[SoK] AIGC 水印：GenAI 时代的数字指纹与安全守卫

TL;DR

在生成式 AI（GenAI）爆发的今天，视觉和文本的“真实性”正变得愈发模糊。浙江大学和新加坡南洋理工大学的研究团队发表了这篇里程碑式的综述，首次为 AIGC 水印 提供了形式化定义。文章不再将水印仅仅看作是一层附加的“隐形码”，而是将其定义为贯穿 AI 供应链（从数据集到推理节点）的内生属性。

背景定位：这是一篇顶级的 AIGC 安全综述（State-of-the-Art Review），为未来 AI 内容治理、版权保护和伪造检测奠定了技术基调。

1. 供应链视角：水印不再是“挂件”

传统水印通常是内容生成后的“二次加工”，但在 GenAI 时代，这种方式太脆弱了。

作者提出了一个极具洞察力的模型：流式供应链 (Flow-like Supply Chain)。

• 核心逻辑：将 AIGC 的生成过程看作一颗根树 $T$。叶子节点是 prompt 和初始噪声，内部节点是扩散或推理步骤。
• 内生性 (Endogeneity)：水印被直接“缝”进了模型的权重 $heta$ 或采样分布中。这意味着，要删掉水印，往往意味着必须摧毁内容的质量。

上图展示了水印如何在 AIGC 供应链的不同阶段（从输入到最终根节点输出）进行渗透。

2. 跨模态挑战：从文本到音视频

文章深入探讨了不同模态下水印的“黑科技”：

• 文本 (Text)：不再是修改标点，而是通过修改 Logits 分布或采样规律。在维持语义的前提下，利用概率统计的“偏爱”来埋入特征。
• 图像 (Image)：代表作如 Tree-ring Watermarks，在频域进行旋转不变的傅里叶变换，对抗裁剪攻击。
• 跨模态 (Cross-Modality)：这是目前的前沿，例如 V2A-Mark 利用视觉和音频特征的对齐来实现多重保护，防止用户“拆东墙补西墙”。

3. 攻防博弈：谁是最终赢家？

论文详细梳理了 AIGC 水印的“死穴”——攻击面。

3.1 攻击者的三板斧

1. 重构攻击 (Regeneration Attack)：利用另一个生成模型（如 Autoencoder）重绘图像，这是目前最令水印开发者头疼的手段，因为它能抹除像素级的扰动。
2. 伪造攻击 (Forgery)：攻击者在未经授权的内容中植入受害者的水印，从而导致“声誉诬陷”。
3. 语义平滑攻击：针对文本水印，通过翻译后重译、甚至调整写作风格来绕过检测。

3.2 功能性矩阵

水印不只是为了防伪，它支撑了五个核心功能：检测、归因、版权保护、隐写术、篡改检测。

图：AIGC 水印在数据集保护、模型所有权验证和内容追踪中的全方位应用。

4. 深度洞察：未来的三个坐标轴

作为资深编辑，我认为本文最重要的价值在于指明了三个尚未被充分挖掘的方向：

• 公共可检测性 (Public Detectability)：目前大多数高级水印需要“私钥”或特定的解码器。如何让公众在不接触模型内部参数的情况下验证真实性？这是治理的关键。
• 对抗语义攻击的鲁棒性：现有的水印大多在数字信号层面，一旦攻击上升到“意图”和“语义”层面（如换一种说法表达相同意思），水印极易失效。
• 跨模态融合安全：随着 GPT-4o 等原生多模态模型的出现，水印需要一种在音频、文本、图像之间“能量守恒”的传递机制。

5. 总结

这篇 SoK 论文告诉我们：在 AI 时代，水印不仅是安全工具，更是法律和技术之间的纽带。它正从简单的“防伪标签”演变成复杂的“模型基因”。对于研究者和开发者来说，理解水印的供应链属性，将是构建下一代可信 AI 的必修课。

局限性提示：目前的重构攻击（如基于 VAE 的干扰）仍然能在大约 90% 的隐形水印方案中撕开缺口。在完全解决“信号重建”问题之前，水印依然无法宣称自己是绝对安全的。