LLM透かし回避手法とは、AI生成テキストに埋め込まれた統計的透かしを無効化・弱体化する技術の総称であり、パラフレーズ攻撃・翻訳ループ・トークン置換・蒸留攻撃など複数の手法が存在する。
LLM透かし回避手法（Watermark Evasion Techniques）は、LLMが出力するテキストに埋め込まれた統計的透かし（ウォーターマーク）を検出不能にするための攻撃手法群である。2023年のKirchenbauer方式（KGW）の発表以降、透かし技術と回避技術は「軍拡競争」の様相を呈しており、2026年現在も攻防が続いている。
テキストの意味を保ちつつ表現を言い換えることで、透かしのトークンパターンを破壊する最も一般的な手法。
| 手法 | 透かし除去率 | テキスト品質 | コスト |
|---|---|---|---|
| GPT-4によるリライト | 90〜95% | 高（BLEU 0.85+） | $0.03/1Kトークン |
| Claude 3.5によるリライト | 88〜93% | 高（BLEU 0.87+） | $0.015/1Kトークン |
| T5-Paraphrase | 70〜80% | 中（BLEU 0.72） | 無料（ローカル実行） |
| PEGASUS要約→展開 | 65〜75% | 中低 | 無料 |
| 手動言い換え | 95〜100% | 最高 | 時間コスト大 |
テキストを別言語に翻訳し、再び元の言語に戻すことで透かしを破壊する。
同義語辞書やWord2Vecを用いて、グリーンリストトークンをレッドリストの同義語に置換する。
透かし付きLLMに対し、透かし回避を誘導するプロンプトを注入する。
テキスト中にゼロ幅文字（U+200B）や不可視Unicode文字を挿入し、トークン境界を変更する。
| 手法 | 除去率 | 品質維持 | コスト | 検出回避の持続性 |
|---|---|---|---|---|
| GPT-4リライト | 90〜95% | 高 | 中 | 高（ロバスト透かしにも有効） |
| 翻訳ループ(3言語) | 90〜95% | 低 | 低 | 高 |
| トークン置換 | 60〜80% | 中 | 低 | 中（ロバスト方式に弱い） |
| 蒸留攻撃 | 80〜90% | 中 | 高 | 最高（モデルレベルで除去） |
| 手動編集 | 95〜100% | 最高 |
透かし回避に対する防御技術も発展している。
Q1: 最も効果的な透かし回避手法は何か？ A: コストと品質のバランスではGPT-4によるパラフレーズが最も実用的（除去率90%以上・品質維持）。完全な除去が必要な場合は蒸留攻撃だが、GPU資源と$100以上のコストが必要。
Q2: 透かし回避は違法か？ A: 2026年時点で、多くの国では透かし回避自体を直接禁止する法律は存在しない。ただしEU AI Actでは透かし除去を「高リスク行為」として規制する条項が議論中。また、LLMプロバイダーの利用規約で透かし回避を禁止している場合、契約違反に該当する。
Q3: ロバスト透かしはパラフレーズ攻撃に耐えられるか？ A: 部分的に耐えられる。Google DeepMindのUnigram Watermarkは、軽微なパラフレーズ（単語置換率20%未満）では透かしが残存する。しかし、GPT-4による全文リライト（置換率80%以上）にはほぼ全ての方式が脆弱。
| 最高 |
| 最高 |