AI가 쓴 글에 이름을 새기는 방법 — TextSeal2, 워터마크를 22%p 더 잡아내다

1787년 에든버러에서 찍은 로버트 번스의 시집을 밝은 빛에 비추면, 종이 안쪽에서 왕관과 백합 문양이 희미하게 떠오른다. 종이를 만들 때 체에 새겨 둔 무늬가 섬유 밀도를 바꿔 놓기 때문에, 잉크를 한 방울도 쓰지 않고도 '이 종이가 어디서 왔는가'가 남는다. 워터마크(watermark)라는 말은 여기서 나왔다. 2026년 10월 29일 arXiv에 올라온 논문 「TextSeal2: Distortion-Free LLM Watermarking with Copula Mixing and Memoryless Races」(arXiv:2610.40613v1)는 그 오래된 아이디어를 언어 모델의 토큰 확률 분포 위로 옮긴다.

문제는 종이와 다르다는 점이다. 종이는 한 번 만들면 문양이 고정되지만, 언어 모델은 토큰 하나를 뽑을 때마다 난수를 새로 굴린다. 저자 14명(Tom Sander, Pierre Fernandez, Itai Gat 등)은 이 난수에 표식을 심되 독자가 읽는 문장의 통계적 성질은 건드리지 않는, 이른바 '왜곡 없는(distortion-free)' 워터마크를 다룬다. 논문이 내건 목표는 세 가지다. 탐지력, 다양성 보존, 그리고 추론 속도 저하 없음.

워터마크는 문장을 망가뜨리지 않고 어떻게 남는가

워터마크를 넣는 가장 순진한 방법은 특정 단어를 일부러 자주 쓰게 만드는 것이다. 그러면 탐지율은 올라가지만 문장이 어색해지고, 같은 질문에 늘 비슷한 답이 나온다. 논문이 '왜곡 없음'을 강조하는 이유가 여기 있다. 모델이 원래대로 뽑았을 분포에서 벗어나지 않으면서, 뽑히는 순서와 난수의 상관만 미세하게 비트는 방식이 필요하다.

비유하자면 종이의 섬유를 바꾸지 않고 체의 무늬만 바꾸는 셈이다. 독자가 보는 것은 여전히 정상적인 종이지만, 빛을 비추는 사람에게는 문양이 보인다. 논문은 이 상태를 출력 다양성이 유지되고 추론 지연이 측정 가능할 만큼 늘지 않는 것으로 보고한다.

로버트 C. 윌리엄스 제지 박물관의 레이드 워터마크(laid watermark) — Daderot, 퍼블릭 도메인 (Wikimedia Commons)

전임자 TextSeal이 무너진 지점: 동전 던지기

논문은 자기들 앞 세대인 TextSeal을 먼저 해부한다. TextSeal은 Gumbel-max 기법에서 토큰마다 두 개의 열쇠 중 하나를 동전 던지기로 골라 배정한다. 열쇠를 여러 개 쓰면 한 열쇠가 오래 쓰이면서 패턴이 드러나는 것을 막을 수 있으니, 얼핏 합리적인 설계다.

그런데 탐지기는 그 동전이 앞면이었는지 뒷면이었는지를 모른다. 그래서 두 열쇠의 점수를 그냥 평균낸다. 한쪽은 진짜 신호가 실려 있고 다른 쪽은 아니니, 평균을 내는 순간 신호가 절반으로 희석된다. 논문의 표현대로 '차선(suboptimal)'이다. 신호를 숨기려고 열쇠를 나눴는데, 나눈 대가를 탐지 단계에서 그대로 치르는 구조다.

반전: 열쇠를 나누지 말고 하나로 합친다

TextSeal2의 해법은 방향을 뒤집는다. 열쇠 두 개 이상을 '하나의 가상 열쇠(virtual key)'로 병합하고, 그 가상 열쇠를 AutoMark의 가우시안 코풀라(copula)를 통해 새로 뽑은 잡음과 결합한다. 코풀라는 각 변수의 주변분포는 그대로 두고 변수 사이의 의존 구조만 조정하는 통계 도구다. 즉 토큰 분포의 모양은 건드리지 않고, 난수와 열쇠의 관계만 다시 묶는다.

결과적으로 탐지기는 '어느 열쇠가 쓰였는지'를 몰라도 된다. 병합된 가상 열쇠 하나만 검사하면 되기 때문이다. 논문은 이 방식으로 몇 개의 열쇠든, 심지어 공개적으로 공유된 열쇠까지 병합할 수 있고, 그 과정에서 탐지력이 희석되지 않는다고 주장한다. 공개 열쇠를 섞어도 된다는 대목은 실무에서 의미가 크다. 열쇠를 비밀로 유지하는 비용 없이도 탐지 체계를 운영할 수 있다는 뜻이기 때문이다.

추측 복호라는 함정, 그리고 기억없음성

실전 배포에서 진짜 걸림돌은 속도다. 요즘 언어 모델은 추측 복호(speculative decoding)로 빨라진다. 작은 모델이 초안 토큰을 여러 개 미리 뽑고, 큰 모델이 그것을 한 번에 검증해 채택하거나 거절한다. 문제는 거절된 초안이 다른 토큰으로 교체될 때, 워터마크 신호가 함께 지워진다는 것이다. 교체된 토큰은 다른 난수에서 나왔으니 같은 열쇠로 표식이 남지 않는다.

논문은 여기서 확률론의 '기억없음성(memorylessness)'을 쓴다. 지수분포는 이미 기다린 시간과 무관하게 남은 대기시간이 같은 분포를 따른다. 저자들은 초안 경주(draft race)에서 쓰고 남은 잔여 난수 위에서 지수 경주를 한 번 더 돌려, 거절된 초안을 대체하는 토큰에도 같은 열쇠의 표식이 남게 한다. 이 추가 경주가 블록 검증과 동일한 분포를 재현하므로, 출력은 목표 모델을 정확히 따른다. 채택률은 그대로이고, 초안을 교체해도 워터마크가 유지된다는 것이 논문의 주장이다.

숫자: 100토큰에서 8~22%p, 200토큰에서 18·22%p

아래 그림은 종이 워터마크의 예다. 체에 새긴 무늬가 섬유 밀도를 바꿔, 잉크 없이도 표식이 남는다. 언어 모델의 워터마크도 같은 원리, 즉 '보이지 않는 곳에 남는 흔적'을 노린다.

논문은 세 개의 언어 모델에서 실험했다고 밝힌다. 출력 토큰 다양성을 같게 맞춘 조건에서, 오탐률 10⁻³, 즉 1,000번 검사에 한 번 잘못 짚는 수준에서 TextSeal2는 100토큰 길이 답변을 TextSeal보다 8~22퍼센트포인트 더 많이 탐지했다. 같은 조건에서 textGrain과는 비슷한 성능을 내면서, 로짓 이후 최적화(post-logits optimization)를 전혀 쓰지 않는다.

추측 복호 아래에서는 격차가 더 벌어진다. 채택률을 동일하게 맞춘 200토큰 답변에서 TextSeal보다 18퍼센트포인트, textGrain보다 22퍼센트포인트 더 많이 잡아낸다. 짧은 글보다 긴 글에서 차이가 커진다는 것은, 신호가 토큰마다 조금씩 쌓여 길어질수록 드러난다는 뜻으로 읽힌다.

경쟁 가설과 반론: 정말 '공짜'인가

조지 5세 시대 영국령 인도 지폐의 워터마크 변형 A — 영국령 인도 정부, 퍼블릭 도메인 (Wikimedia Commons)

가장 먼저 나올 반론은 '그럼 워터마크를 안 넣은 사람의 글도 잡아내지 않느냐'는 것이다. 오탐률 10⁻³은 그 질문에 대한 저자들의 답이다. 1,000건당 1건 수준의 오탐을 허용하는 선에서 탐지력을 비교했다는 뜻이다. 이 수치를 낮추면 탐지력은 떨어질 수밖에 없다.

두 번째 반론은 경쟁 기법과의 비교 공정성이다. textGrain은 로짓 이후 최적화를 쓰고, TextSeal2는 쓰지 않는다. 계산 비용을 따로 지불하지 않고 비슷한 성능에 도달했다는 것이 저자들의 주장이지만, 최적화를 허용한 조건에서도 우위가 유지되는지는 이 논문의 요약만으로는 판단할 수 없다. 세 번째 반론은 열쇠 병합의 대가다. 열쇠를 많이 합칠수록 가상 열쇠 하나에 담기는 정보량이 늘어나는데, 논문은 그 지점에서 탐지력이 희석되지 않는다고만 말하고 병합 개수의 상한은 제시하지 않는다.

논문이 스스로 밝힌 한계, 그리고 남는 질문

이 글을 쓰는 시점에 확인한 초록에는 별도의 '한계' 절이 요약되어 있지 않다. 따라서 여기서 말할 수 있는 것은 초록이 실제로 주장한 범위다. 실험은 세 개 모델, 100토큰과 200토큰 길이의 답변, 그리고 특정 오탐률 조건에 한정된다. 문단을 통째로 바꿔 쓰거나 다른 언어로 번역하는 식의 변형 공격에 대해서는 초록에 언급이 없다. 워터마크는 원문을 그대로 옮길 때 가장 잘 살아남고, 요약과 의역 앞에서는 약해지기 마련인데 이 논문이 그 지점을 어떻게 처리했는지는 초록만으로 알 수 없다.

또 하나 남는 것은 '누구의 글인가'라는 문제다. 워터마크는 기계가 썼다는 사실을 알려 주지만, 어느 모델이 썼는지, 어떤 열쇠로 쓰였는지는 알려 주지 않는다. 공개 열쇠까지 병합할 수 있다는 설계는 편리함과 함께, 열쇠를 아는 사람이면 누구나 같은 표식을 만들 수 있다는 뜻이기도 하다. 탐지의 신뢰가 열쇠 관리에 다시 얹히는 셈이다.

종이의 워터마크가 위조되지 않았던 이유는 체를 만드는 몰드가 귀했기 때문이다. 언어 모델의 워터마크는 몰드가 아니라 난수에 기대고 있고, 난수는 누구나 흉내낼 수 있다. 그렇다면 우리가 원하는 것은 'AI가 썼다'는 표시인가, 아니면 '이 열쇠를 가진 쪽이 썼다'는 보증인가. 여러분은 어느 쪽이 더 필요한가.

참고 자료

Tom Sander, Pierre Fernandez, Itai Gat 외 11인, 「TextSeal2: Distortion-Free LLM Watermarking with Copula Mixing and Memoryless Races」, arXiv:2610.40613v1 (cs.AI), 2026년 10월 29일 제출.

원문: https://arxiv.org/abs/2610.40613v1