MirrorMark: A Distortion-Free Multi-Bit Watermark for Large Language Models

以下是论文《MirrorMark：一种面向大语言模型的无失真多比特水印》的详细技术总结。

1. 问题陈述

随着大语言模型（LLMs）在内容创作中的普及，可靠的内容归属（溯源）对于打击虚假信息并保护知识产权变得至关重要。现有的水印技术面临一个根本性的权衡：

• 基于失真的方法： 通过修改令牌概率分布（例如，通过逻辑值偏置）来嵌入信号。虽然鲁棒性强，但这些方法会降低文本质量（增加困惑度），且通常仅支持二进制（零比特）检测。
• 无失真方法： 保留原始令牌分布以维持文本质量。然而，现有的无失真方法往往存在检测性弱、对编辑攻击（插入/删除）的鲁棒性差，或缺乏嵌入丰富元数据（多比特负载）能力的问题。
• 差距： 目前缺乏一种能同时提供多比特嵌入（用于模型 ID 或时间戳等元数据）、无失真生成（保持文本质量）以及针对编辑攻击的高鲁棒性的方法。

2. 方法论：MirrorMark

MirrorMark 通过三个核心组件解决上述挑战：

A. 模 1 镜像（嵌入机制）

MirrorMark 不偏置令牌逻辑值，而是以测度保持的方式操纵采样随机性。

• 机制： 它利用 Gumbel-max 技巧（用于 AA）或锦标赛采样（用于 SynthID）。这些方法生成一个随机值 $u \sim \text{Uniform}(0,1)$ 以确定下一个令牌。
• 变换： 为了嵌入一个 $m$ 比特的消息 $M$，系统使用模 1 镜像操作，围绕消息特定的枢轴 $\psi_M = M / 2^{m+1}$ 反射随机值 $u$：
  $$\Psi(u; \psi_M) = (2\psi_M - u) \mod 1$$
• 无失真保证： 从数学上讲，这种变换是一个测度保持的对合变换。如果 $u$ 服从均匀分布，则镜像值 $\Psi(u; \psi_M)$ 仍保持均匀分布。因此，令牌选择概率 $p(x)$ 保持不变，确保文本质量零失真。
• 假设分离： 与创建对称假设的循环移位方法（如 ThreeBricks）不同，镜像创建互补分布。对于正确的消息，变换后的值偏向 1；对于错误的消息，它们偏向 0。这最大化了每个令牌上真实消息与错误假设之间的统计分离度。

B. 上下文锚定平衡调度器（CABS）

为了稳健地处理针对编辑（插入/删除）的多比特负载，MirrorMark 引入 CABS 来管理令牌如何分配给消息位置。

• 朴素分配的问题： 简单的伪随机分配可能导致令牌在消息位置上的分布不均（某些位置没有令牌），并在编辑后导致失步。
• CABS 解决方案：
  • 平衡分配： 它基于上下文窗口将令牌映射到消息位置，确保每个位置接收足够数量的令牌以进行可靠解码。
  • 上下文锚定帧： 序列被划分为“帧”。当上下文窗口的哈希值满足特定条件（例如，最低的 $f$ 位为零）时，新帧开始。
  • 鲁棒性： 如果发生插入或删除，它仅影响当前帧并可能影响下一帧的边界。它防止错误在整个序列中传播，允许解码器即使在文本部分被篡改的情况下也能恢复水印。

C. 解码与检测

• 解码： 对于每个消息位置，解码器聚合分配给令牌的镜像 $u$ 值。它使用评分函数（Gumbel-max 使用 LogScore，锦标赛采样使用 WeightedMeanScore 或 BayesianScore）来确定最可能的符号 $M$。
• 检测： 解码后的符号用于重建预期分布。计算全局评分；如果超过阈值，则文本被识别为已加水印。

3. 主要贡献

1. 无失真多比特水印： MirrorMark 是首个将无失真采样范式（AA、SynthID）扩展到多比特负载而不改变 LLM 输出分布的框架。
2. 模 1 镜像： 一种新颖的数学变换，通过反射采样随机性来嵌入信息，在保持均匀分布的同时，明确最大化正确与错误假设之间的对比度。
3. CABS 调度器： 一种鲁棒的调度机制，平衡了消息位置间的令牌分配，并局部化了编辑攻击的影响，显著提高了对插入和删除的抵抗力。
4. 理论分析： 作者提供了等误码率（EER）的理论表征，将其与序列熵和令牌数量联系起来，这与实证结果高度一致。

4. 实验结果

实验在 C4 和 ELI5 数据集上使用 LLaMA-2-7B 和 Gemma-7B-it 进行。

• 文本质量： MirrorMark 实现的困惑度和 GPT-4o 质量评分与未加水印的文本无法区分。相比之下，基于失真的基线方法（MPAC、RSBH）显示出显著的困惑度下降（例如，RSBH 困惑度约为 32，而 MirrorMark 约为 7.2）。
• 检测性：
  • 在 300 个令牌中嵌入 54 比特时，MirrorMark 比最先进的方法提高了 8–12% 的比特准确率。
  • 在 1% 的误报率（FPR）下，它能正确识别比基线多 11% 的已加水印文本。
  • 基于 Gumbel-max 的 MirrorMark 在比特准确率上通常优于基于锦标赛的变体，而两者均保持高 AUC（约 1.0）。
• 鲁棒性：
  • 复制粘贴攻击： 即使 40% 的文本被非水印内容替换，MirrorMark 仍保持高检测率（AUC > 0.99）。
  • 改写： 虽然比特准确率下降（这是令牌级依赖的预期结果），但 MirrorMark 保持了强大的 AUC 分离度，在检测率上优于零比特基线。
• 比较： 由于更好的假设分离，MirrorMark 在比特准确率上显著优于 ThreeBricks（循环移位扩展）。在文本质量方面，它优于 RSBH 和 MPAC，同时在鲁棒性上与之相当或超越。

5. 意义

MirrorMark 代表了 AI 内容溯源领域的重大进步。通过将检测性与文本失真解耦，它能够在不损害生成文本的流畅性或自然性的情况下嵌入丰富的元数据（多比特）。这对于高质量文本生成至关重要的实际部署场景尤为关键。此外，CABS 的引入解决了现有水印对编辑攻击的关键脆弱性，使该技术能够在动态的、用户编辑的环境中保护内容成为可能。EER 的理论基础提供了一个可预测的框架，用于根据序列熵和长度调整水印参数。