本文针对大语言模型（LLM）文本水印的对抗安全评估问题提出统一框架 MarkSec。研究背景是：LLM 水印被用于追溯生成文本的来源、支撑内容溯源与AI生成内容标识，但它同时面临三类对抗行为——窃取（stealing，从带水印文本中反推/恢复水印信息，使攻击者能复现或规避该水印）、擦除（scrubbing，通过改写等手段去除文本中的水印信号，使检测器失效）以及伪造（spoofing，构造能被检测器判定为带水印的文本，造成归因污染）。作者指出当前研究存在三个结构性缺陷：其一，三类攻击往往被孤立研究，彼此之间的能力依赖与可迁移关系不清楚，例如窃取能力是否会增强擦除效果缺乏统一刻画；其二，评估过程缺乏共享的检测器校准、指标定义与报告协议，不同论文的检测阈值、误报率约束、文本质量度量口径不一致，导致结果无法横向比较；其三，攻击成功率与生成文本质量被分开测量，无法识别那些“既有效又保质量”的攻击，容易高估破坏性强但输出质量崩塌、实际不可用的方案。为此，MarkSec 将窃取、擦除、伪造纳入同一分析框架，在统一报告协议下评估攻击，并提出“质量约束下的攻击成功率”指标，将攻击有效性与文本质量联合度量，同时显式引入能力假设（攻击者能访问哪些信息）与攻击通用性（是否跨水印家族、模型、数据集适用）。实验覆盖代表性的水印家族、攻击方法、LLM 与数据集，得到三点主要发现：第一，仅看水印去除率时最强的攻击，一旦要求文本质量可接受，可能反而不如通用改写（general rewriting）；第二，通用改写在所有水印家族上都是强基线，但其相对其他擦除方法的优势随水印家族不同而变化；第三，在针对某一水印家族的案例研究中，基于窃取的擦除方法在要求文本质量时往往不如最好的通用擦除基线。结论是：攻击的“表面赢家”高度依赖文本质量约束、攻击通用性与能力假设，安全评估必须显式声明这些前提条件。该工作对水印鲁棒性基准设计、检测器评估规范以及AI内容溯源治理具有方法论意义，适合水印/溯源研究者、模型安全评测团队与内容治理相关从业者阅读。