ウォーターマーク頑健性（ウォーターマークガンケンセイ）
LLMウォーターマークが言い換え・翻訳・編集などの攻撃を受けた後も検出可能な状態を維持する耐性のこと。パラフレーズ攻撃・コピー攻撃・翻訳攻撃などに対する耐性度合いで評価される。
ウォーターマーク頑健性とは
ウォーターマーク頑健性（Robustness）とは、LLMテキストウォーターマークが各種の改変・攻撃を受けた後も、検出アルゴリズムによって統計的に有意な信号を維持し続ける性質のことである。デジタル画像のウォーターマークでは JPEG圧縮・回転・トリミングへの耐性が問われるのと同様に、テキストウォーターマークでは言い換え（パラフレーズ）・翻訳・部分削除・挿入・コピー攻撃への耐性が主要な評価軸となる。
頑健性はウォーターマーク技術の実用化における最大のボトルネックであり、2024〜2026年にかけて攻撃手法と防御手法の「いたちごっこ」が活発に研究されている。
主要な攻撃手法
パラフレーズ攻撃（Paraphrase Attack）
ウォーターマーク入りテキストを別のLLM（または同一LLM）に入力して言い換えさせる攻撃。最も一般的かつ効果的な攻撃手法である。
- 単純パラフレーズ: GPT-4やClaude等で「以下を言い換えて」と指示
- DIPPER (Discourse Paraphraser): 学術的なパラフレーズ生成モデルで語順・構造を変更
- 段階的パラフレーズ: 文単位で少しずつ言い換え、元のトークン列を徐々に置換
| 攻撃手法 | z値低下率 | 検出回避成功率 | テキスト品質維持 |
|---|---|---|---|
| GPT-4パラフレーズ | 40〜60% | 30〜50% | 高 |
| DIPPER (L=40, O=40) | 50〜70% | 40〜60% | 中〜高 |
| 段階的置換 (50%) | 30〜50% | 20〜40% | 高 |
| 完全書き直し | 90〜100% | > 90% | 変動 |
翻訳攻撃（Translation Attack）
テキストを別言語に翻訳し、再び元の言語に戻す攻撃。トークン列が完全に再構成されるため、ウォーターマークは事実上消失する。
日本語→英語→日本語、英語→フランス語→英語などのパスが一般的。Google翻訳やDeepLを用いた実験では、Green/Red List方式のウォーターマークが95%以上の確率で除去されたという報告がある。
コピー攻撃（Copy Attack）
攻撃者がウォーターマーク無しのテキストに対して、ウォーターマーク有りテキストの統計パターンを模倣的に転写する攻撃。具体的には、ウォーターマーク検出器が「有り」と判定するように無関係なテキストのトークンを選択的に置換する。
スポイリング攻撃（Spoofing Attack）
意図的にウォーターマーク入りテキストを人間が書いたように見せかけるのではなく、逆に人間が書いたテキストにウォーターマークパターンを注入し、ウォーターマーク検出器を「偽陽性」に誘導する攻撃。ウォーターマーク技術の信頼性を毀損することが目的。
頑健性強化手法
Semantic Watermark
トークンレベルではなく、文の意味表現レベルで透かしを埋め込む方式。文のembeddingベクトルが特定の超平面に近くなるようにデコーディングを制御する。パラフレーズで個別トークンが変わっても意味表現は保存されるため、耐性が高い。
| 手法 | パラフレーズ耐性 | 翻訳耐性 | 品質影響 | 計算コスト |
|---|---|---|---|---|
| Green/Red List (標準) | 低〜中 | 低 | 低 | 低 |
| Semantic WM | 高 | 中 | 中 | 高 |
| SynthID-Text | 高 | 中〜高 | 極低 | 中 |
| Unbiased WM (Hu et al.) | 中〜高 | 低〜中 | 極低 | 中 |
| Robust Distortion-Free | 高 | 中 | 極低 | 高 |
冗長符号化（Redundant Encoding）
同じウォーターマーク信号を テキストの複数箇所に繰り返し埋め込む方式。一部が改変されても残存する箇所から検出が可能。誤り訂正符号（Reed-Solomon 等）との併用で、最大 30% のトークンが改変されても検出可能とする研究結果がある。
適応型ウォーターマーク（Adaptive Watermarking）
テキストの各位置のエントロピーに応じてバイアス強度 δ を動的に調整する方式。高エントロピー位置（候補トークンが多い箇所）では δ を大きくし、低エントロピー位置では δ を小さくまたは0にする。品質劣化を最小化しつつ検出信号を最大化できる。
頑健性評価ベンチマーク
WaterBench（2024）
複数の攻撃手法を体系的に適用し、各ウォーターマーク方式の頑健性をスコア化するベンチマーク。
- 評価軸: パラフレーズ耐性 / 翻訳耐性 / 部分削除耐性 / 挿入耐性 / コピー攻撃耐性
- メトリクス: AUC-ROC（z閾値を変化させた検出精度曲線下面積）、MAUVE（品質スコア）、BERTScore（意味保存度）
- 2026年時点のリーダーボード: SynthID-Text が総合1位、Semantic WM が2位
実用的な頑健性の目安
| 攻撃シナリオ | 許容 z値低下 | 必要な初期 z値 | 実用判定 |
|---|---|---|---|
| 軽微な編集（誤字修正・句読点変更） | < 5% | z > 4.2 | 実用的 |
| 中程度の言い換え（文単位） | 20〜30% | z > 5.7 | 条件付き実用的 |
| 大規模パラフレーズ（段落単位） | 40〜60% | z > 10.0 | 困難 |
| 翻訳往復 | > 90% | - | 現時点で対策困難 |
よくある質問（FAQ）
Q1: パラフレーズ攻撃を完全に防ぐことは可能か？ A: 理論的には不可能。テキストの意味を保ったまま全てのトークンを置換すればウォーターマークは消失する。ただし Semantic Watermark 等の意味レベル埋め込みにより、単純なパラフレーズツールでは除去困難なレベルまで耐性を高めることは可能。
Q2: ウォーターマークの頑健性と品質は両立するのか？ A: トレードオフ関係にある。頑健性を高めるにはバイアス強度を上げるか冗長度を増やす必要があるが、いずれもテキスト品質に影響する。SynthID-Text はこのトレードオフを Tournament Sampling で緩和し、品質劣化なしに中〜高レベルの頑健性を実現している。
Q3: 将来的にウォーターマークは完全に無力化されるか？ A: 「Arms race（軍拡競争）」の様相を呈しており、攻撃と防御は共に進化し続ける。しかし、情報理論的にはテキストのエントロピーに余剰がある限りウォーターマーク埋め込みの余地は存在するため、完全な無力化は困難とする見方が学術的には主流。
まとめ
- 頑健性はLLMウォーターマーク実用化の最大の課題
- パラフレーズ攻撃が最も一般的で効果的な除去手法
- Semantic Watermark や冗長符号化で耐性を向上可能
- 翻訳攻撃への耐性は2026年時点でも限定的
- WaterBench 等の標準ベンチマークで定量的に評価される
- 攻撃と防御の軍拡競争は続くが、完全な無力化は困難との見方が主流