★ DISPONIBILE PER FORMAZIONE E PROGETTI
enrico chiolo

KGW Watermarking

La tecnica fondativa del watermarking per LLM a liste verdi e rosse, proposta da Kirchenbauer et al. (2023), con bias sui logit e verifica tramite z-score.

KGW Watermarking è la tecnica di in-processing watermarking proposta da John Kirchenbauer e colleghi della University of Maryland nel paper A Watermark for Large Language Models (2023), generalmente considerata il capostipite del filone moderno di LLM watermarking.1 La sigla deriva dalle iniziali degli autori (Kirchenbauer, Geiping, Wen); in letteratura la tecnica è indicata anche come green-red list watermarking o, in sigla, WLLM.2

Come funziona

A ogni passo di generazione, una chiave segreta e il contesto precedente vengono usati per partizionare pseudo-casualmente il vocabolario del modello in due insiemi: una green list, che copre una frazione γ del vocabolario, e una red list, il resto. Prima di campionare il token successivo, il modello somma un bias positivo δ ai logit dei token della green list, rendendoli leggermente più probabili. Il testo generato contiene così, in media, più parole della green list di quante ce ne sarebbero in un testo umano o di un modello non watermarked: un pattern statisticamente rilevabile ma impercettibile alla lettura.1

In fase di detection, chi conosce la chiave ricalcola per ogni posizione del testo quale sarebbe stata la green list attesa in quel contesto, applicando una funzione hash al contesto precedente, e conta quante parole del testo vi cadono dentro. Uno z-score sopra una soglia indica la presenza del watermark con un dato livello di confidenza.1

Regola hard e regola soft

Il paper originale distingue due varianti. La regola hard, presentata come prova di concetto, vieta del tutto i token della red list: il modello può campionare solo dalla green list. È semplice da analizzare, ma degrada pesantemente la qualità su testo a bassa entropia, dove spesso esiste un’unica continuazione ragionevole che potrebbe cadere nella red list. La regola soft, quella a cui la letteratura successiva si riferisce di norma come “KGW”, non vieta nulla: si limita a sommare δ ai logit della green list. Quando l’entropia è alta e ci sono molte scelte plausibili, il bias sposta chiaramente la scelta verso la green list; quando un solo token domina nettamente i logit, l’impatto è trascurabile e la qualità del testo resta intatta.1

Garanzie teoriche

Il paper introduce la spike entropy per quantificare quanto una distribuzione di probabilità sia concentrata su pochi token, e ne dimostra due conseguenze: un limite inferiore al numero atteso di token della green list in una sequenza, in funzione della spike entropy media del testo, e un limite superiore alla sua varianza. Questo permette di calcolare in anticipo quanti token servono per rilevare il watermark con una data confidenza.3 Il paper dimostra inoltre che l’impatto della regola soft sulla perplexity attesa è delimitato in modo uniforme, indipendentemente dall’entropia del token in questione.3

Modalità pubblica e privata

Il detector di base è pensato per essere pubblico: chiunque conosca la funzione hash può ricalcolare le green list e verificare il testo senza accesso al modello, una proprietà che permette di rendere open source l’algoritmo di detection mantenendo il modello proprietario. In modalità privata, la chiave resta segreta dietro un’API, rendendo più difficile per un attaccante scoprire quali token sono “verdi”. Per rafforzare la modalità privata contro un attacco di forza bruta che tabuli le frequenze dei token successivi, il paper propone una regola robusta che deriva la green list da una finestra di h token precedenti selezionati tramite un self-hash: cambiare anche un solo token nella finestra randomizza la lista in modo imprevedibile, al costo di richiedere accesso ai logit completi per costruirla.1

Attacchi testati nel paper originale

Oltre alla categoria generale della rimozione del watermark, il paper descrive e testa attacchi specifici:1

  • T5 Span Replacement: un attacco black-box che sostituisce iterativamente porzioni del testo con un modello di riempimento, fino a un budget di sostituzioni. Degrada il watermark solo a budget almeno 0,3, che costa in media un aumento di perplexity di circa 15 punti: un trade-off esplicito tra rimozione del segnale e qualità del testo.
  • Tokenizzazione e homoglyph: modificare un carattere può cambiare il modo in cui il tokenizer spezza le parole vicine, alterando più token “a cascata”; gli attacchi homoglyph sostituiscono caratteri con equivalenti Unicode dall’aspetto identico (per esempio lettere cirilliche) per rompere la tokenizzazione senza che il testo appaia diverso. La difesa è la normalizzazione del testo prima del calcolo dell’hash.
  • Attacchi generativi, che sfruttano la capacità del modello di seguire istruzioni: l‘“Emoji Attack” chiede di inserire un’emoji dopo ogni token e poi le rimuove, randomizzando così le green list dei token successivi.

Rilevanza

È il primo metodo a dimostrare che si può inserire un segnale rilevabile agendo solo sui logit in fase di inferenza, senza intervenire sul training e senza un impatto drastico sulla qualità percepita. Negli esperimenti originali su OPT-1.3B, una green list piccola (γ = 0,1) risulta Pareto-ottimale nel compromesso tra forza del watermark e perplexity, il watermark è rilevabile da sequenze di appena 25 token, e l’uso di beam search “stira” il watermark nel testo con un costo di qualità quasi nullo.1 La tecnica ha aperto il filone dell’in-processing watermarking ed è il riferimento comune della letteratura successiva; SynthID, il sistema in produzione di Google DeepMind, ne è l’evoluzione con campionamento a torneo invece del bias diretto sui logit.4

Limiti noti

La detection si indebolisce su output brevi o a bassa entropia, dove ci sono pochi token intercambiabili su cui applicare il bias. Lo studio comparativo di Adaku Uchendu (ACL 2026) conferma il limite in modo quantitativo: sotto il 10% di accuratezza su testo corto per quasi tutti i watermarker, KGW incluso, e oltre il 90% su testo lungo.5 La tecnica è inoltre vulnerabile a sostituzione di sinonimi e parafrasi: il benchmark DIPPER quantifica la degradazione, con la detection che passa dal 100% di baseline al 57% su GPT-2-1.5B e al 53% su OPT-13B sotto parafrasi intensa, con similarità semantica ancora sopra il 94%.5 La consistenza cross-linguale è la più debole tra gli schemi testati: sotto attacco di traduzione, l’AUC di detection crolla a circa 0,61.6 Un limite statistico strutturale è documentato dal paper di Li et al. (2025): lo z-score di KGW è una regola additivo-somma, e le regole additive sono subottimali sotto edit umani rispetto a test adattivi come Tr-GoF, progettati per il watermarking Gumbel-max.7 Infine, il bias che KGW introduce nei logit produce uno spostamento di distribuzione che degrada i detector esterni, che possono percepire il testo watermarked come più umano del testo umano.8

Voci correlate

Bibliografia e sitografia

  • Kirchenbauer, J., Geiping, J., Wen, Y., Katz, J., Miers, I., Goldstein, T., A Watermark for Large Language Models, ICML 2023 / arXiv:2301.10226.
  • Phan, T. et al., A Survey on LLM Watermarking: Theory and Deployment, arXiv, luglio 2026.
  • Ye, Y. et al., Securing Large Language Models: A Survey of Watermarking and Fingerprinting Techniques, ACM Computing Surveys, febbraio 2026.
  • Dathathri, S. et al., Scalable watermarking for identifying large language model outputs, Nature, 2024.
  • He, Z., Zhou, B., Hao, H. et al., Can Watermarks Survive Translation?, ACL 2024.
  • Xiang, Li, Hu, Liu, AI-Generated Text Detection: Comprehensive Review, CMC-Computers, Materials & Continua, 2025.
  • Uchendu, A., Synthetic Text Detection: Watermark vs Automatic Detection, ACL 2026 Industry Track.
  • Panaitescu-Liess, O. et al., When Detection Tools Collide, 2026.
  • Li, Ruan, Wang, Long, Su, Robust Detection of Watermarks Under Human Edits, arXiv:2411.13868, 2024.

Footnotes

  1. Kirchenbauer et al., A Watermark for Large Language Models, ICML 2023. ↩ ↩2 ↩3 ↩4 ↩5 ↩6 ↩7

  2. Phan et al., A Survey on LLM Watermarking, arXiv, 2026. ↩

  3. Kirchenbauer et al., A Watermark for Large Language Models, ICML 2023, Teoremi 4.2 e 4.3. ↩ ↩2

  4. Dathathri et al., Scalable watermarking for identifying large language model outputs, Nature, 2024. ↩

  5. Xiang et al., AI-Generated Text Detection, CMC, 2025; Uchendu, Synthetic Text Detection, ACL 2026. ↩ ↩2

  6. He et al., Can Watermarks Survive Translation?, ACL 2024. ↩

  7. Li et al., Robust Detection of Watermarks Under Human Edits, 2024. ↩

  8. Panaitescu-Liess et al., When Detection Tools Collide, 2026. ↩