LLM 水印检测能否公开？

arXiv:2610.12106v1 公告类型：交叉发布 摘要：为大型语言模型添加水印是追溯聊天机器人和智能体输出的常用手段，但检测器仍未公开，因为公开检测器可能让攻击者利用其反馈进行针对性修改。然而，水印已经容易受到无先验信息的篡改攻击。因此，我们首先量化了在部署场景中，公开检测器在从词元级分数到二元判定的不同访问权限下，是否会带来额外风险。其次，我们提出了一种拆分密钥的公私结合水印方法，通过公开检测器暴露其中一个密钥，同时保留另一个密钥用于完整验证和取证。知情攻击者只能改变公开信号，从而造成公开分数与私有分数之间的不平衡。我们为这种不平衡引入了一项统计检验，并将其与完整密钥判定相结合，构建了一个两阶段机制。第三，我们在广泛的水印移除和伪造攻击下评估了该拆分密钥方法，对比了无先验信息与利用检测器信息两种设置。公开检测仅在修改预算较小时提高了水印移除效果，因为普通改写就已能以更低的质量代价去除水印；但公开检测确实使伪造成为可能，而私有处理流程能够识别此类伪造。总体而言，公开一半水印能够实现透明性和互操作性，而且针对已公开部分的篡改仍可被检测到。这限制了提供方的风险，并对将检测器完全保密的必要性提出了质疑。