LLM透かし回避手法（エルエルエムスカシカイヒシュホウ）
LLM透かし回避手法とは、AI生成テキストに埋め込まれた統計的透かしを無効化・弱体化する技術の総称であり、パラフレーズ攻撃・翻訳ループ・トークン置換・蒸留攻撃など複数の手法が存在する。
LLM透かし回避手法とは
LLM透かし回避手法（Watermark Evasion Techniques）は、LLMが出力するテキストに埋め込まれた統計的透かし（ウォーターマーク）を検出不能にするための攻撃手法群である。2023年のKirchenbauer方式（KGW）の発表以降、透かし技術と回避技術は「軍拡競争」の様相を呈しており、2026年現在も攻防が続いている。
主要な回避手法
1. パラフレーズ攻撃（Paraphrase Attack）
テキストの意味を保ちつつ表現を言い換えることで、透かしのトークンパターンを破壊する最も一般的な手法。
| 手法 | 透かし除去率 | テキスト品質 | コスト |
|---|---|---|---|
| GPT-4によるリライト | 90〜95% | 高（BLEU 0.85+） | $0.03/1Kトークン |
| Claude 3.5によるリライト | 88〜93% | 高（BLEU 0.87+） | $0.015/1Kトークン |
| T5-Paraphrase | 70〜80% | 中（BLEU 0.72） | 無料（ローカル実行） |
| PEGASUS要約→展開 | 65〜75% | 中低 | 無料 |
| 手動言い換え | 95〜100% | 最高 | 時間コスト大 |
2. 翻訳ループ攻撃（Translation Loop Attack）
テキストを別言語に翻訳し、再び元の言語に戻すことで透かしを破壊する。
- 英語 → 日本語 → 英語: 除去率 75〜85%
- 英語 → ドイツ語 → フランス語 → 英語: 除去率 90〜95%
- 3言語以上のループでほぼ完全除去だがテキスト品質が大幅に低下
3. トークン置換攻撃（Token Substitution Attack）
同義語辞書やWord2Vecを用いて、グリーンリストトークンをレッドリストの同義語に置換する。
- 置換率20%で透かし強度が50%低下
- 置換率40%でz-scoreが閾値未満に
- 文法的な不自然さが生じやすいのが欠点
4. プロンプトインジェクション攻撃
透かし付きLLMに対し、透かし回避を誘導するプロンプトを注入する。
- 「以下のテキストを言い換えてください」系の指示
- システムプロンプトの操作による透かし設定の無効化試行
- 2025年以降、主要LLMプロバイダーがプロンプトインジェクション防御を強化
5. 絵文字・特殊文字挿入攻撃
テキスト中にゼロ幅文字（U+200B）や不可視Unicode文字を挿入し、トークン境界を変更する。
- z-scoreを最大60%低下させる
- 人間の可読性には影響しないが、NLPツールでの後処理で検出可能
回避手法の比較
| 手法 | 除去率 | 品質維持 | コスト | 検出回避の持続性 |
|---|---|---|---|---|
| GPT-4リライト | 90〜95% | 高 | 中 | 高（ロバスト透かしにも有効） |
| 翻訳ループ(3言語) | 90〜95% | 低 | 低 | 高 |
| トークン置換 | 60〜80% | 中 | 低 | 中（ロバスト方式に弱い） |
| 蒸留攻撃 | 80〜90% | 中 | 高 | 最高（モデルレベルで除去） |
| 手動編集 | 95〜100% | 最高 | 最高 | 最高 |
防御側の対抗策
透かし回避に対する防御技術も発展している。
- セマンティック透かし: トークンレベルではなく意味レベルで透かしを埋め込み、パラフレーズ耐性を向上
- 多重透かし: 複数の独立した透かし方式を重畳し、一部が破壊されても残りで検出可能にする
- 検出器アンサンブル: 複数の検出アルゴリズムを組み合わせ、回避手法ごとに最適な検出器を選択
- 出力フィンガープリント: ユーザー固有のパターンを埋め込み、回避後もユーザー追跡を可能にする
よくある質問（FAQ）
Q1: 最も効果的な透かし回避手法は何か？ A: コストと品質のバランスではGPT-4によるパラフレーズが最も実用的（除去率90%以上・品質維持）。完全な除去が必要な場合は蒸留攻撃だが、GPU資源と$100以上のコストが必要。
Q2: 透かし回避は違法か？ A: 2026年時点で、多くの国では透かし回避自体を直接禁止する法律は存在しない。ただしEU AI Actでは透かし除去を「高リスク行為」として規制する条項が議論中。また、LLMプロバイダーの利用規約で透かし回避を禁止している場合、契約違反に該当する。
Q3: ロバスト透かしはパラフレーズ攻撃に耐えられるか？ A: 部分的に耐えられる。Google DeepMindのUnigram Watermarkは、軽微なパラフレーズ（単語置換率20%未満）では透かしが残存する。しかし、GPT-4による全文リライト（置換率80%以上）にはほぼ全ての方式が脆弱。
まとめ
- LLM透かし回避は攻撃者にとって技術的に容易で、コストも低い（$0〜$200）
- パラフレーズ攻撃とGPT-4リライトが最も実用的な回避手法
- 防御側はセマンティック透かし・多重透かし・検出器アンサンブルで対抗
- 完全な回避耐性を持つ透かし方式は2026年時点で未確立であり、研究が活発に続いている