研究揭示文本水印会诱发模型幻觉，并提出两种缓解干预

论文试图解决文本水印在检索增强生成（RAG）等任务中诱发事实错误与幻觉的问题。

• 问题出现的场景与重要性：大语言模型已广泛应用于临床记录、法律摘要与金融报告等注重事实准确性的长文本场景，文本水印被用来标识机器生成内容与追踪来源，但其对事实准确性的影响此前缺乏专门探索。
• 现有评估维度的不足：现有水印评估主要关注可检测性、鲁棒性以及困惑度、语义相似度和可读性等表面质量指标，往往忽略了生成文本是否符合检索到的上下文事实。
• 论文的核心观察与概念定义：即便上下文中包含所需证据且无水印模型能回答正确，水印仍会引入事实错误；作者将该失效模式定义为水印幻觉（watermarking hallucination），并在成对受控条件下以净事实准确率下降 ∆fact 进行度量。
• 论文提出的机制与方案：作者认为该退化源自两路耦合途径——当前步词元级扰动与前缀诱导的注意力漂移；为此提出了词元级（FPTI）与注意力级（FPAI）两项即插即用干预方法以缓解事实退化。

论文在引言和附录 A 中讨论了四组密切相关的研究：

• 大语言模型文本水印：Kirchenbauer 等人（2023）提出通过绿名单重加权偏置 logits 的 KGW；Lee 等人（2024）提出基于熵感知的 SWEET；Wu 等人（2024）提出保分布水印 DiPmark；Fu 等人（2024）提出 GumbelSoft；Dathathri 等人（2024）提出 SynthID；Kuditipudi 等人（2024）提出无失真 Gumbel-Max 水印。这些工作主要在检测率、误报率与表面生成质量之间权衡，未深入考察其对事实依据的影响。
• 水印文本中的真实性风险：Hastuti 等人（2025）指出连贯性指标不足以评估医学文本的水印质量，并使用 GPT 评审发现水印会导致事实退化。作者指出本文与 Hastuti 等人的不同之处在于：采用成对受控 RAG 设定、使用净事实准确率下降指标隔离水印自身引起的因果变化、进一步归因到词元扰动与注意力漂移机制并提出干预方案。
• 基于上下文的真实性与 RAG 评测：相关研究分析了模型在面对上下文时的知识冲突与漂移（如 Xu 等人 2024、Tao 等人 2024），以及通过稀疏自编码器分析内部信号（Xiong 等人 2026）；FActScore（Min 等人 2023）与 SAFE（Wei 等人 2024）提出了事实原子切分与结构化核验方法。本文借鉴了以证据为依据的原则，但专注于成对隔离水印引入的事实误差。
• 解码阶段真实性与幻觉缓解：研究指出了幻觉可能涉及内部知识边界与推理动态（Huang 等人 2025、Li 等人 2025）；推理期干预方法包括 ITI（Li 等人 2023）、DoLa（Chuang 等人 2024）与 DeCoRe（Gema 等人 2025）。作者指出通用幻觉缓解方法旨在提升整体保真度，而本文的 FPTI 与 FPAI 是针对水印诱导机制专门设计的探测与修复模块。
• 基线方法与基准数据集：实验中的水印对比涵盖 KGW、SWEET、DiPmark、GumbelSoft、SynthID-style、Gumbel-Max；幻觉缓解对比基线为 DoLa 与 DeCoRe；评测基准为基于 Natural Questions 与维基百科文章构建的受控 RAG 数据集。

作者将本文定位为：在成对受控 RAG 设定下系统量化并归因水印引起的事实退化，并提出了针对水印机制的专用保留干预组件。

作者将水印幻觉归因为对事实鲁棒性容限的递归压缩，并提出针对词元扰动与注意力漂移的互补干预方案 FPTI 与 FPAI。

问题设定与双通道机制分解

在包含输入与检索上下文 x 的生成中，作者将无水印解码轨迹记为 y0_1:T，加水印轨迹记为 y~_1:T。在事实决策点，上下文支持的事实一致词元记为 y*_t，候选集记为 Vt。干净轨迹下的事实鲁棒性容限定义为证据支持词元对最强竞争候选者的打分优势： ϵ_t(y^⋆_t) = z_t(y^⋆_t ∣ x, y⁰_<t) − max_{yt ∈ Vt ∖ {y^⋆t}} z_t(y_t ∣ x, y⁰_<t)，该容限度量了加水印前事实词元的领先幅度。在加水印解码中，打分变化被分解为两个耦合通道： z̃_t(y_t) − z_t(y_t ∣ x, y⁰_<t) = b_t(y_t; ỹ_<t) + (z_t(y_t ∣ x, ỹ_<t) − z_t(y_t ∣ x, y⁰_<t)) 第一项为当前步词元级扰动 bt(yt; y~_<t) = z~t(yt) - zt(yt | x, y~_<t)；第二项为前缀诱导漂移，由历史水印词元改变了上下文条件引起。两者共同作用可能抹平甚至反转事实容限，导致事实错误词元胜出。

事实保留词元干预（FPTI）

• 事实词元集合构建：给定输入上下文 x，作者通过命名实体识别与基于模式的确定性正则匹配，自动从检索上下文抽取实体、日期、数值、标识符等跨度，构建词表级事实词元集合 Vfact ⊆ V。
• 当前步扰动消除：在解码阶段，FPTI 仅对事实词元移除当前步水印打分扰动，对非事实词元保持原有水印规则不变。
• 作用与定位：FPTI 防止水印直接改变携带事实内容词元的有效选择打分；其带来的改善可用于衡量当前步词元扰动所贡献的事实退化量，剩余差距则反映前缀漂移的影响。

事实保留注意力干预（FPAI）与联合干预

• 事实注意力系数度量：设 F(x) 为输入端支持目标事实的上下文词元位置，当前步对这些位置的注意力权重之和定义为事实注意力系数 αt = ∑_{j∈F(x)} At(j)。
• 注意力预激活补偿：FPAI 不修改输出层水印扰动，而是在解码步 t 的注意力机制中，向属于 F(x) 的上下文位置的 pre-softmax 注意力 logit 增加补偿项 λt，使得 st^FPAI(j) = st(j) + λt（对 j ∈ F(x)）。
• 补偿强度校准：补偿强度 λt = ϕ(Z_<t, rt) 根据已生成前缀的水印分数 Z_<t 和当前事实词元的相对位置 rt 进行建模，函数 ϕ 在留出校准集上拟合，目标是使加水印时的注意力恢复至干净解码水平。
• 两项干预的互补联合：联合应用 FPTI 与 FPAI 时，FPAI 首先通过增强对上下文事实词元的注意力改善事实预测的上下文表征基础，随后 FPTI 保护事实词元本身不受后续水印规则的直接扰动，在非事实词元上继续保留水印信号。

实验设置

• 被测模型：主实验使用 LLaMA 3.1 8B Instruct；跨模型验证使用 Mistral-7B-Instruct-v0.3 与 Qwen2.5-14B-Instruct。
• 数据集与规模：基于 Natural Questions 关联的维基百科段落构建受控 RAG 评测集，要求段落包含至少 3 个同类型事实；涵盖数值、标识符、时间、定性 4 类事实，每类 250 个样本，每个实验条件共 1,000 对成对生成样本。
• 基线与水印方法：测试了 6 种代表性水印方法（KGW、SWEET、DiPmark、GumbelSoft、SynthID-style、Gumbel-Max）；在 KGW 下与 2 种通用幻觉缓解方法 DoLa 与 DeCoRe 进行对比；附录进一步测试了 Unbiased Watermark、TextSeal 与 MorphMark。
• 指标定义：主要指标为净事实准确率下降 ∆fact（百分比，无水印与加水印准确率差值）、在 1% FPR 下的水印检测真阳性率 TPR@1%FPR、困惑度 PPL，以及生成速度（tokens/s）。
• 评审方式：数值、时间和标识符事实采用精确或归一化规则匹配；定性事实采用结构化标注结合人工抽样核验；论文未依赖 LLM judge 给出主要标签，并对规则判断进行了人工抽样审计。
• 解码参数：统一设置温度 0.7、Top-p 0.9、Top-k 40、重复惩罚 1.1、no-repeat n-gram 大小 3、最大输入上下文 300 tokens、最大新生成 300 tokens，开启采样；对比时独立校准水印强度以对齐测得的 TPR@1%FPR。

主结果

在三种模型和三种对齐的检测率水平下，不同水印方法及所提干预的净事实准确率下降 ∆fact 如下表所示（数据出自 Table 1）：

表格较宽，可左右滑动

方法 / 设置	LLaMA3.1-8B (TPR=.50)	LLaMA3.1-8B (TPR=.90)	LLaMA3.1-8B (TPR=.98)	Mistral-7B (TPR=.90)	Qwen2.5-14B (TPR=.90)
KGW	2.1%	12.9%	22.3%	14.4%	13.7%
KGW + FPTI	1.5%	2.4%	8.7%	2.4%	2.6%
KGW + FPTI+FPAI	0.6%	0.9%	6.3%	1.2%	1.1%
SWEET	2.3%	15.0%	23.1%	15.6%	15.7%
SWEET + FPTI+FPAI	0.7%	1.0%	5.5%	1.1%	1.3%
DiPmark	0.7%	6.8%	8.7%	7.3%	6.5%
SynthID-style	0.5%	2.7%	4.8%	2.9%	2.4%
SynthID + FPTI+FPAI	0.2%	0.4%	2.1%	0.5%	0.4%

（注：Table 1 中 GumbelSoft、Gumbel-Max 以及各方法的 FPTI 中间变体因表格篇幅限制在此省略部分列与行，完整趋势保持一致）

• 干预表现：作者指出从标准水印到 FPTI 再到 FPTI+FPAI，∆fact 呈现持续下降；在 LLaMA 3.1 8B 且 TPR@1%FPR=0.90 时，KGW 的 ∆fact 从 12.9% 经 FPTI 降至 2.4%，再经 FPTI+FPAI 降至 0.9%，类似降幅在 Mistral-7B 与 Qwen2.5-14B 上同样出现。
• 不同水印规则的固有事实代价差异：在相同的检测率目标下，水印方法自身引入的事实退化差异明显；在 LLaMA 3.1 8B 且 TPR@1%FPR=0.90 时，SynthID 样式的 ∆fact 为 2.7%，低于 KGW（12.9%）与 DiPmark（6.8%），作者认为更具分布感知或受控的采样规则对事实漂移的敏感度相对较低。
• 强检测率下的残余误差：在 TPR=0.98 的高检测率下各方法仍存在残余误差，作者称强水印在后续事实词元获得局部保护或注意力补偿前就已将前缀推离了上下文依据。

与通用幻觉缓解基线的对比

在对齐的 KGW 检测率下（Table 2），各缓解方法的表现与权衡如下：

• 事实性与困惑度权衡：在 TPR@1%FPR=0.90 时，DoLa 将困惑度从 12.98 降至 2.84，但 ∆fact 为 9.6%（相对改善 25.6%）；DeCoRe 将 ∆fact 降至 3.2%（相对改善 75.2%），困惑度为 6.74。
• 生成速度与综合效果：DoLa 与 DeCoRe 的生成速度分别为 1.40 与 1.10 tokens/s；FPTI+FPAI 将 ∆fact 降至 0.9%（相对改善 93.0%），困惑度为 5.35，生成速度保持在 1.46 tokens/s（接近基线 KGW 的 1.48 tokens/s）。
• 机制差异解读：作者指出层对比解码（DoLa）提升了流畅性但未直接纠正水印引起的事实偏移；检索头对比（DeCoRe）改善了上下文事实锚定但开销较大且未消除当前步词元扰动；而针对性联合干预直接对准了误差来源。

注意力衰减与位置依赖的累积效应

• 事实注意力系数下降：在隔离当前步扰动（将事实词元处的 bt 置为 0）的实验中，Figure 3(a) 显示六种方法的 αt 均随前缀可检测性提高而下降，作者称这支持了前缀介导的注意力效应。
• 雪崩效应验证：固定证据块与目标查询并改变查询位置时（式 9），Figure 3(b) 显示加水印下后置查询的事实注意力低于前置查询；Figure 5 显示 FPTI 消除的当前步分量在各位置基本稳定，而残余误差随生成深度增大，在生成 70 个词元后成为主要误差来源。

其他消融与分析

• 扩展水印家族测试中，在 TPR@1%FPR=0.90 下，Unbiased Watermark 的 ∆fact 为 3.6% [3.1%, 3.9%]，TextSeal 为 3.9% [1.8%, 5.8%]，MorphMark 为 12.1% [11.5%, 13.7%]（Table 6）。
• 困惑度与事实正确性分析中，SynthID 在标准设置下引发实体级水印幻觉的比例为 1.7%（Table 7）；Figure 6 显示无水印准确率为 97.0%，加水印为 65.6%，且低困惑度区域存在错误事实词元。
• 熵保护覆盖分析中，SWEET 熵阈值为 0.695，Figure 7 显示四类事实词元在加水印前后的平均熵均高于该阈值，作者称仅靠低熵保护无法覆盖全部事实词元。
• 负面结果与边界显示，在 TPR=0.98 时即便应用 FPTI+FPAI，各模型在 KGW 下仍残留 6.3%–6.4% 的 ∆fact（Table 1）；生成超过 70 词元后前缀漂移成为主导误差，局部词元修复无法重构完全未加水印的生成轨迹（Figure 5、Table 5）。

作者指出的局限与后续方向

• 强水印与长序列下的残余误差：作者指出尽管干预减少了水印引发的幻觉，但在强水印或长生成序列下无法完全消除事实退化，因为加水印的生成轨迹仍可能偏离有依据的轨迹（附录 E、第 6 节）。
• 受控设定与事实类型限制：作者指出评测是在受控 RAG 设定及选定的事实类型下进行的，可能无法覆盖开放式长文本生成中的所有事实错误形式（附录 E）。
• 评测领域的代表性界限：作者在附录 B.2 明确说明，虽然上下文涵盖多样主题，但该基准并非旨在代表所有事实关键型领域（如临床、法律或金融部署场景）。
• 多领域与长输出的未来探索：作者提出未来工作应探索更多样化的领域、更长的生成输出以及经人工验证的事实性评估（附录 E）。
• 显式融入事实约束的水印目标：作者提出未来水印设计应将事实性视为设计约束，探索显式融入事实保留约束的水印优化目标，将水印信号放置在最少干扰事实依据的位置，避开数值、标识符、日期、引用以及影响后续事实注意力的前缀位置（附录 E、第 6 节）。

实验覆盖范围

• 被测模型范围：实验覆盖了 LLaMA 3.1 8B Instruct、Mistral-7B-Instruct-v0.3 和 Qwen2.5-14B-Instruct 共 3 个开源指令微调模型，论文未包含闭源商业模型（第 5.1 节）。
• 水印方法范围：正文评测了 KGW、SWEET、DiPmark、GumbelSoft、SynthID-style、Gumbel-Max 共 6 种解码期水印方法，附录补充了 Unbiased Watermark、TextSeal 与 MorphMark 共 3 种方法（第 5.1 节、附录 C.1）。
• 样本规模与长度：评测集包含数值事实、标识符、时间事实和定性事实 4 类，每类 250 个样本，每个实验条件共 1,000 对成对样本；最大输入上下文为 300 tokens，最大生成长度为 300 tokens（第 5.1 节、附录 B.1、附录 B.2）。
• 幻觉缓解对比范围：与通用推理期幻觉缓解方法的对比仅在 KGW 水印下测试了 DoLa 与 DeCoRe 两种基线（第 5.1 节）。
• 判定方式与人工审计：主实验事实准确率判定采用规则匹配与结构化标注，未依赖大模型裁判；论文报告对规则判定进行了人工抽样审计，但未报告全量样本的人工一致性统计指标（附录 B.3）。

论文研究生产级文本水印对大语言模型事实准确性的影响，分析了水印诱发幻觉的失效模式并评估了针对性缓解方案。

• 要解决的核心问题：文本水印通过在解码阶段引入统计信号用于来源追溯，但在检索增强生成等事实关键场景下，水印是否以及为何会导致模型输出违背上下文事实，此前缺乏严格的因果隔离与机制解析。
• 机制分析与核心方法：作者将水印幻觉形式化为对事实鲁棒性容限的压缩，分解出当前步词元级扰动与前缀诱导注意力漂移两路机制；进而提出在词表层消除事实词元扰动的 FPTI，以及在注意力层补偿上下文事实权重的 FPAI，两者作为即插即用组件联合部署。
• 核心实验结果一（水印引入事实退化）：在受控 RAG 评测中，各主流水印均表现出事实准确率下降；例如在 LLaMA 3.1 8B 上，KGW 在 TPR@1%FPR=0.90 下使净事实准确率下降 12.9%（Table 1），且数值和时间类事实的退化幅度较大（Figure 1b）。
• 核心实验结果二（所提干预降低事实损失）：联合应用 FPTI 与 FPAI 后，KGW 在 TPR=0.90 下的净事实准确率下降降至 0.9%，相对基线减少 93.0%（Table 2），同时保持了 1.46 tokens/s 的相近生成速度。
• 核心实验结果三（水印方法间差异与累积效应）：不同水印设计的退化程度不同，SynthID 样式的净准确率下降为 2.7%，低于 KGW 和 DiPmark（Table 1）；随着生成长度增加，前缀诱导的漂移逐渐累积并在超过 70 词元后成为主导误差（Figure 5）。
• 作者结论与启示：文本水印在事实关键型应用中并非天然无害，局部词元修复在强水印和长序列下存在边界；作者建议将事实性作为水印设计的核心约束，在不干扰关键事实依据的位置嵌入信号。