互补 LLM 水印如何追踪来源并检测篡改

生成式 LLM 水印在抗编辑以保持溯源的同时，无法暴露关键内容被改写的 piggyback spoofing。

• 场景与重要性：作者称法规与行业承诺越来越要求可识别 AI 生成内容，生成式水印通过在采样时倾斜概率、检测时打分来追溯来源。作者认为首要威胁是 removal：攻击者编辑部分带水印文本以逃避归因。
• 现有方法的不足：为对抗 removal，现有方案把信号做得对编辑稳健。作者称这种稳健性打开 piggyback spoofing：改动少量词后信号仍强，方案会为模型并未生成的内容背书。Figure 2 用同一套 green-red 水印示意两类攻击。多数方案只嵌一个信号，溯源要稳健、篡改证据要敏感，二者相反。作者称最接近的 Bileve 在每一阶段都付出代价：对开头 token 签名并把签名位写入后续 token，载体 token 不受保护；重分词会使签名在未编辑文本上失败；为匹配签名位取 top token 使困惑度约升至六倍。
• 核心观察：作者认为在同一文本中嵌入两个信号可以把溯源与篡改证据拆开。稳健信号用短窗口熬过编辑，脆弱信号用长窗口对读者可见改动敏感；二者播种在归一化文本上，以对读者可见编辑反应、在传输中保持一致。
• 提出的方法：作者提出 Cocktail，用独立密钥与不同播种窗口、经多轮无偏 tournament 重加权把两种信号共嵌进每个 token，周期轮次分配控制强度比，检测时二维分数支持 Intact、Tampered、No-Watermark 三态。
• 威胁模型
  • 目标：攻击者收到带水印文本后编辑，要么在保留主要内容时去掉水印，要么改动关键细节而不被检测发现。
  • 知识：攻击者知道方案但不知道密钥。
  • 能力：攻击者可编辑收到的带水印文本；检测方持有密钥，不能访问语言模型，只收到文本并重算信号、打分。
  • 受害系统与判定：受害对象是带水印的自回归 LLM 生成文本。检测要回答两问：文本是否来自带水印模型（provenance），交付文本是否正是模型所生成（tamper evidence）。

作者在第二节把相关工作分成生成式水印与 piggyback spoofing 防御。

生成式水印

• Aaronson (引用 [10]) 与 KGW [4]：Aaronson 把带密钥的伪随机变量引入 token 采样；KGW 把信号做成词表的 green-red 划分，采样时抬高 green token，用 green token 计数的 z-score 打分。作者称二者确立了推理时嵌入与检测的框架。
• 稳健方向：Unigram [6] 用一个全局划分以尽量抗编辑；Kuditipudi 等 [14] 用 Levenshtein 距离把文本对齐到预生成密钥序列；SIR [7]、SemStamp [15] 及后续基于语义的方案 [16]、[17] 把信号播种在语义上以熬过改写。Dipper [11] 把 T5-XXL [12] 微调成改写器，并称嵌入式水印比被动检测器 [13] 更抗改写。作者引用已有结论：对抗无界改写的强水印不可能 [18]，可靠性随编辑预算下降 [19]。
• 生成质量方向：无失真（distortion-free）要求随机信号下 token 的期望概率等于原始概率，由 [14] 表述并在 [20]、[21] 中独立提出。Unbiased [21] 进一步称，只要种子不重复，就能保持期望的下游表现。DiPmark [22]、SynthID [5]、MCmark [23]、BiMark [24] 各自设计无偏重加权。作者称 BiMark 与 ENS [25] 把独立的无偏步骤组合起来放大单一信号，而 Cocktail 组合的是 tournament 轮次，用可记账的熵消耗把轮次分配变成两种互补信号之间的强度旋钮。

Piggyback spoofing 与防御

• Piggyback spoofing [8]：改动已有带水印文本中的少量词，并利用信号的稳健性使编辑后文本仍保持高信号强度。
• Bileve [9]：作者称为与 Cocktail 最接近的工作。它嵌入粗粒度与细粒度签名，但签名会扭曲输出来携带比特，并且认证的是 token ID 而不是读者收到的文本。
• An 等 [26]：用第二遍生成收紧信号与语义的绑定，作者称它仍是单一信号，稳健归因与抗 spoofing 的冲突还在。作者还提到图像水印用同名做法配对稳健与脆弱水印 [27]。

基线方法为推理时水印 KGW、Unigram、SynthID、SIR，另与 Bileve 比较。基准/数据集为 C4 的 realnewslike 子集与 LFQA；归因攻击为 Dipper 改写和 opus-mt 往返翻译，篡改证据攻击为随机 token 替换与情感翻转。

作者把 Cocktail 定位为：按轮把两种信号混进每个 token，从而把图像水印中稳健–脆弱配对这一原则实现到生成式 LLM 文本上，并用联合分数把二值检测变成三态决策。

Cocktail 用三种机制同时做溯源与篡改证据：互补双信号、无偏共嵌、二维分数上的三态规则（Figure 3）。两种信号只在密钥与播种窗口上不同，共用一条嵌入与检测流水线。

互补信号

• 独立 green-red 表：每个信号是词表上的 green-red 列表。生成步 t 的信号为伪随机函数 g^(t)_∗=PRNG(k_∗, s_∗(t))∈{0,1}^|V|，∗∈{r,f}。密钥不同，故两信号相互独立；green token 概率被抬高，red token 被压低。
• 短窗口与长窗口：位置 i 的编辑会破坏窗口长度 h 内、t 落在 [i, i+h] 的种子。短窗口把损坏限制在少数 token，长窗口把它向下游扩散。稳健信号用短窗口 hr，脆弱信号用长窗口 nf。
• 播种在归一化文本上：token 仍是载体，种子取归一化文本。稳健种子是前 hr 个 token 对应归一化文本的哈希，脆弱种子是归一化前缀最后 nf 个字符的哈希；前缀短于窗口时在文本开头截断。作者称短窗口 hr 下，重分词造成的 token ID 漂移会在少数 token 内重新对齐；完整前缀上，未编辑文本的归一化后缀在生成与检测时相同，脆弱信号只对有意编辑反应。
• 归一化器：包含不可见字符清理、Unicode NFKC、同形字折叠到规范字符、空白折叠，这些操作幂等且可跨环境复现。作者称更换归一化器只改变种子仍可复现的扰动范围，不改共嵌设计。

无偏共嵌与轮次分配

• 多轮向量化 tournament：令初始分布为模型分布，第 i 轮用独立的 Bernoulli(0.5) green-red 表重加权上一轮输出。绿色 token 获得其概率的 1−q 份额，红色 token 失去 q 份额，q 为上一轮分布下绿色 token 的总概率。作者称因列表为 Bernoulli(0.5)，每个 token 的期望调整因子为 1，故重加权无偏；各轮列表独立，d 轮之后期望分布仍等于原分布。这是 SynthID 两样本 tournament 的闭式。
• 周期图案：给定稳健比脆弱 (r:1)，周期为 r+1：下标模 r+1 为 0 的轮次分给脆弱信号，其余给稳健信号。轮次索引折进哈希，同一信号的各轮列表也保持独立。平衡交替即 (1:1)。
• 强度比：作者把初始分布的 collision entropy 当作两信号共享的预算，每轮花掉剩余预算的一份；(r:1) 的轮次大致按该比例分预算。作者称每轮消耗非线性、强度也不随预算线性增长，故轮次比不是精确代理，但是单调、可用的旋钮。嵌入时若任一侧窗口的上下文哈希在本次生成中重复，则跳过该 token，对应 SynthID 中与无偏采样配对的 repeated context masking。

二维分数与三态决策

• z 分数：对每个信号，只统计分给它的那些轮次的 green 命中。零假设是无水印文本，每次命中为独立 Bernoulli(0.5)。z 分数用命中数减去 0.5·T·d∗，再除以 sqrt(T·d∗/4)，∗ 为 r 或 f。
• 判定：zr 问溯源，zf 问篡改证据。规则是：zr>τr 且 zf>τf 为 Intact；zr>τr 且 zf≤τf 为 Tampered；zr≤τr 为 No-Watermark。作者称低 zf 本身分不清无水印文本和脆弱种子被编辑破坏的文本，须先用 zr 归因再读 zf。Intact 与 Tampered 都归因到带水印 LLM，只有 Intact 没有篡改证据。
• 可分性条件：作者称若脆弱窗口短到与稳健窗口相同，两信号对编辑的反应相同，分数平面退化成一维，Tampered 与 Intact 没有边界；因此脆弱窗口必须远长于稳健窗口。

默认参数

• 主实验设置：hr=1，脆弱窗口为完整前缀，d=30 轮，轮次比 dr:df 取 1:1、2:1、4:1。附录 Table III 进一步写稳健窗口为 1 个前序 token 加自身 token，脆弱窗口为完整归一化前缀加自身 token；脆弱种子为前缀上的 HMAC-SHA256，稳健种子与各层用 SynthID 的累加哈希。
• 阈值：每个设置单独标定。τr 取无水印文本 zr 的第 99 百分位，τf 取完整文本 zf 的第 1 百分位，对应负类 1% 尾部。检测对交付文本的前 300 个 token 打分；情感翻转评测因其输入在改写前被截到 200 词，打分长度为 200。

实验设置

• 模型与数据：生成模型为 Llama-3.2-1B 与 Gemma-3-4B。数据为 C4 的 realnewslike 子集和 LFQA。每种方案在每个模型–数据集对上生成 500 条文本。消融用 Llama-3.2-1B 在 C4 上生成。
• 基线：四个推理时水印。KGW 在前一个 token 上播种均衡 green-red 划分并偏置 green logits，γ=0.5、δ=2.0、窗口 1。Unigram 固定一个全局均衡划分，γ=0.5、δ=2.0。SynthID 在前一个 token 与自身 token 上播种，用 tournament 采样嵌无偏信号，m=30 层。SIR 在前缀语义嵌入上播种并加 KGW 式偏置，用 compositional-bert-large，δ=1.0。Bileve 用官方实现的默认参数，在 Llama-3.2-1B 与 C4 上测量。
• 两项任务：归因区分带水印文本（可以经过编辑）与无水印文本；篡改证据区分被篡改的带水印文本与完整带水印文本。基线用单一 z 分数做两项测试；Cocktail 用 zr 做归因、用 zf 做篡改证据，且只在 zr 已归因之后读 zf。
• 指标与阈值：每项任务报告 TPR@1%FPR，在前 300 个 token 上、以负类 1% 尾部为阈值。Overall 是五项任务的平均。PPL 用 Mistral-7B-v0.1 作 oracle，取前 200 个 token。
• 攻击：改写用 Dipper，词表强度 20/60 且语序 0，以及语序 20/60 且词表 0。往返翻译为 opus-mt 英→法→英。token 替换的比例 ρ 取 5% 与 10%，报告均值。情感翻转由 gpt-oss:20b 在词预算 5%–30% 下翻转情感，twitter-roberta-base-sentiment 验证，并用 DeBERTa-xlarge-MNLI 做 NLI 过滤。同形字替换换掉 30% 合格字符。
• 硬件：实验在单块 NVIDIA RTX 4090 Laptop GPU（16 GB）上运行。作者称每次运行把配置写入 generation params.json，检测时读回，对已发布文本打分可复现。

主结果

Table I 的 TPR@1%FPR（%）。行是模型–数据集，列是 Cocktail 4:1 与该格上篡改证据最高的单信号基线。

Swipe horizontally to read the table

设置	方法	无攻击归因	改写	往返翻译	情感翻转	token 替换	Overall	PPL
C4 / Llama	Cocktail 4:1	99.8	92.4	97.4	97.2	89.5	95.3	9.0
C4 / Llama	KGW（该格篡改最高基线之一）	100.0	86.0	76.4	5.2	6.2	54.8	8.9
LFQA / Llama	Cocktail 4:1	100.0	89.4	88.7	98.1	91.6	93.6	7.5
LFQA / Llama	KGW	100.0	78.2	75.8	22.2	12.2	57.7	7.9
C4 / Gemma	Cocktail 4:1	100.0	88.2	94.1	98.3	99.0	95.9	7.8
C4 / Gemma	SynthID	100.0	90.8	95.8	4.1	11.9	60.5	8.5
LFQA / Gemma	Cocktail 4:1	100.0	83.1	90.3	95.7	94.2	92.7	8.1
LFQA / Gemma	KGW	100.0	84.4	90.2	23.1	14.8	62.5	9.9

Table I 还报告其余变体与基线，此处未逐格列出。Cocktail 1:1 与 2:1 的篡改证据同样高于表中任一基线；基线篡改证据最高为 LFQA/Gemma 上 KGW 的情感翻转 23.1%，最低为多个 SIR 或 Unigram 格子上的 0.0%。

• 作者称两项指标同时达到：无攻击归因 99.7%–100.0%；改写与往返翻译下 4:1 变体与最强单信号基线相差几个点以内，并经常更高。每个 Cocktail 变体在 1% 误报下标出 89.5%–100.0% 的篡改文本，没有基线超过 23.1%。作者称只有 Cocktail 在两个目标上都超过 92% 召回，PPL 落在基线范围内。
• 作者称单信号越稳健，篡改证据越弱：SIR 在一半设置中篡改证据为 0.0%；Unigram 低于 17.2%；KGW 最高 23.1%；SynthID 只用 tournament 重加权嵌稳健信号，作者把它当作脆弱窗口退化成稳健窗口的对照，其篡改证据不超过 13.0%。
• 轮次比：作者称从 1:1 到 4:1，在 C4/Llama 上改写归因从 82.0% 升到 92.4%，情感翻转下的篡改证据从 99.4% 降到 97.2%，且每个设置都呈同一单调方向。作者称 Cocktail 最低篡改证据 89.5% 仍比最好基线 23.1% 高出 66 个点以上。

归一化位置、共嵌与窗口长度

• Table II，同形字替换：归一化器三种放置。不归一化时归因 33.6%，编辑文本误报 33.6%，篡改召回 99.8%。只在检测时归一化，归因回到 99.6%，但误报 38.3%，5% token 替换下篡改召回从 99.8% 降到 43.5%。播种前归一化时，1% 误报下归因 100.0%、编辑文本误报 1.0%、篡改召回 98.3%。作者称检测时归一化会替换模型原始输出的一部分，被替换的完整文本 zf 落到噪声水平。
• 一个 token 一个信号：作者给该变体最好的检测器，每个 token 用两把密钥都打分。完整文本 zr 从 9.4 降到 6.1，作者称要匹配共嵌的证据大约需要两倍文本。T=50 的归因从 98.3% 降到 86.0%，标准长度的往返翻译归因从 89.8% 降到 60.2%。
• Figure 5：脆弱窗口收到与稳健窗口一样短时，完整与篡改文本塌到同一条对角云上，Cocktail 退化为 SynthID。加长字符窗口后，作者称篡改云从完整云上剥离开。篡改证据在 nf=40 时为 7.0%，nf=200 时为 88.0%。作者称篡改文本与无水印文本的 zf 都靠近 0，只有篡改文本保持高 zr，因此须先归因再读 zf。

与基于签名的方案比较

• Bileve 不认证交付文本：在 Llama-3.2-1B 与 C4 上，对交付文本重分词后，91.1% 的未修改文本验证失败；改在存储的 token ID 上验证则全部通过。作者把失败归因于重分词。签名验证没有可调阈值，完整性通道的有效误报率为 91.1%，对照 Cocktail 标定的 1%。签名消息停在前 44 个 token，后面 512 个 token 只携带签名位、不受认证。
• 携带精确比特的代价：Bileve 的 PPL 升至 62.2，为同一测量协议下 Cocktail 的 10.3 的六倍。检测器用置换检验把文本与密钥序列重新对齐，默认 20 次置换给出 p≥1/21，高于作者使用的 1% 工作点；即便用加速对齐核，给一条文本打分要 144 秒，达到 1% 至少需要 99 次置换。Cocktail 用闭式打分。

其他消融与分析

• Figure 4：Llama-3.2-1B、C4 的真实生成落在 (zr, zf) 平面上，τr 与 τf 各按 1% 尾部标定；作者称三态可直接读出。
• 附录复述 SynthID 的定理：两样本、多层 tournament 无失真；逐层之后期望碰撞概率上升，后一层贡献的水印强度低于前一层。作者用此说明轮次比是单调旋钮而不是精确线性控制。
• Table III：情感翻转词预算 5%–30%，token 替换 ρ 为 5% 与 10% 并报告均值；Dipper 为 lex 20/60 配 order 0，以及 order 20/60 配 lex 0。
• Figure 6 与附录：归一化示例包括零宽字符、NFKC、同形字（如拉丁 a 与西里尔 a）、大小写与空白折叠。
• 主表中的例外：LFQA/Gemma 上 Cocktail 4:1 的改写归因为 83.1%，低于该格 KGW 的 84.4% 与 Unigram 的 90.4%；C4/Gemma 上 Cocktail 4:1 的改写归因 88.2% 低于 SynthID 的 90.8% 与 Unigram 的 95.2%。

作者指出的局限与后续方向

• 尾部编辑：作者在 Discussion and Conclusion 中写，局限在最后若干 token 的编辑只破坏脆弱种子的尾段，在尾段上读取 zf 是他们留待后续的自然扩展。
• 水印窃取：同一节写，除 piggyback spoofing 外，窃取是另一威胁，即通过查询推断 green list 来伪造信号。作者称推断代价随播种窗口增长；Cocktail 的短稳健窗口与现有稳健方案共享这一暴露，而脆弱信号播种在完整归一化前缀上、仍然难伪造。作者称提供篡改证据的信号因此是更难被窃取的那个，伪造会被标成 Tampered。
• 其他模态：作者在同一节写，两种互补信号的做法可能扩展到其他同时需要溯源与篡改证据的生成模态。
• 理论归属：附录 A 写 Cocktail 不引入新理论，正文关于无偏性与预算的主张依赖 SynthID 补充材料中已证明的定理。

实验覆盖范围

• 被测生成模型为 Llama-3.2-1B 与 Gemma-3-4B，数据集为 C4 realnewslike 与 LFQA，每个模型–数据集对、每种方案 500 条文本（Section V-A）。
• 主比较的推理时水印为 KGW、Unigram、SynthID、SIR；Bileve 用官方默认参数，只在 Llama-3.2-1B 与 C4 上比较（Section V-E）。
• 归因攻击为 Dipper 改写与 opus-mt 英→法→英往返翻译；篡改攻击为 ρ∈{5%, 10%} 的 token 替换（报告均值）和 gpt-oss:20b 在词预算 5%–30% 下的情感翻转；同形字替换为 30% 合格字符（Table III、Section V）。
• 消融（归一化位置、每 token 单信号、脆弱窗口长度）在 Llama-3.2-1B 与 C4 上生成（Section V-A、V-D）。主指标为前 300 token 上的 TPR@1%FPR；情感翻转打分 200；PPL 用 Mistral-7B-v0.1 的前 200 token。
• Cocktail 主设置报告 hr=1、完整前缀脆弱窗口、d=30、轮次比 1:1、2:1、4:1。Figure 5 给出 nf=40 与 nf=200 的篡改证据。论文未报告主实验的重复次数。

Cocktail 是一种推理时双信号 LLM 文本水印，用来同时回答文本是否来自带水印模型、以及交付文本是否仍是模型所生成。

• 问题：抗编辑的单信号水印能在 removal 之后保持归因，却会在 piggyback spoofing 中为被改过的关键内容继续背书。攻击者知道方案、不知道密钥，可以编辑收到的文本；检测方有密钥、不能访问模型。
• 方法：稳健信号用短窗口（hr=1）做溯源，脆弱信号用长窗口（主实验为完整归一化前缀）做篡改证据，二者密钥独立，都播种在归一化文本上。d=30 轮无偏 tournament 重加权把两信号写入每个 token 的采样分布，周期图案按 1:1、2:1 或 4:1 分配轮次。检测计算 zr 与 zf，先看 zr 是否超过 τr，再看 zf 是否超过 τf，得到 Intact、Tampered、No-Watermark。
• 主结果：Llama-3.2-1B 与 Gemma-3-4B 在 C4 与 LFQA 上各生成 500 条。Cocktail 无攻击归因的 TPR@1%FPR 为 99.7%–100.0%；各变体篡改检测为 89.5%–100.0%，Table I 中基线最高 23.1%。作者称 4:1 在改写与往返翻译下与最强单信号基线相差几个点以内，PPL 落在基线范围内。从 1:1 调到 4:1 会抬高改写归因、略降篡改检测。
• 设计核对：播种前归一化在同形字替换下把篡改召回保持在 98.3%（Table II）；只在检测时归一化则降到 43.5%。脆弱窗口 nf=40 时篡改证据 7.0%，nf=200 时 88.0%（Figure 5）。Bileve 在未修改文本上有 91.1% 因重分词验证失败，PPL 为 62.2，对照同一协议下 Cocktail 的 10.3。
• 作者的结论：作者认为一个熬得过编辑的信号无法同时暴露编辑；把稳健与脆弱信号共嵌进每个 token、再按二维规则读取，可以在不牺牲归因和困惑度的情况下标出篡改。尾部编辑只破坏脆弱种子的尾段，按尾段读 zf 被留作后续；短稳健窗口仍与现有稳健方案一样暴露于通过查询推断 green list 的窃取。