[SoK] AIGC 水印：Gen-AI 时代的数字身份与供应链治理

TL;DR

随着 ChatGPT 和 Stable Diffusion 等生成式 AI 的爆发，如何标识和追踪 AI 生成内容（AIGC）已成为全球监管与技术竞争的焦点。浙江大学等机构的学者发表了这篇里程碑式的 SoK (Systematization of Knowledge) 论文。文章首次将 AIGC 水印定义为一种**流式供应链（Supply Chain）**过程，从模态、属性、功能到安全攻击进行了全维度的解剖。

1. 核心洞察：从“贴标”到“原生”的范式转移

传统水印技术通常在内容生成后进行“二次加工”，但在 AI 时代，这种方式极其脆弱且影响效率。作者指出，AIGC 水印的本质区别在于其内生性 (Endogeneity)。

• 传统方式：$y^{\prime }=W(T(X))$ —— 水印 $W$ 作用于已生成的 $y$。
• AIGC 方式：$y^{\prime }=T_w(X)$ —— 生成过程 $T_w$ 本身就带水印，水印与模型参数或采样分布深度耦合。

图 1：AIGC 水印的流式供应链示意图，展示了从输入到输出的每一个处理节点。

2. 跨模态：AIGC 水印的技术坐标系

文本 (Text)

文本是最高度离散且信息密度极大的模态。

• Logits 修改：在预测下一个词时，通过修改概率分布（Green List/Red List）嵌入水印。
• 采样优化：如 Aaronson 等人提出的通过随机数生成器关联水印。
• 挑战：在低熵场景（如代码生成）中，修改概率分布会极大破坏代码的正确性。

图像与视频 (Image & Video)

• 训练依赖型：通过微调（Fine-tuning）解码器，使模型生成的每一张图都带有独特的指纹。
• 训练无关型（内生型）：如 Tree-ring Watermarking，直接在扩散模型的初始噪声空间中注入结构性模式，通过逆向扩散寻找噪声指纹。
• 视频痛点：视频不仅仅是序列图，如何在多帧之间保持水印的一致性且不产生闪烁感，目前仍是学术前沿。

3. 功能矩阵：水印能做的不止是防伪

论文将水印的功能扩展到了五个维度：

1. Detection（检测）：区分内容是 AI 还是人类生成的。
2. Attribution（归属）：溯源到具体的模型厂商或特定的 API 调用用户。
3. Copyright Protection（版权）：通过提取水印证明数据集或模型的所有权。
4. Steganography（隐写）：在 AI 内容中隐藏保密信息。
5. Tamper Detection（篡改定位）：利用水印的脆弱性 (Fragility) 检测 AIGC 内容是否被局部修改（如 Deepfake 的人脸修复）。

图 2：AIGC 水印功能矩阵及其涉及的五大元素。

4. 安全博弈：谁在攻击水印？

作为一篇 SoK，本文对安全漏洞的系统梳理是其最大价值所在。作者定义了三种攻击模型：

• Watermark Removal（移除攻击）：通过“再生攻击（Regenerative Attack）”，即使用编码器将图像降维后再重建，或者经过另一层自编码器（VAE）处理，能够低成本去除大部分不可见水印。
• Watermark Forgery（伪造攻击）：攻击者通过模拟 Token 分布，使非法生成的内容被检测器误认为是有合法水印的。
• Watermark Stealing（窃取攻击）：通过多次查询 API，窃取水印的决策边界（Logit 规则）。

5. 深度洞察与治理启示

论文最后探讨了 AIGC 的治理逻辑。从欧盟的 AI Act 到中国的《生成式人工智能服务管理暂行办法》，**显式标识（Explicit Indication）和可溯源性（Traceability）**已成为法律强制要求。

局限性与未来

• 端到端脆弱性：现有大模型倾向于开源，权重的泄露意味着水印机制可以被轻易绕过或擦除。
• 语义水印的崛起：未来的水印不应依赖于像素或 Logit 的偏移，而应转向语义空间（Semantic Space），即使内容经过改写或风格迁移，其语义指纹依然存在。

总结

这篇研究不仅是一份技术指南，更是对 Gen-AI 生态系统中“信任体系”的重构。它提醒我们，在真假难辨的未来，水印不再仅仅是一个数字标签，而是 AIGC 供应链中的数字基因。