该论文关注的是 LLM Agent 作为商业服务被部署后所面临的「Agent 重打包（agent repackaging）」风险：攻击者通过 API 将受保护的 Agent 集成进自己的应用中，并以自己的品牌身份对外提供，同时可能对执行流程的某些环节进行修改以掩盖来源。服务所有方通常只能以黑盒方式访问被重打包的服务，因此黑盒场景下的所有权验证成为关键需求。Agent 水印（agent watermarking）的思路是在 Agent 的行为中嵌入所有权证据，以便事后验证。论文指出，一个有效的水印必须同时满足两个条件：其一是无损性（losslessness），即嵌入水印不能改变原有功能与性能；其二是鲁棒性（robustness），即在执行过程被部分修改后仍能恢复出所有权证据。作者认为现有方法存在明显不足：它们往往把水印信号嵌入到行为选择（behavior selection）或执行轨迹（execution trajectories）中，因而会干预 Agent 的正常决策过程，且对行为修改的鲁棒性有限。为此论文提出 LoRo-Mark，一种可证明无损且鲁棒的 Agent 水印机制。在无损性方面，该方法将水印逻辑隔离到一个经过密码学认证的「取证分支（forensic branch）」中：该分支在正常执行时不激活，仅由所有者授权的请求触发；作者通过将「未授权的分支激活」归约为标准 MAC 安全性问题，从形式上保证了原有性能不被影响（性能保持）。在鲁棒性方面，该方法将所有权信息冗余地分散编码在取证行为序列中，使得即使发生部分行为替换和序列截断，仍能可靠恢复所有权信息。实验在多个不同的 LLM Agent 上开展，结果显示正常任务上零性能退化，且在序列被修改的情况下仍能可靠完成所有权验证。