A Unified Attack Framework against Statistical Generative Watermarks for Large Language Models

📄 arXiv: 2610.27653v1 📥 PDF

作者: Romina Omidi, Nima Naderloui, Yuan Hong, Binghui Wang

分类: cs.CR, cs.AI

发布日期: 2026-10-20

💡 一句话要点

提出统一攻击框架以破解大型语言模型的统计生成水印

🎯 匹配领域: 支柱九：具身大模型 (Embodied Foundation Models)

关键词: 水印技术 大型语言模型 文本生成 安全性 攻击策略 检测方法 统计信号 黑箱攻击

📋 核心要点

  1. 现有的水印方法在检测能力与生成文本流畅性之间存在内在矛盾，容易被攻击者利用。
  2. 本文提出了一种新的攻击框架，通过识别水印检测分数与令牌概率变化之间的关系，成功规避检测。
  3. 实验结果显示，针对七种流行的生成水印方案，检测率降至0.05，且文本质量得以保持。

📝 摘要（中文）

水印技术已成为识别大型语言模型生成文本的重要工具，现有方案通过在生成过程中嵌入统计信号来实现检测。本文识别出多种流行的LLM水印方法（如KGW及其变体、GumbelSoft、DipMark等）之间的共同弱点。我们展示了检测分数与生成过程中引入的令牌概率变化之间的基本联系，称之为分数比对齐。这一联系使得攻击者仅需黑箱查询模型，无需了解秘密密钥或模型权重，即可生成流畅自然的文本，逃避检测。我们证明了该攻击在所有覆盖的水印家族中是最优的，并显示出这一弱点是内在的：任何旨在最大化统计检测能力的水印设计必然会引入攻击者可以利用的结构。我们的实验表明，当前水印方法在现实攻击条件下可以被可靠击败，强调了需要根本不同的水印设计以解耦检测分数与令牌概率变化。

🔬 方法详解

问题定义：本文旨在解决现有大型语言模型水印方法的安全性问题，现有方法容易被攻击者利用，导致检测失效。

核心思路：通过揭示检测分数与生成过程中令牌概率变化之间的联系，设计出一种新的攻击策略，使得攻击者能够生成逃避检测的文本。

技术框架：整体架构包括对水印方法的分析、攻击策略的设计与实现，以及对生成文本的评估。主要模块包括模型查询、文本生成和检测评估。

关键创新：提出的分数比对齐概念是本文的核心创新，与现有方法的本质区别在于它揭示了水印检测的内在弱点，使得攻击者能够在不知密钥的情况下成功规避检测。

关键设计：在攻击过程中，采用黑箱查询模型的方式，利用生成文本的流畅性与自然性，同时通过调整生成参数来最大化逃避检测的成功率。具体的损失函数和网络结构细节在实验部分进行了详细描述。

🖼️ 关键图片

img_0
img_1
img_2

📊 实验亮点

实验结果表明，针对七种流行的生成水印方案，检测率降至0.05，显著低于现有方法的检测能力，且生成文本的质量保持在高水平。这一结果强调了当前水印方法在现实攻击条件下的脆弱性。

🎯 应用场景

该研究的潜在应用领域包括文本生成、内容审核和信息安全等。通过揭示现有水印技术的弱点，推动更安全的水印设计，提升文本生成系统的可靠性与安全性，具有重要的实际价值和未来影响。

📄 摘要（原文）

Watermarking has emerged as a key tool for identifying text generated by large language models (LLMs), with current schemes embedding statistical signals into the generation process to enable later detection. In this work, we identify a shared weakness across a broad class of popular LLM watermarking methods, including KGW (and its variants), GumbelSoft, DipMark, ITS, and SynthID. We show that these schemes exhibit a fundamental link between their detection scores and the token probability shifts they introduce during generation. This link, which we call score-ratio alignment, allows an attacker with only black-box query access to the model--and no knowledge of secret keys or model weights--to produce text that evades detection while remaining fluent and natural. We prove that the resulting attack is optimal across all covered watermark families, and show that the weakness is intrinsic: any watermark designed to maximize statistical detection power necessarily induces the very structure that attackers can exploit. We evaluate our attack on seven popular generative LLM watermarking schemes, three LLMs, and tasks, which reduce detection rates to at most 0.05 across all settings while preserving text quality. Our findings show that current watermarking methods can be reliably defeated under realistic attack conditions, highlighting the need for fundamentally different watermarking designs that decouple detection scores from token probability shifts.