Tracing Provenance and Detecting Tampering with Complementary LLM Watermarks
作者: Xiaoyan Feng, Yanjun Zhang, He Zhang, Leo Yu Zhang, Shirui Pan
分类: cs.CR, cs.AI, cs.CL
发布日期: 2026-08-13
备注: 11 pages, 7 figures, 4 tables
💡 一句话要点
提出一种新型水印技术以解决LLM文本溯源与篡改检测问题
🎯 匹配领域: 支柱九：具身大模型 (Embodied Foundation Models)
关键词: 水印技术 文本生成 篡改检测 信息安全 大语言模型
📋 核心要点
- 现有的LLM水印技术在编辑下保持来源，但存在搭便车伪造的漏洞，允许对手篡改内容。
- 本文提出了一种新型水印技术，通过共同嵌入鲁棒信号和脆弱信号，解决了来源追踪与篡改检测的双重需求。
- 实验结果显示，该方法在篡改检测率上优于其他评估方法，同时保持了良好的归属鲁棒性和困惑度。
📝 摘要（中文）
水印LLM生成文本是追踪其来源的重要任务。现有的LLM水印在编辑下保持来源，但这种鲁棒性也使得对手能够在保留归属的情况下篡改关键内容，这种漏洞被称为“搭便车伪造”。本文提出了一种创新的水印技术，能够同时提供来源和篡改证据。该方法将一个鲁棒信号和一个脆弱信号共同嵌入每个生成的标记中，两个信号共享相同的机制，但使用独立的密钥和不同的种子窗口，使得一个信号对编辑具有鲁棒性，而另一个信号对可见变化敏感。通过多轮无偏重加权，保持了预期的生成分布，同时周期性分配模式控制了两个信号之间的权衡。在检测时，它们的得分形成一个二维空间，支持三种决策：完整、篡改和无水印。实验表明，该方法在两个大型语言模型和两个提示数据集上展示了最高的篡改检测率，同时保持了竞争力的归属鲁棒性和困惑度。
🔬 方法详解
问题定义：本文旨在解决现有LLM水印技术在编辑下的鲁棒性与篡改检测能力不足的问题，特别是搭便车伪造的风险。
核心思路：提出一种新型水印技术，通过共同嵌入鲁棒信号和脆弱信号，确保在编辑和篡改情况下均能有效检测。鲁棒信号对编辑具有抵抗力，而脆弱信号则对可见变化敏感。
技术框架：整体架构包括信号的生成、嵌入和检测三个主要模块。生成模块负责创建鲁棒和脆弱信号，嵌入模块将信号嵌入生成的文本中，检测模块则分析文本并判断其状态。
关键创新：最重要的创新在于信号的共同嵌入设计，利用独立密钥和不同种子窗口，使得两个信号在编辑和篡改检测中各自发挥作用，显著提高了检测的准确性。
关键设计：在参数设置上，采用多轮无偏重加权以保持生成分布，周期性分配模式控制信号之间的权衡，确保鲁棒性与敏感性之间的平衡。
🖼️ 关键图片
📊 实验亮点
实验结果表明，本文提出的方法在篡改检测率上超过了其他评估方法，表现出最高的检测率，同时在归属鲁棒性和困惑度方面保持竞争力，显示出显著的性能提升。
🎯 应用场景
该研究的潜在应用领域包括文本生成、内容审核和信息安全等。通过有效的水印技术，可以在生成内容中追踪来源并检测篡改，提升信息的可信度和安全性，具有重要的实际价值和广泛的应用前景。
📄 摘要（原文）
Watermarking LLM-generated text is an important task for tracing its provenance. Existing LLM watermarks preserve provenance under editing, but this same robustness allows an adversary to alter critical content while retaining attribution, a vulnerability known as piggyback spoofing. We introduce an innovative watermark that jointly provides provenance and tamper evidence. It co-embeds a robust signal and a fragile signal into each generated token. The signals share the same mechanism but use independent keys and different seeding windows over normalized text, making one resilient to edits and the other sensitive to reader-visible changes. Multiple rounds of unbiased tournament reweighting preserve the expected generation distribution, while a periodic round-allocation pattern controls the trade-off between the two signals. At detection, their scores form a two-dimensional space supporting three decisions: Intact, Tampered, and No-Watermark. Across two large language models and two prompt datasets, our method demonstrates the highest tamper-detection rate among the evaluated methods while maintaining competitive attribution robustness and perplexity. Ablation studies show that reliable three-state detection requires a well-defined notion of intactness, co-embedding of the two signals, and complementary sensitivity to edits.