、おおむね半分ずつ、25,000(Green)と25,000(Red)に分けるといった具合。
   この分割は常に固定ではなく、シードから決まる。

3. Green側を少しだけ優遇する
   Green側のトークンを、次のステップで選ばれやすくする。
   重要なのは、Green側のトークンを必ず選ぶわけではないということ。
   あくまで、少し出力されやすくするだけ。

logit[v] += δ   （vが Green の場合）

4. トークンをサンプリングする
   出力される文章の意味や文体はほぼ変わらないようにトークンが選択される。
   統計的に僅かな偏りが埋め込まれた状態でサンプリングする。

5. 1に戻る
   文脈が変わるので、全く別のシードが生成される。
   この手順を文章完成まで繰り返す。

文章は壊れないのか？

結論から言えば、この仕組みは出力に変化を加えるが、それは通常は文章品質を大きく損なわない範囲のものだ。
つまり、自然な文体・文章を維持することができる。

LLMウォーターマークは、文章そのものを大きく変えるのではなく、トークン選択の統計的な傾向を変える。
したがって、一つのトークンだけに着目してもほとんど意味はない。

一つ一つのトークンは普通に見える。
しかし、大量のトークンを集めると、偶然では説明しにくいほどGreen側のトークンが多い、という偏りが表れる。

そこで検出側は以下のように統計的に検証を行う。

文章 -> トークナイズ -> 秘密鍵からGreen/Redを再現 -> Greenの数を数える -> 統計検定 -> ウォーターマークの可能性を判定

これが、文章に直接「印」を埋め込まないウォーターマークのトリックだ。

留意しなければならないこと

ウォーターマークが検出されたからと言って、すなわち純粋にAIが生成した文章だと決めつけてはいけない。
生成後に人間が編集を加えた可能性もあるからだ。

逆に、ウォーターマークがないからAI生成ではない、とも言えない。
そもそもウォーターマークを埋め込んでいない生成手法であることは普通にあり得るからだ。

AI検出とも概念が違う。
LLMウォーターマークは、ウォーターマークを付与する特定の生成システムが付与した「印」を検出するからだ。
つまり、生成元の帰属に使う技術だ。

また、この仕組みには弱点もある。
統計的な偏りを利用する以上、短い文章では観測できるトークン数が少なく、ウォーターマークの有無を判別することが難しくなる。
LLMウォーターマークは、一般に短い文章であるほど検出力は落ちる。

ほかの手法は？

代表例としてKGWを挙げたが、手法はそれだけではない。

• Semantic watermark
  トークンそのものではなく、意味・文脈に依存した特徴を利用する。
• Robust watermark
  パラフレーズや編集などによっても検出可能性を維持することを重視する。

など、様々な手法が考案され、まさに進化している最中だと言える。

LLMウォーターマークがあると何が嬉しいの？

生成AIが抱える社会的問題は数多い。
その解決に寄与する可能性がある。

• AI生成コンテンツの出所確認
• プラットフォーム上でのAI生成物識別
• フェイクメディア対策
• コンテンツポリシー
• 法制度／コンプライアンス

もちろんこれら全てが解決するわけではないが、解決に役立つ技術として実用化が進む可能性はあるだろう。

個人的に面白いと感じたポイント

既存のウォーターマークという概念とは異なり、統計的に判別するという点が興味深く感じた。
見えない情報を埋め込む、という先入観を持っていたが、実際はそうではなく、あくまで統計的な痕跡を探し出すという手順を踏んでいるところがユニークかつLLMらしいな、と思う。
トークンの生成確率をほんの少し変える。その積み重ねだったのだ。

まとめ

LLMウォーターマークについては、以下のようにまとめられる。

生成された文章に目に見える印を付けるのではなく、生成時のトークン選択に秘密鍵依存の小さな統計的偏りを作る。
そして、その偏りを後から検出することで、生成元を識別しようとする技術だ。

以上、技術理解の入り口になれば幸いである。

エンジニア達の「完全に理解した」Talk #80 にて本記事のLTを行いました。