arXivで公開された新しい研究「Chainwash: Multi-Step Rewriting Attacks on Diffusion Language Model Watermarks」は、拡散言語モデルの透かしに対する深刻な脆弱性を明らかにしました。従来の自己回帰型言語モデル（GPTシリーズなど）とは異なり、拡散言語モデル（LLaDA 8Bなど）はトークンを任意の順序でデノイズすることでテキストを生成するため、既存の統計的透かし方式を直接適用できません。最近、GloaguenらはLLaDA 8B Instruct向けの透かし方式を提案し、真陽性検出率99％以上を報告しました。しかし、この新しい研究は、透かし入りテキストを複数回リライトすることで検出を容易に回避できることを示しています。
研究者らは、元の透かしと同じ設定を使用して、5つのWaterBenchドメインにわたって1,605個の透かし入り完成テキスト（各約300トークン）を生成しました。次に、これらを4つの異なるサイズのオープンウェイト言語モデル（パラメータ数1.5Bから8B）でリライトしました。これらのモデルはすべて透かしキーを知りません。リライトスタイルは5種類（言い換え、人間らしく、簡略化、学術的、要約拡張）で、各スタイルを最大5ホップ連鎖させ、合計160,500のリライトテキストを生成しました。
実験の結果、標準的な有意水準では、元の出力の透かし検出率は87.9％でした。しかし、1回のリライト後には、リライターとスタイルに応じて検出率が14％から41％に急落しました。5回の連鎖リライト後には検出率は4.86％まで低下し、元々検出されたテキストの94.76％がフラグされなくなりました。注目すべきは、3回のリライト後には、検出器スコアが透かしベースラインからヌル分布に向かって86％低下していたことです。
これらの発見は、複数回のリライトが単回のリライトよりもはるかに強力な攻撃であることを示しており、この結果はテストされたすべてのリライターで一貫しています。この研究は、現在の透かし方式の安全性に深刻な疑問を投げかけ、このような攻撃に耐性のあるより堅牢な透かし方法の開発の必要性を強調しています。