研究提出 Untag 攻击框架，使开源大模型触发标签滥用检测机制失效

开放权重 LLM 的 trigger-tag，在攻击者能改写输出或修改权重时，是否还能检出钓鱼等目标滥用。

• 场景：作者称开放权重可被下载、微调并对外提供，开发者无法再强制解码、监控请求或阻止下游修改。集中式服务可用安全微调、拒答、访问控制和部署侧监控缓解钓鱼等滥用；权重发布后这些手段不再由原开发者执行。Lin 等人记录了地下市场和公开托管上的 212 个恶意 LLM 服务，其中公开可访问的服务里有 80 个能生成钓鱼邮件。
• 现有不足：trigger-tag 在目标条件成立时产生可检测信号，不阻断生成，供下游检测、过滤、归因和审计。作者称把它用于开放权重 LLM 的条件滥用检测相对较新；已有工作没有在对抗攻击下系统研究稳健性。Paladin 在干净输出上报告了检测，另一工作把可检测行为写入权重，但都未回答攻击者控制输出通道、解码或已发布权重时检测是否仍成立。
• 核心区分：作者把 trigger-tag 看成复合机制，包含目标条件判定、条件化打标、下游检测，以及开放权重上由攻击者控制的推理与复用。作者区分 clean detection（攻击前可检出）与 robust misuse detection（攻击后目标行为仍须可检出，且不误标良性输出）。
• 本文做法：形式化 trigger-tag，区分解码期打标的 token-level 与把关联写进参数的 weight-level；提出统一攻击框架 UNTAG，以钓鱼为案例评估代表机制。作者认为，攻击者能变换输出或修改开放权重时，不应把这些机制当作稳健的滥用检测器。
• 威胁模型：
  • 目标：得到可用的钓鱼或社会工程内容且不被检测。毁掉钓鱼意图或使输出不可用的变换不算成功。
  • Output-side attacker：可运行或查询带标签生成器、观察输出，并在部署前改写文本；不改模型，不需要 tagging 或 detection key。
  • White-box model attacker：针对 weight-level，可改已发布参数，评估微调、剪枝和基于 SVD 的修改；知道机制类别，不需要 detection key、带标签训练数据或检测器查询。
  • 防守方假设与范围：提供者给开放权重模型装上 trigger-tag 并在下游部署检测器。作者故意假设所考虑生态中每个模型发布前都已装上机制，攻击者不能改选未打标发布；作者称这使评估偏向防守方。不实证评估检测器引导优化、prompt 侧规避、模型抽取或溯源链攻击，也不把推理时关闭 token-level 打标当作移除实验。

开放权重失控与集中式防护

• Lin 等人（2024），Malla：记录通过地下市场和公开托管广告或部署的真实恶意 LLM 服务。论文写出 212 个服务，以及公开可访问服务中 80 个能生成钓鱼邮件，用来说明开放权重可被重新包装成原开发者无法运营控制的服务。
• 安全微调与对齐耐久性：Ouyang 等人（2022）、Bai 等人（2022）被引为用人类反馈训练遵循指令或无害助手。Qi 等人（2024）等被引为微调会破坏对齐安全。论文把安全微调、拒答、访问控制和部署侧监控列为集中式服务的缓解手段，并称权重发布后开发者不能再强制这些流程。
• 开放权重风险讨论：Casper 等人（2026）被引为开放权重模型风险管理中的开放技术问题。论文没有逐项复述这些问题。

水印、后门与 trigger-tag

• 文本水印：KGW（Kirchenbauer 等人，ICML 2023）、Unigram（Zhao 等人，ICLR 2024）、EXP（Kuditipudi 等人，TMLR 2024）、SynthID（Dathathri 等人，Nature 2024）。论文沿用 Zhao 等人（2025）的记号，称有用的水印应以高概率检出带水印文本、很少标记普通采样，并保持生成效用。作者称标准水印不论意图都标记生成文本，trigger-tag 则只在目标条件满足时施加信号。
• 防御性后门与标记：后门通常被当作攻击；Gu 等人（2022）等把后门式关联用于预训练模型水印。Paladin（Pang 等人，NDSS 2026）为开放权重钓鱼内容引入条件生成标记，并在干净输出上报告检测。LLM-Mark（Xu 等人，WMARK 2025）把可检测行为嵌入权重以便后续识别或验证。作者称这些结果说明在预定生成流程下可检出，但没有在统一滥用威胁模型下比较两类设计。
• 监测向水印：Aremu 等人（2026）的激活水印被列为集中式监测相关工作。论文未把它当作本文的评测对象。

本文改编的攻击来源

• 输出侧改写与水印碰撞：语义改写引用 Piet 等人（2025）的释义、摘要、扩展和翻译往返。tag overwrite 用独立密钥重写 token-level 输出，论文将其与 Luo 等人（2025）的水印碰撞联系起来：第二套水印把 token 分布推向攻击者选定的信号。

• 模型修改：剪枝测试标签是否依赖可移除参数，引用 Sun 等人（2024）；附录还提到 Wanda 与 SparseGPT（Frantar 与 Alistarh，2023）。对比子空间移除改编 Uppaal 等人（2025）的激活编辑，并设同秩随机正交子空间对照。

• 下游钓鱼检测：讨论节将邮件服务器、消息平台和企业网关列为开发者仍能控制的边界，并引用 D-Fence（Lee 等人，2021）等一系列钓鱼检测工作。这些不是 UNTAG 的攻击基线。

• 基线方法与数据：实验参照是各机制自己的无攻击 clean detection（Table III 的 Baseline），不是另一套攻击算法。SVD 的机制性移除主张要求对比编辑比同秩随机子空间更强地压低检测；Table VII 未给出该对照的检测率。目标条件使用 Paladin 发布的提示词划分：目标划分含凭证收集、冒充、欺诈账户通知及相关社会工程邮件，良性划分含日常工作、客服、通知和个人邮件请求。

作者称先前工作没有系统映射这一复合机制的攻击面，也没有在同一滥用威胁模型下比较 token-level 与 weight-level；UNTAG 把机制设计假设连接到对应攻击向量。

整体做法是先形式化 trigger-tag，再用 UNTAG 按信号在何处被引入、保存和检测来组织攻击，并以钓鱼为案例实例化代表机制。

问题设定与形式化

• 生成与水印：生成模型记为 M，M(π)→x 表示由提示词 π 采样输出 x。文本水印有生成密钥 gk 与检测密钥 dk；带水印生成在解码时改 token 选择，检测器 Detect_dk(x) 返回 true 或 false。
• 目标条件与触发决策：T(π, x)∈{0,1} 表示交互是否满足目标条件，可依赖提示词、输出或二者，因此看起来良性的提示词仍可能产生目标输出。机制未必在生成前看到真实 T，故用 b∈{0,1} 表示机制自己的触发决策，b 可来自输入监控、输出监控或模型学到的行为。作者用 b 与 T 分离，区分“机制是否激活”和“交互是否真满足目标条件”。
• 方案组成：给定 gk 的带标签生成 Tag(π; b)，b=1 时激活打标；给定 dk 的检测器返回是否含标签。触发是激活打标的条件，标签是激活后的可检测信号。干净真阳率定义为 TPR_clean=Pr[Detect_dk(x)=true∣ T(π,x)=1]，即目标条件成立时被检出的概率；FPR_clean 是 T=0 时被标出的概率。

两类打标

• Token-level：在解码期用 token 选择引入统计信号，不改基座参数。监控认定目标条件时走带密钥的水印解码，否则普通解码。Figure 2 中生成密钥可以是统计选 token 规则，也可以是训练时要学习的标记、token 集或消息。
• Weight-level：用后门式训练把目标条件与打标行为写入参数，M_gk←Embed(M, gk, D_T)，之后 Tag 就是 M_gk(π)。作者称这与恶意后门不同，关联由防守方故意装入，用于检测或归因；信号仍可从生成文本检测。
• 显式与隐式：触发可见性和标签可见性分开。显式触发依赖预定义词面线索，隐式触发由语义目标条件激活、不要求精确短语。显式标签可用字符级标记直接匹配；隐式标签需要统计或学习得到的检测器。Paladin 的显式标签是指定的零宽 Unicode 标记，隐式标签用带标签模型与参考模型的似然差。

UNTAG 的攻击面

• 输出侧：不改模型，x̃=a(x)。成功准则为 Succ_out(a,π,x)=1[T(π,x̃)=1∧Detect_dk(x̃)=false]，即仍满足目标条件且不再被检出。三类向量是表面清洗、语义再生，以及对 token-level 的独立密钥覆写。
• 表面清洗：测检测是否依赖可见标记、Unicode、格式或其他表面特征。实现包括标记剥离、ASCII 归一化、空白清理、Markdown 去除和邮件清洗。
• 语义改写：释义、摘要、扩展，以及英→西→英往返翻译。作者称它们改变 token、句法、长度和风格，但保留恶意请求，用来区分“只改格式”和“换一种语言实现”。
• Tag overwrite：只对 token-level。攻击者选独立密钥 k′≠k，在施加第二套标签的同时重写输出；水印算法不变，只换密钥。被攻击输出同时交给防守方原检测器与攻击者的 overlay 检测器。作者称成功覆写应保住钓鱼意图并避开原检测器。
• 模型侧：仅 weight-level。M̃←A(M_gk) 后重新生成。成功同样要求新输出满足 T=1 且检测为 false。微调测普通下游适配，剪枝测标签是否依赖可去掉的参数，对比 SVD 测触发相关行为是否占可识别的低维表示子空间。论文写明不评估检测器可查询或可近似时的决策边界搜索。

模型侧编辑与评测实例

• 对比 SVD：攻击者构造目标提示词集合 P+ 与良性对照 P−，取层 ℓ 最后提示 token 的残差流激活，用良性均值中心化目标激活，做薄 SVD，保留 top-K 右奇异向量，跨层正交化得到投影。写入残差流的注意力输出和 MLP down-projection 左乘 (I−Π)；语言模型头右乘 (I−Π)。只用模型激活和公开目标域知识，不需要打标密钥、检测器查询或带标签训练数据。机制性移除主张仅在对比编辑比同秩随机子空间更强地压低检测时成立。
• 实例化：token-level 用 MarkLLM 实现 KGW、Unigram、EXP、SynthID，施加于 Llama3 (8B) 与 Qwen2.5 (7B)。评估假设完美触发 oracle，钓鱼提示词走水印解码，良性提示词走普通解码；论文称实际部署还需监控器推断 b，监控错误会另增假阴性和假阳性。weight-level 的 Paladin-Base 是触发–标签样本上的监督微调；Paladin-Pro 从该检查点再用 GRPO 训练，奖励产生标签并惩罚偏离原模型。LLM-Mark 用原文的 Backdoor-IT，把普通指令数据与触发–目标样本混合。三者都建在 Llama2 (7B)、Llama3 (8B)、Qwen2.5 (7B) 上；Paladin 同时有显式和隐式标签。
• 判定：攻击只在钓鱼提示词上评检测率；FPR 在未受攻击模型的良性生成上测量，用来固定防守方工作点。名义显著性 p≤10^−4 不被当成经验 FPR。模型侧只统计仍可用的设置：生成困惑度中位数在未攻击模型的 2 倍以内，重复率至多多出 0.10，输出长度中位数至少一半；微调只使用重复率与长度。每个攻击报告可用设置中的最低检测率。

实验设置

• 模型与机制：weight-level 为 Llama2 (7B)、Llama3 (8B)、Qwen2.5 (7B) 上的 Paladin-Base、Paladin-Pro（各含 explicit / implicit）和 LLM-Mark。token-level 为 Llama3 (8B)、Qwen2.5 (7B) 上的 KGW、EXP、Unigram、SynthID。Figure 5 图注写的是 LLaMA-3.1-8B，与正文的 Llama3 (8B) 写法不同。
• 数据与 oracle：提示词来自 Paladin 发布的划分。显式 weight-level 用 explicit prompt split，隐式 weight-level 与 token-level 用 implicit split。评估假设 oracle 目标条件：目标划分 T=1，良性划分 T=0。论文称这把标签稳健性与上游滥用分类器的错误分开。Water-Phish 指水印只加在目标生成上，良性生成用基座解码。
• 生成与改写：weight-level 为贪心解码，最多 220 个新 token。token-level 最多 220 个新 token，temperature 0.7，top-p 0.9，top-k 50，no_repeat_ngram_size=4，除非方法自带采样器。语义改写用 Qwen2.5-3B-Instruct，贪心，最多 300 个新 token；往返翻译为英→西→英。每种变换独立作用于同一条基线补全，并同时用于目标与良性输出。
• 检测器：显式 Paladin 搜索指定零宽 Unicode 标记。隐式 Paladin 用 s(x)=NLL_Mref(x)−NLL_Mtag(x)，阈值在评攻击输出前固定，论文未给出该阈值的数值。KGW 与 Unigram：γ=0.5，δ=3，z≥3.719；KGW 另用 1-token 前缀。EXP：前缀长度 4，序列长度 220，p≤10^−4。SynthID：非失真模式，5-gram，30 个密钥，两片 tournament leaf，上下文历史 1024，分数阈值 0.52。LLM-Mark 用原文验证流程。
• 模型侧设置：微调为 Dolly-15k 上的 LoRA；附录写 rank-32、α=64、dropout 0，前 2000 条，AdamW 学习率 10^−4，Paladin 检查点 {0, 50, 100, 200, 400}，Backdoor-IT 为 {0, 100, 300}。剪枝比例 30%、50% 或 70%，方法为 magnitude、Wanda 或 SparseGPT，都不用检测器。SVD 用 200 条钓鱼与 200 条良性提示词；32 层 Llama2/Llama3 的源层为 {20, 24, 28, 31}，28 层 Qwen2.5 为 {17, 21, 24, 27}；K∈{1, 2, 4, 8, 16}，从输出嵌入矩阵去掉这些方向。
• 指标与样本量：攻击报告钓鱼输出上的 TPR，FPR 只在未攻击模型上计算，并给 95% Wilson 区间。Table III 写明每格 n=100，并称 0/100 的上界为 3.7%，故 FPR 0%–4% 在统计上不可区分。Table IV–VII 未再次写明 n。

主结果

Swipe horizontally to read the table

机制（模型）	对照 TPR	攻击后 TPR	攻击	出处
KGW（Llama3）	100%	0%	覆写后防守方 D	Table VI
EXP（Qwen2.5）	98%	4%	覆写后防守方 D	Table VI
Paladin-Base explicit（Llama2）	99%	0%	marker stripping	Table V
Paladin-Base implicit（Llama2）	61%	0%	四类语义改写	Table V
Paladin-Pro implicit（Llama3）	92%	25%	expansion	Table V
LLM-Mark（Llama2）	80%	0%	SVD removal	Table VII
Paladin-Base explicit（Llama3）	95%	7%	SVD removal	Table VII
Paladin-Pro explicit（Llama3）	76%	98%	pruning	Table VII

• 作者称失败模式取决于信号放在哪里：显式标记可被一步表面清洗去掉；隐式和统计标签更能留下清洗，但语义改写会削弱它们。摘要称所评估的输出侧攻击中，隐式 weight-level 在语义改写下落到 0%；Table V 里只有 Llama2 的 Paladin-Base implicit 四类语义改写都是 0%，Paladin-Pro implicit 不是。
• 作者称更强的干净检测并不意味着稳健检测。覆写只换密钥、不换水印算法；作者称移除不依赖于攻击者替换标签是否被其自己的检测器完全认出。摘要称每个输出都被换成攻击者选定的标签；Table VI 的 D′ 并非都是 100%。
• 作者称 weight-level 标签对剪枝通常更耐，微调和 SVD 会压低检测，SVD 降幅最大；有权重即可攻破所评估的每一个 weight-level trigger-tag。表中 Llama3 上 Paladin-Pro explicit 的剪枝列高于该表无攻击列，论文未单独解释这一格。

无攻击检测与输出侧其余结果

• Clean detection（Table III，n=100）：token-level 的 TPR 为 Llama3 上 KGW 100%、EXP 95%、Unigram 99%、SynthID 88%，Qwen2.5 上 KGW/EXP/Unigram 100%、SynthID 96%；FPR 多为 0%，Qwen2.5 的 EXP 为 1%。显式 Paladin 的 FPR 为 0%–1%，TPR 从 Llama3 Paladin-Pro explicit 的 76% 到 Llama2 Paladin-Pro explicit 的 100%。隐式标签的 FPR 更高：Llama3 Paladin-Base implicit 17%，Qwen2.5 Paladin-Base implicit 15%，Llama2 Paladin-Pro implicit 9%。LLM-Mark 的 TPR 为 80%–95%。作者称这些趋势与原文干净设置大体一致，并用作后续参照。
• Token-level 输出侧（Table IV）：表面清洗后 KGW、Unigram 多保持在 99%–100%。语义改写全部下降。Llama3 上 EXP 释义后 6%、摘要 7%、扩展 24%、往返 13%；SynthID 扩展后 6%。Qwen2.5 上 KGW 释义后 27%，Unigram 往返后 91%。作者称往返翻译是最弱的改写攻击，同语言改写更能去掉这些标签。
• Weight-level 输出侧（Table V）：显式标签在空白清理和 Markdown 去除后仍为 baseline（Llama2 Paladin-Base explicit 仍为 99%），marker stripping、ASCII 归一化和邮件清洗为 0%；语义改写后 explicit 至多 1%（Llama2 Paladin-Base explicit 的 expansion）。隐式 Paladin-Pro 在 Llama3 上释义 35%、摘要 30%、往返 39%，marker stripping 为 80%（baseline 92%）；Qwen2.5 上释义 56%、摘要 61%、扩展 39%、往返 62%，marker stripping 为 65%（baseline 97%）。Table V 没有 LLM-Mark，也没有 Llama3/Qwen2.5 的 Paladin-Base。

Tag overwrite

• 检测（Table VI）：Llama3 的 clean D-TPR 为 KGW 100%、EXP 95%、Unigram 99%、SynthID 86%，覆写后 D-TPR 为 0%、2%、1%、0%，D′ 为 100%、51%、100%、89%。Qwen2.5 的 clean D-TPR 为 100%、98%、100%、97%，覆写后 D-TPR 为 0%、4%、0%、0%，D′ 为 100%、29%、100%、57%。八组里有五组 D-TPR 为 0%，最高 4%。这些 clean 点估计与 Table III 不完全相同（如 Llama3 SynthID 88% 对 86%），论文未说明原因。
• 作者解读：KGW 与 Unigram 的替换是完全的，D′ 在两个模型上都是 100%；SynthID 在 Llama3 上几乎完全替换、在 Qwen2.5 上部分替换；EXP 的 overlay 信号最弱。作者称攻击者的理想目标是移除而不是替换，因此成功只看防守方检测率低。Qwen2.5 上 EXP 的 D′ 不到三分之一，防守方仍从 98% 降到 4%。
• 覆写效用：正文给出两模型平均：EXP 余弦相似度 0.956、困惑度 1.57×；SynthID 0.930、2.46×；KGW 0.893、5.91×；Unigram 0.855、5.67×。作者称 KGW 与 Unigram 把困惑度升到 12.5–22.1，完全替换以流畅度换可伪造信号；只移除则便宜得多。

白盒修改与输出是否仍可用

• Table VII 的范围：数字是可用设置中的最低检测率，不是每种剪枝比例或每个 K 的分项。隐式 Paladin 的 SVD 后 TPR 为 12%–47%（baseline 61%–97%），微调 28%–47%，剪枝留下 42%–82%。显式 Paladin 的剪枝留下 66%–98%，微调 14%–81%，SVD 为 7%–45%；作者称没有显式配置在 SVD 后保持超过 45%。Llama2 上 Paladin-Base explicit 的 SVD 38% 与微调 39%，作者称统计上打平。LLM-Mark 的 SVD 从 80%–95% 降到至多 1%（Llama3 为 1%，另两模型为 0%）；微调最低到 18%，剪枝最低到 29%。作者称 Paladin-Pro 在每个骨干的每种攻击下都比 Paladin-Base 留下更多信号，Llama3 上 SVD 的差距最大（45% 对 7%）。
• 语义改写效用（Table VIII）：十二种配置的平均余弦相似度为 0.902–0.984，困惑度相对带标签原文至多 1.71×，攻击后困惑度在 2.15–5.48。作者称把 Paladin-Base implicit 打到 0%、把 Llama3 上 EXP 与 SynthID 打到 6%–24% 的改写，余弦相似度仍至少 0.90。Llama2 上 Paladin-Base implicit 的原始 PPL 为 20.61，显式变体为 3.24；每种改写把它降到 3.57–5.48，比率为 0.17×–0.27×。作者称对这一机制，改写既去掉标签，又使邮件更流畅。未受攻击时 KGW 与 Unigram 的 PPL 为 2.88–3.16，EXP 与 SynthID 为 1.86–2.08。
• 白盒效用（Table IX）：微调升困惑度最多，1.86×–3.03×；SVD 对 Paladin 为 1.32×–1.72×，对 LLM-Mark 为 0.92×–1.95×。Llama2 上 LLM-Mark 的 SVD 去掉检测，同时把困惑度降到未修改模型的 0.92×。作者称最有效的攻击不是代价最高的，修改后的模型仍可运行，并仍生成目标钓鱼内容。Figure 4 给出四类成功规避的前后对照；作者称表面清洗可在可见措辞不变时去掉显式标签，图中用 ZW 标出原本不可见的字符。Figure 4c 标注 KGW on Llama3 的分数从 D: Detected (8.18) 变为 D: Not detected (0.34)、D′: Detected (14.66)。这些是单例标注，不是汇总指标。

其他消融与分析

• Figure 5（δ∈{3, 6, 12}，KGW 与 Unigram）：图注称所有配置的 baseline TPR 为 99%–100%、FPR 为 0%；增大 δ 通常提高释义后稳健性，同时提高未加水印基座上的 NLL。正文未给出各 δ 的具体 TPR 或 NLL。
• Table III 注：FPR 0%–4% 与 0/100 的 Wilson 上界 3.7% 在统计上不可区分（作者称）。
• 主实验固定 δ=3（KGW/Unigram）与附录中的检测阈值；论文未在结果表中按剪枝算法、稀疏度或 SVD 的 K 分列检测率。
• 论文描述了同秩随机子空间对照，但 Table VII 与结果正文未给出该对照的检测率。

作者指出的局限与后续方向

• 领域范围：评估用钓鱼作为具体的高风险滥用条件。作者称攻击面可延伸到有毒生成或恶意代码等其他条件，但测量不应被读成那些领域的结果（§VI.B Scope）。
• 模型与实现：只评估三个模型族和有限的机制实现。token-level 机制是把已有水印方案适配到 Paladin 的滥用条件设计，而不是原实现（§VI.B Scope）。
• 单一工作点：每个机制在一个工作点评估，例如 KGW 与 Unigram 的 δ=3。作者称其他训练流程、检测器、阈值和模型规模可能给出不同权衡（§VI.B Scope）。
• 未纳入威胁：假设 oracle 目标条件决策，从而把标签稳健性与上游分类器错误分开。作者称部署系统还必须判断提示词或输出是否满足目标条件，这打开了一条本文未评估的 prompt 侧规避路径；同样未评估检测器引导优化（§VI.B Threat model）。
• 解码控制：token-level 标签假设防守方控制解码。作者称运行开放权重模型的攻击者可以直接关闭它们，因此 token-level 结果只适用于有受信任解码器的部署，例如托管 API（§VI.B）。
• 效用与下游方向：嵌入相似度和困惑度只看意义和流畅度是否留下，不说明邮件是否仍有说服力或仍可操作；作者称没有做大规模人工评估（§VI.B Utility）。作者建议开放权重上的执行应转到防守方仍控制的下游边界，如邮件服务器、消息平台和企业网关；trigger-tag 可以补充纵深防御，但不应作为主要安全边界（§VI.C、§VII）。

实验覆盖范围

• 被测生成模型为 Llama2 (7B)、Llama3 (8B)、Qwen2.5 (7B)。token-level 四种水印只在 Llama3 与 Qwen2.5 上评估；weight-level 五种配置在三个骨干上都有干净检测（Table III）。
• 输出侧攻击包括五类表面清洗和四类语义改写，两类机制都评；tag overwrite 只对 token-level。模型侧微调、剪枝和 SVD 只对 weight-level（§III、Table IV–VII）。
• Table III 每格 n=100，并报告 95% Wilson 区间。FPR 由未受攻击模型的良性生成估计。语义改写模型为 Qwen2.5-3B-Instruct。
• 论文写明不实证评估检测器引导优化、prompt 侧触发规避、模型抽取和溯源链攻击，也不把关闭 token-level 解码当作实验（§III）。
• 论文写了同秩随机子空间对照的设计，但未在 Table VII 或结果正文报告其检测率；也未报告各剪枝算法、稀疏度、微调检查点和 SVD 的 K 各自的检测率，Table VII 给出的是可用设置中的最低检测率。

UNTAG 是针对开放权重 LLM 上条件滥用检测 trigger-tag 的统一攻击评估：信号可以在解码期注入，也可以写进权重，但攻击者若能改输出或改已发布权重，检测可以失效。

• 问题：权重发布后，原开发者不能强制解码、监控请求或阻止下游修改。trigger-tag 不阻断生成，只在钓鱼等目标条件成立时留下可检测信号，供下游审计。作者称已有系统在预定生成流程下可检出，但没有在同一威胁模型下比较 token-level 与 weight-level 的对抗稳健性。
• 方法：token-level 在监控判定目标条件时启用 KGW、Unigram、EXP 或 SynthID，否则普通解码。weight-level 用 Paladin-Base、Paladin-Pro 或 LLM-Mark 把钓鱼条件与显式标记或隐式行为关联写入 Llama2、Llama3、Qwen2.5。UNTAG 的输出侧攻击是表面清洗、语义改写和独立密钥覆写；模型侧是微调、剪枝和对比 SVD。成功要求钓鱼意图仍在且原检测器不再触发。评估假设发布前都已打标，并用 oracle 决定是否打标。
• 干净检测：Table III（n=100）中 KGW 在 Llama3 与 Qwen2.5 上的 TPR 为 100%、FPR 为 0%。显式 Paladin 的 TPR 为 76%–100%，FPR 为 0%–1%。隐式 Paladin-Base 在 Llama3 上的 FPR 为 17%。
• 攻击：Table V 中 Llama2 显式 Paladin-Base 经 marker stripping 后 TPR 为 0%；其隐式变体在四类语义改写后也是 0%，但 Llama3 上 Paladin-Pro implicit 的 expansion 仍有 25%。Table VI 中覆写后防守方 D-TPR 最高为 4%（Qwen2.5 上的 EXP），而攻击者检测器 D′ 从 29% 到 100% 不等。Table VII 中 Llama2 与 Qwen2.5 上 LLM-Mark 经 SVD 后 TPR 为 0%，Llama3 为 1%；显式 Paladin 的 SVD 后 TPR 为 7%–45%。
• 效用与结论：Table VIII 中语义改写后的平均余弦相似度为 0.902–0.984。作者认为检测失败主要来自去掉或压制标签，而不是毁掉钓鱼能力。作者的结论是：干净可检出与攻击后仍可检出之间有差距；trigger-tag 可以作取证或审计信号，但一旦攻击者控制输出通道或模型权重，就不是可依赖的安全边界。作者建议把执行移到邮件网关等下游系统。