🤖 AI

ChainMark: Model-Free LLM Watermarking with Closed-Form Calibration

ChainMark 引入了一种无模型、主动式的水印方案，该方案通过将词表划分为键控状态以强制执行硬马尔可夫转移，从而实现了检测参数的闭式校准，并在无需访问生成语言模型的情况下，实现了针对平移和替换攻击的可证明鲁棒性。

原作者： Chengheng Li-Chen, Kyuhee Kim

发布于 2026-07-22

📖 1 分钟阅读☕ 轻松阅读

原作者： Chengheng Li-Chen, Kyuhee Kim

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

想象一下，你正走在一座巨大的图书馆里，里面的机器人在编写故事。有时，这些机器人写得如此出色，以至于你无法分辨一个故事是由人类还是机器创作的。这是未来一个巨大的问题：如果机器人可以编写任何内容，我们如何知道什么是真实的？科学家们正试图通过给机器人一个秘密的方式来标记它们的作品，就像一个只有特殊检测器才能看到的隐藏签名。这被称为“水印”（watermarking）。把它想象成隐藏在句子 DNA 中的一种秘密代码。

然而，检查这些代码一直很困难。大多数旧方法就像是在玩“猜密码”的游戏，需要机器人本身在场才能进行检查。如果机器人不在了，或者有人稍微修改了故事（比如将其翻译成另一种语言），旧的代码往往会失效或消失。此外，监管机构（制定规则的人）希望有一种简单的方法来说：“我需要一个错误率低于 1%、适用于短文本且能经受编辑的代码”，但他们一直缺乏一个清晰的公式来告诉工程师具体该如何构建这种代码。

这篇论文介绍了一种新的解决方案，名为 ChainMark。它是一种聪明的、“无需模型”（model-free）的水印，这意味着你不需要机器人来检查作品——你只需要一个秘密密钥。作者发现了一种创建代码的方法，使其看起来像是一场秘密的舞蹈。他们证明了这种舞蹈在面对特定类型的攻击时非常难以被破解，并且他们为监管机构提供了一个清晰的数学配方，可以准确地告诉工程师如何设置它。

秘密舞蹈：ChainMark 如何工作

想象一下机器人的词汇量（它能使用的所有单词）是一个巨大的彩色瓷砖盒。ChainMark 使用一个秘密密钥，将每一个瓷砖分类放入五个颜色的箱子中（假设是红色、蓝色、绿色、黄色和紫色）。这些箱子呈环形排列，就像一个时钟盘面：红 → 蓝 → 绿 → 黄 → 紫 → 红。

当机器人在编写故事时，ChainMark 不会让它随意挑选单词。在某些特定的位置（大约一半的时间），机器人被迫选择属于下一个颜色的单词。如果上一个单词是红色，那么下一个单词必须是蓝色。如果上一个单词是蓝色，那么下一个必须是绿色。机器人仍然会寻找它能找到的最佳单词，但它只被允许从“蓝色”箱子中进行选择。

这创造了一条隐藏的路径，或者说一条“链”，贯穿整个文本。这个故事本质上是在这个颜色时钟周围行走。

没有机器人的侦探

这里是神奇之处：要检查一个故事是否带有水印，你完全不需要机器人。你只需要密钥和文本。验证者（侦探）获取文本，查找秘密密钥，然后重新将每个单词分类到它们的颜色箱中。然后，他们只需计算颜色遵循正确顺序（红到蓝、蓝到绿等）的次数。

如果故事是由人类编写的，或者是由没有秘密密钥的机器人编写的，颜色将会随机跳跃。通过偶然获得正确顺序的概率非常低（仅为 5 分之 1，即 20%）。但如果故事是用 ChainMark 编写的，颜色几乎会完美地遵循这条链条。侦探可以在瞬间完成这些数学计算，而无需向机器人寻求任何帮助。

为什么这意义重大

论文表明，ChainMark 解决了其他方法存在的三个主要难题：

无需机器人： 旧方法通常需要机器人的“大脑”来检查工作。ChainMark 只需要文本和密钥。这意味着第三方（如监管机构或新闻编辑）可以在不需要访问该公司秘密 AI 模型的情况下，检查一个故事是否由 AI 生成。
完美的配方： 作者推导出了一个“闭式”（closed-form）公式。这是一种高级说法，意味着他们找到了一个直接的数学方程。如果监管机构说：“我需要一个针对 200 字文本且误报率为 1% 的代码”，工程师可以将这些数字代入公式，并立即知道应该使用多少个颜色箱。不再有猜测或反复试验。
它能经受住“翻译攻击”： 破坏旧水印最常见的方法之一是将文本翻译成另一种语言（如中文），然后再翻译回原语言。这通常会扰乱秘密代码。论文测试了 ChainMark 在这种情况下的表现，发现它极其坚韧。即使在将文本翻译成中文再翻译回来后，ChainMark 仍能正确识别带水印文本的比例高达 72.8%。相比之下，其他流行的方法（称为 KGW 和 SWEET）在同样的条件下，成功率降到了 20% 以下。

权衡

论文对成本保持了诚实。为了让这场秘密舞蹈奏效，机器人在选择单词时必须受到轻微限制。这使得文本与完全自由的机器人相比，显得稍微不那么“流畅”。作者使用一个称为“困惑度”（perplexity）的分数来衡量这一点。ChainMark 的分数约为 3.66，而其他方法约为 1.80 到 1.93。这意味着 ChainMark 比其他方法大约“僵硬”了两倍，但代价是它更难被破解，且更容易进行验证。

“通用”安全网

论文还发现了一些关于“盲目”攻击者（即不知道秘密密钥的人）面前代码能承受多少编辑量的有趣发现。他们在数学上证明了，如果有人随机替换单词（例如“剪切并粘贴”攻击），只要编辑量小于文本的 29.3%，代码就能存活。这是一个“通用常数”，意味着无论你使用多少个颜色箱或文本有多长，代码都会一直保持稳固，直到触及那个特定的 29.3% 的界限。

然而，作者谨慎地指出，这个安全网是有极限的。它适用于随机交换和翻译，但并不保证能抵御那些知道秘密密钥或可以通过反复询问检测器来摸清模式的超级聪明黑客。 此外，论文尚未测试复杂的语法保留型重写（即意思保持不变但单词发生变化的改写），因此虽然该代码在应对翻译和随机交换方面非常强大，但在其他类型的攻击面前仍有改进空间。

它不是什么

作者明确说明了他们的方法不做什么。他们承认，如果一个超级聪明的黑客知道秘密密钥，或者可以通过反复询问检测器来摸清模式，他们可能会破解它。论文关注的是“盲目”攻击者（即不知道密钥的人）。此外，他们还没有测试每一种类型的编辑（例如保持原意不变但改变用词的复杂语法重写），所以虽然该代码在应对翻译和随机交换方面非常强健，但在处理其他类型的攻击时仍有工作要做。

总结

ChainMark 就像是给 AI 作家一个秘密的、难以破解的舞蹈动作，留下了一串脚印——前提是攻击者对密钥是“盲目”的，且攻击是随机或翻译性质的。即使有人试图通过翻译故事或交换单词来抹除脚印，只要拥有秘密密钥，任何人都能看到其中的模式。最重要的是，它为监管机构提供了一份清晰的数学说明书，让他们可以精确地设置这些水印，而无需猜测或依赖 AI 公司来进行检查。这是迈向一个我们可以信任数字文本、确切知道谁（或什么东西）编写了它的未来的重要一步。

技术摘要：ChainMark：基于闭式校准的无模型 LLM 水印技术

1. 问题陈述

本文解决了在实现针对大语言模型（LLM）生成文本的可机器读取水印方面的技术挑战，特别是在应对如《欧盟人工智能法案》（第50条）等监管指令的背景下。作者指出了现有水印方案（如 KGW、SWEET、EWD）中存在的三个结构性缺陷，这些缺陷阻碍了面向监管者的审计：

模型绑定检测： 现有方法通常在检测时需要访问生成模型或其内部状态（如 logits、熵），这使得第三方审计者在没有模型的情况下无法进行验证。
缺乏闭式校准： 目前尚无方案能提供从监管者的特定目标（假阳性率 $\alpha$ 、最小文本长度 $n_{min}$ 和水印预算 $\rho$ ）到具体的部署配置参数（如水印强度）的数学映射。
鲁棒性脆弱： 当前方案在面对常见的攻击（如翻译，例如中译英回译）和随机替换时，其真阳性率（TPR）会显著下降，在匹配预算的情况下往往低于 20%。

2. 方法论：ChainMark 方案

ChainMark 是一种主动式水印方案，旨在实现检测时的无模型化以及通过数学实现的校准化。

核心机制

状态划分： 使用密钥 $\kappa$ 与哈希函数（SHA-256）将每个词表标记 $v$ 映射到 $S$ 个离散状态之一： $\sigma_\kappa(v) = \text{SHA-256}(\kappa \parallel v) \mod S$ 。这会将词表划分为 $S$ 个不相交的集合 $V_0, \dots, V_{S-1}$ 。
时钟驱动转换： 状态按固定循环排列（ $s \to (s+1) \mod S$ ）。
生成（嵌入）： 在一定比例 $\rho$ 的标记位置上（由熵门控决定），模型被约束为输出处于下一个循环状态中的标记。具体而言，对于不在目标状态集中的标记，其 logits 被掩码为 $-\infty$ ，模型从剩余的有效标记中选择 argmax。在未受门控的位置，模型进行自由采样。
检测（验证）： 验证者仅持有密钥和分词器（无需 LLM 访问权限），通过重新计算文本中每个标记的状态来工作。验证者计算有效转换的比例 $\phi$ $ϕ$ ，即状态序列是否遵循该循环。
- 零假设 ( $H_0$ )： 对于未加水印的文本，转换是随机的，产生的预期有效率为 $p_0 = 1/S$ （对于 1-正则时钟链）。
- 备择假设 ( $H_1$ )： 加了水印的文本表现出约等于 $1/S + \rho(1 - 1/S)$ 的有效率。
- 统计检验： 对 $\phi$ 进行标准的 $z$ 检验，以判断文本是否带有水印。检测复杂度为 $O(n)$ 次哈希操作。

校准与鲁棒性

闭式校准： 作者推导出了一个公式 $S^\star(n, \rho, \alpha)$ ，可将监管者的目标直接映射到保证假阳性率（FPR） $\le \alpha$ 所需的最少状态数 $S$ 。
经验校准： 为了应对自然语言标记在哈希状态中分布不均的问题，文中提出了一个单语料库重校准步骤。该步骤根据非水印文本上 $z$ 分数的经验均值和标准差来调整检测阈值，从而在不改变水印配置的情况下恢复目标 FPR。
通用鲁棒性阈值： 本文证明了在均匀随机替换下，水印在编辑比例 $\delta^\star = 1 - 1/\sqrt{2} \approx 29.3\%$ 之前仍能存续。至关重要的是，该阈值与参数 $S$ 、 $\rho$ 和 $n$ 无关。

3. 核心贡献

无模型检测： ChainMark 使第三方审计仅需使用密钥和分词器即可完成，消除了在推理时对生成 LLM 的需求。
面向算子的校准： 通过闭式映射 $S^\star(n, \rho, \alpha)$ 的推导，使监管者能够指定检测目标，并将其转化为可部署的配置。
鲁棒性保证： 理论证明确立了针对均匀替换的通用鲁棒性阈值（约 29.3%），且该阈值独立于系统参数。
泛化性： 该框架可扩展到任何 $k$ -正则双随机转换拓扑，而不局限于简单的时钟链。

4. 实验结果

实验在三种指令微调 LLM（Llama-3.1-8B, Qwen-2.5-7B, Mistral-7B）以及四个领域（代码、事实、维基、写作）上进行。

匹配预算性能： 在固定水印预算（ $\rho=0.5$ $ρ = 0.5$ ）下，与 KGW 和 SWEET 相比，ChainMark 在受到攻击时表现显著优于基准方案。
- 干净文本： ChainMark 实现了 100% 的 TPR。
- 随机替换 ( $\delta=0.20$ )： ChainMark 保留了 99.9% 的 TPR，而 KGW 和 SWEET 分别降至约 55% 和 51%。
- 中文回译： ChainMark 保留了 72.8% 的 TPR，而 KGW 和 SWEET 则跌破 20%（分别为 19.4% 和 18.0%）。
质量代价： 这种鲁棒性的提升是以增加自困惑度（Self-Perplexity）为代价的（ChainMark 为 3.66，基准方案约为 1.80–1.93）。
校准验证： 实验结果证实，闭式校准提供了正确的状态计数排序，且经验校准成功地将假阳性率从约 2.0% 降低到目标 1%，且未牺牲真阳性检测能力。

5. 重要性与主张

本文声称 ChainMark 为《欧盟人工智能法案》等监管框架提供了必要的技术基础，解决了“可审计性”问题。其主要意义在于：

政策到配置的映射： 它将抽象的监管要求（FPR、文本长度、预算）转化为具体的、可审计的系统参数。
第三方审计能力： 通过将检测与模型解耦，它允许对 AI 生成内容进行独立验证，这是透明治理的前提。
鲁棒性与质量的权衡： 作者承认 ChainMark 会带来可衡量的质量成本（更高的困惑度），但认为为了实现对抗翻译和替换攻击的高鲁棒性，这是必要的权衡，因为目前的先进方法无法承受此类攻击。

作者对局限性保持了谦逊的态度，指出目前的鲁棒性主张是针对翻译和均匀替换的，该方案尚未涵盖语法保留的改写攻击（如 DIPPER）或拥有自适应检测器查询权限的对手。他们还强调，假阳性和“寒蝉效应”风险是必须通过仔细的阈值校准来管理的非对称危害。