🤖 machine learning

MC $^2$ Mark: Distortion-Free Multi-Bit Watermarking for Long Messages

本文提出了 MC $^2$ Mark 框架，通过多通道彩色重加权、多层顺序重加权及证据累积检测技术，实现了在保持文本质量无损的前提下，显著提升长消息多比特水印的嵌入可靠性与检测鲁棒性。

原作者： Xuehao Cui, Ruibo Chen, Yihan Wu, Heng Huang

发布于 2026-02-17

📖 1 分钟阅读☕ 轻松阅读

原作者： Xuehao Cui, Ruibo Chen, Yihan Wu, Heng Huang

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

这篇论文介绍了一种名为 MC2MARK 的新技术，它的核心任务是给人工智能（AI）写的文章打上“隐形水印”，而且这个水印不仅能证明“这是 AI 写的”，还能告诉你是“哪个 AI"或者“谁让 AI 写的”，同时完全不会破坏文章的通顺度和质量。

为了让你更容易理解，我们可以用几个生活中的比喻来拆解这项技术：

1. 背景：为什么我们需要这个？

现在的 AI 写文章太像人类了，有时候连专家都分不清。这就带来一个问题：如果有人在网络上散布谣言、写假新闻，我们怎么知道这是 AI 生成的？

以前的“水印”技术就像是在文章里强行塞进一些奇怪的词，或者故意把某些句子改得生硬，以此来标记“我是 AI"。但这就像在精美的画作上贴个显眼的贴纸，虽然能证明是画，但破坏了画的美感（也就是降低了文章质量）。

更高级的“多比特水印”想做的不仅仅是说“这是 AI"，而是想传递更多信息，比如“这是张三的账号生成的”或者“这是 2024 年的模型”。以前的技术就像是在一张小纸条上写字，纸条太小，字写多了就看不清，或者为了写长字把纸条揉得皱皱巴巴。

2. MC2MARK 的核心魔法：三个关键创新

MC2MARK 就像是一个高明的魔术师，它能在不破坏文章“魔法”的前提下，把长长的信息藏进去。它用了三个主要招数：

第一招：多通道彩色重加权 (Multi-Channel Colored Reweighting)

比喻：给词汇表涂色
想象 AI 在写文章时，面前有一个巨大的词汇调色盘（比如几万个词）。
- 以前的方法可能只是把“好词”圈出来，让 AI 多选。
- MC2MARK 的做法是：把调色盘分成很多个小格子（通道）。它根据要隐藏的信息（比如二进制代码 0 和 1），给这些格子涂上不同的颜色（比如红色代表 0，绿色代表 1）。
- 关键点：它不是简单地让 AI 只选绿色词，而是微调每个词出现的概率。如果某个词被涂了绿色，它就稍微多一点点机会被选中；如果是红色，就少一点点。
- 神奇之处：这种调整是动态平衡的。就像你在天平上放砝码，左边加一点，右边就减一点，整体重量（文章的通顺度）完全不变。所以，人类读起来感觉不到任何异样，但统计学家通过计算就能发现颜色的规律。

第二招：多层级顺序重加权 (Multi-Layer Sequential Reweighting)

比喻：给文章盖多层“隐形印章”
如果只盖一个章，可能容易被擦掉（比如文章被修改、翻译或润色后，水印就丢了）。
- MC2MARK 的做法是：在生成文章的每一个步骤，都盖上一层新的、不同的隐形印章。
- 想象你在写一封信，每写一句话，就盖一个章；写下一句，盖另一个章。这些章层层叠加。
- 即使有人把信里的几个词换掉了（比如把“苹果”换成“梨”），或者把整段话重新翻译了一遍，只要还有一部分章没被破坏，我们就能通过层层回溯，把隐藏的信息拼凑出来。这让水印变得非常坚固（鲁棒性强）。

第三招：证据积累检测器 (Evidence-Accumulation Detector)

比喻：像侦探一样“集邮”
当我们要读取水印时，不能只看一句话，因为单句话里的信息太微弱，容易被噪音淹没。
- MC2MARK 的解码器就像一个大侦探。它把整篇文章从头到尾读一遍，收集每一个词、每一句话里留下的“微小线索”（证据）。
- 比如，它发现“苹果”这个词在绿色格子里出现的次数比预期多，就记下一分；发现“梨”在红色格子里少出现，又记一分。
- 最后，它把这些成千上万个微小的线索加起来，通过统计学计算，就能非常准确地还原出最初隐藏的那串长信息（比如“这是张三写的”）。

3. 效果如何？（实验结果）

论文通过大量实验证明，MC2MARK 是目前的“版本之子”：

超长信息也能藏：以前的方法，如果要藏的信息太长（比如 256 位二进制码），准确率就会暴跌，甚至猜都猜不对。MC2MARK 即使藏这么长的信息，准确率依然能保持在 90% 以上，比第二名高出近 30%。
抗打击能力强：即使有人故意把文章里的 30% 的词随机替换掉，或者用另一个 AI 把文章“洗”一遍（改写/翻译），MC2MARK 依然能找回大部分信息。
完全无感：这是最重要的。经过测试，加上水印的文章，在流畅度、逻辑性、甚至翻译质量上，和没加水印的文章几乎没有区别。人类读者完全感觉不到“被篡改”的痕迹。

总结

MC2MARK 就像是给 AI 生成的文章穿上了一件隐形的、带有复杂编码的防弹衣。

它不改变衣服原本的款式和手感（保持文本质量）。
它能承受撕扯和清洗（抗攻击、抗修改）。
它能存储很长的身份信息（支持长消息）。

这项技术为未来监管 AI 内容、追溯谣言来源、确认版权归属提供了一个非常强大且实用的工具，让 AI 生成的内容变得“可追踪、可信赖”。

MC2MARK 技术报告摘要

1. 研究背景与问题定义

随着大语言模型（LLM）生成文本的能力日益增强，其产出内容已难以与人类写作区分，这引发了对内容来源追溯（Provenance Tracing）和滥用风险的担忧。虽然统计水印技术已被提出用于检测机器生成文本，但现有方法面临以下核心挑战：

单比特限制：大多数现有水印（如 Kirchenbauer 等提出的方法）仅能输出“是/否”的二元判断，无法嵌入具体的模型或用户标识符，难以满足溯源需求。
长消息嵌入困难：多比特水印方法（如 MPAC, BiMark）虽然能嵌入更多信息，但在消息长度增加时，检测准确率显著下降，且往往难以兼顾文本质量。
失真问题：许多方法为了增强水印强度，会扭曲模型输出的概率分布，导致生成文本质量下降（如流畅度降低、语义偏差）。

核心问题：如何在保持无失真（Distortion-Free）的前提下，实现长消息的可靠嵌入与高鲁棒性检测？

2. 方法论：MC2MARK 框架

作者提出了 MC2MARK，这是一个专为长消息设计的无失真多比特水印框架。其核心创新包括三个关键技术组件：

2.1 多通道彩色重加权 (Multi-Channel Colored Reweighting, MCCR)

这是 MC2MARK 的核心编码机制，旨在将多比特信息嵌入到 Token 分布中，同时保持期望上的无失真。

分块与着色：将词汇表 $V$ 划分为 $n$ 个不相交的子集（对应 $n$ 个消息位）。根据消息位 $c_i$ 的值，将子集标记为“绿色”（ $c_i=1$ ，需放大概率）或“红色”（ $c_i=0$ ，需缩小概率）。
优化目标：在满足概率归一化（ $\sum P = 1$ ）和无失真约束（ $\mathbb{E}[P_{w}] = P_{orig}$ ）的前提下，最大化绿色子集的概率质量。
启发式求解：由于精确求解优化问题计算量过大，作者提出了一种高效的启发式算法：
1. 目标缩放：尝试均匀放大所有绿色子集。
2. 溢出处理：计算实际可行的缩放比例，若超出归一化限制，则计算“溢出”概率。
3. 剩余分配：将剩余的概率质量按溢出概率的比例重新分配给所有子集。
无失真保证：利用密钥空间的对称性，确保在密钥的期望下，Token 的生成概率分布保持不变。

2.2 多层顺序重加权 (Multi-Layer Sequential Reweighting, MLSR)

为了增强水印信号并提高鲁棒性，MC2MARK 采用多层结构：

机制：在生成每个 Token 时，使用 $m$ 个不同的水印密钥（由前文 Token 的哈希确定），依次对概率分布进行重加权。
效果：每一层都基于上一层的分布进行微调，通过累积效应显著增强水印信号，使得检测器在长文本中更容易提取信息，同时保持单层的无失真特性。

2.3 基于证据累积的检测 (Evidence Accumulation Detector)

针对长消息检测，提出了一种统计推断方法：

证据记录：对于生成的每个 Token，检测器根据密钥重构当时的分块和掩码（Mask），判断该 Token 属于哪个子集。如果该子集被标记为“绿色”，则视为支持对应消息位为 1 的证据。
归一化与决策：由于掩码配置是随机的，直接计数会有偏差。检测器维护“命中计数器”和“总机会计数器”，计算每个比特的归一化命中率（HitRate）。
判决：比较比特为 1 和 0 的命中率，选择较高的作为解码结果。这种方法有效消除了模型分布随机性和掩码随机性带来的噪声。

2.4 计算优化：分段策略

直接计算 MCCR 涉及组合爆炸（ $O(\binom{n}{l})$ ）。作者引入了**分段（Segmentation）**策略，将长消息分为多个小段，并在生成过程中动态选择段索引和掩码，将计算复杂度降低至线性级别，使其适用于实际部署。

3. 主要贡献

提出 MC2MARK 框架：首个能同时实现无失真、高鲁棒性和长消息嵌入（支持 256 位甚至 512 位消息）的水印框架。
技术创新：
- 设计了 MCCR 算法，通过自适应缩放 Token 子集来嵌入信息，严格保持分布无偏。
- 引入 MLSR 增强信号强度。
- 提出基于证据累积的检测方案，解决了长消息解码的准确性问题。
实证突破：在多个数据集和不同消息长度下，MC2MARK 的检测准确率显著优于现有最先进方法（SOTA），特别是在长消息场景下优势巨大。

4. 实验结果

实验在多个数据集（Book Report, Fake News, Longform QA 等）和不同消息长度（16 至 512 位）上进行，对比了 MPAC 和 BiMark 等基线方法。

检测准确率 (Detectability)：
- 短消息：MC2MARK 在几乎所有数据集上达到接近 100% 的准确率。
- 长消息：在 256 位消息长度下，MC2MARK 的准确率保持在 91% 以上，比第二好的方法（BiMark）高出近 30%。
- 对比 BiMark：随着消息长度增加，BiMark 的准确率急剧下降（256 位时降至约 57%），而 MC2MARK 依然保持高位。
鲁棒性 (Robustness)：
- 在随机 Token 替换（最高 50%）和 Dipper 改写攻击下，MC2MARK 均表现出最强的鲁棒性。例如，在 16 位消息下，即使替换 30% 的 Token，准确率仍为 100%。
无失真性 (Distortion-Freeness)：
- 在文本摘要和机器翻译任务中，MC2MARK 生成的文本在 BERTScore、ROUGE、BLEU 和困惑度（Perplexity）等指标上与无水印基线几乎一致，证明了其不损害生成质量。
消融实验：
- 移除掩码位（Mask bit）会导致长消息性能显著下降。
- 增加层数（ $m$ ）能提升长消息的检测率，最佳层数约为 20 层。

5. 意义与影响

技术突破：解决了多比特水印中“文本质量”与“长消息容量”难以兼得的非平凡问题，为 LLM 内容溯源提供了新的技术基准。
实际应用：MC2MARK 能够可靠地嵌入模型 ID、用户 ID 或时间戳等长信息，有助于识别 AI 生成内容，防止滥用，并为监管大模型生成内容提供技术基础。
未来展望：该框架展示了通过结构化重加权和统计证据累积处理复杂水印任务的潜力，为未来更复杂的生成式 AI 安全机制设计提供了方向。

总结：MC2MARK 通过创新的“多通道彩色重加权”和“多层顺序重加权”机制，成功在保持文本质量无损的前提下，实现了长消息的高精度、高鲁棒性水印嵌入，是目前长消息多比特水印领域的标杆工作。