AI Security

外观

模型本体安全 · A1.7 模型输出水印与统计溯源更新 2026-09-10约 8 分钟证据：中等 来源：多来源研究综述

模型输出水印与统计溯源研究综述 ​

摘要 ​

统计水印通过改变 token 采样分布或生成过程，在输出中嵌入可检测信号。安全目标至少包括可检测性、低误报、对编辑和转述的鲁棒性、密钥安全与不可伪造性。水印只能提供概率性来源线索，不能单独证明作者身份、内容真实性或事实正确性。

分类介绍 ​

本领域覆盖模型或解码器产生的统计水印及其检测器。攻击者可能只看到文本，也可能知道算法、持有多个带水印样本或控制再生成模型。C2PA 凭证在发布、渲染和转码链被剥离归 A5.7；社会层面的真实性方案效果归 B3。

主要安全风险 ​

  • 改写、翻译、摘要、截断和多模型重生成会削弱统计信号。
  • 已知算法或大量样本可能帮助攻击者估计水印规则并生成伪阳性内容。
  • 短文本、代码和高约束输出的统计功效不同，统一阈值可能产生不公平误报。
  • 检测密钥、模型版本和采样配置变化会破坏跨时间可验证性。
  • 水印规避可以前移到生成链供应链而非输出编辑：GhostVAE 把扩散模型的 VAE Encoder 替换为触发输入下改变潜变量的版本，在正常输入上仍通过水印检测、在触发条件下使水印规避成功率达 94.6%；这要求攻击者对部署使用的 Encoder 有供应链控制权（与 A3.1 的制品来源风险相邻），说明只测输出编辑鲁棒性会遗漏生成组件被植入选择性失效逻辑的风险，验证还需固定模型组件来源、权重摘要和加载路径。

防护措施与验证方法 ​

评测应报告不同长度和编辑强度下的 ROC、假阳性率、可检测率与文本质量，并保留算法、密钥版本和模型版本。高风险归因应结合签名内容凭证、发布日志和平台证据，不把单一检测器作为执法或处罚依据。

局限与待验证问题 ​

  • 在强改写攻击下，水印与内容质量之间可达到什么边界？
  • 如何抵抗水印伪造和检测器查询驱动的自适应攻击？
  • 开放模型与多供应商生成链如何实现密钥治理和撤销？

历史研究成果 ​

该分类下的独立研究覆盖检测、统计估计和生成链实现完整性。Telescope 用 token 重复概率构造 Telescope Perplexity 做零样本生成文本检测；Gumbel–Max 水印比例估计 从理论上分析混合文档中水印文本比例的样本复杂度；SeedHijack 则显示水印采样随机源被替换时，内容侧统计检测可能仍看到被放大的信号。共同结论是：水印只能提供条件化来源线索，验证还要绑定模型、密钥、采样配置与生成依赖的完整性，不能单独证明作者身份或文本真实性。Fingerprinting Text-to-Image Diffusion Models 补充了一条非侵入式溯源路径：利用 collapsed generation（某些输入条件在多个随机种子下产生高度一致图像）作为模型固有的行为签名做所有权验证，无需嵌入水印，但同样只提供概率性来源线索，不能单独证明归属。

新增研究把载体从解码 Token 扩展到模型参数、语义单元和神经动力学。WoE Wrote It? 将信号写入 MoE 专家参数，在八个模型上报告 1% 假阳性率时平均真阳性率 90.1%、最高 94.9%；OpenStamp 将水印逻辑写入开源模型并测试改写与微调清除；In-Context Watermark Self-Distillation 训练模型遵循上下文水印指令；Semantic Watermarking 同时给出自适应嵌入位移攻击和抗重排子句检测；MeMark 则在循环、卷积、残差与 Transformer 脉冲神经网络中验证膜电位空间水印。不同载体面对的白盒访问、微调和重排攻击不可互换，所有数字仍是单篇作者实验。

所有权验证和无水印检测进一步凸显误归因风险。Membership is Ownership 用成员推断验证扩散模型所有权并测试窃取后微调与权重扰动；Relational Over-Regularization 在四个基准上以句间转移方差识别生成文本（作者报告 p < 0.001）；但人类与 AI 文本不可区分性分析 给出随人类样本和改写轮数变化的有限样本收敛结果，而非母语学术写作风格混淆 在 2018–2025 年 135,389 对编辑前后文档中发现检测响应受写作风格影响。后两项说明检测器分数不能替代来源凭证，尤其不能在未校准人群与体裁上作为处罚依据。

2026 年 9 月的两项作者实验分别补充了推理效率和模型所有权载体。Stateless Bernoulli Watermarking（SBW） 用逐 Token 独立伯努利试验替代固定大小绿名单；作者在 Qwen3-8B 上以 500 条 C4 提示、两种播种方案和 2×4=8 组 (γ, δ) 配置比较 KGW，报告对应配置的 ROC-AUC 差小于 0.01，并在其端到端基准中观察到各批大小开销低于 1%。这些数字是作者实验而非本站复现；理论等价只针对标准零假设下的检测统计量，论文也明确承认已知自适应改写与水印窃取会降低检测能力，因此速度改进不能解释为新的抗自适应攻击保证。PROSE 则把私有 AMR 语义结构经混合微调写入 Qwen2.5 与 Llama3.2，在数学推理和医疗诊断域以留出自然查询做黑盒验证；其“100% 检出”的分母是 57 个已加指纹的模型—条件组合（57/57），而“零误报”仅表示所测未加指纹模型中没有观察到模型级误报，并非总体误报率为零。作者还测试了量化、剪枝、下游微调、蒸馏及输入输出变换，但攻击者只知道一般设计，不掌握私有模板库、留出查询或检测配置，也不能修改验证器；这些固定变换不等同于可查询检测器并针对模板优化的自适应移除攻击。

新的跨模态证据强调载体、验证器与变换链要分别建模。Watermarks Without Verification从欧盟 AI Act 第 50 条与 SynthID-Text 部署讨论“默认嵌入”与“第三方可验证”之间的缺口：法规义务、厂商声明和公开检测能力不是同一事实层级。DRIFT直接偏转扩散生成轨迹，在不知道密钥、验证器内部或不做逐图梯度优化的条件下，对跨三类范式的九种水印报告 98%–100% 去除成功率；这要求评测覆盖生成轨迹级自适应变换，而非只测后处理压缩。

水印载体也扩展到编辑意图与音频编码链。AngelFingerprint为文本引导图像编辑嵌入可解释白盒指纹，在 MagicBrush 的 200 路提示检索中报告 86% top-1，提示反演基线为 20%；该结果验证的是所测模型和检索集合中的提示可追溯性，不等于真实作者归属。CRAW针对神经编解码器、去噪器和声码器联合训练音频水印，并报告兼顾鲁棒性与感知质量。两项工作都说明验收需按实际编辑、转码和重生成链测试，同时报告误报、内容质量与未知自适应攻击，不能用单一最佳配置代表跨模态保证。

相关研究文章 ​

生成内容检测

Telescope: Improving Zero Shot Detection of LLM Generated Content By Measuring Token Repetition Probability分析 Telescope Perplexity 如何利用 token 自重复概率检测无水印的模型生成文本，并评估其跨模型、跨领域和改写攻击下的适用范围。2026-07-05

水印统计检测

Sample Complexities of Estimating Gumbel--Max Watermark Proportions with and without Reduction to Pivotal Statistics解释 Gumbel--Max 水印在混合人类与模型文本中的比例估计问题，比较完整观测和 pivotal reduction 下的样本复杂度与统计限制。2026-06-30

水印实现与供应链完整性

SeedHijack：伪随机数供应链如何误导 LLM 水印归因研究水印采样所依赖的伪随机数发生器被替换后，攻击者如何在不改写输出文本的情况下操纵水印统计信号。2026-05-27

参考链接 ​