DAWA

L'algoritmo distribution-adaptive, token-level e distortion-free, che realizza il principio di ottimalità congiunta schema-detector con un modello surrogato (NeurIPS 2025).

DAWA (Distribution-Adaptive Watermarking Algorithm) è l’implementazione pratica, token-level e distortion-free, del principio del distribution-adaptive watermarking, proposta da He, Liu, Wang, Mao e Bu (NeurIPS 2025) come realizzazione concreta del loro framework teorico di ottimalità congiunta per il LLM watermarking.¹

Come funziona

Per adattare la sequenza ausiliaria casuale alla distribuzione generativa del modello, il detector dovrebbe conoscere quella distribuzione, ma in fase di detection normalmente non si ha accesso né al modello originale né al prompt che ha generato il testo. DAWA risolve il problema con due accorgimenti:¹

Modello surrogato: un modello più piccolo, potenzialmente di una famiglia diversa purché condivida il tokenizer, approssima a partire dal solo testo generato la distribuzione che il modello originale avrebbe assegnato a ogni token. Negli esperimenti, un Llama2-7B fa da surrogato per Llama2-13B e un modello più piccolo per Mistral-8×7B.
Gumbel-Max trick: la sequenza ausiliaria pseudo-casuale viene campionata usando il Gumbel-Max watermarking, con la distribuzione approssimata dal modello surrogato al posto di quella del modello originale e una chiave condivisa tra generazione e detection.

Il risultato è uno schema che aggiunge il watermark incrementale token per token, senza conoscere in anticipo l’intera sequenza, è model-agnostico, il detector non ha bisogno del modello originale né del prompt, è distortion-free e dimostrabile robusto alla sostituzione casuale di token.¹

Perché è rilevante

Negli esperimenti su Llama2-13B e Mistral-8×7B, DAWA supera sistematicamente le baseline esistenti, ovvero KGW watermarking, una variante dell’exponential minimum sampling (EXP-edit), il Gumbel-Max watermarking standard e un metodo di confronto aggiuntivo, specialmente a tassi di falsi positivi ultra-bassi, fino a 1e-05, e su dataset a bassa entropia come domande-risposta in stile ELI5, dove gli schemi non adattivi tendono a generare più falsi positivi. Mantiene inoltre una qualità del testo generato, in perplexity e BLEU score, vicina a quella del testo umano e vicina o migliore delle altre baseline distortion-free.¹

Robustezza

Gli autori validano sperimentalmente la robustezza teorica contro un attacco di sostituzione casuale di token: si maschera il 50% dei token del testo watermarked e si usa T5-large per predire un rimpiazzo plausibile per ciascuno. DAWA mantiene ROC-AUC e TPR più alti delle baseline sotto questo attacco. In appendice riportano risultati preliminari anche contro eliminazioni casuali, dove supera le altre baseline, e contro la parafrasi, dove le prestazioni sono comparabili alle migliori baseline esistenti.¹

Limiti

Come per ogni schema token-level, la qualità dell’approssimazione del modello surrogato ha un impatto, limitato secondo l’analisi teorica, sulle prestazioni di detection. Il metodo richiede comunque di eseguire un secondo modello in fase di detection, un costo computazionale assente nei detector puramente statistici come quello di KGW.¹

Voci correlate

Distribution-adaptive watermarking — il principio teorico di cui DAWA è la realizzazione pratica
Gumbel-Max watermarking — la tecnica di campionamento su cui si basa
KGW watermarking — una delle baseline superate negli esperimenti
Exponential minimum sampling — l’altra famiglia distortion-free usata come baseline
In-processing watermarking — la categoria di appartenenza
LLM watermarking — la voce d’insieme

Bibliografia e sitografia

He, X., Liu, A., Wang, Z., Mao, Y., Bu, Z., Theoretically Grounded Framework for LLM Watermarking: A Distribution-Adaptive Approach, NeurIPS 2025.

He et al., Theoretically Grounded Framework for LLM Watermarking, NeurIPS 2025. ↩ ↩² ↩³ ↩⁴ ↩⁵ ↩⁶