技术摘要：大语言模型水印综述：理论与部署

1. 问题陈述

大语言模型（LLMs）的快速普及引入了关于内容溯源、知识产权（IP）窃取以及生成有害或误导性内容的显著风险。随着 LLM 越来越能模仿人类写作，区分人类创作与机器生成的文本变得愈发困难。这种模糊性为“服务窃取”提供了便利——即攻击者通过查询专有 API 来微调本地模型以模仿原始模型，并使得在缺乏明确归属的情况下传播虚假信息成为可能。

虽然存在各种缓解策略，但 LLM 水印技术——即在模型输出中嵌入不可见且可由机器检测的签名——已成为用于归属和审计的主要技术层。然而，目前的文献呈现碎片化状态。现有的分类方法往往将正交的设计选择混杂在一起，导致难以比较不同方法、推论安全保证或将研究转化为可部署的系统。此外，目前缺乏关于水印鲁棒性、模型效用以及对抗性攻击（如改写、翻译和自适应移除）之间权衡的系统性分析。

2. 方法论与分类法

本综述对 LLM 水印技术进行了系统性的、面向部署的综述。作者并非进行简单的编年史列举，而是围绕从业者必须回答的核心问题来组织研究空间：

• 嵌入位置： 生成时（处理中）对比 训练时；Token 级对比 表示层级。
• 检测权限： 公共（任何人均可验证）对比 私有（需要密钥）。
• 假设条件： 对 Logits 的访问权限、采样控制、密钥持有情况或模型所有权。
• 威胁模型： 改写、翻译、摘要、风格迁移、Token 操作以及自适应移除。

本文将技术分为两个主要家族：

A. 处理中水印 (In-Processing Watermarking)

这些方法在文本生成过程中嵌入信号，通常需要访问模型的内部 Logits 或采样机制。

• 采样偏差 (Sampling Biasing)： 早期方法如 KGW (Kirchenbauer et al., 2023) 使用密钥将词表分为“绿名单”和“红名单”，使模型倾向于选择绿名单中的 Token。变体包括 Unigram-WM（固定划分）和 SIR（语义空间嵌入）。
• 自适应与语义方法： 如 Adaptive-WM 等方法仅在高熵位置应用偏差，以保持文本质量。SemStamp 和 k-Sem-Stamp 通过强制执行语义一致性来抵御改写攻击。
• 分布保持型 (Distribution-Preserving)： Unbiased-WM 和 Undetectable-WM 等技术旨在使期望中的原始 Token 分布保持不变，以避免统计学检测；而 SynthID 则使用锦标赛式采样用于大规模部署。
• 自我水印 (Self-Watermarking)： 如 ModelShield 等方法通过嵌入信号来检测未经授权的模型提取或模仿。

B. 后处理水印 (Post-Processing Watermarking)

这些方法在生成后修改文本，适用于无法获取模型内部信息的黑盒场景。

• 词汇替换 (Lexical Substitution)： 方法通过替换单词为同义词或改变拼写（例如 He et al., 2022; POSTMARK）来嵌入可检测模式，同时保留原意。
• 上下文感知与基于学习的方法： DeepTextMark 等方法利用深度学习通过同义词替换来嵌入水印，而 SafeSeal 则使用上下文相关的哈希来引导 Token 选择，而不需重新训练。
• 可逆水印 (Reversible Watermarking)： 一些方法（如 Xiang et al., 2024）侧重于识别并替换敏感词，从而实现对原始文本的精确还原。

3. 核心贡献

本文对该领域做出了五个主要贡献：

1. 结构化风险概述： 系统地概述了 LLM 的风险，涵盖技术鲁棒性、知识产权、误导性信息和问责制。
2. 全面的分类法： 引入了详细的水印技术分类，界定了设计原则、操作机制以及针对特定攻击的有效性。
3. 对抗性分析： 分析了对抗性威胁，包括移除攻击（改写、回译）、伪造（欺骗）和自适应攻击，并探讨了它们对可靠性和下游任务的影响。
4. 场景适用性： 确定了不同水印家族的适用应用场景，概述了其局限性，并在不同部署语境下（如白盒对比黑盒）进行了对比。
5. 可信度框架： 建立了一个基于可解释性、公平性、鲁棒性、安全性、隐私性、问责制和可靠性的评估框架。

4. 主要结果与发现

通过广泛的实验和文献综合，作者强调了三个关键发现：

1. 知识产权保护效力： 水印显著增强了 LLM 输出的唯一性和辨识度，证明在受控设置下能有效加强知识产权保护并减少未经授权的使用。
2. 效用权衡 (Utility Trade-offs)： 水印对模型效用（流畅度、困惑度及下游任务性能）的影响从中等到显著不等。这种影响取决于水印类型和 LLM 架构，可能会限制其在对高质量输出要求极高的实际应用中的适用性。
3. 对攻击的脆弱性： 针对水印的攻击会对模型效用造成显著成本。简单的编辑（如改写或翻译）会大幅降低检测准确率（例如，在 40% 的改写后，Token 级水印的真阳性率可能降至 0.4 以下）。

关于就绪程度的结论： 由于对模型效用的不利影响以及在面对自适应移除攻击时的显著脆弱性，本文得出结论：LLM 水印技术尚未准备好进行广泛的现实世界部署。

5. 意义与未来方向

这项工作的意义在于其从理论提议向面向部署视角的转变。它阐明了水印是一个系统性权衡：更强的可检测性和鲁棒性通常要求对解码或训练有更大的控制权，并可能引入分布偏移；而低扰动设计虽能保持质量，但在对抗条件下往往表现不佳。

论文指出了实现可靠、负责任的 LLM 部署所需的若干开放性挑战和研究方向：

• 标准化： 需要标准化的基准测试，特别是在校准和假阳性控制方面。
• 鲁棒性： 开发能够抵御自适应移除、跨模型迁移和多阶段流水线攻击的方法。
• 治理： 解决密钥管理、公平性（避免针对特定语言或方言的偏见）以及归属带来的伦理影响等问题。
• 集成： 创建统一的框架，将水印技术集成到现有的监控和法律工作流中，且不会产生过高的计算开销。

最终，本综述认为，虽然不可见签名是实现可信 AI 治理的一个充满前景的层面，但要实现这一潜力，必须克服当前在鲁棒性和效用保持方面的局限性。