💬 NLP

XMark: Reliable Multi-Bit Watermarking for LLM-Generated Texts

本文提出了名为 XMark 的新型多比特水印方法，通过优化编码与解码机制，在保持文本质量的同时，显著提升了 LLM 生成文本在短文本场景下的解码准确率及大消息容量下的可行性。

原作者： Jiahao Xu, Rui Hu, Olivera Kotevska, Zikai Zhang

发布于 2026-04-08

📖 1 分钟阅读☕ 轻松阅读

原作者： Jiahao Xu, Rui Hu, Olivera Kotevska, Zikai Zhang

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

这篇论文介绍了一种名为 XMARK 的新方法，它的任务是给大语言模型（LLM，比如 ChatGPT）生成的文字加上一个“隐形水印”。

想象一下，大语言模型就像一个拥有无限创造力的超级作家。虽然它写出的文章很棒，但如果有人用它来写假新闻、诈骗邮件或者恶意评论，我们就很难分辨这是谁写的，也很难证明这是 AI 生成的。

为了解决这个问题，研究人员想给 AI 写的文章打上“隐形印章”（水印）。以前的方法主要有两个缺点：

要么太笨重：想藏的信息多一点（比如包含用户 ID、时间戳），计算量就大得吓人，根本跑不动。
要么太容易坏：如果文章很短，或者被人稍微修改了一下（比如删了几个词、改了几个字），水印就找不到了，或者为了藏水印把文章改得面目全非，读起来很别扭。

XMARK 是怎么工作的？让我们用几个生活化的比喻来理解：

1. 以前的方法：像“排座位”的笨办法

以前的水印方法（比如 MPAC）有点像在电影院里强行安排座位。

原理：假设电影院有 100 个座位（词汇表）。为了藏一个秘密信息（比如"11"），它规定只有第 3 排（对应数字 3）的座位是“绿色”的，其他都是“红色”的。AI 写文章时，如果它想选第 3 排的座位，概率就变大；选其他座位，概率就变小。
问题：
- 座位太少：为了藏信息，它只能选很少的座位（比如只选 25% 的座位），这导致 AI 选词受限，写出来的文章读起来很生硬（就像强迫演员只能演特定类型的角色）。
- 容易迷路：如果文章很短（只有几个词），或者被人删改了几句，你就很难统计出“到底哪排座位被选得最多”，从而猜不出秘密信息。

2. XMARK 的新招数：像“多重滤镜”和“交叉验证”

XMARK 提出了三个聪明的策略，把水印变得既隐蔽又坚固：

策略一：“留一法” (LOSO) —— 从“选少数派”变成“选大多数”

旧做法：只让 25% 的座位变绿（为了藏"11"，只选第 3 排）。
XMARK 做法：反过来！为了藏"11"，它让除了第 3 排以外的所有座位（97% 的座位）都变绿，只有第 3 排保持原样。
比喻：就像在一个大派对上，以前是只给少数人发荧光棒（容易被发现且限制多）；现在是给所有人都发荧光棒，除了那个我们要标记的人。
好处：AI 选词的自由度极大，写出来的文章非常自然流畅，几乎感觉不到被修改过。

策略二：“常青名单” (Evergreen List) —— 多重滤镜的交集

原理：XMARK 不只用一种“滤镜”（哈希密钥），而是同时用 k 种不同的滤镜（比如 2 种、3 种）去处理词汇表。
比喻：想象你有 3 副不同颜色的眼镜（红、蓝、绿）。
- 第一副眼镜下，某些词是“绿色”的。
- 第二副眼镜下，另一些词是“绿色”的。
- XMARK 只把那些在 3 副眼镜下同时都是“绿色”的词，真正标记出来（这就是“常青名单”）。
好处：虽然这样标记的词变少了，但因为它是多重验证，所以信号非常精准。这就好比在嘈杂的房间里，一个人喊可能听不清，但如果有 3 个人同时用不同的语言喊同一个词，你就更容易听清。

策略三：“智能计数器” (cTMM) —— 防止“重复计数”的聪明侦探

问题：当文章很短，或者被人修改时，以前的解码器（侦探）容易犯糊涂。比如，一个词在 3 种滤镜下都符合“非绿色”特征，侦探可能会把它数 3 次，导致误判。
XMARK 做法：它设计了一个**“受限计数器”。不管一个词在多少种滤镜下都符合特征，它最多只被计数一次**。
比喻：就像在投票选举中，以前一个人可以投 3 票（导致结果偏差），现在规定每人只能投 1 票。这样，即使票数很少（文章很短），统计结果也更真实、更准确。

3. 实验结果：又快又好

研究人员在多种任务（写故事、写新闻、机器翻译）上测试了 XMARK：

解码更准：即使文章很短（只有 150 个词），XMARK 也能准确找回隐藏的信息，准确率高达 98% 以上，远超其他方法。
文章更自然：因为采用了“留一法”，文章读起来和没加水印时几乎一样，流畅度极高。
抗攻击：即使有人把文章复制粘贴、或者改写（Paraphrase），XMARK 的水印依然很难被抹去。
速度快：加水印和去水印的过程非常快，不会让 AI 变慢。

总结

XMARK 就像给 AI 生成的文章穿上了一件“隐形防弹衣”。

它不像以前的方法那样笨重或容易暴露。
它利用**“大多数人都穿绿衣，只有目标不穿”**的策略，保证了文章质量。
它利用**“多重眼镜交叉验证”和“一人一票”**的统计方法，保证了即使文章很短或被修改，也能精准地找到“谁写的”以及“什么时候写的”。

这项技术对于防止 AI 被滥用（如制造假新闻、诈骗）非常重要，因为它能让我们在事后轻松追溯 AI 生成内容的来源，同时又不影响我们享受 AI 带来的高质量写作体验。

这是一份关于论文 XMARK: Reliable Multi-Bit Watermarking for LLM-Generated Texts 的详细技术总结。

1. 研究背景与问题 (Problem)

随着大语言模型（LLM）的广泛应用，如何有效追踪和归因由 AI 生成的文本（特别是恶意使用，如假新闻、钓鱼邮件等）成为一个关键的安全与伦理问题。

现有方案局限：
- 零比特水印 (Zero-bit)：仅能检测文本是否由 AI 生成，无法提供具体的用户 ID、时间戳等元数据。
- 多比特水印 (Multi-bit)：虽然能嵌入丰富信息，但现有方法存在以下核心痛点：
  1. 计算不可行性：部分方法（如早期基于哈希的方法）在消息较长时需要暴力枚举所有候选消息，计算成本随消息长度指数级增长。
  2. 质量与准确率的权衡 (Trade-off)：为了嵌入水印，往往需要扰动 Logit 分布，导致生成文本质量（困惑度 PPL）下降。现有方法难以在保证高解码准确率的同时维持高质量的文本。
  3. 短文本解码失效：现有方法严重依赖足够长的生成文本序列来统计 Token 分布。在实际应用场景中，待检测文本往往较短（Token 数量有限），导致解码准确率显著下降。

2. 核心方法论 (Methodology: XMARK)

XMARK 提出了一种新颖的多比特水印编码与解码框架，旨在解决上述权衡问题，特别是在短文本场景下。其核心包含三个关键设计：

A. 编码端 (Encoder)

留一碎片策略 (Leave-one-Shard-out, LOSO)：
- 传统方法（如 MPAC）将词汇表划分为 $2^d$ 个碎片（Shards），选中代表消息值的一个碎片作为“绿名单”（Green List）并提升其 Logit。这导致绿名单比例仅为 $2^{-d}$ （例如 $d=2$ 时为 25%），造成较大的分布扭曲。
- XMARK 创新：采用 LOSO 策略，将除了代表消息值的那个碎片之外的所有碎片都选为绿名单。这使得绿名单比例提升至 $1 - 2^{-d}$ （例如 $d=2$ 时为 75%），显著减少了对原始 Logit 分布的扰动，从而更好地保持文本质量。
多重哈希与常青列表 (Evergreen List)：
- 为了弥补 LOSO 策略因绿名单过大而导致的信号减弱（即可检测性下降），XMARK 引入了 $k$ 个不同的哈希密钥。
- 在生成每个 Token 时，利用 $k$ 个密钥生成 $k$ 种不同的词汇表排列。
- 对每种排列应用 LOSO 策略生成 $k$ 个绿名单，然后取它们的交集作为最终的“常青列表”（Evergreen List, $E$ ）。
- 理论优势：常青列表的期望大小约为 $(1 - 2^{-d})^k |V|$ 。通过调整 $k$ ，可以在保持较高绿名单比例（高质量）的同时，增强水印信号的强度。

B. 解码端 (Decoder)

受限 Token-碎片映射矩阵 (Constrained TMM, cTMM)：
- 传统解码器使用 Token-碎片映射矩阵（TMM）统计每个碎片出现的频率。但在多重哈希（ $k>1$ ）的情况下，如果一个 Token 不属于任何绿名单，它可能在 $k$ 种排列中都被归类到同一个未提升的碎片，导致该碎片的计数被人为放大 $k$ 倍，干扰解码判断。
- XMARK 创新：设计 cTMM，限制每个 Token 对任意碎片的计数贡献最多为 1。即无论该 Token 在多少种排列中属于同一碎片，它只增加一次计数。
- 作用：这有效防止了未提升碎片（代表消息的碎片）计数的虚高，增强了提升碎片与未提升碎片之间的区分度，从而在 Token 数量有限时也能实现高可靠性的解码。

3. 主要贡献 (Key Contributions)

提出 XMARK 框架：结合 LOSO 策略和多重哈希交集机制，在保持高文本质量的同时实现了高解码准确率。
解决短文本解码难题：通过 cTMM 和 Evergreen List 的设计，显著提升了在 Token 数量受限（如 $T=100$ ）场景下的解码鲁棒性。
理论分析与证明：推导了 XMARK 的期望绿名单比例，证明了其相对于传统方法的文本质量优势，并分析了超参数 $k$ 和 $d$ 对性能的影响。
全面实验验证：在多种下游任务（文本补全、故事生成、文本摘要、机器翻译）和不同模型（LLaMA-2-7B/Chat）上进行了广泛评估。

4. 实验结果 (Results)

实验在 C4、WritingPrompts、CNN/DailyMail 等数据集上进行，对比了 DepthW, CycleShift, MPAC, RSBH, StealthInk 等 SOTA 方法。

解码准确率 (Bit Accuracy, BA)：
- XMARK 在所有任务中均取得了最高的 BA。
- 在文本补全任务中，仅需 $T=150$ 个 Token，XMARK 的 BA 达到 98.75%，比第二名的 CycleShift 高出 3.5%。
- 在文本摘要和故事生成任务中，平均 BA 分别达到 82.75% 和 80.94%，显著优于 MPAC（分别高出 5.81% 和 6.81%）。
- 在长消息（ $b=32$ ）和长文本（ $T=1000$ ）设置下，XMARK 依然保持领先（ $b=64, T=1000$ 时 BA 达 93.00%）。
文本质量 (Perplexity, PPL)：
- XMARK 生成的文本困惑度极低，接近未水印文本。
- 在文本补全任务中，XMARK 的平均 PPL 为 4.61，优于除 StealthInk 外的所有方法（StealthInk 虽然 PPL 低，但 BA 较差）。
鲁棒性：
- 在复制粘贴（Copy-Paste）和改写（Paraphrase）攻击下，XMARK 表现出比 MPAC 和 StealthInk 更强的鲁棒性。
效率：
- 解码时间极短（约 0.08 秒），与 MPAC 相当，远快于需要暴力枚举的 DepthW 和 RSBH。

5. 意义与影响 (Significance)

实用性强：XMARK 解决了现有水印技术在“短文本”和“高质量要求”场景下的失效问题，使其更适用于真实的 LLM 应用（如短回复、摘要生成）。
安全性提升：能够可靠地嵌入用户 ID、时间戳等元数据，为追踪 AI 滥用（如生成假新闻、欺诈内容）提供了强有力的技术支撑。
平衡性突破：打破了以往“高准确率必牺牲质量”或“高质量必牺牲准确率”的僵局，为多比特水印技术树立了新的基准。
开源贡献：代码已开源，推动了社区在 LLM 安全与溯源领域的进一步研究。

总结：XMARK 通过创新的“留一碎片”编码策略和“受限映射”解码机制，成功实现了在有限 Token 数量下的高精度、高质量多比特水印嵌入，是目前 LLM 文本水印领域的一项突破性工作。