🤖 AI

Watermarking Diffusion Language Models

本文提出了首个专为扩散语言模型（DLM）设计的水印方案，通过在不依赖完整上下文的情况下应用期望水印并优化上下文令牌选择，实现了超过 99% 的检出率且对生成质量影响极小，填补了该领域可靠水印技术的空白。

原作者： Thibaud Gloaguen, Robin Staab, Nikola Jovanović, Martin Vechev

发布于 2026-02-20

📖 1 分钟阅读☕ 轻松阅读

原作者： Thibaud Gloaguen, Robin Staab, Nikola Jovanović, Martin Vechev

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

这篇论文介绍了一项关于**“给扩散式语言模型（DLM）打上隐形水印”**的突破性研究。

为了让你轻松理解，我们可以把这项技术想象成**“给 AI 生成的文章盖上只有特定侦探能看见的隐形印章”**。

以下是用通俗语言和生动比喻对这篇论文的解读：

1. 背景：两种不同的“写作”方式

首先，我们需要理解现在的 AI 写文章主要有两种“流派”：

传统流派（自回归模型 ARLM）： 就像**“写日记”**。你必须一个字一个字地按顺序写，写完“今天”，才能写“天气”。以前的水印技术就是针对这种“按顺序写字”的 AI 设计的。
新流派（扩散模型 DLM）： 就像**“拼图”或“填字游戏”。AI 一开始拿到的是一张全是空白（或乱码）的画布，它可以同时**把画布上任意位置的空白填上，不需要按从左到右的顺序。这种新模型速度更快，还能自我纠错。

问题来了： 以前的“隐形印章”（水印）技术依赖于“前一个字”来决定“后一个字”怎么盖印。但在“拼图”模式下，AI 可能先填了第 10 个字，再回头填第 1 个字。这时候，以前的水印技术就懵了，因为它找不到“前一个字”来参考，导致水印失效。

2. 核心挑战：如何在“乱序填词”时盖章？

作者遇到的最大困难是：当 AI 还没写完上下文（周围的词）时，怎么决定当前这个词该不该盖“绿色印章”？

笨办法（Naive Approach）： 只有当周围的词都写完了，才给当前的词盖章。
- 后果： 因为 AI 是乱序填词的，大部分时候周围都没写完，结果导致整篇文章只有零星几个词有水印，根本检测不出来。

3. 作者的解决方案：神奇的“预知”与“连坐”

作者提出了一种聪明的新算法，包含两个核心创意，我们可以用**“种树”和“蝴蝶效应”**来比喻：

创意一：在“概率”中盖章（期望值策略）

既然我们不知道周围具体的词是什么，但我们可以知道周围**“可能是什么”**的概率。

比喻： 想象你在种树，虽然还没确定旁边具体会种什么树，但你知道旁边有 30% 的概率是松树，70% 的概率是橡树。
做法： 作者的水印算法不再等待具体的词，而是根据这些**“概率分布”**来计算。它会在所有可能的情况中，平均地给那些“大概率能变成绿色”的词增加一点权重。这就好比在种树前，先给所有可能长出来的树苗都涂上一层淡淡的荧光粉。

创意二：为了“未来”而选择（预测性偏差）

这是最精彩的部分。在扩散模型中，你现在的选择会影响未来的词。

比喻： 假设你现在的选择（比如选了一个词）会让未来的某个词更容易变成“绿色印章”。那么，为了整体的水印强度，你现在就应该优先选这个词，哪怕它原本不是最完美的词。
做法： 算法会计算：“如果我选了这个词，会不会让后面更容易生成出更多的绿色词？”如果答案是肯定的，它就给这个词“加 buff"（提高被选中的概率）。这就像是为了让整条街道的灯光更亮，你特意选择了一盏能照亮邻居家的路灯。

4. 效果如何？

作者通过大量实验证明，这套新方法非常有效：

检测率极高： 只要文章里有水印，检测器就能以 99% 以上的概率识别出来（就像侦探一眼就能认出那个隐形印章）。
质量几乎无损： 加了水印的文章，读起来和没加水印的几乎一样自然，不会变得语无伦次或充满错别字。
抗干扰能力强： 即使有人试图修改文章（比如删掉几个词、换个同义词，甚至把文章翻译成中文再翻回来），水印依然能顽强地存在，不会被轻易抹去。

5. 为什么这很重要？

随着 AI 生成内容的爆发，我们很难分辨一段文字是人类写的还是AI 写的。

以前： 只有按顺序写字的 AI 能被追踪。
现在： 这种新模型（扩散模型）因为速度快、能力强，越来越流行。如果它们没有水印，坏人就可以用它们生成假新闻、诈骗信息而逍遥法外。

总结来说：
这篇论文就像是为新一代的“拼图式”AI 发明了一套**“万能隐形墨水”**。它不再死板地要求按顺序写字，而是聪明地利用“概率”和“未来影响”，确保无论 AI 怎么乱序填词，都能留下无法抹去的身份印记。这让未来的 AI 内容更加透明、安全，也让人们能更放心地辨别真假。

1. 研究背景与问题 (Problem)

背景：

扩散语言模型 (DLMs) 的兴起： 与传统的自回归语言模型 (ARLMs) 不同，DLMs 能够以任意顺序生成 Token，具有生成速度快、内置纠错能力、可控性强以及易于扩展多模态等优势。
水印的必要性： 随着生成式 AI 的普及，可靠地检测 AI 生成文本（溯源）变得至关重要，以防止滥用并满足监管要求（如欧盟 AI 法案）。

核心挑战：

现有水印的局限性： 目前主流的 ARLM 水印（如 Red-Green 水印）依赖于自回归生成的特性。它们利用“已生成的上下文”作为哈希种子来决定当前 Token 的颜色（红/绿）。
DLM 的生成特性： DLMs 在生成过程中，Token 的揭示（unmasking）顺序是任意的。当生成某个 Token 时，其完整的上下文（包括后续 Token）可能尚未确定。
直接应用的失败： 如果强行将 ARLM 水印应用于 DLM，只有当 Token 的上下文完全确定时才能应用水印。这导致大部分 Token 无法被标记，水印强度极弱，检测率（TPR）极低。

2. 方法论 (Methodology)

作者提出了一种专为 DLM 设计的首个水印方案，其核心思想是将水印问题转化为约束优化问题，并推导出一个实用的算法。

2.1 理论框架：约束优化

作者将 DLM 的水印问题形式化为最大化生成序列中“绿色 Token"比例的期望，同时最小化对模型原始分布的干扰（通过 KL 散度约束）。

目标函数： 最大化 $E[\hat{\gamma}(\Omega)]$ ，其中 $\hat{\gamma}$ 是绿色 Token 的比例。
约束条件： $KL(q_t, p_t) \leq \varepsilon$ ，确保水印后的分布 $q$ 与原始分布 $p$ 足够接近，以保持文本质量。
优化解： 通过拉格朗日乘数法，推导出最优分布 $q^*$ 的形式为：
$q^*_t \propto p_t \exp(\delta_t \alpha_t(q^*))$
其中 $\alpha_t$ 是能量函数 $J$ 关于概率分布的梯度， $\delta_t$ 是控制水印强度的参数。

2.2 核心算法：期望与预测偏差

该优化解被解释为两个直观组件的结合（如图 1 所示）：

期望增强 (Expectation Boost)：
- 即使上下文尚未完全确定，算法也在上下文哈希分布的期望上应用水印。
- 它计算当前 Token 可能对应的所有上下文哈希，并加权平均，从而对所有 Token 进行标记，而不仅仅局限于上下文已知的 Token。
预测偏差 (Predictive Bias)：
- 这是 DLM 特有的优势。算法不仅考虑当前 Token 是否为绿色，还倾向于选择那些能导致后续 Token 更容易变为绿色的当前 Token。
- 即：选择当前 Token $t$ ，使得 $t$ 作为上下文时，后续 Token $s$ 的哈希更可能落入“绿色”集合。

2.3 具体实现细节

哈希函数： 采用了 SumHash（上下文 Token ID 之和）和 MinHash。为了高效计算哈希分布，利用快速傅里叶变换 (FFT) 或代数推导，避免了指数级复杂度。
无自哈希假设 (No Self-Hashing)： 假设 Token 的哈希不包含其自身（即 $H_t$ 不依赖 $\omega_t$ ），这在数学推导中至关重要。
检测器： 保持与现有 Red-Green 水印相同的检测器（二项式检验），无需修改检测端。

3. 主要贡献 (Key Contributions)

首个 DLM 水印方案： 首次提出了针对扩散语言模型的有效水印方案，解决了自回归水印无法直接应用于非自回归生成的问题。
理论框架与算法推导： 将水印问题建模为约束优化问题，并推导出了包含“期望增强”和“预测偏差”的实用算法。证明了当限制在自回归场景下，该优化问题退化为经典的 Red-Green 水印。
高性能与鲁棒性： 实验表明，该方案在保持文本质量（Perplexity）几乎不变的情况下，实现了极高的检测率（>99% TPR @ 1% FPR），且对常见的文本修改（如删除、替换、上下文感知替换）具有鲁棒性。
超越无顺序水印： 相比于现有的无顺序水印（如 Unigram, PatternMark），该方案在安全性（防伪造、防擦除）和检测可靠性（Type-1 错误控制）上表现更优。

4. 实验结果 (Results)

实验在 LLADA-8B 和 DREAM-7B 等扩散模型上进行，使用 WATERBENCH 数据集。

检测性能 (Detectability)：
- TPR@1% FPR： 在推荐参数下（ $\delta=4$ ，上下文 $C=\{-1\}$ ），检测率超过 99%。
- 对比基线： 相比“仅在有完整上下文时应用水印”的朴素基线，TPR 从 ~60-80% 提升至 99%。
- 文本长度影响： 随着序列长度增加，检测信号迅速增强。在约 50 个 Token 时，其检测能力已相当于基线在 350 个 Token 时的水平。
文本质量 (Quality)：
- 困惑度 (Perplexity)： 水印引入的困惑度增加极小，与基线方法相当。
- 基准测试： 在 MMLU、GSM8K 等基准测试中，水印模型的性能下降微乎其微（部分情况下甚至优于基线，因为基线在低质量下表现更差）。
鲁棒性 (Robustness)：
- 局部修改： 对单词删除和替换，在 30% 的修改率下仍保持高检测率。
- 上下文感知替换： 对基于上下文的智能替换（如 BERT 替换），该水印表现出显著优于基线的鲁棒性，这是因为“期望增强”机制使得序列的潜在变体也被间接标记。
- 强对抗攻击： 对改写（Paraphrasing）和回译（Back-translation），虽然检测率下降，但随着序列长度增加，信号可恢复。
与其他水印对比：
- 优于 Unigram 和 PatternMark：后者存在 Type-1 错误不可控（假阳性波动大）和易受伪造/擦除攻击的问题。
- 优于 GaussMark（基于权重的水印）：检测速度更快，且无需修改模型权重。

5. 意义与结论 (Significance)

填补空白： 填补了扩散语言模型在内容溯源和版权保护方面的技术空白，使得 DLMs 能够像 ARLMs 一样被可靠地追踪。
理论突破： 证明了通过优化视角，可以将水印从“依赖确定性上下文”扩展到“依赖概率分布”，为未来非自回归生成模型的安全机制提供了新思路。
实用价值： 该方案计算开销低（生成延迟仅增加约 9ms/token），且检测器无需修改，易于集成到现有的 DLM 生态系统中。
社会影响： 增强了 AI 生成内容的可追溯性，有助于应对 Deepfake 和虚假信息传播，符合全球对 AI 监管的趋势。

总结： 该论文通过创新的优化框架，成功解决了 DLMs 生成顺序不确定带来的水印难题，实现了高检测率、低质量损失和强鲁棒性的统一，是扩散语言模型安全领域的重要里程碑。