SoK：GenAI 时代 AIGC 水印的内生性革命与安全挑战

TL;DR

随着生成式 AI（GenAI）的爆炸式增长，Deepfake、侵权与虚假信息泛滥。本文是首篇针对 AIGC 水印的系统性调查（SoK），定义了 AIGC 水印的“供应链”模型，并提出了**内生性（Endogeneity）**这一核心属性，强调水印应在生成过程中“顺便”产生，而非后期强加。

背景：为什么传统水印在 AI 时代失效了？

传统水印技术（如 LSB 替换、频率域修改）是“事后烟”——在内容生成后手动嵌入。但在 AIGC 场景下：

• 跨模态性：一段文字生成一张图，水印该如何在模态转换中生存？
• 内生需求：大模型可以通过修改推理时的 Token 分布直接让输出带上指纹，这是传统工具做不到的。
• 攻击升级：现有的 AIGC 工具可以轻易通过反向扩散、重采样（Regeneration）擦除静态水印。

核心方法：AIGC 水印供应链模型

作者通过数学化的树状图定义了水印的生命周期。水印不再是一个孤立的点，而是在供应链路径 $P$ 上的某个节点 $v_e$ 注入的信息流。

关键洞察：内生性（Endogeneity）

这是本文最具启发性的观点。传统水印公式是 $y^{\prime }=W(T(X))$（先生成后打标），而 AIGC 水印公式变为 $y^{\prime }=T_w(X)$（生成过程即打标过程）。这种内生性使得水印与内容深度耦合，极大地提高了擦除难度。

各模态技术拆解

• Text (文本)：通过修改 Logits 分布或采样算法嵌入。难点在于低熵场景（如代码生成）中如何平衡语义精度。
• Image (图像)：从早期的训练依赖型向**训练无关型（Training-free）**转变，如在扩散模型的初始噪声中注入特定频率模式。
• Audio/Video (音视频)：利用时频特性（Time-frequency）进行嵌入，但目前的瓶颈在于抗重录（Recapturing）和跨帧内容一致性。

攻击与博弈：盾防得住矛吗？

论文详细分类了三种攻击表面：

1. 检测攻击（Detection）：判定是否存在水印，作为后续滥用的前提。
2. 伪造攻击（Forgery）：给普通内容打上虚假水印，破坏受害者声誉。
3. 移除攻击（Removal）：目前的 SOTA 方法是重生成攻击（Regeneration Attack），即将图像降解回 Embedding 层重新采样，这种方法对大多数肉眼不可见水印具有毁灭性。

深度洞察：未来研究的高地

• 语义水印（Semantic Watermarking）：不再改动像素位，而是在语义层面（如特定辞藻、画面构图习惯）植入水印，增强抗重构能力。
• 可插拔模块（Plug-and-Play）：对于 GPT-4 等闭源大模型，如何不重训模型而通过外挂辅助头（Auxiliary Modules）实现水印嵌入？
• 公共可验证性（Public Detectability）：在保护私钥前提下，如何让公众仅凭公开工具就能验证来源。

总结

这篇 SoK 为 AIGC 水印研究划定了清晰的学术坐标。它告诉我们：水印不再是简单的加密任务，而是一个涉及生成逻辑、模型权重、数据流与法律监管的系统工程。在 AI 生成内容的真实性保卫战中，内生化与鲁棒语义特征将是未来的决胜局。