DenMark：面向扩散语言模型的鲁棒语义水印

如何在扩散语言模型（DLM）去噪过程中注入可抵抗保义编辑的语义水印。

• 场景：作者认为 LLM 生成文本的部署带来虚假信息、恶意使用、偏见和高风险领域失效等顾虑，需要识别模型生成内容的机制。文本水印在保持可见内容的同时嵌入隐藏统计信号。
• 现有不足：token 级水印（如密钥相关的绿红词表划分）依赖 token 身份，改写可在保留意义时削弱信号。句子级语义水印先生成完整候选、打分、拒绝再提交，与自回归模型的固定前缀兼容，但 DLM 在句子尚未完全解析时就会更新多个位置，作者认为在正常解码中反复构造并拒绝完整语义单元不现实。
• 核心观察：DLM 的水印需要在周围语义单元仍不完整时，通过局部更新直接注入语义信号。Figure 1 对比了自回归的“生成–打分–拒绝–提交”与 DenMark 的 rollout 引导。
• 提出方法：DenMark 把输出分成固定 token 区域，用临时 rollout 估计不完整区域的最终语义，选择估计语义水印分更高的局部更新，并在去噪步上累积证据；检测时对候选单元大小做校准扫描，以应对语义攻击造成的边界偏移。
• 作者的定位：作者称据其所知，这是专为 DLM 设计的首个语义水印框架。

• 扩散语言模型：Lou et al. (2024)、Sahoo et al. (2024)、Nie et al. (2025)、Ye et al. (2025)、Gong et al. (2025) 研究掩码序列的迭代去噪、双向上下文与任意顺序更新，支持填充、并行细化和质量–速度权衡。DenMark 的生成过程建立在这类掩码 DLM 上。
• token 级水印：Kirchenbauer et al. (2023) 的绿红词表划分，以及 Kuditipudi et al. (2024)、Hu et al. (2024)、Dathathri et al. (2024)，通过采样偏置编码信号。作者指出这些信号依赖 token 身份，改写可在保留意义时削弱它们。面向 DLM 的基线包括 DLM-KGW（Gloaguen et al., 2026a）、DGMark（Hong & No, 2026）、PatternMark（Chen et al., 2025）和 UMR（Yang et al., 2026）。
• 语义水印：Hou et al. (2024a) 的 SemStamp、Hou et al. (2024b) 的 k-SemStamp、Ren et al. (2024)、Dabiriaghdam & Wang (2025) 的 SimMark、Huo et al. (2026) 的 PMark，把信号编进句子或片段表示。作者指出其中一条主线依赖完整句子候选的生成与选择，与自回归前缀兼容，不能直接套到 DLM 的任意顺序去噪上。
• 基线与数据：实验基线为 DLM-KGW、DGMark、PatternMark、UMR。数据按 WaterBench（Tu et al., 2024）使用 Finance（Maia et al., 2018）、Alpaca（Dubois et al., 2023）、LongForm（Fan et al., 2019）。开放释义器为 Parrot（Damodaran, 2021）与 DIPPER（Krishna et al., 2023）。

作者把本文定位为：指出句子级语义水印与 DLM 迭代去噪不匹配，并用 rollout 引导的局部选择把密钥相关证据注入去噪，再用单元大小扫描应对边界偏移。

DenMark 在 DLM 去噪中把续写分成固定长度 token 区域，对每个局部候选做临时补全并按密钥相关语义分选择更新；检测端扫描多种单元大小并做多重检验校正。

问题设定与语义分

• 生成过程：掩码 DLM 从提示 xp 与长度 N 的全掩码续写开始。步 t 的掩码位置集为 Mt；对 i∈Mt，模型 pϕ 给出词表上的分布。解码在 MT 为空时结束，得到续写 ẑ 与文本 ŷ。
• 语义分：对完成单元 u，密钥 κ 为每个单元下标 b 指定 C 个通道对 (θb,j, sb,j)，θ 为密钥生成的伪随机高斯向量归一化方向，sb,j∈{−1,+1}。分数为 g_b(u)=1/C∑_j=1^C s_b,j⟨ E_η(u),θ_b,j⟩。更大的 gb(u) 表示与密钥指定方向更对齐。检测器可用同一密钥再生这些方向与符号。

局部候选与 rollout 选择

• 区域划分：单元大小 m≥1，单元数 B=⌈N/m⌉。单元 Ub 是续写上一段连续 token 下标。步 t 的解码日程可选一个或多个未完成单元；对单元 b，剩余掩码为 Mb,t。
• 候选：每个单元采 Kt,b 个局部候选，每个候选更新 rt 个位置。位置策略 πpos 可随机或按置信度选位置；token 策略 πtok 可使用 categorical、Gumbel-max 或 top-p。只改选中位置，其余保持 x(t)。
• rollout：对每个候选再采 Rt 个一步补全，只填该单元内尚未被该候选填上的掩码，温度可与候选温度不同。补全 token 只用于打分、不提交。估计 Wt,b,k 是 Rt 次 gb 的平均。提交 arg max 对应的局部更新；多单元位置不重叠时同时提交。

检测

• 固定大小：把文本按候选大小 m′ 切成单元，用同一编码器与密钥通道计算平均对齐分 Sm′(y)。生成大小上的检测把 Sm(y) 与在无水印文本上按目标假阳性率校准的阈值比较。
• 扫描：释义、插入、删除和重新分词会改变长度与边界。在有限集合 G 上对每个 m′ 用与评测文本不相交的无水印校准集 D0（n0=|D0|）按 Phipson & Smyth (2010) 算经验 p 值，再做 Bonferroni 校正得到 pscan，检测统计量为 Srob(y)=−log pscan(y)。pscan≤α 判为带水印。Proposition 4.1：在无水印零假设下，若测试文本与校准样本可交换，则 Pr(pscan≤α)≤α，且不要求不同大小的分数独立。附录 G.1 给证明。除非另作说明，检测结果用 Srob 排序。

分数增益的分解

• 参考解码器：π0 用同一候选采样，但每个被选单元只抽一个局部候选并直接提交。DenMark 记为 π。
• 分解：Proposition 5.1 把 π 相对 π0 的最终水印分期望改进写成各步期望优势 Δπt 之和。附录 G.2 给证明。作者用 rollout 分做选择，并在 30 条提示上估计逐步优势。

实验设置

• 模型：LLaDA-8B、LLaDA1.5-8B、LLaDA2.0-mini、Dream-v0-Instruct-7B。语义攻击使用 GPT-4o-mini；开放释义器用 Parrot 与 DIPPER；上下文感知替换用 BERT-base。
• 数据：按 WaterBench 使用 Finance、Alpaca、LongForm。开放模型攻击报告 Finance-QA 与 AlpacaFarm。效率表写 AlpacaFarm/LongFormQA。论文未在正文给出每集样本量。
• 基线：DLM-KGW、DGMark、PatternMark、UMR。作者称其为近期 SOTA 水印基线。各方法生成超参被调节以使输出质量可比；Table 10 报告质量，附录 B 给基线说明与配置。
• 指标：AUC，以及 FPR 为 0.5%、1%、5% 时的 TPR。每个工作点用经验分数阈值，在留出负例上测得的 FPR 不超过目标的前提下取最高 TPR。
• 语义攻击：按句重写、压缩、扩展，以及对全文释义；作者称这些变换保留意义并改变措辞、句法、句子结构，压缩与扩展还改变长度。附录 B 给过滤标准与提示词。
• token 攻击：随机删词、上下文感知替换、相邻词交换，修改比例 {0.1, 0.2, 0.3, 0.4, 0.5}，结果对五种强度平均。

主结果

作者称 DenMark 在每个模型×数据集×受攻击条件上检测分最高。48 个受攻击组合平均：DenMark 的 TPR 在 0.5%、1%、5% FPR 下为 63.55%、71.89%、87.45%，AUC 为 0.9693；最强基线为 35.16%、41.90%、61.80% 与 AUC 0.8915。四个指标在全部 48 组均为 DenMark 最高。压缩与重写后检测仍高；四种语义变换中扩展的 DenMark 分数最低；全文释义相对 token 水印基线仍有差距。下表只列 LLaDA-8B 的 TPR@1% FPR（Table 1；条目顺序为 [email protected]% / @1% / @5% / AUC）。

Swipe horizontally to read the table

条件	Finance	Alpaca	LongForm
Clean DenMark	99.67	97.07	100.00
Rewrite DenMark	74.92	74.73	81.00
Compression DenMark	85.28	84.98	93.33
Expansion DenMark	44.82	54.58	61.00
Doc. paraphrase DenMark	67.56	64.84	73.00
Rewrite 该列最强基线	42.67 PatternMark	56.33 UMR	47.33 DGMark

• 作者解读：Clean 条件下多家方法接近饱和，例如 LLaDA-8B 的 Finance 上 DGMark、PatternMark、UMR 的四项均为 100 / 100 / 100 / 1.0000，DenMark 为 99.00 / 99.67 / 100.00 / 0.9996，DLM-KGW 的 AUC 为 0.9998。受攻击后差距拉开。
• 其他骨干：Table 1 下半与 Table 2 报告 LLaDA1.5-8B、LLaDA2.0-mini、Dream-v0-Instruct-7B。扩展仍是 DenMark 最低的语义攻击，例如 Dream 在 Finance 上扩展为 36.33 / 49.00 / 77.67 / 0.9333，同格 DLM-KGW 为 2.43 / 4.17 / 12.85 / 0.6302。
• 反例限定：作者的“全部 48 组最优”针对受攻击组合。Clean 行中基线有高于 DenMark 的格子，如 LLaDA-8B Alpaca Clean 上 PatternMark 的 [email protected]% 为 98.56，DenMark 为 95.24。

开放模型释义与 token 攻击

• Parrot / DIPPER：Figure 3 在 LLaDA-8B 与 Dream-v0-Instruct-7B 上对 Finance-QA、AlpacaFarm 平均，报告 [email protected]% 与 1% FPR。Parrot 的候选前缀大小取 {1, 4, 7, 10}；DIPPER 的词汇多样性取 {20, 40, 60, 80}，其余解码设置固定。作者称 DenMark 在 Parrot 下保持稳健，且随 DIPPER 词汇多样性升高，检测下降比基线更慢。图中纵轴为上述两个 TPR，具体柱高文本未给出数值。
• token 攻击：Figure 4 对五种修改比例、Finance 与 LongForm、Dream 与 LLaDA-8B 平均。作者称三种攻击下 DenMark 检测仍高；随机删除和上下文感知替换在低 FPR 的差距最大；相邻交换后检测接近饱和，作者据此称对表面局部变化的敏感有限。图中柱的具体数值文本未列出。

逐步优势

• 测了什么：Section 5 在 30 条提示上估计 LLaDA-8B 与 Dream-v0-Instruct-7B 的逐步优势。Figure 2 的细线为单个单元轨迹，粗线为平均累积优势，阴影为 30 条提示上的 95% bootstrap 置信区间。
• 结果：轨迹末端平均累积优势，LLaDA-8B 为 0.0387，区间 [0.0251, 0.0527]；Dream-v0-Instruct-7B 为 0.0385，区间 [0.0260, 0.0517]。
• 作者解读：部分单步为中性或负值，但两条平均累积曲线沿轨迹上升并在末端为正；作者称 rollout 候选选择在解码轨迹上增加了水印信号。

其他消融与分析

• Figure 5（LLaDA-8B）：候选温度、Kt,b、Rt、单元大小 m；指标为 TPR@1% FPR、AUC 与 Δ mean(log PPL)。温度轴为 0.30、0.50、0.60、0.75、0.90；Kt,b 为 8、16、24、32；Rt 为 1、2、3、5、8；m 为 15、25、40、50、100。曲线分 Finance-QA 与 AlpacaFarm。文本未给出各点精确读数。
• 温度：作者称更高候选温度提高检测并增加生成质量代价。
• 候选数：Kt,b 从 8 增到 16 带来大部分检测增益，更大候选集的额外改进更小。
• rollout：相对单次 rollout，多次能提高稳健性，大部分增益在 Rt=2–3 达到。
• 单元大小：作者称中等大小在所评设置上最好，更大单元降低 AlpacaFarm 上的检测。
• 效率（Table 3）：每可见输出 token 的秒数，对 Dream/LLaDA-8B 与 AlpacaFarm/LongFormQA 平均，不含模型加载。Clean 0.054，DenMark 0.654，DLM-KGW 0.118，DGMark 0.236，PatternMark 0.089，UMR 0.070。作者称 DenMark 因多个候选与 rollout 打分而更慢，并引用 SemStamp 的 20.9× 减速、k-SemStamp 每接受句 13.3 个候选、PMark 在线/离线每输出 token 消耗 16.0 与 12.1 个采样 token，称这是速度–稳健性权衡，且 DenMark 的开销对以稳健性为导向的生成可以接受。

作者指出的局限与后续方向

• 假阳性前提（Section 4.2，Proposition 4.1）：扫描的假阳性率控制要求测试文本与校准集在无水印分布下可交换，且 G 为固定有限集。作者未把该假设写成已在全部攻击分布上验证。
• 单步优势可为负（Section 5，Figure 2）：作者写明部分单步优势为中性或负，最终改进来自轨迹上的累积。
• 速度–稳健性（Section 6.6）：作者写明 DenMark 因候选与 rollout 打分更慢（Table 3 为 0.654 秒/token），并把这表述为实际的速度–稳健性权衡。
• 扩展攻击更难（Section 6.2）：作者写明在所评语义变换中，扩展给出最低的 DenMark 分数。这是结果陈述，作者未在结论中把它列为待解决问题。
• 代码：正文未写已经发布实现。若附录有计划开源的句子，以附录原文为准；当前可见正文只报告实验，不把发布写成已完成。

论文结论（Section 7）重述方法与“高于所评基线的检测稳健性”，未另列 Limitations 小节中的开放问题清单。

实验覆盖范围

• 骨干：检测主表覆盖 LLaDA-8B、LLaDA1.5-8B、LLaDA2.0-mini、Dream-v0-Instruct-7B 四个 DLM（Table 1、Table 2）。
• 语义攻击：GPT-4o-mini 的按句重写、压缩、扩展与全文释义，共 4 模型 × 3 数据集 × 4 攻击 = 48 组（§6.2）；另有 Parrot（前缀大小 {1,4,7,10}）与 DIPPER（词汇多样性 {20,40,60,80}），Figure 3 平均的是 LLaDA-8B 与 Dream-v0-Instruct-7B。
• token 攻击：随机删词、BERT-base 上下文替换、相邻交换，比例 {0.1,…,0.5}，Figure 4 平均 Finance 与 LongForm、Dream 与 LLaDA-8B。
• 灵敏度与优势：Figure 5 只在 LLaDA-8B 上变温度、Kt,b、Rt 与 m；逐步优势估计为 30 条提示、两个模型（Figure 2）。
• 论文未报告：正文可见部分未给出每数据集的样本条数、检测重复次数，以及语义编码器 Eη 的具体模型名；超参与质量数字指向附录 B 与 Table 10。

DenMark 是面向扩散语言模型的语义水印：在去噪的局部更新里注入密钥相关语义信号，并在编辑改变 token 边界后仍检测。

现有句子级语义水印要先完成整个语义单元再打分取舍，而 DLM 以任意顺序更新掩码，中间单元不完整。DenMark 把续写划成固定 token 区域，对每个局部候选做不提交的 rollout 补全，按语义分 gb 的平均选择更新，从而沿轨迹累积证据。Proposition 5.1 把相对“只提交单个候选”的参考解码器的期望分数改进写成各步优势之和。检测端在一组单元大小上计算经验 p 值，经 Bonferroni 得到 pscan，以 Srob=−log pscan 排序；Proposition 4.1 在可交换无水印样本下给出假阳性率上界。

实验使用 LLaDA-8B、LLaDA1.5-8B、LLaDA2.0-mini 与 Dream-v0-Instruct-7B，数据为 Finance、Alpaca、LongForm，基线为 DLM-KGW、DGMark、PatternMark、UMR。作者称在 48 个受攻击组合上，四项指标均为 DenMark 最高：平均 [email protected]%/1%/5% FPR 为 63.55%、71.89%、87.45%，AUC 为 0.9693；最强基线对应为 35.16%、41.90%、61.80% 与 0.8915。扩展是四种 GPT-4o-mini 语义攻击里 DenMark 最低的一类。30 条提示上，轨迹末端平均累积优势为 0.0387（LLaDA-8B）与 0.0385（Dream-v0-Instruct-7B）。Table 3 中 DenMark 每可见 token 0.654 秒，无水印为 0.054 秒。

作者的结论是：固定区域、rollout 选择与校准扫描，给出一种在 DLM 解码中嵌入语义水印、并在保义编辑后检测的直接机制，且相对所评基线检测更稳。