AIGC 水印全景图：从内容嵌入到生成供应链的范式革命

TL;DR

随着 Stable Diffusion 和 ChatGPT 的爆发，AI 生成内容（AIGC）的滥用风险达到了前所未有的高度。浙江大学和南洋理工大学的研究团队在本文中率先提出了 AIGC 水印的形式化定义，将其从简单的“像素/字符修补”提升到**“供应链安全”**的高度。文章深度拆解了 AIGC 水印的核心挑战、防御属性及安全脆弱性，为 GenAI 时代的合规与版权保护划定了技术边界。

背景定位

这篇 SoK（Systematization of Knowledge）论文是该领域的里程碑之作。它不仅仅是过去方法的堆砌，而是建立了一套逻辑严密的理论框架，将军用水印的各个环节分解入生成式 AI 的数据流中。

痛点深挖：传统水印为何在 AIGC 时代失效？

1. 模态跨越的鸿沟：传统方法多针对单一模态（纯图或纯文）。而 AIGC 是跨模态的，文字生成的图像如何携带文字的溯源信息？
2. 生成的动态性：大模型每秒生成海量内容，传统的后处理水印计算开销大（Efficiency 差），且极易被简单的重采样（Resampling）或加噪去除。
3. 脆弱的归属权：目前缺乏一种方法能证明“这串代码既属于模型 A，也属于用户 B”，即多粒度的归属验证问题（Attribution）。

方法论详解：供应链视角下的 AIGC 水印

作者将 AIGC 的生成过程描述为一棵根树 $T=(V,E,r)$。

• 节点分工：叶节点为输入 Prompt，内部节点为扩散步骤或 Transformer 层，根节点为最终 AIGC。
• 内生性嵌入：作者提出的核心直觉是，水印应当“长”在模型里。例如在 LLM 的解码过程中，通过调整 Logits 分布，使生成的文本在统计学上携带水印（如“绿名单”机制）。

图注：水印可以嵌入在从数据集、模型参数到采样的任意环节（Node $v_e$）

核心属性分析

文章总结了 AIGC 水印的独特属性：

• 内生性 (Endogeneity)：水印与生成过程不可分割，移除水印即损伤质量。
• 插件化 (Plug-and-Play)：无需重新训练模型，即可为不同用户打上特定的“数字指纹”。
• 隐蔽性 (Stealthiness)：确保 AI 生成的画作或文章在感官上与原始输出无异。

实验与安全攻防战

目前的 AIGC 水印并非牢不可破。论文揭示了三大攻击途径：

1. 伪造攻击 (Forgery)：攻击者在普通内容中植入特定统计特征，让检测器误报该内容由 AI 生成，从而抹黑竞争对手。
2. 移除攻击 (Removal)：其中最强的方案是再生攻击 (Regeneration Attack)。利用另一个小模型对带水印的图像进行编码再重建，这往往能洗掉大部分脆弱水印。
3. 对抗攻击 (Adversarial Attack)：通过在像素或 token 层面添加微小扰动，使水印提取器的结果失效。

图注：AIGC 水印在检测、归属、版权保护及篡改定位方面的综合功能展示

深度洞察与总结

核心价值： 本文最重要的贡献在于将水印的研究视角从“内容后处理”拉到了“模型生成源”。这为未来的监管（治理）提供了技术锚点。

局限性与挑战：

• 公共检测性 (Public Detectability)：如何让公众能检测水印，而攻击者却无法根据检测规则逆向移除水印？
• 语义稳健性：当一段文字被改写（Paraphrasing）后，背后的语义特征是否还能维持水印？这是目前最难攻克的阵地。

未来展望： 随着各国（如中国、欧盟及美国）在 AIGC 数据法案上的完善，内生水印将成为商业大模型的“标配”。未来的竞争将集中在如何以最低的性能损耗，实现最强的抗洗稿、抗再生能力。