RMCW: marca d'água resistente a deleção para modelos de linguagem usando códigos de Reed-Muller
Pesquisadores propõem o RMCW, um método de watermarking para textos gerados por LLMs que resiste a ataques de deleção de tokens, um dos pontos mais frágeis das técnicas atuais. A técnica usa estrutura algébrica de códigos Reed-Muller para manter a detectabilidade mesmo quando trechos do texto são removidos ou reescritos. Testes em OPT-1.3B e Llama-3.1-8B-Instruct mostram desempenho igual ou superior a baselines existentes sob ataques de deleção e reescrita.
O artigo ataca um problema conhecido de quem trabalha com rastreabilidade de conteúdo gerado por IA: marcas d'água embutidas em texto geralmente dependem de alinhamento posicional entre os tokens observados e os tokens originais marcados. Quando um atacante remove palavras ou trechos do texto, esse alinhamento se quebra e o detector perde a capacidade de identificar a origem do conteúdo. O RMCW propõe resolver isso abandonando a recuperação de uma palavra-código global e, em vez disso, buscando estrutura algébrica local que sobrevive mesmo após deleções.
Tecnicamente, a técnica injeta uma estrutura de código Reed-Muller na sequência gerada por meio de uma partição de vocabulário protegida por chave secreta. Na detecção, o texto é mapeado para esses grupos de vocabulário com chave, e subsequências locais são testadas quanto à consistência de baixo grau característica de códigos Reed-Solomon, usando o teste de Berlekamp-Welch, um algoritmo clássico de decodificação de códigos corretores de erro. Essa abordagem explora o fato de que restrições afins de palavras-código Reed-Muller mantêm propriedades Reed-Solomon, permitindo detectar a marca mesmo quando partes do texto desaparecem.
Na prática, isso importa porque watermarking é uma das poucas ferramentas concretas de proveniência disponíveis para conteúdo gerado por LLMs, usada tanto para rastrear desinformação quanto para cumprir exigências regulatórias de rotulagem de conteúdo sintético. A fragilidade sob deleção e reescrita sempre foi o ponto fraco dessas abordagens, e qualquer ganho de robustez tem valor direto para plataformas que precisam provar a origem de um texto após ele ter sido editado por terceiros.
O código foi disponibilizado publicamente no GitHub, o que facilita validação independente e adoção por outros grupos de pesquisa, embora a adoção em produção dependa de testes de robustez mais amplos contra outros tipos de ataque adversarial além da deleção.