ステガノグラフィックウォーターマーク（ステガノグラフィックウォーターマーク）
テキストの意味や読みやすさを変えずに隠れたメッセージやパターンを埋め込むステガノグラフィ（情報隠蔽）技術をLLMのテキスト出力に応用したウォーターマーク手法。
ステガノグラフィックウォーターマークとは
ステガノグラフィックウォーターマーク（Steganographic Watermark）は、古典的な情報隠蔽技術であるステガノグラフィ（Steganography）をLLM生成テキストに応用した透かし手法である。テキストの表面的な意味や読みやすさを保ちながら、同義語選択、文構造の微調整、句読点パターンなどにメッセージを符号化する。
画像ステガノグラフィがピクセルの最下位ビットに情報を埋め込むのと同様に、テキストステガノグラフィは「言い換えの選択肢」という自然言語の冗長性を利用する。
画像ステガノグラフィとの比較
| 項目 | 画像ステガノグラフィ | テキストステガノグラフィ |
|---|---|---|
| 媒体 | ピクセル（連続値） | トークン（離散値） |
| 埋め込み容量 | 高い（1ピクセル=8bit×3ch） | 低い（1トークン=0.5〜2bit） |
| 変更の知覚性 | 極めて低い | 言い換えの不自然さが出る可能性 |
| ロバスト性 | 圧縮・リサイズに弱い | パラフレーズ・翻訳に弱い |
| 検出難易度 | 統計的攻撃で検出可能 | 同義語選択の偏りで検出可能 |
主要な手法
1. 同義語置換方式
テキスト中の単語を意味が同じ同義語に置き換えることで情報を埋め込む。例えば「大きい」→「巨大な」=ビット1、「大きい」をそのまま=ビット0とする。
利点: テキストの意味が変わらない 欠点: 同義語辞書の品質に依存、置換可能な単語が限定的
2. 構文変換方式
能動態↔受動態、関係代名詞の有無、語順の入れ替えなどで情報を符号化する。
利点: 単語レベルの変更より検出困難 欠点: 自動構文変換の品質が低いと不自然になる
3. Unicode制御文字方式
ゼロ幅スペース（U+200B）、ゼロ幅非結合子（U+200C）などの不可視Unicode文字を挿入して情報を埋め込む。
利点: テキストの可読性に全く影響しない 欠点: プレーンテキスト変換で即座に除去される
4. LLM統合方式（2024年以降）
LLMのトークン生成をステガノグラフィのチャネルとして利用する。Arithmetic Coding を応用し、メッセージのビット列に基づいてトークン選択をバイアスする。
| 手法 | 年 | 容量 | 品質 | ロバスト性 |
|---|---|---|---|---|
| Meteor (Yang et al.) | 2024 | 2.3 bit/token | 高 | 中 |
| REMARK-LLM (Zhang et al.) | 2024 | 1.8 bit/token | 高 | 高 |
| Provably Robust (Christ et al.) | 2024 | 0.5 bit/token | 最高 | 最高 |
| StegaText (Wu et al.) | 2023 | 3.1 bit/token | 中 | 低 |
Kirchenbauer方式との違い
| 比較項目 | Kirchenbauer（統計的） | ステガノグラフィック |
|---|---|---|
| 埋め込み情報 | 有/無の1ビットまたは少数ビット | 任意長のメッセージ |
| 検出方式 | 統計的仮説検定 | 符号化メッセージの復号 |
| テキスト品質 | logitバイアスで微劣化 | 同義語選択で微劣化 |
| 必要テキスト長 | 100〜200トークン以上 | 50〜100トークンで十分（高容量手法） |
| プロバイダ要件 | モデル推論パイプラインへの介入 | 後処理でも適用可能 |
応用シナリオ
1. モデル出所追跡
複数のAPIプロバイダが同じベースモデルを使用する場合、各プロバイダ固有のIDをステガノグラフィで埋め込むことで、リーク元の特定が可能。
2. 版権管理
AI生成コンテンツに著作者情報やライセンス条件を不可視に埋め込み、無断転載時の権利主張に利用。
3. データ汚染追跡
LLM学習データにステガノグラフィで出自情報を埋め込み、学習データのライセンス違反を検出。
実用上の課題
- 容量制限: テキストの冗長性は画像に比べて低く、埋め込み容量に限界がある
- 言語依存性: 同義語辞書・構文規則が言語ごとに必要
- コピー＆ペースト耐性: テキストがコピーされる過程でUnicode制御文字が失われる場合がある
- LLMによる除去: パラフレーズすると同義語選択パターンが破壊される
よくある質問
Q1: ステガノグラフィは暗号化と同じですか？
A1: 異なる。暗号化はメッセージの内容を隠す（存在は明らか）。ステガノグラフィはメッセージの存在自体を隠す。ウォーターマーク文脈では、透かしが埋め込まれていること自体を攻撃者に察知されにくくするのがステガノグラフィの利点。
Q2: 何ビットくらいの情報を埋め込めますか？
A2: 手法により大きく異なる。最新のLLM統合方式で1〜3 bit/token、100トークンのテキストに100〜300ビット（=12〜37バイト）程度。短いURL、ハッシュ値、タイムスタンプなどの埋め込みには十分。
Q3: テキストを印刷して再度OCRした場合でも検出できますか？
A3: 同義語置換方式や構文変換方式であれば、テキスト内容が保持される限り検出可能。Unicode制御文字方式はOCRで失われるため不可。ただし、OCRの認識精度によっては同義語置換パターンも破壊される可能性がある。