基于泊松过程的可水印多草稿推测采样

能否在提高投机采样效率的同时嵌入可检测、且不改变目标分布的水印。

• 场景：作者认为大语言模型生成文本越来越流畅，溯源、问责、滥用与知识产权成为部署问题；水印把统计信号嵌进采样过程。另一瓶颈是自回归生成延迟，投机采样用较小草稿模型提议、较大目标模型并行验证，且不改变目标分布。
• 现有不足：作者转述 Hu and Huang (2024) 的 no-go 定理：固定草稿数下，嵌入水印会降低投机采样性能，水印强度与采样效率存在基本权衡。He et al. (2026) 改用水印指标改善该权衡。作者还指出常规投机采样在草稿模型更换时，因耦合可能改变目标模型输出。
• 核心观察：作者认为可用泊松过程做 list-coupling without communication，使发出的 token 服从目标分布，草稿模型只影响发出多少个；水印做在耦合层，强度不随采样效率上升而下降。脚注称这不否定 Hu and Huang (2024)：固定草稿数时权衡仍在，改进来自增加草稿数这一维。
• 本文提出：PFR（单草稿）与 MPFR（多草稿）水印投机采样。作者称这是同时保持水印强度与采样效率的多草稿、drafter-invariant 投机采样方案，并给出 stopping-time drafter invariance。

• LLM 解码与投机采样：top-k（Radford et al., 2019; Fan et al., 2018）、nucleus（Holtzman et al., 2020）、permute-and-flip（Zhao et al., 2025a）逐 token 调用目标模型。投机采样（Chen et al., 2023; Leviathan et al., 2023）用小草稿模型提议、大模型并行验证；后续有基于最优传输的 token 选择（Sun et al., 2023）、树形推理验证（Miao et al., 2024）与多草稿结构（Khisti et al., 2025; Rowan et al., 2025）。也可加速扩散模型（De Bortoli et al., 2025; Bullo et al., 2026）。Kobus and Gündüz (2025) 用指数竞赛做 token 级采样。
• 水印：logit 偏置绿名单（Kirchenbauer et al., 2023）及稳健性、可及性与概率平衡改进（Wu et al., 2023; Giboulot and Furon, 2024; Park et al., 2026）。无偏水印用秘密随机性耦合输出且保持边际分布（Kuditipudi et al., 2023; Hu et al., 2023; Christ et al., 2024; Aaronson and Kirchner, 2023）。检测力、假阳性、最优检验与耦合见 Li et al. (2025)、He et al. (2025)、Tsur et al. (2025)。多比特归属与水印片段识别见 Zhao et al. (2023)、Boroujeny et al. (2024)、Qu et al. (2025)、Zhao et al. (2025b)。Hu and Huang (2024) 与 He et al. (2026) 讨论投机采样与水印的权衡。
• 泊松函数表示（PFR）：Li and El Gamal (2018) 提出，Maddison et al. (2014)、Maddison (2016) 有相关泊松过程构造。经映射定理可做 list-coupling（Li and Anantharam, 2021; Last and Penrose, 2017），并达到 coupling without communication 的已知最好界（Daliri et al., 2025）。Daliri et al. (2025) 与 Rowan et al. (2025) 研究 drafter-invariant 投机解码。
• 基线与基准：实验基线为 BASIC-UWM（Aaronson and Kirchner, 2023）、VSpS（Leviathan et al., 2023）、INVARIANT（Rowan et al., 2025）、MWS/MSE（Hu and Huang, 2024）、MSE-PSEUDO（He et al., 2026），以及本文 PFR、MPFR、PFR-NoWM。Table 1 还比较 GLS。数据集为 CNN/DAILYMAIL 与 ELI5。

作者把本文定位为：相对 Rowan et al. (2025) 证明更高接受率，并在多个模型与数据集上给出更好加速；水印直接做进带密钥随机性，从而改善 Hu and Huang (2024) 的权衡前沿。

整体用 keyed Poisson coupling：每个发出 token 服从目标分布，草稿模型只决定能发出多少；水印在耦合层用伪随机性嵌入，而不是事后重加权。

背景：投机采样与无偏水印

• 三阶段：给定词表 V 与上下文 x:t，草稿模型 Ms 顺序采样 L 个候选并记录草稿分布；目标模型 Mb 对相应条件分布并行求值；选择阶段接受最长前缀直到首次拒绝，并从残差分布抽校正 token；若 L 个全接受，再从目标多抽一个 bonus。
• 精确性：Algorithm 1 的 token 级 maximal coupling 使接受概率为 1 减去 P 与 Q 的全变差距离。草稿解码时间可忽略时，作者称加速最多到 L+1 倍。Algorithm 2 用指数随机变量做竞赛，最小分数的 token 服从目标分布。
• 无偏水印：对种子 ζ，水印分布 P̃ζ 对种子平均后等于基分布 P̃。Gumbel 水印用种子决定 Gumbel 噪声。式 (1) 把均匀随机换成由前缀与密钥 k 决定的伪随机函数 rt(y)。检测器持有 k，对位置求和 −log(1−rt(yt))；无水印时期望为 n−m，有水印时更大。

泊松函数表示与单草稿 PFR

• 定义：Definition 4.1 中，单位速率泊松过程的点 (Zi, Ti) 与参考分布 Q 独立。在 P 绝对连续于 Q 时，选使 Ti 乘 (dP/dQ(Zi)) 的倒数最小的 Zi，该样本服从 P。
• Algorithm 3：前瞻 K、输出长度 N、密钥 k。每步对上下文 cs 取密钥化泊松源 Πs，用 PFR 从草稿分布 Q 取草稿，再用同一 Πs 从目标分布 P 取 ys；ys 等于草稿则接受，否则停止该块。全部接受且未到长度上限时，再对当前上下文抽一个 bonus。附录 A.1 证明离散情形下 PFR 退化为指数竞赛。
• 检测：对密钥输出 w1:N，计分位置为提示之后的 token。检测器重放 Πt，由各符号首次到达时间得到 rt(v)，计算式 (3) 的 SA。作者给出：无密钥生成时 E[SA]=|T|；用该密钥生成时下界为 |T| 加上 (π²/6−1) 乘各位置目标分布熵的期望之和。主文用水印分数为 Aaronson 分数；附录 E 还考虑其他分数。

草稿不变性

• 定义：Definition 4.3 的 stopping-time drafter invariance 要求：在共享随机性 R、上下文与停止时间 τ=τ0 条件下，输出前缀的分布不依赖草稿模型。Proposition 4.4 称 Algorithm 3 满足该性质，证明在附录 C.1.1。作者称 SpecTr、SpecInfer 以及 Rowan et al. (2025) 的 Algorithm 2 不满足。
• 与另两种不变性：作者认为强草稿不变性（Daliri et al., 2025）会降低采样效率；Rowan et al. (2025) 的条件草稿不变性还要条件于已实现的草稿序列。本文的停止时间版本弱于前者、强于后者：草稿可以影响块长与效率，但块长固定后，发出前缀的分布由目标侧随机性决定。
• 与水印的关系：检测器通常只看到最终 token 与密钥，看不到草稿序列或接受侧信息。作者据此认为停止时间不变性更贴合水印。无通信耦合下，作者写出匹配概率上界为 (1−TV)/(1+TV)，见式 (4)；作者认为用泊松过程的多草稿扩展可以避免因此损失接受率。

多草稿 MPFR

• 采样：在每个上下文，从 B 个同分布草稿提议生成深度 L 的投机树，用目标模型并行验证。MPFR 按映射后分数从小到大取前 B 个样本，作者称它们独立同分布于目标 P（式 (5)，依据 Li and Anantharam, 2021）。本节用相同提议分布；非同分布提议放到附录 B.4。
• Algorithm 4：泊松过程按上下文索引，不按草稿身份索引。每个已占用上下文 c 有密钥源 Π(c)，用 MPFR 从 Q 生成 ν(c) 个草稿并合并相同 token；再对每个 c 计算目标侧第一名 y(c)。沿目标路径发出 token，直到目标赢家不在该上下文的草稿集合中。全接受则再发一个 bonus。作者对比 Rowan et al. (2025) 的草稿索引与活跃集：后者使下一 token 依赖已实现草稿轨迹，只满足条件草稿不变性。
• 接受概率：Theorem 5.1 给出当前步至少接受一个 token 的下界，为 1 减去对词表求和的 P(i) 乘 (P(i)/(P(i)+Q(i))) 的 B 次方。附录 B 给出考虑活跃草稿数的推广，并与 Rowan et al. (2025) 比较。

有限实现

• Algorithm 5：用提议分布 Q 与似然比逐点生成泊松到达，维护当前 B 个最小分数，在第 B 小分数不超过 Tn·w 时停止。Theorem A.4 称该过程几乎必然有限步停止，返回样本独立同分布于 P。附录 A.1–A.2 还证明离散 PFR 与 Gumbel-max 技巧等价。形式化单草稿与多草稿流程为 Algorithm 9、Algorithm 10。

实验设置

• 模型：主配置目标为 Qwen2.5-7B-Instruct，草稿为 Qwen2.5-0.5B-Instruct。Table 1 另有 Llama-3.1-8B-Instruct。换草稿器消融还有 Qwen2.5-1.5B-Instruct，以及温度 0.5、1.0、1.5。
• 数据：CNN/DAILYMAIL 与 ELI5。Table 1 每个格子为 1000 条提示词、3 个种子。其他模型–数据集格子、按 L 与按 B 的全表在附录 D，正文未给出那些格子的数字。
• 基线：BASIC-UWM（无投机的自回归 Gumbel 式无偏水印）；VSpS（无水印的普通投机采样）与 Rowan et al. (2025) 的多草稿 INVARIANT；Hu and Huang (2024) 的 MWS 与 MSE，以及 He et al. (2026) 的 MSE-PSEUDO；本文 PFR、MPFR，以及把密钥源换成无密钥泊松源的 PFR-NoWM。Table 1 的对比解码器写为 GLS。
• 协议：各方法在同一套提示词、解码参数与水印密钥下运行。多草稿主设置为前瞻 L=4，草稿数 B∈{2,4,6,8}。单草稿前沿扫描 L∈{1,2,3,4}。
• 指标：效率为每步平均接受 token 数 AATPS，Table 1 还报告 token rate（TR）。可检测性为每 token 平均负对数 p 值 ANLPPT，分数变体 U / Li / PL；以及在无水印生成上校准的 TPR@1%FPR。质量为按目标模型的每 token 对数困惑度 LPPL，有参考时还报告 ROUGE-L。
• Figure 1 坐标：横纵为 AATPS 与 ANLPPT，方法包括 VSpS、MWS、MSE、PFR、MPFR；模型与数据为 Qwen2.5-7B-Instruct / Qwen2.5-0.5B-Instruct、CNN_DAILYMAIL。图中具体坐标数值在文本中未列出。

主结果

Table 1（L=4，1000 条提示词、3 个种子）。加粗规则是同一 B 下 MPFR 与 GLS 中较好者，下表只列 MPFR，GLS 见随后分点。

Swipe horizontally to read the table

设置	B	MPFR AATPS	MPFR TR
Qwen-CNN/DM	2	2.797	25.11
Qwen-CNN/DM	8	3.409	29.13
Qwen-ELI5	2	2.563	23.57
Qwen-ELI5	8	3.235	28.73
Llama-CNN/DM	2	3.459	37.44
Llama-CNN/DM	8	4.034	42.04
Llama-ELI5	2	3.103	34.29
Llama-ELI5	8	3.749	39.76

• 与 GLS：Table 1 中 B=2 的 Qwen-CNN/DM，GLS 的 AATPS 为 2.803，高于 MPFR 的 2.797；同格 TR 为 GLS 24.78、MPFR 25.11。其余 Table 1 行中，MPFR 的 AATPS 与 TR 均高于同行 GLS。B=4、6 的中间值也在 Table 1：例如 Qwen-CNN/DM 上 MPFR 的 AATPS 从 B=4 的 3.123 到 B=6 的 3.294。
• 作者解读：作者称在全部 B 上 MPFR 的 AATPS 与 INVARIANT 相当，只有随格子变化的小偏差，同时 ANLPPT-U 大得更多；水印信号随 B 稳定（ΔANLPPT≤0.001），增加草稿不会稀释每 token 检测信号。逐格 ANLPPT 与 LPPL 在附录 D.4 的 Tables 10–13，正文未给出这些表的数字。
• 单草稿：作者称 Figure 1 中，在每个 L 上 PFR 支配 MWS 与 MSE 两个帕累托端点，且 PFR 与 PFR-NoWM 的 AATPS 几乎相同。文本未给出 Figure 1 的坐标读数。

固定假阳性率下的检测

• Figure 2(a)：默认草稿器上，TPR@1%FPR 对检测 token 预算 Teval。作者称 PFR 与 MPFR 与强水印参照 BASIC-UWM、MWS 一致，并优于 MSE 与 MSE-PSEUDO；MSE-PSEUDO 高于 MSE，仍低于本文方法。图上具体 TPR 数值未在正文列出。
• 作者解读：作者认为目标侧密钥耦合保留了检测器可见的证据，且不降低效率。

更换草稿器

• 设置：目标、水印密钥与提示词固定，只换草稿器。D0 为 Qwen2.5-0.5B-Instruct、T=1.0；D1 为 Qwen2.5-1.5B-Instruct、T=1.0；D2 为 Qwen2.5-0.5B-Instruct、T=0.5；D3 为同一 0.5B、T=1.5。
• 结果：Figure 2(b) 上，作者称 PFR 在 D0–D3、Teval∈{64,128} 的 TPR 漂移至多 1 个百分点；MSE 漂移 12–22 个百分点，MSE-PSEUDO 漂移 6–11 个百分点。
• 质量：作者称 LPPL 与 ROUGE-L 在附录 D.5 中核验；正文未给出这两项的数值。

其他消融与分析

• 正文称完整按 L、按 B 的表与消融细节在附录 D，未在正文给出可逐格核对的额外数字。
• PFR-NoWM 用于把水印代价与泊松耦合代价分开；作者称其 AATPS 与 PFR 几乎相同，未给差值。
• 水印主指标为 ANLPPT-U；U / Li / PL 三种分数的逐格结果在 Tables 10–13，正文只报告 ΔANLPPT≤0.001。
• Theorem 5.1 为接受概率下界，正文实验未单独报告该下界的数值。
• Table 1 的例外：B=2、Qwen-CNN/DM 上 GLS 的 AATPS（2.803）高于 MPFR（2.797）。

作者指出的局限与后续方向

• 三维权衡未刻画：Concluding Remarks and Limitations 称，目标–草稿通信、水印强度与投机采样效率之间的基本刻画仍不清楚。
• 实现开销：同一节称当前实现包含大量耦合与水印记账，会略微拖慢算法，未来或可避免以进一步加速。
• 正文实验与附录中没有另写 Limitations 条目。伦理或披露类陈述未作为局限列出。

实验覆盖范围

• 主表：Table 1 为 Qwen2.5-7B-Instruct 与 Llama-3.1-8B-Instruct，数据集 CNN/DAILYMAIL 与 ELI5，L=4，B=2,4,6,8，指标 AATPS 与 TR；每格 1000 条提示词、3 个种子。
• 单草稿与检测：Figure 1 扫描 L∈{1,2,3,4}，目标/草稿为 Qwen2.5-7B-Instruct 与 Qwen2.5-0.5B-Instruct，数据为 CNN_DAILYMAIL。Figure 2(a) 报告默认草稿器上 TPR@1%FPR 对 Teval；Figure 2(b) 在 D0–D3 上换规模与温度。
• 对照方法：同一 harness 包含 BASIC-UWM、VSpS、INVARIANT、MWS、MSE、MSE-PSEUDO、PFR、MPFR、PFR-NoWM。ANLPPT 使用 U / Li / PL。质量指标为 LPPL，有参考时还有 ROUGE-L，数值在附录 D.5，正文未列出。
• 正文未报告：附录 D.3、D.4 的逐格 ANLPPT、LPPL 与更多模型–数据集数字未出现在正文；论文未报告攻击或防御意义上的查询次数。理论部分另给 Theorem 5.1 的接受下界与式 (4) 的无通信匹配上界。

MPFR 是一种基于泊松过程的多草稿投机采样，用来同时提高解码效率并嵌入无偏水印。

• 问题：自回归生成慢，投机采样可以加速且不改变目标分布；水印用于溯源。Hu and Huang (2024) 证明固定草稿数下两者有基本权衡。作者希望沿草稿数量这一维提高效率，同时不降低水印可检测性，并让输出在停止时间条件下不依赖具体草稿模型。
• 方法：密钥化泊松过程使每个发出 token 由目标侧 PFR/MPFR 决定。单草稿 Algorithm 3 用同一泊松源比较草稿与目标赢家。多草稿 Algorithm 4 按上下文而非草稿身份索引泊松过程，取映射分数最小的若干样本组成投机树，沿目标路径接受，全接受再发 bonus。检测器持密钥重放泊松过程，用 Aaronson 分数 SA 做检验。作者证明离散 PFR 等价于指数竞赛，并称算法满足 stopping-time drafter invariance。
• 效率：Table 1 在 L=4、1000 条提示词和 3 个种子上，Qwen-CNN/DM 的 MPFR AATPS 从 B=2 的 2.797 到 B=8 的 3.409，TR 从 25.11 到 29.13；Llama-CNN/DM 在 B=8 为 AATPS 4.034、TR 42.04。例外是 B=2 的 Qwen-CNN/DM：GLS 的 AATPS 2.803 高于 MPFR。
• 水印：作者称 Figure 1 中每个 L 上 PFR 同时优于 MWS 与 MSE 两端，且 PFR 与无水印的 PFR-NoWM 的 AATPS 几乎相同；MPFR 相对 INVARIANT 的 ANLPPT-U 更高，且随 B 的变化满足 ΔANLPPT≤0.001。Figure 2(b) 中更换 D0–D3 时，PFR 的 TPR 漂移至多 1 个百分点，MSE 为 12–22 个百分点。
• 结论：作者认为该方案改善了水印与采样效率的权衡并有较强加速。作者同时指出，通信、水印强度与效率三者的基本刻画仍不清楚，现有记账实现会略微拖慢算法。