AIGC 水印综述：GenAI 时代的数字指纹与内容治理

TL;DR

随着 Stable Diffusion 和 ChatGPT 的爆发，AIGC 的滥用风险（如深度伪造、侵权）愈发严重。浙江大学任奎教授团队等发布的这篇 SoK 论文，首次从**供应链（Supply Chain）**的视角重新定义了 AIGC 水印，探讨了如何将数字“烙印”打在模型生成的血液里，并系统分析了这场“矛”与“盾”的攻防战。

核心速览

在 AIGC 时代，水印不再只是简单的图片 Logo，它需要面对极其复杂的场景：

• 内生性（Endogeneity）：水印不是贴上去的，而是在生成过程中“长”出来的。
• 跨模态（Cross-Modality）：一段视频的音轨和画面需要共享同一套溯源逻辑。
• 对抗性：攻击者会通过截图、重采样、甚至重写 AI 提示词来试图抹除水印。

1. 供应链视角：水印到底在哪儿？

论文将 AIGC 的产生视为一颗树（Rooted Tree）。从输入 Prompt 到最终输出，每一个节点都可能成为水印的“埋伏点”。

• Logits 级（文本）：在 LLM 预测下一个词时，微调不同词汇的概率分布（如绿色名单机制）。
• 噪声预测级（图像）：在扩散模型的逆扩散过程中注入特定的频谱模式。

图 1：AIGC 水印的流式供应链示意图，展示了从输入到输出的各级节点

2. 核心技术详解：多模态协同

文本水印（Text）

与传统改变空格、同义词不同，GenAI 水印主要通过修改 Token 的生成逻辑（Sampling-based）。难点在于：如何在低熵（如回答“1+1=2”）时保证水印不失效。

图像与视频水印（Image/Video）

• 训练相关（Training-dependent）：直接修改 VAE 解码器，让模型产出的所有图都带码。
• Tree-ring Watermarks：在扩散模型的隐空间（Latent Space）中嵌入。

跨模态（Cross-Modality）

这是本文的一大亮点。例如 V2A-Mark，它利用视觉和音频的特征对齐，确保即使视频被静音或裁剪，另一模态的水印仍能用于篡改定位。

3. 攻防博弈：谁更胜一筹？

论文深入剖析了针对水印的三大攻击面：

1. 检测攻击：识别内容是否有水印，若无则放心滥用。
2. 伪造攻击（Forgery）：给普通内容打上虚假水印，栽赃他人。
3. 移除攻击（Removal）：通过“再生攻击（Regeneration）”——即让 AI 把带水印的图重新画一遍，这是目前最致命的威胁。

图 2：AIGC 水印功能与安全性的系统化分类

4. 治理与监管：全球坐标系

文章总结了全球各地的治理现状：

• 中国：发布了《生成式人工智能服务管理办法》，强制要求对深度合成内容进行显式标注。
• 欧盟：通过《AI 法案》，侧重隐私与道德风险。
• 美国：侧重开发者责任与 Deepfake 禁止法案。

5. 深度洞察与总结

关键启示 (Takeaways)

• 语义化是趋势：传统的统计学水印容易被抹除，而基于语义逻辑的水印（Semantic Watermarking）将是防范“再生攻击”的最后防线。
• 治理闭环：水印技术必须从单一的算法研究转向“技术+治理”的双轮驱动。

局限性与展望

目前语义水印的鲁棒性测试还不够充分，且大模型的在线实时更新（如内生水印的低成本更新）仍是行业痛点。

资深主编评价：这篇 SoK 不仅仅是一份综述，它提出的“供应链”框架为未来的 AIGC 溯源技术指明了标准化的方向。在 Deepfake 泛滥的未来，这可能就是我们区分现实与虚幻的最后一道屏障。