💻 computer science

WaterSearch: A Quality-Aware Search-based Watermarking Framework for Large Language Models

本文介绍了 WaterSearch，这是一种针对大语言模型的 novel 句子级基于搜索的 watermarking 框架，它通过受控种子池联合优化分布保真度与信号特征，从而解决可检测性与文本质量之间的权衡问题，在多样化任务中实现了显著的性能提升和稳健的抗攻击能力。

原作者： Yukang Lin, Jiahao Shao, Shuoran Jiang, Wentao Zhu, Bingjie Lu, Xiangping Wu, Joanna Siebert, Qingcai Chen

发布于 2026-05-29

📖 1 分钟阅读☕ 轻松阅读

CC BY 4.0

原作者： Yukang Lin, Jiahao Shao, Shuoran Jiang, Wentao Zhu, Bingjie Lu, Xiangping Wu, Joanna Siebert, Qingcai Chen

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

以下是用简单语言和日常类比对论文"WaterSearch"的解释。

核心难题：“保安”与“艺术家”的对立

想象你有一位才华横溢的 AI 艺术家（大型语言模型），它能写故事、回答问题并解决难题。为了防止人们滥用这位艺术家（例如散布假新闻或窃取版权），我们希望在它生成的所有内容上添加数字水印。这个水印就像隐藏的签名，能证明“是的，这是 AI 写的”。

然而，这里有个棘手之处。目前添加水印的方法，就像是一个笨拙的保安试图给艺术家的作品做标记。为了让检测器能识别出水印，保安迫使艺术家稍微改变用词。

结果：文本确实能被检测为 AI 生成，但往往听起来机械、重复，甚至事实错误。
权衡：如果你让水印更强（更难伪造），文本质量就会下降。如果你希望文本听起来自然，水印就会变得太弱而无法检测。

新点子：“种子池”

这篇论文的作者意识到，“笨拙保安”的方法并非唯一途径。他们发现了一个有趣的现象：随机性至关重要。

将 AI 的生成过程想象成一位厨师在烹饪。所谓的“种子”，就是厨师首先抓取的那个随机食材。如果厨师抓取的随机食材略有不同（即不同的种子），即使使用相同的食谱，他们也可能烹饪出完全不同的菜肴。

论文发现，根据所使用的“随机种子”不同，水印的表现也各不相同。有些种子能让水印非常强，但会破坏口感（质量）；而另一些种子能让文本口感极佳，但水印却难以察觉。

解决方案：WaterSearch（“试吃员”方法）

WaterSearch 改变了流程，不再让 AI 只烹饪一道菜并碰运气，而是像一位主厨，同时订购多道同一菜肴的版本。

其工作原理分步如下：

并行烹饪（种子池）：当 AI 需要写一段文字时，WaterSearch 不会只选择一个随机种子，而是挑选一小组种子（例如 5 个不同的种子）。
生成候选项：它要求 AI 使用不同的种子，五次生成同一段文字。
- 版本 A：水印很好，但语法怪异。
- 版本 B：语法完美，但水印微弱。
- 版本 C：两者平衡良好。
- 版本 D 和 E：各种其他组合。
筛选（试吃环节）：一个智能选择器会查看所有五个版本。它会问：“哪一个听起来最自然，同时仍拥有足够强的隐藏签名？”
胜出者：它选出最佳版本（版本 C），并丢弃其他版本。

为何这是游戏规则的改变者

论文声称，该方法通过以下三个关键方面解决了“保安与艺术家”的难题：

更高质量：因为系统可以选择最佳版本，所以不必强迫 AI 写出糟糕的文本。它能找到“甜蜜点”，即文本质量高且水印仍可检测。
短文本与代码：这对于撰写简短回答或计算机代码等棘手任务特别有帮助。在这些情况下，几乎没有多少词汇可以用来隐藏水印，因此传统方法往往失效。而 WaterSearch 的“尝试五次并选出最佳”的方法在此类场景中表现更好。
鲁棒性：即使有人后来尝试编辑文本（例如更改几个词或重新措辞），水印依然足够强大，能够被检测出来。

代价（“厨房”类比）

有缺点吗？是的。烹饪五道菜比烹饪一道菜需要更多的能量和时间。

论文主张：作者表明，虽然它确实消耗了更多的计算能力，但他们已经将其构建得非常高效（就像使用共享的厨房操作台）。额外的成本是可控的，而质量的巨大提升值得付出。

总结

WaterSearch 是一个新框架，它阻止了 AI 为了隐藏水印而被迫写出糟糕的文本。它不再强迫生成一个“还行”的结果，而是利用不同的随机“种子”生成多个选项，挑选出既高质量又安全的版本，并丢弃其余部分。这就像给 AI 第二次机会去做好它，确保文本值得信赖，且水印可被检测，同时不破坏信息本身。

技术摘要：WaterSearch

问题陈述

大型语言模型（LLM）需要鲁棒的水印机制以确保问责制并识别机器生成的内容。现有方法（如 KGW 框架）通常依赖于在生成过程中扰动令牌级概率分布。虽然这些方法对检测有效，但它们引入了一个众所周知的权衡：增加水印强度往往会降低文本质量，特别是在短文本生成、推理任务和低熵生成（例如代码补全）等具有挑战性的场景中。目前试图通过熵感知启发式方法或无偏调整来缓解这一问题的尝试，仍然依赖于在固定的生成流程下修改令牌分布，这可能导致偏离模型的原始行为，并无法在可检测性与保真度之间取得平衡。

方法论：WaterSearch

作者提出了WaterSearch，这是一种基于搜索的框架，将视角从令牌级扰动转移到种子级控制。核心洞察在于，水印行为在不同的随机种子下存在显著差异，从而导致检测强度与生成质量之间呈现出多样化的权衡关系。

1. 种子池与并行生成

WaterSearch 不再使用固定种子生成单个文本序列，而是在每个生成步骤中维护一个全局种子池。

种子池构建：使用秘密密钥（ $\pi_{key}$ ）对一组预定义种子进行排列，以确保检测的可复现性，同时引入受控的变异。
并行候选：对于每个文本块，该框架并行生成 $k$ 个候选项：一个标准的未加水印序列，以及 $k-1$ 个加水印序列，每个序列均使用种子池中的不同种子实例化。
效率：为了管理计算成本，系统采用并行生成并复用键值（KV）缓存，将内存复杂度从 $O(k(L+T))$ 降低至 $O(k(L+m))$ ，其中 $m$ 为块大小。

2. 候选选择

WaterSearch 将水印处理视为一个候选选择问题。它使用加权目标函数 $q(y, \tilde{y})$ 评估生成的 $k$ 个文本块：
$q(y, \tilde{y}) = \alpha q_{sim}(y, \tilde{y}) + (1 - \alpha) \frac{|\tilde{y}|_G}{|\tilde{y}|}$
其中：

$q_{sim}$ 衡量候选项与未加水印参考项之间的相似度（词汇或语义）（保真度）。
$\frac{|\tilde{y}|_G}{|\tilde{y}|}$ 代表“绿名单”令牌的比例（可检测性）。
$\alpha$ 是用于平衡质量与可检测性的可调超参数。
得分最高的块被选中，并附加到上下文中以进行下一次迭代。

3. 检测策略

由于检测器并不明确知道所选块使用的具体种子，WaterSearch 采用基于最大统计量的假设检验策略：

块级测试：对于给定的文本块，检测器重建种子池，并评估所有候选种子对应的水印统计量（绿名单令牌数量）。
最大统计量：它选择种子池中观察到的最大统计量。在零假设（ $H_0$ ，无水印）下，该最大统计量的分布源自独立二项变量的最大值。
聚合：使用 Fisher 方法聚合块级 p 值，以计算文档级的显著性分数。这种方法对令牌级扰动和改写具有鲁棒性，因为它在多个块之间累积证据。

主要贡献

种子级视角：本文指出随机种子显著影响水印行为，并引入种子池作为一种新机制，以探索质量与可检测性之间的权衡空间。
WaterSearch 框架：一个实用、模块化的框架，可在不同种子下生成和选择候选项，兼容现有的令牌级水印方法（例如 KGW、GPT Watermark）。
鲁棒检测：一种基于种子级统计变化的检测方法，无需显式识别种子，提供了针对攻击的鲁棒性。

实验结果

实验在WaterBench（涵盖 10 项任务，包括短/长文本、问答和代码）和RepoBench-P上进行，涉及三个模型（Qwen2.5-7B、Llama2-7B、InternLM-7B）和四个水印基线。

整体性能：WaterSearch 在所有设置中 consistently 优于基线方法，在质量和检测指标的几何平均值（GM）上实现了约5.5 分的平均绝对增益。
具有挑战性的场景：
- 短文本生成：在令牌预算有限的情况下，检测成功率显著提高（例如，Copen 提升 26.9 分，HotpotQA 提升 3.7 分）。
- 低熵生成：在代码补全任务（LCC、RepoBench-P）中取得显著增益，平均增益为4.7 分，在提高可检测性的同时保持了高文本质量。
鲁棒性：与基线相比，该方法在对抗插入攻击、同义词替换和改写攻击（Pegasus、Parrot）方面表现出更优越的抵抗力。
消融研究：
- 增加并行束宽（ $K$ ）改善了质量和检测效果，即使 $K=2$ 也显示出优于基线的增益。
- 权衡因子 $\alpha$ 允许灵活控制，WaterSearch 实现了比基线更优的帕累托前沿。

意义与主张

本文主张，将随机性（随机种子）视为可控变量，提供了一种原则性的方法来改进水印，而无需从根本上改变令牌级生成逻辑。通过利用种子多样性，WaterSearch 有效地 navigates 质量与可检测性之间的权衡，特别是在传统扰动方法难以应对的场景中。作者强调，他们的方法是模块化的，并且与现有水印方案兼容，为在现实世界的 LLM 应用中部署鲁棒水印提供了切实可行的解决方案。

该工作承认了局限性，指出其继承了底层水印方法的约束（例如 KGW 对质量的潜在影响），并产生了额外的计算开销，尽管这已通过 KV 缓存复用得到缓解。未来的工作建议侧重于提高采样效率并降低成本。