💬 NLP

SAMark: A Self-Anchored Text Watermarking with Paragraph-Level Paraphrase Robustness

本文提出了 SAMark，一种自锚定文本水印框架，该框架通过建立与步骤无关的语义锚点并采用多通道双曲评分，实现了鲁棒的段落级改写抵抗能力，在保持高生成质量的同时显著超越了先前的基线方法。

原作者： Jiahao Huo, Wenjie Qu, Yibo Yan, Kening Zheng, Jiaheng Zhang, Xuming Hu, Philip S. Yu, Mingxun Zhou

发布于 2026-05-26

📖 1 分钟阅读☕ 轻松阅读

原作者： Jiahao Huo, Wenjie Qu, Yibo Yan, Kening Zheng, Jiaheng Zhang, Xuming Hu, Philip S. Yu, Mingxun Zhou

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

想象你是一位面包师，想要证明某条特定的面包是在你的厨房制作的，而不是竞争对手的。你决定在面团里藏一个微小的、看不见的印章。

老问题：“按部就班”的印章
大多数之前的 AI 文本水印方法，就像只有当你按照特定的食谱顺序操作时，才会在面包上盖章。

如果你按正确的顺序烘焙面包（第一句，然后第二句，然后第三句），印章就会出现。
但如果有人把你的面包切开，打乱切片顺序，或者重新排列（即“段落级改写”），印章就会消失。检测器会看着被打乱的面包，发现顺序不对，然后说：“这不是我的面包！”尽管它确实是。

发生这种情况是因为“印章”依赖上下文（前面的内容）来决定在哪里做标记。如果上下文变了，印章就消失了。

新方案：SAMARK（“自锚定”印章）
这篇论文的作者 SAMARK 意识到，关于一个句子唯一不变的东西就是它的含义（语义），无论它位于段落中的什么位置，或者周围有哪些词语。

他们创建了一个新系统，其中“印章”仅与句子本身绑定，而不与段落的顺序绑定。

类比： 想象每个句子都基于其内容本身，印有一个独特的、看不见的条形码。
结果： 即使人类或其他 AI 重写了段落、交换了句子或改变了顺序，每个单独句子上的条形码依然完好无损。检测器仍然可以扫描打乱后的段落，读取各个句子上的条形码，并说：“是的，这些句子全都是在我的厨房里烘焙出来的。”

他们是如何实现的（“秘密配方”）
为了在不破坏文本质量（使其听起来像机器人或重复）的情况下实现这一点，他们使用了三个巧妙的技巧：

“双曲”放大器：
把它想象成一个音量旋钮。当 AI 选择一个句子时，它会检查该句子的“条形码”是否与秘密模式匹配。有些句子完美匹配；有些只有一点匹配。
- 旧方法对所有匹配一视同仁。
- SAMARK 使用一种特殊的数学曲线（双曲函数）来调大完美匹配的音量，并调小弱匹配的音量。这使得信号更加响亮，即使在文本受到攻击后也难以被忽略。
“多样性”过滤器：
水印的一个常见问题是 AI 陷入循环，为了保持“印章”可见而重复相同的短语。
- SAMARK 就像一位严格的编辑。在选取一个句子之前，它会问：“我们之前用过这个确切的短语吗？”（N-gram 过滤器）以及“这个句子听起来是否太像上一个句子了？”（语义过滤器）。
- 如果答案是肯定的，它就丢弃该句子并再次尝试。这确保了最终文本听起来自然且多样，而不是重复。
“盲”检测器：
在检查文本时，检测器不需要知道原始顺序。它查看所有句子，根据大多数句子猜测“秘密模式”，然后检查文本是否与该猜测一致。这就像陪审团根据多数票做出裁决，而不需要知道事件的确切顺序。

结果
该论文声称 SAMARK 是一个游戏规则改变者：

鲁棒性： 当他们试图通过打乱句子和重写段落（最严峻的攻击）来“破坏”水印时，SAMARK 在约 90% 的情况下幸存下来。最好的旧方法仅幸存约 60%（下降了 30% 或更多）。
质量： 文本听起来依然自然。作者使用 AI 裁判将水印文本与正常文本进行比较，水印版本同样好，甚至略好，因为多样性过滤器避免了乏味的重复。
效率： 与其他先进方法相比，生成文本所需的时间并没有增加太多。

总结
以前的水印就像一把锁，只有当门按特定顺序关闭时才有效。如果你重新排列家具，锁就坏了。SAMARK 就像在每一件家具上贴上独特的、无法破坏的密封条。你可以随意重新布置房间，而这些密封条仍然能证明每一件家具都来自同一家工厂。

技术摘要：SAMARK——具备段落级改写鲁棒性的自锚定文本水印

1. 问题定义

生成式人工智能（GenAI）的快速发展迫切需要能够识别机器生成文本的鲁棒方法。虽然大语言模型（LLM）水印已作为一种解决方案出现，但现有方法面临一个关键弱点：段落级改写攻击（PPA）。

当前的水印方案可分为两类：

Token 级水印（TWM）： 修改 Token 采样分布（例如绿 - 红列表）。虽然高效，但这些信号极易被局部编辑、词语替换或删除所稀释或移除。
语义级水印（SWM）： 将句子作为基本单位，将信号嵌入语义空间。虽然对局部编辑更具鲁棒性，但现有的 SWM 方法（例如 SemStamp、PMark）依赖于依赖步骤的随机种子。这些种子通常源自前文上下文（上下文哈希）或固定的步骤索引。
- 上下文依赖脆弱性： 如果攻击者改写前文句子，重建的种子将发生变化，导致检测信号失效。
- 步骤依赖脆弱性： 如果攻击者重新排列段落内的句子顺序，基于步骤索引的种子将不再与句子的位置匹配，从而破坏检测分数。

核心解决的问题是缺乏一种语义级水印方案，该方案在保持高文本质量和检测精度的同时，本质上对 PPA（重排和全局改写）具有鲁棒性。

2. 方法论：SAMARK 框架

作者提出了SAMARK（Self-Anchored Mark，自锚定标记），这是一个通过建立语义空间中的与步骤无关的绿色区域来消除对句子顺序和上下文依赖的框架。

2.1. 核心洞察：自锚定条件（SAC）

根本创新在于自锚定条件，其中句子的随机种子仅取决于句子自身的内在语义，而非其位置或前文上下文。

机制： 对于句子 $u$ ，随机种子为 $r_t = R(\phi(u); k)$ ，其中 $\phi(u)$ 是语义表示， $k$ 是私钥。
理论保证： 定理 1 证明，该条件建立了一个全局静态的“可行区域”（绿色区域） $\mathcal{G} \subseteq \Omega$ 。当且仅当句子自身的语义在密钥下映射到有效分区时，该句子才属于绿色区域，无论其出现在文本中的何时或何地。这确保了针对重排和上下文修改的鲁棒性。

2.2. 生成器：多通道双曲采样

为了生成带水印的文本，SAMARK 采用了一种由多通道双曲评分机制增强的拒绝采样策略：

候选生成： 从基础 LLM 中采样 $N$ 个候选句子。
通道匹配： 过滤候选项，仅保留那些语义嵌入在 $c$ 个枢轴向量（通道）上与目标标志模式 $R$ 对齐的候选项。
双曲评分： 该方法不使用原始余弦相似度，而是对带符号的余弦相似度应用双曲正切（ $\tanh$ $tanh$ ）变换：
$S_{wm}(x) = \sum_{j=1}^{c} \tanh(\kappa \cdot r_j \cdot \cos(E(x), v_j))$
- 目的： 这放大了具有强对齐度的候选项（将分数推向 $\pm 1$ ），同时抑制接近零的噪声。它防止了分数集中在决策边界附近，而这是改写攻击下已知的失效点。
多样性感知过滤： 为了防止通常与严格水印约束相关的质量下降（例如重复文本），SAMARK 集成了：
- 硬过滤： 移除与已生成句子具有高 n-gram 重叠或高语义相似度的候选项。
- 软正则化： 在最终选择分数中添加多样性奖励（ $\lambda_{div}$ 用于语义多样性， $\lambda_{nov}$ 用于词汇新颖性）。
选择： 对过滤后的候选项应用 softmax 分布，以引入受控的随机性。

2.3. 检测器：多数投票盲检测

检测器在生成过程中无需预先知道所使用的特定目标标志：

分段与嵌入： 将文本分割为句子并计算嵌入。
盲标志推断： 由于真实的标志 $R$ 未知，检测器通过对文本中所有句子的方向响应进行多数投票来推断它们。
双曲对齐： 对推断出的标志应用与生成过程中相同的 $\tanh$ 变换。
Z 检验： 基于变换后的对齐矩阵计算全局 Z 统计量。如果统计量超过阈值，则将该文本分类为带水印。

3. 主要贡献

自锚定范式： 首个将水印信号与句子顺序和上下文解耦的框架，使其对 PPA 具有鲁棒性。
多通道双曲评分： 一种新颖的评分机制，能够放大鲁棒信号并抑制噪声，解决了分数集中在边界附近的问题。
多样性感知过滤： 一种结合硬/软过滤的策略，缓解了鲁棒性与质量之间的权衡，防止了语义冗余和重复生成。
实证验证： 全面的评估证明了其在鲁棒性和质量方面达到了最先进水平（SOTA）。

4. 实验结果

实验在 C4 和 BOOKSUM 数据集上使用 Llama-3.1-8B 和 Mistral-Small-3.1-24B 模型进行。

鲁棒性（RQ1）： 在 PPA 下，SAMARK 显著优于现有基线（包括 KGW、SemStamp 和 PMark）。
- 在具有挑战性的 Doc-P II 攻击（激进改写）下，SAMARK 在 Mistral+BOOKSUM 上实现了 90.2% TP@FP1%，而次优基线（PMark）仅为 57.5%。
- 这代表比最强的先前基线平均提高了 30% 以上。
- SAMARK 在所有攻击场景下均保持高检测率（>72%），而基线方法通常降至 30% 以下。
文本质量（RQ2）： SAMARK 保持了与未水印文本相当的生成质量。
- 成对 LLM 判断显示，SAMARK 对未水印基线实现了高胜率。
- 句子重复率（SD）和 Distinct-2（D-2）等指标表明，多样性感知过滤有效地防止了其他 SWM 方法中常见的重复问题。
效率（RQ3）：
- SAMARK 降低了语义级方法的计算开销。它每个输出 Token 需要 47.44 个采样 Token，显著少于 SemStamp（64.5）或 PMark（49.73）。
- 检测延迟可忽略不计（每个 Token 0.0014 秒），因为它避免了某些多比特方法所需的基于 LLM 的重新生成。
消融研究（RQ4）：
- 移除生成过程中的双曲变换会导致鲁棒性大幅下降（例如，Doc-P II TP@FP1% 从 93.2% 降至 67.4%），证实了其关键作用。
- 禁用多样性过滤器会导致显著的质量下降（重复增加，多样性降低）。

5. 意义与主张

本文声称，SAMARK 代表了语义级水印的范式转变。通过从依赖步骤的种子转向自锚定方法，它解决了限制该领域的“难以解决”的段落级改写鲁棒性问题。

打破权衡： SAMARK 成功打破了鲁棒性与文本质量之间的传统权衡，在严重攻击下实现了高检测率，同时不牺牲流畅性或多样性。
实际部署： 该方法被提出作为现实世界 LLM 服务的可行解决方案，在这些服务中，内容经常被用户编辑、缩短或改写。
局限性： 作者谦逊地承认，由于需要句子级候选采样（当前自回归 LLM 的局限性），SAMARK 的延迟仍高于 Token 级方法，并且它目前仅支持零比特（是/否）检测，而不支持多比特负载嵌入。

总之，SAMARK 确立了语义级水印的新最先进水平，为在对抗环境中识别 AI 生成文本提供了一种鲁棒、高质量且高效的解决方案。