Gumbel-Max watermarking

La famiglia distortion-free di watermarking che usa il Gumbel-Max trick per generare una sequenza di token pseudo-casuale ma rilevabile, fatta risalire a un'idea di Scott Aaronson.

Gumbel-Max watermarking è una famiglia di tecniche di in-processing watermarking distortion-free che usa il “Gumbel-Max trick”, un metodo di campionamento in cui si aggiunge rumore Gumbel indipendente a ciascun punteggio e si sceglie l’elemento con il valore perturbato più alto, ottenendo esattamente un campione dalla distribuzione originale.¹ L’idea è fatta risalire a una proposta preliminare di Scott Aaronson (2022) ed è uno dei riferimenti canonici, insieme all’exponential minimum sampling, della famiglia dei metodi che non alterano la distribuzione dei token del modello.¹

Come funziona

Per ogni token candidato, invece di campionare direttamente dalla distribuzione softmax del modello, si genera un rumore pseudo-casuale, derivato da una chiave segreta e dal contesto, secondo una distribuzione di Gumbel, lo si somma al logaritmo della probabilità di ciascun candidato e si sceglie il token che massimizza il punteggio risultante. Il risultato è statisticamente identico a un campionamento diretto dalla distribuzione originale, quindi non introduce alcuna distorsione misurabile, ma è deterministico dato il rumore, che è a sua volta deterministico data la chiave: chi conosce la chiave può ricostruire lo stesso rumore e verificare che il testo sia coerente con la sequenza pseudo-casuale attesa.¹

Rilevanza

È indicato in letteratura come il primo watermark unbiased, nel senso di preservare la distribuzione in aspettativa, e il paper di Li et al. (2025) conferma che è stato implementato internamente a OpenAI, come baseline di molti studi successivi.² Attenzione alla nomenclatura: l’aggettivo “unbiased” è l’opposto del bias a liste del KGW watermarking, ma non va confuso con l’unbiased watermark di Hu et al. (2024), che indica un’altra tecnica basata su δ-reweighting. Il Gumbel-Max trick è inoltre il meccanismo di campionamento su cui si basa DAWA, che lo combina con un modello surrogato per renderlo praticabile senza accesso al modello originale in fase di detection.¹

Limiti

Come per tutta la famiglia distortion-free e token-level, le prestazioni di detection calano su output brevi e a bassa entropia.¹ Le implementazioni più semplici campionano la sequenza pseudo-casuale in modo uniforme, senza tenere conto della distribuzione generativa specifica del modello, un limite che il distribution-adaptive watermarking identifica come subottimale.¹ Il limite più documentato è la fragilità agli edit umani: con appena il 5% dei token modificati, la detection crolla dall’87,8% al 64,7% sotto edit di tipo parafrasi e al 30,2% sotto edit avversari che colpiscono i token col segnale più forte, perché la sua rilevazione è una regola somma, fragile al rumore degli edit.²

Voci correlate

Exponential minimum sampling — la tecnica sorella della famiglia distortion-free
KGW watermarking — il termine di paragone, che introduce un bias esplicito
Unbiased watermark — l’altra tecnica con cui non va confusa la nomenclatura
DAWA — l’algoritmo che usa il Gumbel-Max trick con un modello surrogato
Distribution-adaptive watermarking — il principio di ottimalità a monte
In-processing watermarking — la categoria di appartenenza
LLM watermarking — la voce d’insieme

Bibliografia e sitografia

He, X., Liu, A., Wang, Z., Mao, Y., Bu, Z., Theoretically Grounded Framework for LLM Watermarking: A Distribution-Adaptive Approach, NeurIPS 2025.
Li, Ruan, Wang, Long, Su, Robust Detection of Watermarks Under Human Edits, arXiv:2411.13868, 2024.

He et al., Theoretically Grounded Framework for LLM Watermarking, NeurIPS 2025. ↩ ↩² ↩³ ↩⁴ ↩⁵ ↩⁶
Li et al., Robust Detection of Watermarks Under Human Edits, 2024. ↩ ↩²