🤖 machine learning

dgMARK: Decoding-Guided Watermarking for Diffusion Language Models

本文介绍了 dgMARK，这是一种针对离散扩散语言模型的即插即用式水印方法，它利用这些模型对标记去掩码顺序的敏感性，通过奇偶校验约束下的候选集选择来嵌入可检测信号，从而确保对各种文本编辑操作的鲁棒性。

原作者： Pyo Min Hong, Albert No

发布于 2026-06-01

📖 1 分钟阅读☕ 轻松阅读

原作者： Pyo Min Hong, Albert No

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

以下是对 dgMARK 论文的解释，已将其翻译为通俗易懂的语言，并保留了创意类比。

核心问题：“这是谁写的？”

想象一下，大型语言模型（LLM）是极具天赋的“影子作家”。它们可以编写故事、代码和文章，看起来和听起来都与人类创作的毫无二致。但这产生了一个问题：如果坏人利用这些模型来编写假新闻或钓鱼邮件，我们如何知道这到底不是真人写的？

我们需要一种方法来给文本打上标签，以便证明：“嘿，这是电脑写的。”这就是所谓的水印技术（Watermarking）。

旧方法 vs. 新方法

目前大多数水印方法的工作原理就像是一个有偏见的硬币投掷。

类比： 想象一位厨师（AI）通常根据口味好坏来挑选食材。旧的水印方法会强迫厨师在 60% 的情况下选择一种“绿色”食材（比如某种特定的辣椒），即使此时选择“红色”食材（比如西红柿）味道会更好。
缺陷： 这改变了菜肴的风味。文本可能会听起来略显机械或质量下降，因为 AI 被迫做出不自然的抉择，仅仅是为了隐藏一个秘密代码。

新方法：dgMARK（“交通指挥员”）

该论文介绍了一种名为 dgMARK 的新方法，它是专门为一种较新的 AI 类型——**扩散语言模型（Diffusion Language Models, dLLMs）**设计的。

什么是扩散模型？
不同于那些严格地从左到右书写句子（像打字员一样）的传统“自回归”模型，扩散模型更像是一个解谜者。

它们从一张布满了问号（掩码/遮盖）的白纸开始。
它们可以逐一填入单词，但可以按任何顺序进行填充。它们可能先填最后一位单词，再填第一位，然后填中间。

核心洞察
作者意识到，虽然这些模型在理论上无论以什么顺序填空都应该表现一致，但在现实中，它们对顺序是敏感的。填入单词的顺序会微妙地改变最终生成的结果。

类比：交通指挥员
dgMARK 不再是强迫厨师去选特定的食材（从而改变风味），而是扮演了一个交通指挥员的角色。

AI 查看页面上所有的空白处，并说：“我觉得这里可以放‘猫’，那里可以放‘狗’。”
交通指挥员（dgMARK）有一个秘密规则：“如果你想填入的单词符合某种秘密模式（例如奇偶校验），那么你可以优先执行。”
AI 仍然会为那个位置选择最好的单词（风味不会改变），但单词在页面上出现的顺序会受到这个秘密规则的微妙引导。

秘密代码是如何运作的

这个“秘密规则”基于一个简单的数学技巧——奇偶性（Parity）（即奇数与偶数）。

假设 AI 正在填充一个句子。对于每一个位置（第 1 个词、第 2 个词等），都有一个专属的“核准”单词列表。
如果 AI 想要填充第 3 个词，而它想填入的那个词正好在第 3 个位置的“核准”名单上，dgMARK 就会说：“太棒了！现在就把它填进去！”
如果该词不在名单上，AI 可能会稍等片刻，先去填充另一个位置。

在整个段落的过程中，这会创造出一种统计学上的模式。如果你检查这段文本，你会发现单词出现在特定位置的频率，比随机概率下要高得多。这就像是一副扑克牌被微妙地洗过牌，使得每隔 4 张牌就必定出现一张红桃。

为什么这种方法更好

不改变风味： 因为 AI 仍然会为任务选择最好的单词，所以生成的文本听起来和之前一样自然、高质量。论文显示，其“困惑度”（衡量文本是否令人困惑的指标）几乎没有变化。
难以去除： 如果有人试图编辑文本（添加、删除或替换单词），“交通指挥员”的逻辑仍会留下指纹。论文使用了一种滑动窗口检测器（就像通过一个移动的放大镜观察文本）来即使在文本被编辑后也能找到这些模式。
即插即用： 它能与 AI 现有的思维方式兼容。你不需要重新训练模型；只需将这个“交通指挥员”层添加到解码过程中即可。

实验结果

作者在几种先进模型（如 LLaDA 和 Dream）上测试了该方法。

可检测性： 即使文本经过编辑或改写，他们也能以极高的准确率识别出带有水印的文本。
质量： 在质量方面，带水印的文本与不带水印的文本几乎无法区分。
鲁棒性（稳健性）： 即使有人尝试通过“改写”文本（重写以隐藏水印），该方法依然有效，尤其是使用了“前瞻（lookahead）”功能时（即 AI 会提前规划一步，以确保模式的延续）。

总结

dgMARK 是一种聪明的做法，它通过编排单词呈现的顺序来为 AI 文本添加水印，而不是强迫 AI 选择特定的单词。这就像是在指挥一个管弦乐团：你不是告诉音乐家去弹错音符（这会毁掉音乐），你只是告诉他们何时演奏出他们最好的音符，从而让节奏遵循一种可被检测到的秘密模式。

技术摘要：dgMARK —— 扩散语言模型的解码引导式水印技术

问题陈述
大型语言模型（LLMs）在虚假信息、剽窃和版权侵权方面带来了显著风险，因此需要可靠的溯源工具来区分机器生成文本与人类创作内容。虽然水印是一种实用的解决方案，但现有方法主要针对严格进行从左到右生成的自回归模型（ARMs）。这些方法通常通过偏置标记概率（例如“绿/红”列表划分）来嵌入信号。然而，离散扩散语言模型（dLLMs）的工作机制不同：它们迭代地对掩码序列进行去噪，并可以以任意顺序完成标记的最终确定。在 dLLMs 中，自回归模型所需的“前一标记”上下文在解码过程中往往是未定义的，这使得传统的概率偏置水印失效，或者需要复杂的适配，从而改变模型的输出分布。此外，尽管理想的 dLLMs 应该是顺序无关的，但实际模型表现出对解码顺序的敏感性，这在理论上的顺序无关性与实际行为之间造成了差距，而这一特性在水印技术中尚未被充分利用。

方法论：dgMARK
作者提出了 dgMARK（解码引导式水印），该方法通过引导解码顺序而非重新加权模型的学习标记概率来嵌入水印。其核心前提是 dLLMs 在每一步都会选择高回报的候选标记；dgMARK 利用这一点，通过优先处理那些满足特定奇偶约束的候选标记所在的未掩码位置。

奇偶约束： 给定一个密钥 $\xi$ ，一个确定性哈希函数 $f(v, \xi)$ 将每个标记 $v$ 映射为一个二进制值。对于解码位置 $i$ ， “匹配集” $G_i$ 包含满足 $f(v, \xi) \equiv i \pmod 2$ 的标记。
解码策略： 在解码过程中，算法识别所有未揭示位置的候选标记。它会优先处理预测标记 $v_j$ 属于匹配集 $G_j$ 的位置 $j$ 。在这些有效的候选者中，系统会选择用于去掩码的具有最高回报（基于底层解码策略，如置信度、熵或边际）的位置。如果没有候选者满足奇偶条件，系统则回退到标准选择过程。
单步前瞻： 为了防止贪婪选择耗尽未来的奇偶匹配机会，dgMARK 提供了一个使用 top- $k$ 束搜索（beam search）及单步前瞻的变体。该变体通过评估如果提交特定标记，未来会有多少个位置保持奇偶对齐，从而选择能最大化未来对齐度的路径。
检测： 检测依赖于对奇偶匹配率的统计检验。由于哈希函数是平衡的，未加水印的文本应表现出接近 0.5 的匹配率，而加了水印的文本则表现出显著升高的匹配率。为了确保对后处理（插入、删除、替换）的鲁棒性，检测器采用滑动窗口方法，通过聚合重叠窗口中的 $z$ 统计量来处理索引偏移。

核心贡献

顺序无关的水印技术： dgMARK 是首个利用解码顺序本身作为 dLLMs 水印主要通道的方法，避免了直接修改标记概率。
即插即用兼容性： 该方法作为现有解码策略（基于置信度、熵、边际的策略）的一个封装器，无需重新训练模型或修改其内部参数。
鲁棒性： 滑动窗口检测机制确保即使在文本发生显著修改（包括改写和标记级编辑）后，水印依然可被检测。
质量保持： 通过不显式偏置概率分布（logits），dgMARK 旨在最大限度地减少与概率偏移基准相比的文本质量下降。

实验结果
作者在 C4 和 Writing Prompts 基准数据集上，使用最先进的 dLLMs（LLaDA, LLaDA 1.5, LLaDA 2.0, Dream）对 dgMARK 进行了评估。

可检测性： dgMARK 实现了极强的可检测性。在使用 3-beam 搜索前瞻的情况下，在 C4 数据集上，它在 0.01% 的假阳性率（FPR）下达到了近 100% 的真阳性率（TPR），性能优于或匹配了 KGW (Kirchenbauer et al., 2023) 和 PATTERN-MARK 等基准。
文本质量： 该方法造成的文本质量下降极小。困惑度（PPL）的增幅始终低于 KGW 和 PATTERN-MARK。下游基准测试性能（MMLU, GSM8K, HumanEval）显示仅有轻微下降，且 dgMARK 通常比概率偏置方法更好地保留了模型能力。
鲁棒性： 在修改预算高达 40% 的标记级攻击（插入、删除、替换）下，dgMARK 保持了较高的曲线下面积（AUC）得分。在结合束搜索时，它也展示了对使用 DIPPER 和 Llama 3 进行的改写攻击的抵御能力。
可扩展性： 可检测性随序列长度增加而提高，使该方法在长文本生成任务中特别有效。

意义与主张
论文声称 dgMARK 确立了解码顺序作为 dLLMs 的一种实用且互补的水印通道。作者强调，其方法提供了一个明显的优势：它在不直接扭曲模型学习到的条件概率的情况下，实现了可靠的溯源。这项工作凸显了实际 dLLMs 固有的顺序敏感性——这通常被视为一种局限或副作用——可以被转化为控制开关来增强安全性。作者谦虚地指出，该方法的有效性依赖于当前模型的经验性缺陷（即它们对解码顺序的敏感性），并承认如果是一个完美的、顺序无关的 dLLM，理论上将使这种特定的水印方法失效。尽管如此，对于当前及近未来的 dLLMs，dgMARK 提供了一个鲁棒且低失真的内容溯源解决方案。