In-Context Watermarks for Large Language Models

📄 arXiv: 2505.16934 📥 PDF

作者: Yepeng Liu, Xuandong Zhao, Christopher Kruegel, Dawn Song, Yuheng Bu

分类: cs.CL

发布日期: 2026-04-07

💡 一句话要点

提出In-Context Watermarking，通过提示工程实现大语言模型生成文本溯源，解决模型不可访问场景下的水印问题。

🎯 匹配领域: 支柱九：具身大模型 (Embodied Foundation Models)

关键词: 大语言模型 水印技术 提示工程 上下文学习 模型无关 文本溯源 间接提示注入 AI安全

📋 核心要点

  1. 现有水印方法依赖于访问LLM解码过程，这在许多实际场景中不可行，例如检测AI生成的学术评审。
  2. In-Context Watermarking (ICW) 通过巧妙设计的提示，利用LLM的上下文学习能力，在生成文本中嵌入水印。
  3. 实验验证了ICW作为模型无关水印方法的可行性，并探索了间接提示注入场景下的水印触发。

📝 摘要（中文）

大型语言模型（LLM）在敏感应用中的日益普及，凸显了有效水印技术的需求，以确保AI生成文本的来源和责任归属。然而，大多数现有的水印方法需要访问解码过程，限制了它们在实际场景中的应用。一个典型的例子是不诚实的审稿人在学术同行评审中使用LLM，会议组织者无法访问所使用的模型，但仍然需要检测AI生成的评论。为了解决这一差距，我们引入了In-Context Watermarking (ICW)，它仅通过提示工程将水印嵌入到生成的文本中，利用LLM的上下文学习和指令遵循能力。我们研究了四个不同粒度的ICW策略，每个策略都配有定制的检测方法。我们进一步研究了间接提示注入（IPI）设置作为一个具体的案例研究，其中水印通过修改输入文档（如学术手稿）来隐蔽地触发。我们的实验验证了ICW作为一种模型无关、实用的水印方法的可行性。此外，我们的发现表明，随着LLM变得更加强大，ICW为可扩展和可访问的内容归属提供了一个有希望的方向。

🔬 方法详解

问题定义：现有的大语言模型水印技术通常需要访问模型的内部解码过程，这在很多实际应用场景中是不可行的。例如，在学术评审中，会议组织者无法访问审稿人使用的LLM，因此无法使用传统的解码器水印技术来检测AI生成的评审。因此，需要一种模型无关的水印方法，能够在不访问模型内部的情况下，对LLM生成的文本进行溯源。

核心思路：In-Context Watermarking (ICW) 的核心思路是利用大语言模型的上下文学习能力，通过精心设计的提示（prompt engineering）来引导模型生成带有特定模式的文本，从而实现水印的嵌入。这种方法不需要访问模型的内部参数或解码过程，只需要控制输入提示即可。

技术框架：ICW 的整体框架包括两个主要阶段：水印嵌入阶段和水印检测阶段。在水印嵌入阶段，通过特定的提示策略，引导LLM生成带有水印的文本。在水印检测阶段，使用相应的检测方法来分析生成的文本，判断其中是否包含预设的水印模式。论文研究了四种不同粒度的ICW策略，每种策略都对应着一种特定的检测方法。

关键创新：ICW 的最重要创新点在于其模型无关性。与传统的解码器水印方法不同，ICW 不需要访问LLM的内部结构或解码过程，只需要控制输入提示即可实现水印的嵌入和检测。这使得 ICW 可以在各种不同的LLM上使用，而无需进行任何修改。此外，论文还研究了间接提示注入（IPI）场景，进一步增强了ICW的隐蔽性和实用性。

关键设计：论文提出了四种ICW策略，分别是：1) 基于关键词的水印，通过在提示中加入特定的关键词来引导模型生成包含这些关键词的文本；2) 基于短语的水印，通过在提示中加入特定的短语来引导模型生成包含这些短语的文本；3) 基于句子的水印，通过在提示中加入特定的句子来引导模型生成包含这些句子的文本；4) 基于段落的水印，通过在提示中加入特定的段落来引导模型生成包含这些段落的文本。每种策略都对应着一种特定的检测方法，例如，基于关键词的水印可以使用关键词频率分析来进行检测。

🖼️ 关键图片

img_0

📊 实验亮点

实验结果表明，ICW 可以在不同的LLM上有效地嵌入和检测水印，且对生成文本的质量影响较小。在间接提示注入（IPI）场景下，ICW 仍然能够有效地工作，表明其具有较强的鲁棒性和隐蔽性。实验还表明，随着LLM能力的提升，ICW 的性能也会随之提高。

🎯 应用场景

In-Context Watermarking (ICW) 具有广泛的应用前景，例如：检测AI生成的学术评审、防止AI生成虚假新闻、追踪AI生成内容的来源等。该技术可以帮助提高AI生成内容的透明度和可信度，促进AI技术的健康发展。此外，ICW在保护知识产权、防止恶意使用AI等方面也具有重要的应用价值。

📄 摘要（原文）

The growing use of large language models (LLMs) for sensitive applications has highlighted the need for effective watermarking techniques to ensure the provenance and accountability of AI-generated text. However, most existing watermarking methods require access to the decoding process, limiting their applicability in real-world settings. One illustrative example is the use of LLMs by dishonest reviewers in the context of academic peer review, where conference organizers have no access to the model used but still need to detect AI-generated reviews. Motivated by this gap, we introduce In-Context Watermarking (ICW), which embeds watermarks into generated text solely through prompt engineering, leveraging LLMs' in-context learning and instruction-following abilities. We investigate four ICW strategies at different levels of granularity, each paired with a tailored detection method. We further examine the Indirect Prompt Injection (IPI) setting as a specific case study, in which watermarking is covertly triggered by modifying input documents such as academic manuscripts. Our experiments validate the feasibility of ICW as a model-agnostic, practical watermarking approach. Moreover, our findings suggest that as LLMs become more capable, ICW offers a promising direction for scalable and accessible content attribution. Our code is available atthis https URL.