생성형 모델의 워터마크가 단순히 “인공지능이 만든 텍스트인지”만 가리는 도구가 아니라, 누구의 출력인지 귀속하고, 숨은 페이로드를 꺼내고, 수정 후에도 남는 부분을 찾는 감식 수단이 될 수 있는지를 정리한 프리프린트가 나왔다. 이 연구는 이런 기능들을 하나의 “forensic ladder”로 묶고, 각 단계가 샘플 길이 n에서 얼마의 비용을 치르는지 묻는다.
핵심은 정보 프로필 ν(t)=I(S;X_t|X<t)이다. S는 워터마크가 담는 비밀, X는 생성된 텍스트이며, t번째 토큰이 이전 토큰을 알고도 S를 얼마나 드러내는지를 위치별로 계산한다. 전체 질량 ∥ν∥_1=I(S;X)는 귀속과 추출의 비용을 정하고, ν의 모양은 어느 부분이 마크를 담는지와 연결된다. 반면 탐지는 정보량이 아니라 marked 분포와 unmarked 분포의 거리, 즉 presence로 가격이 매겨진다.
논문은 문헌의 두 품질 모델도 같은 객체의 두 제약으로 읽어낸다. 하나는 모든 토큰에서 조금씩 비트를 싣는 biasing 방식이고, 다른 하나는 소수의 위치에 강하게 새기는 embedding 방식이다. 전자는 ν(t)≤∆인 L∞ 상한으로, 후자는 ν의 지지집합 크기가 m 이하인 L0 상한으로 정리된다. 이 구분은 대표적 배치 예시가 아니라 per-secret kernel에 걸린 제약이라는 점도 강조된다.
가장 강한 정리는 통계적으로 distortion-free인 경우의 multi-user attribution이다. 엔트로피율 h를 갖는 모든 stationary-ergodic source에서 N명 중 한 사람을 특정하는 데 드는 비용은 Θ(log N/h) 토큰이며, 더 정밀하게는 per-innocent false-positive 수준 δ→0, log(1/δ)=o(log N)일 때 (1+o(1))log N/h로 맞아떨어진다. 같은 방식으로 ℓ비트 페이로드 추출 비용은 Θ(ℓ/h)다. 이 결론은 exact alignment를 쓰는 디코더와 그 역방향 한계를 함께 제시해 양방향으로 닫는다.
| 항목 | 원문 수치·조건 | 의미 |
|---|---|---|
| multi-user attribution 비용 | Θ(log N/h) 토큰; 더 정밀하게 per-innocent false-positive δ→0, log(1/δ)=o(log N)에서 (1+o(1))log N/h | 엔트로피율 h를 갖는 stationary-ergodic source에서 N명 중 1명을 특정하는 최소 샘플 길이 |
| payload extraction 비용 | Θ(ℓ/h) | ℓ비트 비밀을 복원하는 데 드는 비용 |
| collision-counting 분석 과대평가 | 약 1.6× | deployed language models에서의 측정값 |
| detectable yet unattributable window | Θ(log N) tokens wide | 탐지는 가능하지만 귀속은 불가능한 구간 |
자료: STORIUM 정리
실험적 확인도 붙었다. GPT-2, Pythia-410M, Qwen2.5의 deployed watermarks에서 예측된 상수가 관찰됐고, collision-counting 분석은 약 1.6배 과대평가하는 것으로 나타났다. 탐지는 귀속보다 먼저 포화되는 Θ(log N) 창을 보였으며, 이는 “검출은 되지만 특정은 안 되는” 구간이 실제로 존재함을 시사한다. 이 논문은 동료검토 전 arXiv v1 프리프린트이며, 귀속·추출·위치추적의 한계가 한 정보량 표기로 정리된다는 점을 주장한다.
저작권자 © STORIUM 무단전재 및 재배포 금지
