通过随机化密钥选择缓解生成模型中的水印伪造

arXiv:2507.07871v5 公告类型：replace-cross 摘要：水印技术使 GenAI 提供商能够验证内容是否由其模型生成。水印是内容中的隐藏信号，可以使用秘密水印密钥检测其是否存在。一项核心安全威胁是伪造攻击，即攻击者将提供商的水印插入并非由该提供商生成的内容中，从而可能损害其声誉并削弱信任。现有防御方法通过使用多个密钥在同一内容中嵌入许多水印来抵御伪造，但这可能降低模型的实用性。然而，当攻击者能够收集足够多的带水印样本时，伪造仍然是一项威胁。我们提出了一种防御方法：在检测器结果关于密钥对称且相互独立的条件下，对于盲攻击者，其伪造成功率具有与样本数量无关的上界。我们的方法不会进一步降低模型的实用性。对于每次查询，我们随机选择水印密钥，并且仅当检测到恰好一个密钥对应的水印时，才接受该内容为真实内容。不同于依赖计算困难性假设且需要从头设计新水印方案的密码学水印，我们的方法可以应用于任何现有水印方法，以提升其抗伪造能力。我们重点研究文本水印，但由于将底层水印方法视为黑盒，该防御与模态无关。为说明这一点，我们使用 Tree-Ring 对图像水印进行了初步研究。除这一条件性保证外，我们通过实验证实，在使用 \(r=4\) 个密钥时，对于我们评估的自适应盲攻击者，有害文本的伪造成功率在计算开销几乎可以忽略的情况下，从使用单个密钥时最高达 \(87\%\) 降至最低 \(1\%\)；初步的图像研究显示，伪造成功率从 \(100\%\) 降至 \(2\%\)。