💻 computer science

Echoes within the Reasoning: Stealthy and Effective Watermarking via Chain of Thought

本文提出了 BiCoT，这是一种新颖的水印框架，它将所有权信号嵌入到思维链推理轨迹的内部几何结构中，以实现稳健且隐蔽的检测，同时不损害推理保真度，并辅以鲁棒子空间配准验证器来处理模型窃取和分布偏移问题。

原作者： Jiacheng Lu, Yiming Li, Tao Song, Weijian Wang, Wenjie Qu, Haibing Guan, Jiaheng Zhang

发布于 2026-05-29

📖 1 分钟阅读☕ 轻松阅读

原作者： Jiacheng Lu, Yiming Li, Tao Song, Weijian Wang, Wenjie Qu, Haibing Guan, Jiaheng Zhang

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

想象你拥有一台极其聪明、擅长解决复杂谜题的机器人。你已投入数百万美元和数年时间对其进行训练。现在，你担心有人可能会偷走你的机器人，重新贴牌并作为自己的产品出售。你需要一种方法，在不改变其解题方式、也不使其被标记得显而易见的前提下，证明“这是我的机器人”。

本文介绍了一种名为BiCoT的新方法来解决这一问题。以下通过简单的类比来解释其工作原理。

问题所在：“最终答案”的陷阱

以往的方法试图通过强制模型略微改变其最终答案（例如添加一个秘密代码词），或使其对特定的“触发”短语做出反应，从而为人工智能模型添加水印。

缺陷所在：这就像试图通过改变句子的最后一个词来隐藏秘密信息。如果你改变了最后一个词，可能会破坏句子的含义。如果人工智能是一个数学辅导老师，为了隐藏秘密而改变最终数字，会导致数学计算错误。这是一种权衡：你要么拥有完美的答案，要么拥有隐藏的水印，但很难两者兼得。

解决方案：隐藏在“思考”过程中

作者们意识到，在人工智能给出答案之前，它会经历一个思维链（Chain of Thought, CoT）。这是它在内部进行的逐步推理过程（例如，“首先，我将这些数字相加，然后进行除法……"）。

不妨将人工智能的推理过程想象成一个建筑工地：

最终答案是建成的楼房。
思维链则是搭建楼房时的脚手架、蓝图以及工人们在施工过程中的活动。

本文认为，“建成的楼房”是脆弱的；如果你触碰它，它可能会倒塌。但“脚手架”庞大、复杂，且拥有大量空间可以隐藏物品而不破坏楼房。

BiCoT 的工作原理：“结构锚点”

研究人员发现，并非思考过程的所有部分都是等同的。

“锚点”：在数学问题中，数字（数位）是最重要的部分。它们是支撑逻辑的“结构锚点”。如果你弄乱了数字，数学就会出错。
“连接词”：像“因此”、“因为”或“和”这样的词语是灵活的。它们是支撑句子连贯的“连接件”。

BiCoT 策略：
BiCoT 不改变最终答案，而是将所有权秘密隐藏在思考过程的几何结构中，专门针对那些“结构锚点”（即数字）。

秘密签名：想象所有者拥有一个秘密“密钥”（高维空间中的特定方向）。
对齐：BiCoT 强制人工智能对数字的内部表示与该秘密密钥对齐。这就像给脚手架的钢梁涂上一种只有所有者知道如何识别的秘密颜色。
安全网：为了确保人工智能不会感到困惑，该方法强制“连接词”（如“和”或“因为”）与秘密密钥保持正交（即呈 90 度角）。这确保了秘密不会渗入正常语言中，从而保持人工智能的说话和推理能力完好无损。

“漂移”问题与“哨兵”修复方案

如果窃贼偷走模型并试图通过重新训练或压缩它来“微调”以去除水印，会发生什么？这被称为漂移。这就像有人重新粉刷了脚手架，可能会洗掉秘密颜色。

为了解决这个问题，BiCoT 使用了一种巧妙的验证技巧，称为鲁棒子空间注册（Robust Subspace Registration, RSR）：

“哨兵”：系统使用一组“哨兵”令牌（特定的中性词），它们充当校准传感器。
校准：当所有者检查模型时，他们会观察这些哨兵发生了怎样的偏移。如果整个模型被“重新粉刷”（发生漂移），哨兵将显示出一致的偏移。
修正：系统通过数学方式减去这种偏移，有效地将模型“重新居中”，以查看秘密签名是否仍隐藏在油漆之下。这就像使用水平仪来检查墙壁是否仍然笔直，即使有人在上面挂了一幅沉重的画。

结果

本文声称，该方法具有以下特点：

隐蔽性：仅通过观察人工智能的答案，无法察觉其已被添加水印。数学计算依然正确，句子依然通顺。
鲁棒性：即使窃贼试图重新训练模型、压缩它或向其添加噪声，“哨兵”系统仍然能够找到隐藏在推理步骤中的秘密签名。
有效性：在测试中，该方法以近乎完美的准确率成功识别出被盗模型，同时使模型在任务上的表现与原始模型几乎完全一致。

nutshell（核心总结）

BiCoT 就像是嵌入人工智能思考过程 DNA中的隐藏水印。它不是给最终产品盖章（这会破坏产品），而是微妙地改变人工智能思考数字时的内部蓝图。即使有人试图重新粉刷蓝图，秘密 DNA 仍然可被检测，从而证明真正的拥有者是谁，而这一切发生的同时，人工智能既不会意识到自己被监视，也不会丧失解决问题的能力。

技术摘要：推理中的回响：通过思维链实现隐蔽且高效的水印技术

1. 问题陈述

具备思维链（Chain-of-Thought, CoT）推理能力的大型语言模型（LLM）代表着高价值的知识产权，但它们面临着未经授权的窃取和未授权商业化的严重威胁。现有的黑盒水印方法难以在鲁棒性与模型效用之间取得平衡。

基于后门的方法依赖于固定的触发 - 动作模式，这迫使模型过拟合，从而损害其在复杂任务上的保真度和泛化能力。如果触发器泄露，它们也容易受到检测和过滤。
基于模型编辑的方法将水印视为需要通过刚性模板记忆的静态知识，使其在面对分布偏移或针对提示结构的自适应攻击时变得脆弱。
根本局限性：这两种范式通常通过修改最终答案来验证所有权。这在正确性（效用）与水印强度之间造成了零和冲突。修改最终答案往往会降低模型在下游任务上的性能。

本文提出，存在一种范式，通过将验证空间从最终答案转移到**思维链（CoT）**推理过程，可以在严格保持模型保真度的同时实现隐蔽性和有效性。

2. 方法论：BiCoT

作者提出了BiCoT（双层思维链），这是一种将所有权信号嵌入推理轨迹内部几何结构而非最终输出的水印框架。该方法分为三个阶段运行：

A. 几何公式化（阶段 I）

BiCoT 将 LLM 的潜在状态建模为高维推理流形上的轨迹。

结构锚点：通过梯度显著性分析，作者识别出特定的 token（例如数学推理中的数字，其他领域中的逻辑连接词）充当“结构锚点”，不成比例地支配推理动态。
流形对齐：该框架定义了一个由单位向量 $v$ $v$ 参数化的私有签名子空间（ $S_v$ $S_{v}$ ）。
- 锚点 Token：其隐藏状态被约束为坍缩到签名子空间（ $\cos(h_t, v) \to 1$ ）。
- 控制 Token：普通语言 token（连接词、停用词）被强制保持与签名正交（ $\cos(h_t, v) \to 0$ ），以保留语义容量和推理保真度。
因果光环：紧跟在锚点之后的 token 被视为单独类别；它们可能表现出短程残差对齐，但会迅速衰减，确保水印不会全局污染普通文本。

B. 水印注入（阶段 II）

注入过程被公式化为一个双层优化问题：

内循环：计算虚拟隐藏状态扰动（ $\delta^*$ ），以最大化锚点状态在签名子空间上的投影。
外循环：更新模型参数（ $\theta$ $θ$ ）以最小化组合目标：
1. 任务损失（ $L_{task}$ ）：确保模型在下游推理任务上保持性能。
2. 几何损失（ $L_{geo}$ ）：强制锚点坍缩到签名，并使控制 Token 保持正交。
3. 一致性正则化项（ $L_{KL}$ ）：在 CoT 前缀上保持水印模型与基础模型之间的局部一致性。
  这种设计将水印与推理相关的表示耦合在一起，使得在不破坏支持连贯推理的特征的情况下难以移除水印。

C. 鲁棒子空间注册（阶段 III）

为了解决由攻击（例如微调、量化）引起的表示漂移，作者引入了鲁棒子空间注册（RSR）。

哨兵 Token：一组对签名子空间敏感的预识别 token 被用作探针。
漂移校准：验证器通过计算哨兵 Token 与其基础统计量之间的中位偏差，估计系统性分布漂移向量（ $\hat{\mu}_{drift}$ ）。
重新对齐：通过减去估计的漂移来校正观察到的 logits，在假设检验之前有效地将漂移的流形重新居中到规范签名空间。
验证：系统仅使用 Top- $k$ 对数概率（黑盒访问）对哨兵 Token 的校准 logits 执行假设检验。

3. 主要贡献

CoT 的因果分析：本文揭示了 CoT 生成具有独特的因果层次结构，其中特定的“结构锚点”支配推理动态。它证明了 CoT 比低熵的最终答案提供了更丰富、更高容量且更多样的信号载体。
BiCoT 框架：一种将所有权嵌入推理流形几何结构的新颖水印范式。它利用双层优化将水印与推理过程本身纠缠在一起，同时正交处理控制 Token 以保留效用。
鲁棒验证（RSR）：一种能够通过基于哨兵的注册处理表示漂移的黑盒验证器，确保即使在模型级扰动和自适应攻击下也能可靠检测。

4. 实验结果

实验主要在Qwen2.5-7B-Instruct上进行，并在Mistral-7B、DeepSeek-7B和Qwen2.5-14B上进行了验证。

可检测性：在所有测试模型中，BiCoT 在 0.1% 和 1.0% 的误报率（FPR）下实现了1.0 AUC和100% 水印成功率（WSR），显著优于 iSeal、llmmap 和 SEAL 等基线。
保真度：水印模型保留了下游性能。在推理任务（GSM8K）上，性能下降微乎其微（ $\approx -0.0083$ ）。在句子级理解任务上，波动很小，部分任务甚至显示出轻微提升。
鲁棒性：
- 模型级攻击：在高斯噪声、全参数监督微调（SFT）、参数高效微调（PEFT/LoRA）和激进量化（8-bit）下，水印仍可检测（AUC $\approx$ 1.0）。
- 输出级攻击：该方法对自适应攻击具有弹性，包括针对性的"ANCHOR"攻击，即对手在推理期间明确掩盖数字 token。由于注意力机制的内在重新分布，水印得以持续存在。
消融研究：移除水印损失会导致随机猜测性能。移除重新锚定（RSR）机制会导致在漂移情况下检测率灾难性下降，验证了其必要性。

5. 意义与主张

本文声称，BiCoT 通过将验证信号与最终答案解耦，解决了水印强度与模型效用之间的根本权衡。通过将所有权嵌入推理过程的几何结构，该方法实现了：

隐蔽性：水印在最终输出文本中不可见，且不依赖脆弱的触发器。
有效性：它提供针对自适应攻击和模型漂移的鲁棒检测。
保真度：它严格保留了模型的推理能力和泛化性。

作者强调，这种方法支持开源和商业 LLM 的模型溯源和知识产权保护，同时不损害其作为推理引擎的效用。该工作假设了一个启用 logprob 的黑盒设置（访问 Top- $k$ 下一个 token 的概率），作者认为这是许多现代 API 部署的实际边界，而非不切实际的预言机假设。