🤖 AI

Mitigating Watermark Forgery in Generative Models via Randomized Key Selection

本文提出了一种可证明抗伪造的生成式人工智能防御方案，该方案通过随机化水印密钥选择，并仅在检测到恰好一个密钥时接受内容，从而在不降低模型效用或增加计算开销的情况下有效缓解伪造攻击。

原作者： Toluwani Aremu, Noor Hussein, Munachiso Nwadike, Samuele Poppi, Jie Zhang, Karthik Nandakumar, Neil Gong, Nils Lukas

发布于 2026-05-12

📖 1 分钟阅读☕ 轻松阅读

CC BY 4.0

原作者： Toluwani Aremu, Noor Hussein, Munachiso Nwadike, Samuele Poppi, Jie Zhang, Karthik Nandakumar, Neil Gong, Nils Lukas

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

以下是论文《通过随机密钥选择缓解生成式模型中的水印伪造》的通俗解释，辅以日常类比。

核心问题：AI 的“假身份证”

想象一家著名的面包店（AI 提供商），每天烘焙数百万个蛋糕。为了证明蛋糕出自他们的烤箱，他们在糖霜里嵌入了一枚微小的、看不见的“秘密印章”。如果你用特殊的手电筒（检测器）仔细观察，就能看到这枚印章，从而确认：“是的，这是正宗的面包店蛋糕。”

威胁： 一个坏蛋（攻击者）想在自己肮脏的厨房里烘焙一个糟糕的蛋糕（有害内容），但他想骗人相信这蛋糕来自那家著名的面包店。他试图复制秘密印章并贴在自己的坏蛋糕上。如果他成功了，面包店就会因这个坏蛋糕而背锅，声誉扫地。

旧方案：“印章太多”的问题

以前，为了阻止伪造者，面包店尝试了一个简单的把戏：在每一个蛋糕上都盖上许多不同的秘密印章。

逻辑： “如果伪造者试图复制这些印章，他们可能猜对其中一个，但不可能完美复制所有印章。”
缺陷： 这就像在一个蛋糕上盖了 100 个不同的隐形印章。这让蛋糕变得沉重且怪异（降低了模型质量）。此外，如果伪造者偷了足够多的面包店蛋糕进行研究，他们最终可能学会如何复制所有印章。

新方案：“随机密钥”彩票

本文的作者提出了一种更聪明、更轻量级的方法来保护面包店。他们不再在一个蛋糕上盖很多印章，而是改变了游戏规则。

1. 生成阶段（烘焙蛋糕）

每当顾客订购一个蛋糕时，面包店不再使用固定的印章。相反，他们有一个巨大的盒子，里面装着不同的秘密印章（密钥）。

对于每一个订单，他们从盒子里伸手，随机抽出一枚印章，仅使用这一枚。
顾客得到的蛋糕上只有一枚隐形印章，和以前一样。蛋糕的味道完全没变（没有质量损失）。

2. 检测阶段（检查蛋糕）

当有人带蛋糕来面包店检查是否真实时，面包店不再只寻找一枚印章。他们会将蛋糕与盒子里的所有印章进行比对。

情景 A：未发现印章。 蛋糕来自陌生人。（结果：“不是我们的。”）
情景 B：恰好发现一枚印章。 蛋糕拥有面包店为该批次使用的那枚特定印章。（结果：“这是正宗的！”）
情景 C：发现两枚或更多印章。 这是魔术所在。如果面包店每次只在蛋糕上盖一枚印章，一个蛋糕怎么会有两枚不同的印章呢？
- 结论： 这一定是假的！伪造者试图复制印章，但由于他们不知道特定蛋糕具体使用了哪枚印章，他们不小心复制了印章的混合体。面包店看到这种混合体，就会说：“这是伪造品。”

为何这是游戏规则的改变者

该论文声称，这种方法之所以强大，主要有三个原因：

它是针对模仿者的陷阱： 要伪造蛋糕，攻击者必须猜出具体使用了哪枚印章。但由于面包店每次都随机选择，攻击者就像在黑暗中摸索。如果他们试图从许多蛋糕中学习，最终学到的却是所有印章的“混合体”。当他们试图将这种混合体印在自己的假蛋糕上时，面包店的检测器会看到多枚印章，并立即拒绝它。
它不会损害蛋糕： 与旧方法在一个蛋糕上盖很多印章不同，这种方法保持了蛋糕的轻盈和美味。AI 模型不会变慢，也不会生成更差的文本或图像。
即使攻击者很聪明也有效： 论文表明，即使攻击者偷走数千个蛋糕进行研究，他们仍然无法成功伪造新蛋糕。使用旧方法时，伪造成功率接近100%，而使用新方法后，这一比例可降至低至2%。

“盲目”与“知情”攻击者

论文区分了两类坏蛋：

盲目攻击者： 他们偷蛋糕，但不知道哪枚印章用在了哪个蛋糕上。随机化让他们完全困惑。新方法几乎能完全阻止他们。
知情攻击者： 他们设法搞清楚了哪枚印章具体用在了哪个蛋糕上（这是一项极难的任务，需要突破安全防线）。如果他们能做到这一点，他们仍然可以伪造蛋糕，但论文指出，这需要首先攻破面包店的内部安全系统。

总结

可以将这种新方法想象成数字内容的彩票系统。

旧方式： 每个人得到一张印有 10 个数字的彩票。如果你猜中 10 个数字，你就赢了。很难猜中，但彩票很笨重。
新方式： 每个人得到一张只印有1 个数字的彩票。但系统会检查你的彩票是否恰好包含一个来自中奖池的数字。
- 如果你有 0 个数字：你输了。
- 如果你有 1 个数字：你赢了！
- 如果你有 2 个数字：你作弊了！（因为系统每次只给每个人发 1 个数字）。

通过迫使攻击者猜中具体使用了哪张“彩票”（密钥），并在他们猜中太多时予以惩罚，面包店可以在不破坏真实产品质量的情况下，瞬间识别出伪造品。

技术摘要：通过随机密钥选择缓解生成模型中的水印伪造

1. 问题陈述

生成式人工智能（GenAI）提供商利用水印技术将内容归因于其模型，通过嵌入隐藏信号（需借助秘密密钥检测）来实现。该生态系统面临的一个关键安全威胁是伪造攻击，即攻击者将某提供商的水印插入到非该提供商生成的内容中。这使得攻击者能够将有害内容（例如虚假信息、暴力内容或垃圾信息）错误地归因于信誉良好的提供商，从而损害其声誉并使其面临法律责任。

现有防御手段存在显著局限性：

统计检测：分析令牌分布或伪影通常无法抵御自适应攻击者。
密钥轮换：在生成 $N$ 个样本后轮换密钥会引入管理复杂性，且最优的 $N$ 值尚不明确。
多密钥嵌入：在单个样本中嵌入多个密钥会降低模型效用，且正如先前研究所示，如果攻击者收集了足够数量的水印样本（ $N$ ）以蒸馏出水印模式，该方法仍然易受攻击。

核心挑战在于实现抗伪造性，即无论攻击者能收集多少水印样本，防御均保持有效，同时不降低生成模型的效用。

2. 方法论

作者提出了一种随机密钥选择策略，该策略作为现有水印方法的黑盒封装器（适用于文本和图像模态）。

核心机制

生成：对于每个用户查询，提供商从 $r$ 个密钥的池子（ $K = \{k_1, ..., k_r\}$ ）中随机选择恰好一个秘密密钥，用于对生成的内容进行水印处理。就生成开销而言，这与标准的单密钥水印相同。
检测：提供商对池子中的所有 $r$ 个密钥在该内容上运行检测测试。
决策规则：
- 真实：检测到恰好一个密钥（具有统计显著性）。
- 伪造：检测到零个密钥（内容非该提供商生成）或检测到两个或更多密钥。
- 逻辑：攻击者试图通过从水印样本数据集（其中每个样本使用不同的随机密钥）中蒸馏模式来伪造水印时，将不可避免地学习到水印信号的“混合”模式。因此，其伪造的内容很可能同时触发多个密钥的检测，从而导致被拒绝。

理论框架

该方法基于攻击者无法区分特定样本使用了哪个具体密钥的“盲”攻击者假设。

阈值校准：为了控制 $r$ 次检验中的族系错误率（FWER），使用Šidák 校正调整每个密钥的阈值 $\tau$ ： $\alpha = 1 - (1 - \alpha_{fw})^{1/r}$ 。
理论界限：对于盲攻击者，成功伪造样本（触发恰好一个密钥）的概率是有界的。当每个密钥的检测概率为 $1/r$ 时，成功率达到最大，其上限为 $(1 - 1/r)^{r-1}$ 。关键在于，该界限独立于攻击者可用的样本数量（ $N$ ），而不同于之前的多密钥方法（其保证随着 $N$ 的增加而退化）。

3. 主要贡献

随机密钥选择策略：一种简单、黑盒的方法，无需新的水印方案即可显著提高对各种攻击的水印伪造抵抗力。
理论保证：首次提出了针对伪造成功的理论界限，只要攻击者无法区分密钥（盲攻击），该界限就独立于攻击者的样本量。
实证验证：在文本（大语言模型）和图像（扩散模型）模态上进行了广泛测试，证明了伪造成功率的一致性降低。
开源：发布了实现代码。

4. 实验结果

作者使用 AdvBench、HarmfulQ 和 CelebA 等数据集，针对自适应攻击者（包括“盲”攻击者和“知情”攻击者）评估了该方法。

文本模态：
- 使用四种水印变体（KGW-SelfHash、Unigram、KGW-Soft、KGW-Hard），该方法将伪造成功率从接近完美（单密钥基线高达 100%）降低至使用 4 个密钥时的2%。
- 例如，在 AdvBench 上使用 Unigram 方案时，伪造成功率从单密钥的 68% 降至 4 个密钥时的 16%。
- 即使扩展到更大模型（如 LLaMA-13B）并针对基于蒸馏的攻击，该方法仍然有效。
图像模态：
- 应用于 Tree-Ring 水印方法，该方法将伪造成功率从单密钥的 100% 降至 4 个密钥时的2%。
- 无论攻击者可用的训练图像数量多少（测试高达 5,000 个样本），该防御均保持低伪造率。
效用与鲁棒性：
- 假阴性率（FNR）：该方法保留了对真实内容的检测。真实水印内容的 FNR 保持可忽略不计（即使使用 4 个密钥也在 0–3% 之间），表明模型效用或检测精度未出现显著下降。
- 鲁棒性：针对改写攻击（如 Dipper）的鲁棒性与底层水印方案保持一致，因为封装器未改变嵌入过程。

5. 意义与局限性

意义：
本文认为，该方法为现有水印系统提供了一种实用、可部署的安全层。通过随机化密钥选择并强制执行“恰好一个”的检测规则，它建立了一道统计屏障，基于平均的攻击无法克服。它消除了对复杂密钥轮换计划的需求，并保持了高模型效用。

局限性与假设：

盲攻击者与知情攻击者：理论保证适用于“盲”攻击者。如果攻击者能够推断出特定样本使用了哪个密钥（例如通过系统漏洞或侧信道），他们就可以按密钥对样本进行聚类并更有效地伪造。在针对“知情”攻击者（拥有密钥标签）的实验中，伪造成功率稳定在约 65%，但这在实际中需要不切实际的密钥标签访问权限。
基于实例的攻击：该方法无法防御“基于实例”的攻击，即利用单个样本（ $N=1$ ）即可伪造水印。这是底层水印方法（如 Tree-Ring）的漏洞，而非所提防御的缺陷。
计算开销：验证开销随密钥数量（ $r$ ）线性增加。对于文本而言可忽略不计（微秒级），但对于需要扩散模型反演的图像水印，计算量较大。
权衡：增加密钥数量需要提高检测阈值以维持全局假阳性率，这会略微降低底层水印的真阳性率（鲁棒性），尽管实证结果显示这种影响微乎其微（2–3%）。

总之，作者认为，只要密钥保密性能够抵御推断，随机密钥选择就是一个即插即用的解决方案，能够有效缓解当前启发式水印方案面临的水印伪造威胁。