TTMark：超越单 token 熵的成对无失真水印

无失真水印逐 token 嵌入，检测力被下一 token 分布的熵卡住；低熵解码、短文本和局部检测时观测池变小。

• 场景：作者称大模型部署需要识别机器生成文本，并援引 EU AI Act 对透明与可追溯的要求。水印在解码时嵌入统计信号，持有私钥的检测器据此区分水印输出与人类文本。
• 现有不足：作者称 distortion-free 水印在对密钥取边际后与原模型分布严格相同，从而不引入系统性分布偏差。但温度缩放、top-p、top-k 会降低下一 token 熵；逐 token 方案的统计功效被每步不确定性严格限制（作者引用 Huang et al., 2023; Dathathri et al., 2024; Chen et al., 2026）。短生成、保守采样和局部检测中，高熵 token 稀少，检测器观测池缩小。
• 核心观察：把水印从单个 token 移到相邻 token 的联合分布，有效字母表从 V 扩到 V²，同时利用当前 token 熵与后继的条件熵；对密钥取期望后，联合分布仍与原模型相同，token 边际在期望意义下保持。
• 提出的方法：作者提出 Tandem Token WaterMark（TTMARK），以及分支隔离的拼接串联生成（branch-isolating concatenated tandem generation），用一次前向构造联合分布。检测侧给出未编辑文本的直接检测器，以及抗扰动的对齐检测器。理论上，作者称低熵区间对 token 配对后，聚合 z-score 约有 √2 的提升，并证明无失真成对水印的期望 z-score 下界不低于单 token 基线。
• 威胁模型：
  • 目标：在生成过程中嵌入可检测的统计信号，使持密钥的检测器把水印文本与人类文本分开，同时对密钥取期望后不改变原解码分布。
  • 知识与嵌入方：水印方持有私钥 k，在解码时重加权分布；model-agnostic 检测不使用原始 logits。
  • 能力与扰动：检测默认看到与生成时相同的 token 对边界；作者同时考虑改写、插入、删除、部分重分词以及回译，这些操作会移动边界。
  • 受害/被保护系统：自回归语言模型的解码分布。实验里的生成模型为指令微调模型，编辑攻击由 GPT5-Mini 执行。

语言模型水印

• Aaronson (2023)：基于 Gumbel-max 的无偏水印，用前缀 n-gram 作密钥引导伪随机选 token。
• Christ et al. (2024)、Kuditipudi et al. (2024)：Christ 等把逆采样水印扩到二元语言模型，密钥依赖位置；ITS-edit 与 EXP-edit 引入预定义水印密钥集合。
• Hu et al. (2024)、DiPmark、MCmark、SynthID、STA-1：Hu 等给出带模型驱动 LLR 检测的逆采样，以及基于 logits 的 γ-reweight 无偏水印。DiPmark（Wu et al., 2024）在 γ-reweight 上做与模型无关的检测；MCmark（Chen et al., 2025）提高无偏水印的可检测性。SynthID（Dathathri et al., 2024）用锦标赛采样增强可检测性。STA-1（Mao et al., 2025）用拒绝采样改善低熵区间的生成质量。

联合与多 token 建模

• Stern et al. (2018)：块式解码用并行预测头减少顺序依赖。
• Leviathan et al. (2023)、Chen et al. (2023)、Miao et al. (2024)：投机解码由小模型起草、大模型并行验证并保持输出分布；后续工作提高采样效率，并用树状验证同时评估多条投机分支。

基线方法与基准

• 基线：实验采用三种 distortion-free 水印——ENS-DiPmark（Wu et al., 2024）、SynthID-Text（Dathathri et al., 2024）、ENS-MCMark（Chen et al., 2026）。每个基线沿用原水印参数，只把单 token 生成与打分换成 TTMARK。
• 数据集：C4（Raffel et al., 2020）、MMW Book Report（Piet et al., 2025）、Dolly Creative Writing（Conover et al., 2023）、Longform QA（Tu et al., 2024）。局部检测沿用 WaterSeeker（Pan et al., 2025）的数据集与超参数。

作者把 TTMARK 定位为把 distortion-free 水印从单个 token 扩到相邻 token 对：用联合分布利用单 token 方案未用到的条件熵，并用一次前向完成联合分布构造。

TTMARK 把无失真重加权从下一步分布改到相邻两 token 的联合分布，并用分支隔离的拼接前向避免对每个候选首 token 各做一次前向。

问题设定与形式化

• 单 token 无失真：词表 V，N=|V|。给定提示 p，模型在前缀 x_{1:t} 下给出 P_M(x_{t+1}|x_{1:t}, p)。水印把它重加权为 P_w(·|x_{1:t}, p, k)，k 从 P_K 抽取。无失真定义为对任意 token，E_{k∼P_K}[P_w(x_{t+1}|x_{1:t}, p, k)] = P_M(x_{t+1}|x_{1:t}, p)。
• 检测统计量：打分 s: V×K→R。model-agnostic 情形下 E_k[s(x,k)]=μ、Var_k[s(x,k)]=σ² 与 token 无关。长度为 T 的 z 检验为各 token 分数减去 Tμ 再除以 √T σ；超过预定阈值则判为带水印。
• 成对无失真：联合分布按自回归分解为 P_M(x_{t+1}|x_{1:t},p) P_M(x_{t+2}|x_{1:t},x_{t+1},p)。TTMARK 重加权为 P_TTMark，并要求对密钥取期望后等于该联合分布。检测改用 s: V²×K→R，对每个生成的 token 对打分。

检测强度的理论上界

• 低熵近似：作者沿用既有工作，设单步期望 z-score 近似与熵成正比，z_t ∝ a h。T 个 token 的聚合 z 约按 √(T a h) 缩放。若改为 T/2 个 token 对，且每对联合熵约 2h，则聚合分数按 √(2 T a h) 缩放。作者由此称该近似下约有 √2 的增益。
• 上界比较：记归一化分数 z(x,k)=(s(x,k)−μ)/σ。Theorem 3.1 称，对任意满足无失真、且每个 token 上 E_k[z]=0、Var_k[z]=1 的水印，期望分数不超过 Σ_x √(P(x)−P(x)²)。Theorem 3.2 称，联合分布 P_{12} 上该上界 f(P_{12}) 至少为 (f(P_1)+E_{x_1∼P_1} f(P_{2|1=x_1}))/√2。作者称 √2 来自把两个 token 级贡献合成一个统计量时的归一化。证明放在附录 A。

分支隔离的拼接串联生成

• 稀疏支持：温度与 Top-P/Top-K 使首 token 过滤分布 P_1 的非零支持 S_1 大小为 m，且通常 m≪|V|。对每个候选要算条件于该候选的第二 token 过滤分布。
• 一次前向：把 m 个候选拼成一块，注意力掩码只允许分支 r 看到缓存前缀和自己的候选 token，不能看到其他分支；所有分支的位置编号都设为 L+1，以匹配独立解码的位置编码。作者称这样一次批前向等价于从同一前缀缓存出发的 m 次独立单 token 续写。
• 采样与缓存：合法对的预水印质量为 P_1(x^{(i)}_{t+1}) P_2^{(i)}(x_{t+2})，再重加权后采样一对。只保留被选中的首 token 分支的 KV，再用采样到的第二 token 推进缓存。奇数长度的最后一步只从 P_1 采样一个 token。附录 Algorithm 1 给出完整流程。
• 开销：持久 KV 与普通自回归基本相同，临时状态在当步结束后丢弃未选分支。串行视角下两 token 的代价比约为 (m+1)/2；作者称 GPU 上延迟常受内存带宽限制，批前向分摊读权重与 KV，实测开销可以小得多，且每两个 token 只调用一次水印算法。

检测

• 直接检测：序列无 token 级损坏时，按生成时的不重叠对 (y_{2i−1}, y_{2i}) 打分，n=⌊L/2⌋；若 L 为奇数，末尾未配对 token 丢弃。统计量 z_dir 为 n 对分数之和减去 nμ，再除以 √(n) σ。长序列下与标准正态近似或经验零分布比较。密钥流为 {k_t}，对第 i 对使用 k_{2i−1}。
• 经验对齐检测：改写、插入、删除或部分重分词会错开对边界。动态规划 D_t = max{D_{t−1}−β, D_{t−2}+z((y_{t−1}, y_t), k_{t−1})}，β≥0 为跳过惩罚；z_emp = D_L / √n，n=⌊L/2⌋，按原始完整对数归一化，避免只挑少量高分对抬高统计量。因为对齐最大化改变了零分布，阈值在同协议的非水印文本上经验校准。附录 Algorithm 2 给出该动态规划。主实验设 β=5。

实验设置

• 基线与替换方式：ENS-DiPmark、SynthID-Text、ENS-MCMark。沿用各自原水印参数，只把单 token 生成与打分换成 TTMARK。
• 默认解码：除非另述，Top-p=0.95、Top-k=50、temperature 1.0、目标长度 200 tokens；跳过惩罚 β=5。
• 模型：Llama3.2-3B-Instruct、Mistral-v0.3-7B-Instruct、Qwen2.5-7B-Instruct。编辑攻击使用 GPT5-Mini。
• 数据：C4、MMW Book Report、Dolly Creative Writing（文中亦作 Dolly CW）、Longform QA（图注亦作 Long-form QA）。局部检测严格沿用 WaterSeeker 的数据集与超参数。论文未报告各数据集的样本条数。
• 指标：固定 FPR 下的 TPR（TPR@FPR），以及水印样本的中位检测 p 值。鲁棒性另报 AUROC。局部检测报 FPR、FNR、F1、IoU。质量报 ROUGE-1/2/L、BERTScore、BLEU。效率报每 1k tokens 的秒数。
• 评审：检测为水印自身的 z 分数或经验对齐分数，阈值来自正态近似或同协议非水印文本；论文未写 LLM 评审模型，也未报告重复次数。

主结果

Table 1 为 C4、Llama3.2-3B-Instruct 上的直接检测。200 tokens、TPR@FPR=0.001%：ENS-DiPmark 从 23.9% 到 47.2%，SynthID-Text 从 50.3% 到 73.2%，ENS-MCMark 从 54.0% 到 81.8%。400 tokens 时对应 TTMARK 为 81.7%、97.7%、98.5%。

Swipe horizontally to read the table

方案（C4, Llama3.2-3B）	200 tok, [email protected]%	200 tok 中位 p	400 tok, [email protected]%	400 tok 中位 p
ENS-DiPmark	23.9%	1.89e-3	46.8%	1.63e-5
+ TTMARK	47.2%	2.01e-5	81.7%	4.03e-10
SynthID-Text	50.3%	9.59e-6	80.1%	1.73e-9
+ TTMARK	73.2%	5.79e-10	97.7%	8.25e-18
ENS-MCMark	54.0%	3.86e-6	83.5%	2.00e-10
+ TTMARK	81.8%	1.84e-11	98.5%	9.36e-21

据 Table 1。200 tokens、FPR=0.1% 时三者的 TPR 分别为：基线 47.0%、71.8%、73.4%，加 TTMARK 后 68.3%、87.5%、92.0%。

• 作者解读：三种水印、两种长度上检测都提高，且未改基础水印算法；低 FPR 处提升更明显。中位 p 值下降数个数量级，作者称改进不限于某一个操作阈值。
• 跨数据集：Figure 2 在 Llama3.2-3B-Instruct 上报告 TPR@FPR=0.1%。图中标注：MMW Book Report 上单 token / TTMARK 为 ENS-DiPmark 0.26/0.58、SynthID-Text 0.61/0.90、ENS-MCMark 0.67/0.94；Longform QA 为 0.40/0.89、0.83/0.99、0.84/0.99；Dolly CW 为 0.23/0.45、0.52/0.82、0.63/0.83。作者称增益超出 C4，在更难的 MMW Book Report 与 Dolly Creative Writing 上尤其清楚。附录 C 称还有跨数据集与模型族的结果；正文未给出 Mistral 的数字表。

低熵采样与耗时

• Top-p：Figure 3 在 MMW Book Report、Llama3.2-3B-Instruct 上扫描 Top-p（0.7、0.8、0.9、0.95、1），Top-k=50，纵轴为 TPR@FPR=1%，并含无 Top-k 截断的 Default。图中未在正文逐点标出数值。作者称在所评 Top-p 范围内，tandem 变体的检测强于对应单 token 变体。
• 更严采样：Table 2 用 Qwen2.5-7B-Instruct、MMW Book Report，Top-p=0.8、Top-k=20、temperature 0.7。平均 token 计数约 1.37–1.39（单 token）与 1.91–1.93（TTMARK）。TPR@FPR=0.001%：ENS-DiPmark 从 0% 到 2%，SynthID-Text 从 8% 到 20%，ENS-MCMark 从 5% 到 28%。每 1k tokens 秒数：单 token 为 0.79、0.86、0.87，TTMARK 为 0.80、0.79、0.80。作者称运行时间差异可忽略，且对 SynthID-Text 与 ENS-MCMark，0.001% FPR 下的 TPR 提高到两倍以上。
• 随候选数的耗时：Figure 4 在 MMW Book Report、Llama3.2-3B-Instruct、batch size 32 上画每 1k tokens 秒数对 Top-k（1、2、4、6、8）。作者称运行时间随支持大小平滑上升，在实验所用区间接近单 token 基线；m 较小时加速来自水印函数调用减少 50%。图上具体柱高未在正文逐点给出。

编辑鲁棒性与局部检测

• 改写与回译：Table 3，生成模型为 Llama3.2-3B-Instruct，数据为 C4，编辑模型为 GPT5-Mini，每段改 30%，检测用 Sec. 3.4 的经验对齐。改写后 TPR@FPR=0.1%：ENS-DiPmark 34.6%→50.7%，SynthID-Text 59.0%→72.3%，ENS-MCMark 61.9%→80.7%；作者称分别提高 16.1、13.3、18.8 个百分点。回译后同指标 38.0%→51.8%、60.0%→72.3%、64.9%→81.3%，作者称增益为 13.8、12.3、16.4 个百分点。AUROC：改写下基线 0.9320、0.9529、0.9587，加 TTMARK 为 0.9449、0.9570、0.9759；回译下基线 0.9486、0.9646、0.9687，加 TTMARK 为 0.9532、0.9726、0.9795。作者认为在部分 token 边界被破坏时，只要检测器能搜索局部对齐，额外的成对信号仍然有用。
• 局部水印：Table 4 沿用 WaterSeeker 设置，判断长文档中的水印片段。Llama3.2-3B-Instruct 上 FNR：ENS-DiPmark 0.543→0.277，SynthID-Text 0.230→0.050，ENS-MCMark 0.210→0.070；F1 从 0.627、0.862、0.879 到 0.839、0.969、0.962；IoU 从 0.351、0.618、0.618 到 0.590、0.785、0.750。Qwen2.5-7B-Instruct 上 FNR：0.567→0.303、0.213→0.063、0.153→0.043；F1 到 0.820、0.961、0.973；IoU 到 0.574、0.787、0.791。FPR 保持在 0.000–0.037。作者称 IoU 的提高意味着成对信号也有助于更细粒度定位。有一处 FPR 上升：Qwen 上 SynthID-Text 从 0.007 到 0.013。

其他消融与分析

• 生成质量（Table 6）：摘要 ROUGE-1 无水印 0.3849，无水印+TTMARK 0.3854；ENS-DiPmark 0.3855 / +TTMARK 0.3846；SynthID 0.3850 / 0.3861；ENS-MCMark 0.3842 / 0.3845。翻译 BLEU：无水印 21.30，+TTMARK 21.69；三个基线 20.93、20.95、21.08，对应 TTMARK 为 21.55、21.93、22.00。BERTScore 与 ROUGE-2/L 同样接近。作者称 tandem 变体相对单 token 水印和无水印模型大体保持质量。论文未写明摘要与翻译所用的具体数据集名称。
• 三 token 块（Table 7）：C4、Llama3.2-3B-Instruct、200 tokens、TPR@FPR=0.001%：两 token 为 47.2%、73.2%、81.8%，三 token 为 63.0%、82.6%、87.0%（顺序为 ENS-DiPmark、SynthID-Text、ENS-MCMark）。400 tokens、同 FPR：三 token 为 93.0%、98.6%、99.5%。作者称更长块需要更多条件分布，且对编辑造成的边界破坏更敏感，因此默认使用两 token。
• 跳过惩罚：附录 C.1 与 Figure 5 在改写和回译下扫描 β。作者称 β 过小会跳过很多 token、零分布校准后分离变弱；β 过大则接近直接检测，难以从局部插入、删除或修改中恢复。中等惩罚最稳，主实验因此用 β=5。图上具体曲线值未在正文逐点给出。

作者指出的局限与后续方向

• 块长与编辑：附录 C.5 写，更长的 token 块需要更多条件分布，并且在编辑攻击下对边界破坏更敏感。作者因此把两 token 块作为默认设计点，称它取得可用增益中的相当一部分，同时保留高效生成和简单检测。论文的 Conclusion 未另列局限或未来工作清单；正文没有单独的 Limitations 节。

实验覆盖范围

• 生成模型与基线：直接检测主表用 Llama3.2-3B-Instruct；低熵表与局部检测还包含 Qwen2.5-7B-Instruct。设置中列出的模型族还包括 Mistral-v0.3-7B-Instruct。基线为 ENS-DiPmark、SynthID-Text、ENS-MCMark，参数沿用原文，只替换生成与打分。
• 数据与长度：直接检测覆盖 C4（200 与 400 tokens）、MMW Book Report、Longform QA、Dolly CW。默认解码为 Top-p=0.95、Top-k=50、temperature 1.0。另有一组 Qwen 上 Top-p=0.8、Top-k=20、temperature 0.7。
• 攻击与局部检测：编辑为 GPT5-Mini 对 C4 生成文本做改写和回译，每段编辑 30%，检测用 β=5 的经验对齐。局部检测沿用 WaterSeeker 的数据集与超参数，模型为 Llama3.2-3B-Instruct 与 Qwen2.5-7B-Instruct。
• 质量、耗时与块长：Table 6 报告摘要的 ROUGE、BERTScore 与翻译的 BLEU、BERTScore。Figure 4 在 batch size 32 下按 Top-k∈{1,2,4,6,8} 报每 1k tokens 秒数。Table 7 比较两 token 与三 token 的直接检测。论文未报告各条件的样本条数和重复次数。
• 理论覆盖：Theorem 3.1–3.2 给出任意无失真水印下单 token 与成对设定的期望分数上界关系；低熵下的 √2 来自熵线性近似，证明见附录 A。

TTMARK 是一种成对、无失真的文本水印：对相邻 token 的联合分布重加权，而不是逐 token 独立重加权。

• 问题：现有 distortion-free 水印的检测力受下一步分布熵限制。温度、top-p、top-k 压低熵之后，短文本和局部检测可用的高熵 token 变少。
• 做法：有效字母表从 V 扩到 V²，对密钥取期望后联合分布与原模型相同。分支隔离注意力掩码把截断后的 m 个首 token 候选拼在一次前向里，各自只看前缀和自身。未编辑文本按固定不重叠对做 z 检验；有编辑时用带跳过惩罚 β 的动态规划对齐，主实验 β=5。
• 理论：低熵近似下，作者称聚合 z-score 约有 √2 的提升。Theorem 3.2 给出成对上界不低于单 token 上界与第二 token 条件上界经 √2 归一后的和。
• 检测：C4、Llama3.2-3B-Instruct、200 tokens、FPR=0.001% 时，TPR 从 23.9%、50.3%、54.0% 升至 47.2%（ENS-DiPmark）、73.2%（SynthID-Text）、81.8%（ENS-MCMark）（Table 1）。Qwen2.5-7B、更严采样下 SynthID-Text 从 8% 到 20%、ENS-MCMark 从 5% 到 28%（Table 2）。GPT5-Mini 改写 30% 后，FPR=0.1% 的 TPR 提高 13.3–18.8 个百分点（Table 3）。局部检测中 SynthID-Text 在 Llama 上的 FNR 从 0.230 降到 0.050（Table 4）。
• 质量与块长：Table 6 中 ROUGE、BLEU、BERTScore 与单 token 水印及无水印模型接近。三 token 在 200 tokens、FPR=0.001% 下进一步到 63.0%、82.6%、87.0%（Table 7）。作者的结论是：成对水印提高可检测性、对保语义编辑的稳健性和局部检测，同时保持生成质量；因更长块对边界破坏更敏感，默认采用两 token。