zhuanlan.zhihu.com

Sstz0719

来历：知乎

明敏 Alex 发自 凹非寺
量子位 | 公众号 QbitAI

AI天生文本，又遇新对手！
凭仗识别AI天生文本中的“水印”，一种新算法可以正确判定文本究竟是谁写的。
无需拜候模子参数、API，成果置信度高达99.999999999994%。



方式一经公布就引来大量网友围观。这回拿ChatGPT“做弊”，怕不是要更难了？
要晓得，比来一段时候，ChatGPT先是成为美国高中生的写作业利器，前面帮专业媒体写稿子，激发庞大发急。如Nature、纽约教育部等，都针对ChatGPT公布禁令。
马里兰大学学者们提出的这一新方式，为处理这些麻烦提出了个新思绪。
很多网友都感觉，这个方式提出的正是时辰，而且结果看着也不错。



有学者还和美国高中生喊话，你们要做好预备了！



作者暗示，方式代码将在2月15日免费开源。
计较文本由AI天生的几率

所谓模子水印，人类没法看到，可是计较机可以。
这是一种现在被常用于大范围说话模子（LLM）中的方式，能让AI天生的文本带有“特别标志”。即把信号嵌入到天生的文本中，让算法能从一小段token中检测出来。
比来，OpenAI方面也暗示，斟酌在ChatGPT中增加水印，以下降模子被滥用带来的负面影响。
这篇最新论文的作者，就想考证下这个想法到底靠不靠谱。他们经过给LLM中嵌入水印，然后再停止检测。其中水印的嵌入不会影响文本天生质量。
具体来说，大范围说话模子每次天生一个token，每个token将从包括大约5万个辞汇的辞汇表中停止挑选。
在新token天生之前，该方式会从基于比来已天生的token为随机数天生器（RNG）供给“种子”，以此来压一个水印。



然后利用RNG，能将辞汇表分为黑名单和白名单，并要求LLM接下来只能从白名单当挑选辞汇。
假如整段文本中，白名单中的辞汇越多，就意味着越有能够是AI天生的。
黑白名单的区分，基于一个原则：

人类利用辞汇的随机性更强。

举例来说，假如在“美丽的”前面天生辞汇，水印算法会将“花”列入白名单，将“兰花”列入黑名单。
论文作者以为，AI更能够利用“花”这个辞汇，而不是“兰花”。



然后，就能经过计较整段文本中白名单token出现的情况，来检测水印。
假如一共有天生了N个token，一切的token都利用了白名单辞汇，那末这段笔墨只要2的N次方分之一几率是人类写的。
即使这段笔墨只要25个词组成，那末水印算法也能判定出它究竟能否是AI天生的。
但作者也暗示，水印偶然辰也纷歧定完全靠谱。
比如模子输出了“SpongeBob Square”，下一个单词一定会是“Pants”吧？可是Pants会被标志到黑名单里，即以为是只要人材会写的词。
（注：SpongeBob SquarePants是《海绵宝宝》动画片的英文，可了解为一个专著名词）



这类情况会严重影响算法的正确性，是以作者将其界说为低熵token，由于模子几近不会有更好的挑选。
对应来看，也会有高熵token，比如“海绵宝宝感受____”这个句式里，能填入的辞汇太多了。
对于这一情况，作者挑选针对高熵token制定更强的法则，同时保存低熵token，确保水印质量更好。
与此同时，他们还增加了波束搜索（Beam search），答应LLM可以排布一全部token序列，以避免黑名单辞汇。
这么做，他们能确保LLM利用白名单辞汇的几率在大约80%左右，而且不影响文本天生质量。



举例来看，对于下面这段笔墨，水印算法以为它有99.999999999994%的能够是由AI天生的。
由于在这段笔墨中，包括36个token。假如是人类写的，那末文本中应当包括9±2.6个白名单辞汇（白名单辞汇的几率约为25%）。
但这段笔墨中，包括了28个白名单辞汇。
计较来看，这段笔墨由人类写出的几率，唯一0.0000000000006% （6乘以10的-15次方）。



以下标注的是文本中的黑名单token。



需要留意的是，假如想要水印一般发挥感化，并不遭到进犯，就必须对文本停止一些标准化处置，而且需要检测某些范例的匹敌性提醒。
这一方式是对外公然的，将在2月15日开源代码。
加一个随机秘钥，也能酿成保密形式而且托管到API上，这能保证水印不会被篡改。
论文中利用的模子是Meta开源的OPT-1.3B模子。
由于不用拜候底层模子，所以该检测方式的速度很快，本钱也不会很高。
而且可以利用标准说话模子天生带水印的文本，不用再重新练习。
网友：似乎很轻易绕过？

巴特，很多网友感觉，这个方式的具体理论结果能够远不及理想，质疑之声迭起。
有人提出：

假如我在AI天生的笔墨根本上，点窜几个词，还能被查出来吗？那在替换成近义词后，检测正确率会下降几多？
究竟大师常常不会一字不改、间接用AI天生的内容。

对此，论文通讯作者、马里兰大学副教授Tom Goldstein回答称：

对于一段自带水印的笔墨，最少得点窜40%-75%的token，才能够成功去除水印。
（假如用其他法式点窜内容话），为发生同义词进犯，致使天生内容的质量很低。

简而言之，想要经过换近义词来消除水印，得大篇幅点窜，而且若不是人亲身手动点窜的话，结果会很拉胯。
还有人提出：

对于专门设想过的低熵token序列，应当能检测出水印。可是，长度和检测率之间（存在一些冲突），它们的优先级应当若何权衡？

对此，Tom教授暗示：

按照设定，利用波束搜索时，绝大大都（凡是是90%）的token在白名单上，即使是低熵token，也会被列入白名单。
所以，最少得点窜一半以上的token，才能删除水印，而这需要一个超级强大的LLM模子才行，一般人很难打仗到。

不外，研讨者们也在论文中认可，这类方式确切存在一些范围性。
比如，检测水印的z统计量，只取决于白名单巨细参数γ和天生白名单的哈希函数，和其他很多重要的参数并没有什么相关性。
这就让他人可以鄙人流水印检测器上做手脚，可以改变水印采样算法，重新摆设水印，终极让原本天生的水印生效。
就连OpenAI CEO Sam Altman也暗示：

缔造完善检测AI剽窃的工具，从底子上来说是不成能的。

（虽然他说OpenAI筹算启用水印大法）
但话说返来，人们为了限制AI天生笔墨的负面影响，还是费尽血汗——
之前就有人搞出了一个检测ChatGPT的网站，名曰GPTZero，只需要把响应的内容粘进去，几秒内就能分析出成果。



论文地址：
https://arxiv.org/abs/2301.10226
参考链接：
[1]https://twitter.com/tomgoldsteincs/status/1618287665006403585
[2]https://twitter.com/goodside/status/1610552172038737920
[3]https://www.technologyreview.com/2023/01/27/1067338/a-watermark-for-chatbots-can-spot-text-written-by-an-ai/
—完—
@量子位 · 追踪AI技术和产物新静态
深有感慨的朋友，接待附和、关注、分享三连վ'ᴗ' ի ❤




原文地址：https://zhuanlan.zhihu.com/p/603419633
免责声明：
1、文章部分图片源于收集，均为表示图；
2、一切文章、图片、音频视频文件等材料版权归版权一切人一切；
3、因非原创文章及图片等内容没法和版权者联系，如原作者或编辑以为作品不宜上网供阅读，或不应无偿利用，请实时告诉我们，以敏捷采纳适当办法，避免给双方形成不需要的经济损失；
4、本页面内容由爬虫法式自动收集于互联网，如无意中加害了媒体或小我的常识产权，请电邮【E-Mail:cb@yoyodoc.com】告之，我们将于24小时内删除。

愿为素心人

这波我只佩服某些大门生的奇异操纵[捂脸]

尹泽汐猩

本来随机数天生器叫RNG

WY20172017

图片都有各类去水印工具，笔墨更会有。未来一定会有检测水印辞汇，保举替换成冷僻词的野生智能工具[欣喜]

海上灵光Y8

那就是说chatGPT今朝还没有水印是吧？我今年结业，能否是还来得及[欣喜]

真不是我干的的

黄金会员去水印。[调皮]

QQYY7788QQ

Random Number Generator
应当是这个吧

小野妹子868

ai一本端庄乱说八道还是很利害的

hdnnuz62

没事，大学某些专业的教员也压根看不懂这类高科技

天使粉粉魏

写过论文的都晓得先翻译到其他说话再翻译返来，然后再改通顺……