具有子句单元顺序鲁棒检测的语义水印

研究者提出针对语义水印的嵌入位移攻击 EDA，并设计出在子句单元上做顺序鲁棒检测的新方案 k-SwordStamp。语义水印把标记绑定到句子语义而非 token 选择，但改写、重排和重分段都会引起嵌入位移，检测到的是与水印嵌入时不同的向量，因而可能丢失标记；EDA 用公开改写器和代理编码器，在单一目标下同时覆盖这三种编辑，无需访问水印提供方的生成器或密钥。在 5% 误报率和 90% 内容保留阈值下，EDA 对四种方案中 32.6% 至 47.9% 的文档成功去除水印，在所测攻击中最高。针对 k-SwordStamp，所测最强无盒攻击是适配其设计的 EDA 变体，攻击成功率 10.8%；能访问检测器和密钥的更强 EDA 达 39.7%，同样攻击对 k-SemStamp 为 65.5%。代码开源于 https://github.com/D-Diaa/SwordStamp。