局部图像水印（Local Image Watermarking）与全图铺开的水印方案不同，它只把不可见信号嵌入到选定图像区域，使得可以从特定物体或区域恢复载荷（payload）并定位水印范围，同时对整图视觉质量的影响更小。然而既有研究普遍只评估自己提出的方法，所采用的图像变换集合、数据集和评估指标各不相同且不一致，导致跨方法无法直接比较，局部水印鲁棒性的整体图景十分模糊。为填补这一空白，本文提出首个针对局部水印的系统性鲁棒性基准，覆盖 55 种图像变换，并归纳为四大类：(i) 信号失真，(ii) 图像坐标对齐（几何同步）变化，(iii) 间接局部编辑，(iv) 直接水印编辑。基准评估了 MaskWM、WAM、OmniGuard、TrustMark 与 PixelSeal 五种方法，选取标准是它们原生支持水印定位，或只需极小改动即可支持定位。实验结果显示出若干规律：所有被评估方法都会在某些变换下失效；MaskWM 在载荷恢复与定位两项能力上表现最强，但在干净（未受攻击）设置下图像质量最差；引入同步（synchronization）机制可提升 MaskWM 在多种几何变换下的载荷恢复率，但会进一步牺牲图像质量。一个关键发现是，局部水印的鲁棒性强依赖变换的性质：最强的方法往往能容忍信号失真类变换，而几何失配以及生成式局部编辑（如图像修补 inpainting、外扩 outpainting）则可能完全破坏载荷恢复。作者还指出，载荷恢复与区域定位虽然相关但并不等价，二者都强烈取决于变换对水印区域本身的影响程度。该工作适合水印鲁棒性、AI 生成内容溯源与图像取证方向的读者。

该论文关注编码智能体（coding agent）过程溯源问题。现有做法多为对智能体最终产出的补丁（patch）打水印，只能为提交的产物提供来源证据，却无法验证产生该产物的可见执行轨迹（trajectory）是否被篡改；而行为水印方法通常只给出全局性的"是否检测到"或"恢复标识符"信号，因此当轨迹被局部编辑后，仍可能保留足够的归属证据，却无法指出哪一段受保护区域已变得不一致。为此作者提出 TrajMark：一种无需训练、对称密钥、且对用户可见（visible-only）的轨迹水印框架，其核心思想是将"鲁棒的归属认定"与"脆弱的局部完整性校验"解耦为两层。第一层是稀疏所有者层，通过把自然发生的部分 READ 动作改写成带密钥的线性方程，来编码一个六比特的部署标识符；第二层是定位层，插入相互链接的普通、分组与终结"封条"，以对受保护的关键动作片段作出承诺。两层分离带来两个性质：归属证据可以跨轨迹稳健累积；而局部修改会扰动附近带密钥的承诺，从而暴露受影响的具体协议区域。论文还给出所有者可恢复性、完整性碰撞概率、结构开销与定位行为的设计层分析。实验覆盖三种编码智能体框架与三种大模型：在所有干净且完整含水印的批次中均能恢复出准确所有者；在穷举式合格单点攻击下检测出 95.5%~100% 的编辑；在随机单动作破坏下，能把 95.8% 的篡改位置定位到一个被接受的协议区域（而非具体到单个动作）。所有者标记不增加额外轨迹动作，完整性层增加显式的只读封条；匹配条件下 Pass@1 为 26.9%，未加水印对照为 26.3%，说明性能开销很小。

本文围绕欧盟《人工智能法案》第 50 条生效后的 AI 文本水印治理问题展开。按照论文所述，2026 年 8 月 2 日起，该条款要求生成式 AI 提供方对其系统产出的内容进行标记，并确保这些内容可被识别为 AI 生成。在此背景下，Anthropic 披露其在该日期之后发布的全部 Claude 模型都会在生成文本中嵌入基于 SynthID-Text 的水印，默认开启且用户无法关闭；Google 则自 2024 年起已在 Gemini 中部署 SynthID-Text。用户随后提出多项质疑：水印可能降低输出质量，对代码场景尤为明显；水印可能暗中编码可识别用户身份的信息；同时又存在自相矛盾的说法——既容易被移除、又无法摆脱。厂商则以质量不变、不包含身份信息、对轻度编辑具备稳健性等说法回应。论文的核心论点是：无论用户的质疑还是厂商的保证，目前在技术上都无法被独立验证，而这种“不可验证性”本身才是实质性的治理失败，而非水印技术本身。作者按“需要什么条件才能证实或证伪”这一标准，对争议性论断逐条分类，并在两个开放权重模型上评测了 SynthID-Text 的开源实现——原因是没有任何公开工具能够测试真正部署的商用系统。实验结果具有两面性：在散文类文本上，水印带来的可测影响不超过更换采样随机种子所造成的影响；在代码任务上，某一模型正确率下降约三个百分点，另一模型上的差异低于可测量阈值，而水印检出率始终接近随机猜测，说明瓶颈在“可检测性”而非“质量”。作者将剩余的能力缺口归因于访问权限不公开与相关机构缺位，并逐项映射为治理需求：发布配对的原始/加水印输出、披露配置、引入经认可的第三方审计、建立共享评测协议，以及实现可互操作的水印检测。适合关注 AI 治理合规、生成内容溯源与模型供应链透明度研究的读者。

大型语言模型（LLM）的广泛应用带来了生成内容溯源与合规治理的需求。多比特水印技术通过将用户可追踪的身份信息嵌入模型输出文本，能够实现内容来源的精细化追溯。然而，现有方案普遍面临提取准确率、文本质量与载荷容量三者之间的根本性权衡。本文提出一种基于编码载荷扩散的多比特 LLM 水印方案 WeaveMark，旨在同时改善上述多个指标。WeaveMark 通过逐词元多比特扩散提升了载荷容量；采用软判决纠错码提高了提取的鲁棒性；借助无偏多层重加权策略在嵌入水印的同时保持原有文本分布，从而维持文本质量。此外，方案还引入了专用的零比特层，用于可靠地判断文本中是否含有水印，避免干扰多比特解码。实验结果显示，WeaveMark 在长消息和编辑文本场景下性能提升显著。例如，对于 200 个 token 上嵌入 32 位消息的任务，WeaveMark 的匹配率达到 89.8%，而基线 BiMark 仅为 20.8%；在 10% 的词元替换攻击下，对于 200 个 token 上嵌入 16 位消息，WeaveMark 仍保持 86.0% 的准确率，远高于 BiMark 的 30.7%，同时不牺牲文本质量。作者已在 GitHub 公开代码。该研究为 LLM 输出可追溯提供了一种更可靠的技术方案，尤其适合需要高容量、高鲁棒水印的应用场景。

该论文针对深度图像水印中鲁棒性这一核心开放问题展开分析，重点研究当payload容量增长时，鲁棒性受限的根本原因。作者提出两个问题：容量本身是否是限制因素，还是仅仅暴露了其他潜在限制？论文给出两部分回答。第一部分系统梳理了水印必须承受的各种失真以及现有抵抗策略，并按照主导轴进行分类：对于失真按payload容量排序，对于策略按可微性排序。第二部分识别并量化了在将payload映射到空间块网格、提取器与冻结嵌入器分离训练的典型方案中，限制鲁棒性的三种机制：payload网格失同步、编解码器引入的失真对训练的抵抗性、以及可用嵌入强度窗口的收窄。论文在payload大小从64位到16384位范围内进行测量，远超这些策略设计时覆盖的范围。实验表明，针对编解码器训练提取阶段不仅无效，反而有害，会降低训练时工作点上的读取性能。关键发现是，这些限制取决于失真类别而非容量本身，且None of the limits can be removed by further training on the extraction side,因为三种机制都发生在提取之前。论文还贡献了一个使泛化声明可验证的评估协议。结论适用于一类设计而非单个实现。

本文针对机器学习模型被窃取（model extraction）的知识产权保护问题，提出了一种名为 Entangled Watermarking Embeddings (EWE) 的模型水印方法。传统模型水印通过让模型在训练时过拟合到一些远离任务分布的异常输入-输出对（即水印样本），从而在模型被窃取后，防御者可以通过向模型发起查询并验证是否返回预定的水印输出来证明所有权。但这种水印容易被攻击者通过模型压缩、微调或知识蒸馏等方式移除，因为水印样本与正常任务样本分布差异大，容易被识别并剔除。EWE 的核心思想是让模型在特征空间中将合法任务数据与水印数据‘纠缠’在一起，即强制模型学习同时区分正常分类任务和水印识别任务的特征。这样，攻击者在试图移除水印时，不仅需要删除水印相关的特征，还会不可避免地破坏模型在合法任务上的性能，从而提高了水印的鲁棒性。论文在 MNIST、Fashion-MNIST、CIFAR-10 和 Speech Commands 四个数据集上进行了实验验证，结果表明防御者可以在对被窃取模型进行不到 100 次查询的情况下，以 95% 的置信度成功主张模型所有权，同时水印对原始模型性能的平均损失不超过 0.81 个百分点。该方法为模型所有者提供了一种低开销、鲁棒性更强的模型取证与所有权验证手段。适合关注 AI 模型安全、模型知识产权保护及对抗性机器学习的研究人员和蓝队成员阅读。

本文提出 MeMark，一种面向脉冲神经网络（SNN）模型水印的新方法，专门针对模型检查点复用（checkpoint-reuse）场景。现有 SNN 水印通常将标识嵌入输出层，攻击者只需替换输出头即可移除验证证据。MeMark 将多比特标识嵌入选定泄漏积分-触发（LIF）神经元的内部膜电位状态：通过秘密输入驱动每个选定神经元阈值的一侧，并在验证时利用同一阈值恢复比特，无需学习式解码器。作者在循环、卷积、残差及 transformer 结构 SNN 上评估，包括 2.154 亿参数的 SpikeGPT 检查点。实验显示：20 个独立 64 位密钥均通过 51/64 验证规则，而 30000 个随机密钥全部被拒绝；微调、90% 剪枝、int8 量化和输出头替换后，所有权证据仍存活。自适应攻击可削弱但无法完全移除水印。同时研究了错误所有权声明、密钥感知/不可知移除、部分密钥披露、回滚及知识蒸馏攻击。结果表明 MeMark 能提供检查点衍生模型的证据，同时抵抗主流攻击和完全头部替换。适合关注模型知识产权保护、AI 安全研究的读者。

该论文提出 SAC-Copula，一种面向扩散语言模型（DLM）的保质量水印方法。与自回归解码不同，DLM 采用迭代并行去掩码机制，现有基于采样的水印方法通常注入逐位置的独立同分布扰动，与 DLM 的解码动态不匹配，导致生成质量下降。SAC-Copula 通过高斯 copula 构造平滑、局部相关的 Gumbel 扰动场，并设计了 SAC-aware 检测器，利用协方差感知滤波和原生样本校准。机制分析表明，局部相关性降低了潜在扰动的粗糙度，更好地匹配迭代精化动态。在 LLaDA 上的实验显示，SAC-Copula 相比现有基线取得了更好的质量-可检测性权衡；在 Dream-7B 和更多数据集上的进一步评估表明，相比 i.i.d. Gumbel 基线，SAC-Copula 显著改善了困惑度（PPL）尾部分布的稳定性，同时保持低假阳性率下的强可检测性和有竞争力的整体生成质量。额外的 token 编辑压力测试评估了在受控同步偏移下水印的鲁棒性。该研究的主要贡献包括：提出了新的水印构造方法，使扰动与 DLM 解码过程更兼容；设计了配套的检测算法；并通过实验验证了其优越性。适合从事大模型水印、生成式 AI 安全、内容溯源和模型版权保护方向的研究人员阅读。

该论文指出，当前大语言模型（LLM）输出水印方案的评估几乎完全基于英文文本，并且使用固定的检测阈值和狭窄的一组质量测量手段，这使得跨语言部署中的公平性问题被系统性忽视。作者提出了一套跨语言公平性审计框架，包含四个关键组成部分：第一，根据具体部署上下文经验校准检测阈值；第二，引入一种与阈值无关的伴随测量指标，用于区分校准失败与检测失败；第三，采用三种互斥的质量评估范式（分布相似性、配对语义相似性和参考困惑度）；第四，使用广义熵分解方法，基于语言类型学家族划分来分析跨语言差异的来源。研究团队将这一框架应用于六种水印方案、三种开放权重生成器、涵盖四种文字系统和八个类型学家族的十一种语言，并同时考察了基础和指令调优两种配置。实验结果揭示了单语言、单范式评估无法发现的失败模式。在检测和质量两个维度上，观测到的差异主要集中在类型学家族之间，这表明跨语言公平性差距是语言结构属性的结构性结果，而非个别语言的独特怪癖。该框架为多语言部署下的水印公平性评估提供了系统方法论，有助于识别和修复潜在的跨语言偏差，对LLM内容溯源、版权保护和生成内容治理具有重要参考价值。适合自然语言处理、AI安全与隐私保护领域的研究人员阅读。

本文针对深度学习时代数据版权保护面临的两大威胁：未经授权的模型训练（非法利用数据训练模型）和恶意数据泄露（攻击者窃取或泄露受保护数据）。现有方法通常分别使用不可学习样本（unlearnable examples）和数字水印技术，但作者发现简单组合两者会因负面交互效应而失效。为此，论文提出一种新型版权保护机制，称为可逆不可学习样本（Reversible Unlearnable Examples）。该方法的核心思想是：在图像上添加精心设计的扰动，使模型在训练时学习到输入图像中与任务无关的特征，从而无法有效学习原始数据分布，达到防止非法训练的效果；同时，通过双提取器策略（两个不同的水印提取器）消除不可学习扰动对水印提取的干扰，确保合法数据所有者仍能从被扰动图像中提取水印以证明版权。具体实现上，生成扰动时最小化模型输入与输出之间的互信息，以增强扰动的泛化能力。在ImageNet、CIFAR10和Pets三个图像数据集上的大量实验表明，该方法能够提供比现有方法更全面的版权保护，既能有效阻止未经授权的模型训练，又能保证水印的可靠提取。论文还开源了代码。本文适合研究数据安全、模型鲁棒性和版权保护的技术人员阅读，但仅基于摘要，方法细节和实验具体数据需进一步查阅原文。

本文针对现代VLSI物理设计（PD）知识产权（IP）保护问题，提出了一种名为PDMarks的Kerckhoffs合规水印框架。物理设计IP包含优化后的单元布局、时钟分配和布线决策，是芯片设计流程的核心资产。随着PD工具的可访问性增加，未经授权重用布局布线数据库的风险日益突出。现有PD水印方法要么仅保护单一设计阶段，要么依赖隐藏的构造细节，在面临白盒攻击者时存在安全隐患。PDMarks的安全性仅依赖于一个32字节的秘密密钥，符合Kerckhoffs原则。该框架在物理设计流程的多个阶段（包括布局、时钟树综合（CTS）和布线）嵌入所有权水印。所有水印实例和目标值均通过HMAC-SHA256从密钥确定性派生，确保嵌入和验证的一致性。PDMarks已集成到OpenROAD-flow-scripts开源流程中。基于NanGate45和ASAP7工艺库的实验表明，与现有方法相比，PDMarks在保持相同或更小的PPA（功耗、性能、面积）开销的同时，提供了更强的所有权证明。所有评估设计的近似联合全阶段巧合概率低于10^{-32}，表明水印的唯一性极强。错误密钥和攻击评估显示，错误密钥无法重现完整的所有权证明，且破坏水印需要广泛扰动受保护实现。该工作为物理设计IP保护提供了一种高效、安全且可验证的水印方案。

本论文针对生成式 AI 模型输出内容的水印检测授权难题，提出了首个基于属性的水印方案（Attribute-based Watermarking）。现有密码学水印方法虽能保证未授权情况下输出与水印不可区分，但检测密钥一旦分发，持有者可任意检测所有水印内容，导致水印清洗、越权使用和用户画像等安全风险。为此，作者设计了一种细粒度、策略可控的检测机制：生成内容关联属性，每个检测密钥受属性策略约束，仅能检测满足策略的水印输出，而策略外的水印输出在计算上仍与无水印内容不可区分。该方案结合受限伪随机函数、伪随机纠错码和随机性恢复流程，并形式化了一致性、有界腐败自适应鲁棒性、不可检测性和可靠性等安全属性，在标准密码学假设下给出安全证明。原型实验表明该方案在检测有效性和实用性方面均表现良好。

大语言模型（LLM）水印技术是追踪生成文本来源的重要机制。现有的统计水印方法通常有效且鲁棒，但多数依赖私有检测密钥，导致验证集中化并难以进行公开审计。近年出现的公开或公开可验证水印方案改善了密钥管理，但许多方案依赖于精确恢复嵌入的密码学字符串，在文本编辑、截断、复制粘贴或低熵生成场景下十分脆弱。本文提出 DHMark，一个面向 LLM 生成文本的公钥水印框架。其核心思想是将载荷授权与噪声文本证据分离：签发者为绑定到公共上下文的短注册载荷签名，并将该载荷扩展为大量单比特方程。生成时，基于 Diffie-Hellman 的令牌标记接口为每个候选令牌分配一个公共方程投票，采样器柔和或选择性地提升那些与授权载荷一致的候选令牌。验证时，第三方验证者利用公共信息提取令牌投票，聚合成方程级证据，并仅对已签名的注册记录进行评分。该设计避免了精确恢复长嵌入签名，而是将水印检测视为注册表辅助的统计证据聚合。文章形式化了公开验证设置，分析了标签伪随机性、注册表支撑的可靠性和采样失真，并在截断、替换、复制粘贴、错误上下文和普通生成攻击下评估了原型。在默认 32 位配置下，DHMark 在八种编辑条件下保持至少 0.967 的有效率，同时在三个负向控制上达到 0.000 的接受率。该研究适合关注 LLM 内容溯源、公开审计和鲁棒水印的研究人员与安全工程师阅读。

本文提出了一种名为 FARI（Fast Asymmetric Robust Inversion）的一步反演框架，用于扩散模型图像水印的鲁棒提取。传统基于反演的水印方法在验证扩散生成图像时，反演过程既慢又容易出错。现有方法过度优化内部截断误差，而该误差随采样器步长增大而增大，因此受限于高 NFE（函数评估次数）设置，无法兼顾速度与鲁棒性。作者有两个关键观察：其一，反演轨迹的曲率远低于前向生成路径，因此高度可压缩，适用于低 NFE 近似；其二，在水印验证场景中，速度与截断误差的权衡并非关键，因为外部失真主导误差。更快的反演器不仅能提高效率，还能支持端到端对抗训练，直接针对鲁棒性进行优化，而基于原始长反演轨迹的对抗训练在计算上不可行。FARI 采用一步反演框架，并结合轻量级对抗 LoRA 微调去噪器用于水印提取。实验表明，在单个 NVIDIA RTX A6000 GPU 上微调约 20 分钟，FARI 即可在 50 步 DDIM 反演的水印验证鲁棒性上超越后者，同时大幅减少推理时间。代码和预训练模型已开源。该研究主要面向需要高效、鲁棒地验证 AI 生成图像真实性的研究者和工程师。

本文针对基于环误差学习（RLWE）问题的同态加密（HE）方案在安全计算中的广泛应用，提出了一种面向RLWE密文的水印技术。现有HE方案主要关注计算可行性与效率，忽略了密文版权保护、来源认证和计算监管等实际需求。作者利用RLWE多项式的代数结构，将微小噪声作为水印信息嵌入密文多项式，且不影响明文值。然而，密文在经历多次同态运算后可能使水印失真或消失。为此，论文提出了两种解决方案：第一种方案ARWMark基于噪声分层，对同态加法操作具有鲁棒性；第二种方案MRWMark利用线性方程根构造，同时对加法和乘法操作具有鲁棒性，且支持零比特水印。理论分析证明，这些方案不牺牲HE原有的安全性，同时保证了水印的正确性和鲁棒性。实验验证了两种方案的有效性。该研究为同态加密场景下的版权保护和数据溯源提供了新的技术手段。

屏幕拍摄（screen-shooting）对机密信息保护构成严重威胁。现有的屏幕拍摄水印方法虽然实现了版权验证，但不同屏幕上携带相同版权水印的图像往往表现出高度相似且可估计的水印模式。这些共享模式可被利用进行水印移除和伪造，作者将这种威胁称为多屏幕合谋攻击（multi-screen collusion attack）。为应对这一威胁，本文提出CoMSMark，一种抗合谋的图像无关水印框架，通过减少跨屏幕的共享残差成分来抵抗多屏幕合谋攻击。具体来说，该方法通过风格调制机制融入屏幕ID，使编码器能够生成屏幕特定的水印残差，从而实现可靠的来源归属。此外，引入合谋抑制损失（collusion suppression loss），减少共享残差成分并鼓励对伪造样本的高熵预测，提升抗合谋攻击能力。最后，为实现高效大规模分发，CoMSMark采用图像无关的编码范式，独立于图像内容生成水印残差。大量实验表明，CoMSMark有效抵抗基于合谋的水印移除和伪造：在移除攻击下，平均水印准确率保持在90%以上，而伪造水印准确率接近50%。此外，在不同屏幕拍摄条件（如不同拍摄距离和角度）下，CoMSMark展现出具有竞争力的鲁棒性。

本文提出了一种用于扩散模型的鲁棒潜域水印方法，名为潜角水印（Latent Angular Watermarking, LAW）。针对现有潜域水印方法在保持潜变量高斯性方面存在缺陷，容易受到水印检测或移除攻击，以及水印嵌入后导致潜变量相关性退化、生成保真度下降等问题，作者从各向同性高斯分布的旋转不变性出发，提出将水印比特编码为潜变量元素对之间的反对称角度（相对于参考对为±π/2），从而在嵌入水印的同时保持潜变量的高斯分布特性。该反对称（π-分离）编码最大化比特值之间的几何距离，作者证明了解码角度误差方差与潜变量对的范数成反比。进一步，作者提出了幅度驱动变体LAW-M，将水印锚定在几何最稳定的潜变量维度上，以获得额外的鲁棒性增益。在理论上，作者严格刻画了水印引入的相关性退化，给出了水印潜变量的自相关结构的闭式解，证明相关性被限制在一组稀疏、结构化的非对角元素上，其值为固定的±π/4。实验评估表明，LAW在保持生成质量的同时，对多种攻击（如高斯噪声、JPEG压缩、裁剪等）具有优越的鲁棒性。本文适合对生成模型安全、水印技术及扩散模型潜在空间特性感兴趣的研究者阅读。

本文针对自然语言生成模型（如GPT）可能被滥用于生成虚假信息、钓鱼邮件等问题，提出了一种名为Adversarial Watermarking Transformer (AWT)的文本水印方法，用于追溯文本来源。AWT是一个端到端的编码器-解码器模型，通过对抗训练学习如何在保留原文本语义和语法正确性的前提下，将二进制水印信息嵌入到输出文本中。与以往依赖启发式规则或显式修改的方法不同，AWT自动学习替换哪些单词以及在何处替换，无需人工标注。模型包括三个部分：编码器（将输入文本和水印消息编码为嵌入）、解码器（从嵌入中恢复水印）以及判别器（区分水印文本与原始文本，确保隐蔽性）。训练时采用联合优化，平衡文本质量、水印解码准确性和隐蔽性。实验表明，AWT在保持文本实用性的同时能高精度地解码水印，并且对多种攻击（如文本修改、降噪等）具有鲁棒性。该工作为自然语言水印领域提供了第一个端到端的深度学习方案，适合安全研究人员、模型开发者和内容审核人员阅读。

本文针对大型语言模型（LLM）水印技术在实际部署中面临的两大挑战——模型性能严重下降和额外推理开销——提出了基于混合专家（MoE）架构的水印方案 WaterMoE。作者首先构建了一个涵盖多种生成任务的综合基准，系统评估了9种代表性水印方法，发现现有方法主要针对文本流畅性设计，在受限或复杂任务上表现不佳，且引入的延迟使其难以用于对延迟敏感的系统。WaterMoE 通过将水印信号嵌入 MoE 模型的每个路由器的专家选择过程中，以受控扰动的方式累积影响最终输出的 token 选择，从而在不显著降低生成质量和计算效率的前提下实现水印嵌入。与作为后处理 token 采样的传统水印方法不同，WaterMoE 将水印嵌入推理循环内部，引入的质量损失和计算开销极低。大量实验表明，该方法在基准测试上达到了接近未加水印模型的保真度，优于现有最新水印方法，且加速比高达4倍，额外推理延迟仅增加1%。本文展示了 WaterMoE 在实际任务中部署的潜力。

本文批判性地审视了当前广泛讨论的AI生成内容水印机制，指出其在区分机器与人类创作时的局限性。作者认为，将水印技术（尤其是不可见水印转换为可见的“AI生成”标签）应用于新闻、学术、公共宣传等以信息准确性为核心关注的领域，存在概念与实践上的根本误解。不可见水印仅编码模型来源，而可见标签将复杂的协同创作过程简化为二元区分，且无法提供关于内容真实度的任何信息。这种二元标签可能污名化合法使用生成式AI工具的创作，同时让未标记的内容获得不合理的信任。为此，论文提出应转向以过程透明（process transparency）和信息素养（information literacy）为核心的替代方案，强调将创作过程公开化、让消费者理解内容的生产链条，而非简单地打上“AI生成”标签。作者论证，这种基于透明与教育的方法能更有效地应对AI生成虚假信息的认知与伦理挑战，将作者身份重塑为一种透明的人类实践，而非机器参与的二元指示。研究适合AI治理、信息伦理、内容审核与媒体素养领域的从业者、政策制定者及学者阅读。

本文是一篇关于大语言模型（LLM）水印技术的系统性综述，从理论和部署两个维度对现有研究进行了全面梳理。随着LLM在多个高影响力场景中的广泛应用，其生成的流畅文本带来了来源模糊、模型滥用和大规模内容洗稿等风险。LLM水印通过向模型输出中嵌入不可见签名，为内容溯源、审计和下游信任决策提供了技术基础。然而，现有文献增长迅速但混乱，不同分类方式常混合正交设计选择，使得方法难以比较、保证难以推理、研究成果难以转化为可部署系统。本文从实践者必须回答的核心问题出发组织内容：水印在何处嵌入（生成时 vs. 训练时，token级 vs. 表征级）、谁可以检测（公开 vs. 私有检测权威）、假设条件（logit访问、采样控制、密钥、模型所有权）以及针对哪些威胁模型（改写、翻译、摘要、风格迁移、token操纵、自适应移除）。综述了主要技术家族——包括采样偏置、编码方案、基于表征和训练的方法——并从可检测性、鲁棒性和分布偏移角度分析了其安全-效用权衡。进一步回顾了攻击和规避策略、评估协议与指标（假阳性控制、校准、鲁棒性曲线），以及跨模型迁移、多模态管线、合谋和治理约束等开放挑战。最后，提供了在实际运维需求下选择水印设计的实用指南，指出了可靠且负责任的LLM部署所需的研究方向。

大型语言模型（LLM）生成的文本中嵌入水印是一种追踪合成内容来源或验证其真实性的技术。现有方法分为零比特方案（仅区分机器与人类写作）和多比特方案（嵌入元数据如时间戳、模型版本）。然而，当前多比特水印方案存在一个关键缺陷：验证器必须解码整个嵌入消息才能验证任何一部分，这导致不必要的信息暴露，引发隐私问题。例如，若水印包含用户ID与生成时间，验证某个用户的作品时也会泄露其他信息。本文提出一种名为“层次化词汇路由”（Hierarchical Vocabulary Routing, HeRo）的新型水印框架，支持选择性披露。核心思想是将词汇表递归划分为层次结构，并将水印信息分布在多个层级中。每个层级对应不同访问级别，验证器只能解码其权限所允许的负载部分，而无法获取完整消息。方法通过控制采样过程保持无偏性，从而不降低文本质量。实验结果表明，HeRo实现了细粒度的访问控制，同时保持高检测准确率和低延迟。该工作为隐私保护的水印应用（如版权追踪、内容审核中需分级披露的场景）提供了新方案。代码已开源。

本文关注于混合专家（MoE）大型语言模型的知识产权保护问题。现有的水印方案主要针对密集模型设计，假设水印参数被持续激活，但MoE的动态路由机制打破了这一假设，导致传统水印无法直接应用。此外，MoE模型存在两个关键脆弱性：脆弱的决策边界和路由纠缠（梯度集中覆盖签名）。为此，作者提出了PathMark，首个专为MoE架构设计的水印框架。PathMark创新地将路由作为隐蔽水印通道：当触发时，主动约束所有令牌通过预定的专家子集路由，形成独特的路径签名。该方法包含三种核心机制：1）分布对齐损失，提升目标专家概率至主导水平，扩大决策边界以抵抗扰动；2）宽路径配置，每层指定多个目标专家，增强鲁棒性；3）对比损失，理论上消除梯度泄漏到干净输入，保持其自然路由路径。PathMark天然支持多比特编码（通过组合路径）。验证可通过白盒路由检查（取证场景）或黑盒输出检测（仅API访问）实现。在四个MoE模型上的实验表明，PathMark实现了超过99%的验证准确率，而困惑度下降小于2%，并在量化、微调、剪枝和自适应攻击下表现出优越的鲁棒性。

该论文提出了一种名为双重嵌入水印（DEW）的语义水印方案，用于保护大型语言模型（LLM）生成的文本。DEW的核心创新在于同时利用上下文嵌入和词元级嵌入来增强水印对释义和翻译攻击的鲁棒性。方法采用信号处理框架，通过对词元和上下文的嵌入向量进行代数向量空间操作来嵌入水印信号，使得水印在语义变化时能够优雅地降级而非失效。为了隐藏水印，作者使用由密钥生成的伪随机矩阵对嵌入向量进行投影，从而混淆水印的存在。检测阶段则通过对相关代数分布进行统计检验来实现。实验在多个LLM上进行，结果表明DEW在释义后仍能保持较高的检测率，同时生成文本质量与未加水印的文本相当；即使经过翻译，DEW的可检测性也显著优于之前的语义水印方案。该工作为LLM生成文本的溯源和负责任AI部署提供了一种实用且鲁棒的解决方案。

自监督学习作为一种新兴的机器学习范式，利用无标签数据预训练强大的编码器，这些编码器可作为特征提取器服务于各种下游任务。然而，由于预训练过程需要大量数据和计算资源，编码器本身成为模型所有者的宝贵知识产权。研究表明，模型窃取攻击通过训练替代模型来模仿原始模型行为，严重威胁版权保护。现有版权保护方法（如水印）主要针对分类器，而预训练编码器的版权保护面临独特挑战。本文提出 SSLGuard，首个专为预训练编码器设计的水印方案。SSLGuard 在干净的预训练编码器中注入水印，生成带水印版本，并采用影子训练技术确保水印在潜在模型窃取攻击下仍可保留。通过大量实验，SSLGuard 在水印注入与验证上表现出色，且对模型窃取、输入噪声、输出扰动、覆盖攻击、模型剪枝和微调等水印移除攻击具有鲁棒性。该工作填补了预训练编码器版权保护的空缺，为 AI 模型知识产权保护提供了新思路。

该论文提出了 SentinelRAG，一种用于保护专有 RAG（检索增强生成）数据库版权的数字水印框架。现有水印方法存在两个主要问题：一是通过在真实实体之间注入虚假关系来污染知识库，从而引入错误信息；二是嵌入的脆弱词汇模式容易被对抗性改写删除。SentinelRAG 的核心思想是在 RAG 数据库中嵌入风格一致但虚构的知识条目。这些虚构知识描述的是不存在的实体，合法用户查询时几乎不会被检索到，但数据所有者可以通过仅自己知道的特定目标探针可靠地触发检测。实验在四个文档数量从 2.9k 到 8.8M 不等的数据集上进行，结果显示，在仅 0.1% 的注入率下，SentinelRAG 在所有测试配置中均实现了统计显著的检测（p < 10^-5）。与现有技术相比，该方法显著降低了误检率，同时几乎不影响合法用户的查询。该工作为保护知识产权提供了一种新的思路，尤其适用于使用外部数据库的 LLM 应用场景。

该论文提出了一种针对扩散语言模型的全局草图水印方法。与自回归模型中逐token顺序生成并依赖局部上下文的水印方案不同，扩散语言模型在生成过程中同时采样多个未确定位置的分布，使得整个序列的加性统计量在生成时是可处理的。作者利用这一特性，设计了一个控制文本全局向量草图表示的水印机制。该方法通过一个与顺序无关的统计量来检测水印，避免了传统上下文相关水印中表现出的简单令牌偏置问题。论文分析了该方法的失真性（对生成质量的影响）、可靠性（检测准确性）和鲁棒性（抗攻击能力），并提供了理论保证。实验部分（摘要未详述，但推测有）验证了该方法在保持文本质量的同时实现了有效的水印嵌入和检测。该工作为扩散语言模型的可追溯性和版权保护提供了新思路。

随着文本到图像（T2I）扩散模型在创意应用中的广泛使用，模型被未经授权使用的问题日益严重，模型所有权验证（MOV）成为保护知识产权的重要手段。现有基于后门的扩散模型水印方法通常隐含假设验证过程是“忠实”的，即验证者可以查询可疑模型并获得可信的水印响应。然而，在实际对抗环境中，攻击者可能有意或无意地破坏水印信号，导致验证可靠性显著下降。针对这一问题，本文提出了 Cert-LAS，这是首个基于层自适应平滑的认证 T2I 模型所有权验证方法。具体而言，Cert-LAS 利用扩散分类器和拉普拉斯频率敏感（LFS）引导的层自适应噪声将指定水印嵌入模型，并通过假设检验验证可疑模型是否表现出比未加水印参考模型显著更强的水印响应。理论上，作者证明了在特定条件下，即使存在恶意移除攻击，Cert-LAS 仍能实现可靠验证。大量实验验证了 Cert-LAS 的有效性及其对自适应攻击的抵抗性。该工作为 T2I 扩散模型的版权保护提供了具有认证保障的解决方案。

随着低秩适应（LoRA）在文本到图像扩散模型中的广泛使用，轻量级LoRA模块作为独立资产被共享、复用和商业化，形成了以LoRA为中心的生态系统。这种生态将版权保护的需求从基础模型转移到了分布式LoRA模块上，而后者极易被未经授权地复制、重新分发或重用。现有的水印方法要么保护基础扩散模型本身，要么需要为每个目标LoRA进行水印感知的重新训练，这限制了它们在开放社区中的实用性。为克服这一局限，本文提出LoRA-Key，一种以用户为中心的LoRA水印框架，将版权保护视为可复用的所有权密钥。LoRA-Key将一个可恢复的秘密消息封装到一个独立的、用户特定的Watermark LoRA中，该Watermark LoRA可通过免训练的线性叠加附加到不同的目标LoRA上，无需针对每个LoRA重新训练或修改其结构。为训练这种可复用的密钥，作者首先在冻结的VAE潜在空间中建立潜在水印先验，以实现鲁棒的消息嵌入和恢复；然后通过消息条件水印监督和语义一致性约束来优化Watermark LoRA。此外，引入梯度正交投影（GOP）来抑制与语义保持方向冲突的水印更新，减少对生成保真度和下游风格适应的干扰。大量实验表明，LoRA-Key提供了轻量级、即插即用的版权保护，同时保持了生成质量和风格保真度，并在图像级失真、下游微调及多LoRA组合场景下维持了鲁棒的所有权验证。

本文是一篇针对大型语言模型（LLM）领域内指纹识别与水印技术的综述论文，旨在统一术语、生命周期阶段和评估目标，为LLM资产保护与溯源建立结构化基础。LLM的研发需要大量数据、算力和专业知识，且正被部署于高风险场景，因此保护LLM相关资产并追踪其来源至关重要。现有工作已在数据集溯源、模型所有权验证和生成内容检测等方面快速扩展，但该领域仍存在碎片化现象：指纹识别与水印的术语使用不一致，方法通常仅在孤立的资产特定场景中研究。为弥补这一差距，论文引入“隐式身份”（implicit identity）作为统一抽象概念，指LLM系统中可验证但不可直接观察的身份信号。区分了两种类型：指纹识别（从内在特性中提取的非侵入式身份）和水印（有意嵌入数据、模型或生成内容中的侵入式身份）。基于此，提出了一个生命周期分类法，将技术按数据集、模型和生成内容三个层面组织，并进一步按验证语义（基于相似性的归因VS基于密钥的验证）细分。最后，建立了一个以可识别性、鲁棒性和可部署性为核心的评估框架，总结了在现实访问和变换场景下的代表性指标。通过统一术语、生命周期阶段和评估目标，该综述为研究LLM身份技术以及开发更可靠的资产保护和溯源机制提供了结构化基础。适合LLM安全研究人员、模型开发者、内容归因系统设计者阅读。

随着扩散模型等生成模型的快速普及，数字水印技术已成为识别AI生成图像的关键手段。现代后处理水印方法通常采用神经网络，旨在实现极低的误报率，同时保持对常见图像变换的鲁棒性。然而，这些现代方法与经典水印方法（如Broken-Arrows方案）之间缺乏系统的比较，尤其是在鲁棒性和安全性优先于极低误报率的实际场景中。本文提出了一种公平的比较框架，评估现代与经典后处理水印方法在面对各种经典图像增强和最新复杂攻击时的鲁棒性与安全性。实验结果表明，在现实场景下，经典水印方法在保持同等鲁棒性的同时，在安全性方面优于现代技术。该研究为AI生成图像检测的水印方案选型提供了重要参考，提示安全从业者在实际部署中不应盲目追求低误报率而忽视经典方法的优势。

该论文提出了一种针对全景图像（panoramic imagery）的旋转不变水印方法。全景图像定义在球面上，其内容会随任意3D旋转（SO(3)群作用）而变化，传统平面水印方法或基于数据增强的鲁棒策略无法从理论上保证旋转不变性。作者利用SO(3)表示论，将全景图像建模为球面信号，并推导出可证明的旋转不变描述子。虽然球谐系数在旋转下具有等变性，但直接构造的不变量通常限于零阶统计量（如能量），这会丢失方向信息并严重限制嵌入容量。本文通过张量积耦合高阶SO(3)不可约表示并投影到平凡表示上，提出了一种三阶不变量构造方法，得到球面不变双谱（spherical invariant bispectrum）。该双谱保留相位信息且严格旋转不变。利用这一性质，作者将水印嵌入到高阶球谐系数中，并从不变双谱标量中恢复水印，从而在任意3D旋转下实现可靠提取。论文给出了SO(3)不变性的理论证明，并通过实验验证了该方法对连续旋转具有近乎完美的鲁棒性，同时保持较高的视觉保真度。该工作适合从事多媒体安全、数字水印、三维视觉和几何深度学习的研究人员阅读。

该论文提出了一种名为 MemMark 的状态演化归因水印方法，旨在解决基于大语言模型（LLM）的智能体长期记忆系统中的归因问题。在传统的记忆系统中，智能体的行为通常通过日志、可见输出或受信任的元数据进行追踪。然而，当记忆快照被泄露或迁移时，这些证据可能丢失，导致无法追溯所有权或检测篡改。MemMark 通过将所有者控制的信号嵌入到潜在的记忆写入决策中来实现归因。具体而言，在每次内部 LLM 调用时，MemMark 使用密钥控制且分布保持的选择方法从可接受的候选中采样，并记录加密承诺，同时附带签名的会话锚点和揭示证据。这使得归因依赖于可重复的后端行为，而不是可变的元数据。实验在 LoCoMo 数据集上使用 A-Mem 和 Graphiti 两种记忆系统以及三种 LLM 骨干网络进行。结果表明，MemMark 几乎不损害记忆实用性：总体 F1 分数保持未加水印基线的 99.6%，BLEU-1 变化仅为 +0.2%。此外，该方法具有可用的载体容量，对于更新目标、链接目标和语义实现决策的平均熵分别为 1.16、1.14 和 1.26 比特。在仅快照的 R3 设置中，MemMark 能够从最终快照中恢复完整的 40 比特负载，而错误密钥的验证接近随机。在九种记忆生命周期攻击下，验证能够区分篡改、证据删除和部分负载恢复。这些结果表明，无需保留痕迹、受信任元数据或降低实用性，鲁棒的仅快照归因对于长期智能体记忆是可行的。该论文适合关注 AI 安全、智能体安全、水印技术和密码学的读者。

本文提出了一种名为PEMark的API响应水印方案，旨在解决API数据泄露后的溯源问题。现有水印技术通常需要修改数据库或API响应数据，这会迫使业务系统代码变更，甚至因数据值改变而影响正常业务。作者创新性地利用JSON/XML键值对顺序中固有的排列冗余——这一被忽视的维度不携带语义信息，但提供了丰富的编码容量。方案包含两个核心组件：水印代理网关和基于位置编码的水印嵌入。首先，服务器响应被转发至水印代理网关，该设计无需对现有业务系统进行任何修改；然后，通过位置编码对键值对进行重新排序来嵌入水印，而不改变任何数据值。据作者所知，这是首个通过代理网关上的位置编码实现无损API响应水印的工作。实验结果显示，该框架在保持业务可用性的同时，确保返回的API数据可追溯。与当前主流方案相比，该方法对篡改和插入攻击具有鲁棒性（100%相似度），并能抵御一定程度的删除攻击。论文主要贡献包括：零业务代码修改、零数据值修改、高鲁棒性、以及首创性的位置编码水印方法。适合关注API安全、数据泄露防护、水印技术的研究人员和工程师阅读。

本文提出一个统一的证据框架，将密码学内容来源、鲁棒统计水印和零知识证明映射到三个法律体系（国际军事行动法、国内诉讼程序、产品监管）的证明要求中。该框架定义了一个五级威胁模型，涵盖从朴素再生、对抗性清洗、跨模型再生、主动水印移除到内部来源伪造。作者发布了包含12000个生成项（涵盖图像、音频、视频模态）的公开基准，并经过六种清洗管道处理，得到72000个评估样本。他们对四种代表性方案进行了评估，报告了在固定假阳性率下的真阳性率、鲁棒性曲线下面积、计算开销以及针对不同法律体系的条件法律充分性评分。最终将实证检测边界转化为法律充分性阈值，用于武装冲突法中的指挥决策、国内刑事和民事程序中的可采性，以及欧盟人工智能法案下的持久性审计。该成果提供了一个可复现的参考管道、公共基准和模型附件，可供律师、工程师和操作人员共同部署。

本文研究公钥伪随机码（PRC）对抗编辑错误的问题。伪随机码由Christ和Gunn在CRYPTO 2024提出，是一种纠错码，其码字在计算上无法与均匀随机字符串区分，但持有密钥的人可以解码。这一特性为鲁棒且不可检测的水印提供了自然原语，尤其适用于AI生成内容的标记。现有工作已针对替代错误取得强结果，但编辑错误（插入、删除）场景在高码率和小字母表情况下仍不充分。本文首先给出一种新规约，证明能够抵抗恒定比例替代错误的二进制零比特PRC可以转化为抵抗编辑错误的二进制零比特PRC。因此，在任何能够产生零比特汉明鲁棒PRC的假设下，也能得到针对编辑信道的零比特PRC，尽管仅适用于较弱的亚线性多项式编辑信道（即错误率为1/n^γ，γ>0常数）。在高码率场景，本文构造了公钥PRC，在足够大的常数字母表上码率可接近1，在二进制字母表上码率可接近1/2。进一步，若允许字母表大小为poly(λ)（λ为安全参数），则公钥PRC可达到插入-删除信道的Singleton界。这些成果首次在编辑信道上实现了高码率公钥二进制PRC，基于与产生零比特汉明鲁棒PRC相同的假设。本文适合密码学、编码理论、AI安全领域的研究者阅读。

该论文提出了一种名为“音色水印”（Timbre Watermarking）的防御方法，用于检测语音克隆攻击。随着语音克隆技术的进步，攻击者可能利用公开的语音数据非法模仿特定人物的音色。为此，作者设计了一个端到端的防御框架，核心思想是将水印嵌入到语音的频域中。频域水印对常见的语音预处理（如压缩、降噪）具有内在鲁棒性。为了进一步增强鲁棒性，采用了重复嵌入策略。同时，为了泛化应对多种语音克隆方法，论文调制了不同克隆攻击的共享过程，并将其作为失真层集成到框架中。实验表明，该方法能有效防御多种语音克隆攻击（包括基于重构的移除攻击和水印覆写攻击），并在实际服务（如PaddleSpeech、Voice-Cloning-App、so-vits-svc）中验证了实用性。此外，消融研究验证了设计组件的有效性。该方法的优势在于：1）无需依赖攻击者的具体实现，即可泛化抵御不同克隆方法；2）水印嵌入不影响原始语音质量；3）对自适应攻击具有强抵抗能力。该研究适合语音安全、AI安全领域的研究者和开发者关注。

本文提出了一种新颖且通用的数字水印移除攻击方法。核心观察是：攻击水印的过程本质上与水印嵌入过程相似——两者都在寻找对图像不可察觉的修改以触发特定检测器。基于此类比，作者假设可以用水印去攻击水印，即对已加水印的图像再次施加另一个水印（称为重水印），从而抑制原始水印信号。通过在96种不同数据集、受害者水印和攻击水印组合上的严格实验，作者验证了这一假设，表明重水印能可靠地抑制原始信号，且无需梯度、代理模型或检测密钥。此外，作者还设计了一个简单分类器用于检测图像中是否存在水印及其身份，实验显示准确率高达0.878-0.953。该分类器独立具有安全意义：它揭示了水印识别可被利用来实施更强力的移除（比黑盒攻击显著更强）。结合水印识别与重水印，攻击流水线能将比特准确率降低至少25%，最高达48%。这项工作构成了一种廉价、通用且高效的攻击管道，质疑了当前水印方案在面对如此简单攻击时的可靠性，也挑战了现有复杂攻击的价值。该研究适用于对数字水印安全感兴趣的研究者和安全从业者。

本文提出水印技术应被视为一种监控原语，而非仅用于内容归属。传统上，水印评估侧重于对抗单个样本级别的规避或误报攻击，忽略了在多方参与的场景中，水印信号可能被聚合以推断实体级别信息。作者引入基于观察者的威胁模型，其中观察者可以通过跨输出聚合水印信号来推断实体（如特定用户或设备）的身份或行为模式。实验证明，即使是零比特水印，在多密钥设置下也能实现归属。此外，外部监控可能随着时间的推移从持久、密钥相关的统计结构中自发产生，尽管这取决于水印设计，并且可以通过保留分布或不可检测的方案来缓解。研究揭示了归属与监控之间的根本双用途矛盾，呼吁超越单一样本鲁棒性，考虑聚合和观察者能力来评估水印。

本文针对生成式图像模型（特别是扩散模型）中的种子基水印技术，提出了一套从第一性原理出发的安全水印框架。当前的水印评估主要依赖经验实验，严重受限于具体的生成与反演模型架构，导致无法对方法的性能（尤其是安全性）进行严格结论，且缺乏统一的安全性定义。作者主张水印方案的有效性应通过彻底的理论分析来确立，为此提出了将模型依赖部分与水印系统的实际决策机制解耦的思想。基于该解耦，他们构建了一个正式的评估框架，涵盖安全性、鲁棒性和保真度三个维度，并通过一个特征曲面来精确比较不同水印系统在这三者之间的权衡，且该曲面独立于任何生成模型。在此框架下，作者提出了SSB（Secure Seed-Based）水印方法，该方法泛化了以往的种子基水印方案，能够通过调整特征曲面上的参数实现任意安全性-鲁棒性-保真度组合。本文为设计具有理论保证的现代水印系统开辟了道路，无需进行昂贵的经验评估即可获得性能保障。

本文研究在低延迟匿名网络（如Tor）中，攻击者如何通过主动带宽扰动实施流量相关性分析，从而破坏用户的匿名性。现有的被动流量关联方法需要攻击者控制端点或修改Tor浏览器，而本文提出的NATA（非侵入式主动流量关联分析算法）无需上述条件，仅需攻击者控制上游网络网关并观察出口中继的流量，即可通过注入可区分的吞吐量模式来标记流量。为了在复杂网络变化中识别被扰动的流，作者设计了BM-Net（带宽调制网络），一种选择性状态空间学习框架，用于检测带宽调制。BM-Net采用数据高效学习策略：首先通过掩码预训练在序列化流量轨迹上学习可复用的表征，然后利用任务特定的标注数据进行二值扰动检测和细粒度调制分类的迁移学习。基于真实Tor流量测量，BM-Net在二值检测上达到99.65%的F1分数，在细粒度调制分类上达到97.5%的宏F1分数。此外，通过基于tornettools的大规模仿真，估计了在带宽加权中继选择下的出口观察概率。结果表明，主动带宽扰动可作为一种基础设施级别的侧信道用于流量关联，对Tor匿名性构成切实威胁。

该论文针对数据集版权保护中水印信号弱、注入率低及对抗攻击下的鲁棒性问题，提出了一种名为DIP的概率水印注入与双重验证框架。核心方法包括三部分：1) 分布感知样本选择：从数据集中均匀选择N个训练样本用于水印注入，从而保持原始数据分布；2) 概率水印注入：对选中的样本注入概率水印，即通过扰动样本特征或标签的方式嵌入不可见标记，使得水印在统计意义上可检测但难以被移除；3) 双重验证：结合基于标签的验证和基于标签分布的验证，提升所有权判定的可靠性。实验在多个图像分类数据集上评估了DIP在不同注入率、不同攻击（如剪枝、微调、后门攻击）下的表现，结果表明DIP在保持模型效用（分类准确率）的同时，显著提升了水印检测的鲁棒性和可信度。该工作主要贡献为提出了一种对弱嵌入信号不敏感的概率水印框架，并设计了双重验证机制来抵御对抗性移除。适合关注数据知识产权保护、鲁棒水印技术的研究者和工程师阅读。

该论文提出了一种名为VOW的新型协议，用于解决大型语言模型（LLM）水印检测中的隐私和可验证性问题。现有LLM水印方法通常依赖集中式信任模型，用户需将敏感文本提交给服务提供商进行检测，且无法验证检测结果的完整性。虽然已有非对称方案试图解决这些问题，但它们要么不适用于短文本，要么缺乏水印插入与检测之间的形式化保证。VOW协议将水印检测表述为一个安全的两方计算问题，通过可验证的不经意伪随机函数（VOPRF）实现水印核心逻辑的实例化。该协议允许用户和服务提供商在不泄露用户文本的情况下进行检测，同时服务提供商的结果是可验证的。综合评估表明，VOW对于短文本具有实用性，并重新评估了水印针对现代改写攻击的鲁棒性。该研究为LLM水印的实际部署提供了兼顾隐私与可验证性的高效方案。

提出一种名为ArmSSL的框架，用于对自监督学习预训练编码器进行黑盒可验证且对抗鲁棒的水印保护，在不影响主任务效用的前提下实现知识产权防护。