TextSeal: A Localized LLM Watermark for Provenance & Distillation Protection¶
会议: NeurIPS 2026
arXiv: 2605.12456
论文: https://arxiv.org/abs/2605.12456
代码: https://github.com/facebookresearch/textseal
领域: 安全
关键词: 大模型水印、无失真采样、双密钥路由、熵权检验、多区域定位、知识蒸馏放射性
一句话总结¶
本文提出针对大语言模型的无失真水印方案 TextSeal，通过双密钥随机路由恢复生成多样性并原生兼容推测解码，结合熵权局部伽马检验与几何覆盖多区域搜索解决文本稀释与片段定位难题，且水印信号可跨模型知识蒸馏迁移以保护模型版权。
研究背景与动机¶
随着大语言模型在工业界生产系统中的规模化部署，对机器生成内容进行可靠的来源追溯（Provenance）和版权保护已成为亟待解决的监管与安全需求。面对欧盟《人工智能法案》（EU AI Act）等法规对可检测机器标识的合规要求，以及防止未经授权的数据蒸馏与模型抓取，在生成阶段嵌入统计可检但人类不可感知的算法水印成为最理想的技术路径。在生产环境中，水印方案必须具备无失真（Distortion-free）特性，即单 token 采样的期望分布必须严格保持模型原始概率分布不变，从而不损害文本质量与下游任务推理能力。
现有无失真水印方案在实际落地上面临严峻的多重瓶颈。最经典的 Gumbel-max 水印虽然具备极佳的检测效力与无失真性质，但其采样过程是完全确定性的——在固定提示词与密钥下总是生成唯一的文本序列，不仅彻底摧毁了多样性，而且在重复 \(n\)-gram 碰撞时容易使伪随机函数锁死在特定 token，引发严重的自循环退化；谷歌 Gemini 采用的 SynthID-Text 虽通过锦标赛采样缓解了确定性，但多层迭代采样带来了不可忽视的延迟（高达 1.1% 采样开销），且其依赖的贝叶斯分类检测器无法提供具有法律效力的严格假阳性率（FPR）界；更致命的是，现实中文档往往由人类创作与 AI 生成内容混合拼接而成，传统全局检验统计量在稀释（Dilution）与碎片化（Fragmentation）下信噪比急剧恶化，完全丧失检出力且无法标定被修改片段的边界。
针对这一系列结构性矛盾，本文在保留 Gumbel-max 优良理论特性的基础上重构了生成与检测管线。核心 idea：采用双密钥随机交替路由打破确定性循环并无缝承接推测解码，在检测端引入基于轻量代理模型的连续熵权与矩匹配 Gamma 近似校准检验，结合对数空间几何覆盖搜索与贪心自适应集成，在实现零推理额外开销与无失真保证的同时，攻克了长文本稀释定位和蒸馏版权追踪难题。
方法详解¶
整体框架¶
TextSeal 的技术体系解耦为嵌入端（Embedding）与检测端（Detection）两个核心模块。在嵌入阶段，生成模型在逐 token 自回归采样时，不再依赖单一密钥，而是以概率 \(\alpha\) 在两个对称私钥 \(k^{(1)}\) 与 \(k^{(2)}\) 之间动态路由，通过伪随机函数（PRF）为候选词分配均匀随机数并执行 Gumbel-max 选取，使得生成既打破确定性又严格保持单 token 无失真，并天然契合推测解码（Speculative Decoding）与多 token 预测（MTP）架构。
在检测阶段，针对待测文本，检测器首先在双密钥下同时重构 PRF 随机数，通过“早期融合”（Early Fusion）融合双路信号；随后利用轻量代理模型的前向传播估计局部预测熵，构建连续熵权赋权统计量，并通过矩匹配将其自校准为解析形式的 Gamma 分布以给出精确的 \(p\)-value；最后，针对局部混合文档，系统在对偶二进几何网格上执行覆盖搜索与贪心区间提取，并在全局检验、单最优窗口与多区域聚合之间进行带 Bonferroni 惩罚的自适应集成判定，必要时结合移动平均平滑恢复字符级高分辨率定位边界。
%%{init: {'flowchart': {'rankSpacing': 24, 'nodeSpacing': 28, 'padding': 6, 'wrappingWidth': 400}}}%%
flowchart TD
A["输入上下文与模型 Logits pt"] --> B["双密钥路由生成<br/>概率 α 在 k(1)/k(2) 间随机切换"]
B --> C["Gumbel-max 无失真采样<br/>xt = argmax Rv^(1/pv)"]
C --> D["双密钥早期融合评分<br/>si = (1-α)si(1) + α si(2)"]
D --> E["熵权矩匹配 Gamma 检验<br/>轻量代理模型估计熵并校准 p-value"]
E --> F["几何覆盖搜索与自适应集成<br/>二进网格多区域提取 + Bonferroni 纠正"]
F --> G["细粒度密度平滑定位<br/>局部滑动阈值标记 AI 水印片段"]关键设计¶
1. 双密钥路由生成：破除确定性循环与原生兼容推测解码
针对标准 Gumbel-max 单一密钥导致输出确定、文本缺乏多样性以及极易诱发重复 \(n\)-gram 死循环的缺陷，TextSeal 在每一步生成时以 \(1-\alpha\) 的概率选择主密钥 \(k^{(1)}\)，以 \(\alpha\) 概率选择副密钥 \(k^{(2)}\)（控制参数 \(\alpha \in [0, 0.5]\)）。对于选定密钥 \(k\)，其利用上下文滑窗 \(\mathbf{w}=(x_{t-k},\dots,x_{t-1})\) 和密钥种子通过高效哈希函数计算候选词的伪随机数 \(R_v^{(k)} \in [0, 1]\)，并通过下式选词： $\(x_t = \arg\max_{v \in \mathcal{V}} \left(R_v^{(k)}\right)^{1 / p_v^{(t)}}\)$ 由于不论选哪一把钥匙，采样过程均满足 \(\mathbb{P}(x_t = v) = p_v^{(t)}\)，因此边际分布完全不受扰动，数学上严格成立单 token 无失真（Single-token Non-distortion）。更巧妙的是，在推测解码场景中，草稿模型（Draft Model）的预测天然对应密钥 \(k^{(1)}\)，而目标模型拒绝后的重采样 Correction token 天然对应密钥 \(k^{(2)}\)，接收率自然决定了路由参数 \(\alpha\)，在零延迟代价下完全统一了水印生成与推理加速系统。
在检测端，由于检测器事先不知道各 token 具体由哪把密钥产出，若采用传统的晚期融合（对各密钥分别计算 \(p\)-value 再取 Fisher 联合）会使少数派密钥在全序列评估中被误视作纯噪声。TextSeal 提出基于单 token 级的“早期融合”（Early Fusion）： $\(s_i = (1 - \alpha) s_i^{(1)} + \alpha s_i^{(2)}, \quad \text{其中 } s_i^{(j)} = -\ln(1 - R_i^{(j)})\)$ 统计推导证明，在原假设 \(\mathcal{H}_0\) 下，\(s_i\) 的均值为 1，方差降为 \(\theta_R = \alpha^2 + (1-\alpha)^2 \le 1\)。信噪比分析严格证明了早期融合在任意 \(\alpha \in (0, 1)\) 下均在统计效力上严格占优晚期融合。
2. 连续熵权加权与矩匹配 Gamma 近似校准：自适应放大高置信度水印证据
当自回归下一步概率分布呈现极低熵时，头部 token 的概率接近 1，水印 PRF 几乎无法左右选择，这些位置的 token 不携带有效水印信息；盲目将其纳入求和反而会稀释全局统计量。TextSeal 通过轻量级辅助模型（如量化的 Qwen 3.5-0.8B）前向计算各位置熵 \(H_i\)，定义连续归一化熵权： $\(w_i^{\text{ent}} = 0.1 + 0.9 \cdot \frac{H_i - H_{\min}}{H_{\max} - H_{\min}}\)$ 与以往硬性切断低熵 token 的非连续阈值方法（如 SWEET）不同，连续加权使每个 token 均参与检验但贡献与其信息量相匹配。加权后的联合统计量 \(S_{\text{combined}} = \sum_{i=1}^n w_i^{\text{ent}} s_i\) 是非同分布指数变量的加权和（次指数分布），其解析形式的低次指数和在权重接近时存在严重数值溢出与不稳定，高斯分布在长尾部分又存在较大近似误差。TextSeal 创新地采用前两阶矩匹配（Moment Matching），将联合统计量拟合至解析稳定的 Gamma 分布 \(\mathrm{Gamma}(k_{\text{new}}, \theta_{\text{new}})\)： $\(\theta_{\text{new}} = \theta_R \frac{\sum (w_i^{\text{ent}})^2}{\sum w_i^{\text{ent}}}, \quad k_{\text{new}} = \frac{(\sum w_i^{\text{ent}})^2}{\theta_R \sum (w_i^{\text{ent}})^2}\)$ 据此可直接利用不完全 Gamma 函数计算闭式准确的 \(p\)-value，构建出在原假设下受到严密理论保证且与名义假阳率严格对齐的单侧检验。
3. 几何覆盖搜索与自适应集成：抵御混合稀释并实现毫米级片段定位
在由 AI 文本与人类书写混合拼接的真实长文档中，未经水印的背景 token 会造成 \(O(w^2/n)\) 级别的信噪比衰减。穷举搜索所有起止区间存在 \(O(n^2)\) 的不可承受算力与组合多次假设检验惩罚（Family-Wise Error Rate）。TextSeal 设计了二进网格的几何覆盖搜索（Geometric Cover Search），窗口长度取 \(L \in \{L_0, 2L_0, \dots, 2^{\lfloor \log_2 n \rfloor}\}\)，步长设为半窗口 \(L/2\)。此设计保证任意长度不低于 \(L_{\min}\) 的连续水印片段至少有 50% 的区域被网格窗口严格覆盖，同时将待测窗口总数急剧压缩至 \(M \approx 4n / L_{\min}\)。
系统采用双阶段贪心抽取：首先通过前缀和以 \(O(1)\) 复杂度秒级筛选原始分最高的前 \(K\) 个候选，再针对性评估精准的熵权 Gamma \(p\)-value。为兼顾未编辑整篇文档与局部稀疏片段，建立三路自适应集成（Adaptive Ensemble）： $\(\log_{10} p_{\text{final}} = \min \left(\log_{10} p_{\text{global}}, \, \log_{10} p_{\text{single}} + \log_{10} M, \, \log_{10} p_{\text{multi}} + \log_{10} \binom{M}{y} + \log_{10} Y_{\max}\right) + \log_{10} 3\)$ 在整篇 AI 文本下几乎不付搜索税；在稀释比例高达 30 倍的场景下，多区域提取收益远超对数税项，完成“稀释挽救”（Dilution Rescue）。一旦原假设被集成检验显著拒绝，系统解除多假设惩罚，应用局部加权移动平均核 \(S_i > \tau\) 进行高分辨率密度平滑，精准划定段落乃至句子级的水印起止物理边界。
损失函数 / 训练策略¶
TextSeal 自身作为推理端采样与统计检验算法，不修改基座模型的参数权重，生成阶段仅在未剪枝的 Top-\(p\) 候选子集（约 200 个 token）上运行 fused PRF 哈希，逐 token 仅增加约 0.07 ms（开销 \(\le 0.3\%\)），完全无需模型训练。
但在知识蒸馏放射性（Radioactivity）防护机制中，TextSeal 构建了基于蒸馏学习的版权检测流水线：使用被水印的教师模型（如 DeepSeek-R1-Distill-Qwen-14B）生成带思维链的解题轨迹，在严格过滤格式与死循环后，通过 LoRA（rank=128, lr=2e-5）微调学生模型（Qwen2.5-3B）。在审计阶段，通过Teacher-Forcing 单次前向记录学生模型在训练前缀下的 Top-1 预测，配合序列内及跨序列全局 \(n\)-gram 滑窗去重（消除上下文复制干扰），使用针对学生自身预测熵的凹函数权值 \(w_i^{\text{ent}} = \sqrt{\hat{H}_i}\) 汇总 PRF 统计量，从而在无需学生模型白盒权重的前提下，以高达 \(10^{-110}\) 级别的显著性证明学生模型存在未经授权的知识蒸馏侵权行为。
实验关键数据¶
主实验¶
主实验基于 Qwen 3.5-27B（生成温度 \(T=0.8\), top-\(p=0.9\)）在 ELI5 问答数据集（400 tokens）以及覆盖数学、代码、常识和知识推理的 12 项复杂基准（3,000 tokens reasoning budget）上全面展开，对比标准 Gumbel-Max 与谷歌 SynthID-Text。同时在 6,000 对跨 5 种语言（英、阿、中、印、日）样本上进行了 3 人多数票双盲人类评估与等效性检验（TOST）。
表 1：12 项下游基准能力对比（Qwen 3.5-27B, T=0.6 / 1.0, 综合准确率 %）
| 评测域 | 基准任务 | 无水印 (T=0.6) | TextSeal (T=0.6) | 无水印 (T=1.0) | TextSeal (T=1.0) | 变化结论 |
|---|---|---|---|---|---|---|
| 数学推理 | AIME | 40.1 | 41.1 | 35.8 | 37.1 | +1.0% / +1.3% (正常采样波动) |
| 数学推理 | MATH | 79.8 | 79.8 | 78.4 | 77.9 | 0.0% / -0.5% (保持一致) |
| 数学推理 | GSM8K | 95.4 | 96.0 | 96.1 | 96.1 | +0.6% / 0.0% (保持一致) |
| 代码生成 | HumanEval | 97.0 | 93.3 | 98.2 | 94.5 | -3.7% (源于类型提示导入格式微瑕) |
| 代码生成 | MBPP | 50.2 | 49.2 | 49.3 | 48.5 | -1.0% / -0.8% (处于随机波动内) |
| 综合学科 | MMLU | 49.2 | 51.5 | 46.4 | 48.9 | +2.3% / +2.5% (无退化) |
| 高难问答 | GPQA | 50.5 | 50.0 | 42.9 | 45.5 | -0.5% / +2.6% (无退化) |
| 事实知识 | SimpleQA | 15.8 | 16.0 | 15.5 | 13.7 | +0.2% / -1.8% (处于随机波动内) |
| 常识推理 | HellaSwag | 94.7 | 94.8 | 94.6 | 94.6 | +0.1% / 0.0% (完全持平) |
| 常识推理 | WinoGrande | 93.2 | 93.5 | 93.6 | 93.8 | +0.3% / +0.2% (完全持平) |
| 科学问答 | ARC-Easy | 93.4 | 93.7 | 93.8 | 92.8 | +0.3% / -1.0% (完全持平) |
| 科学问答 | ARC-Challenge | 88.3 | 88.5 | 86.6 | 86.0 | +0.2% / -0.6% (完全持平) |
| 全基准平均 | 12 项综合 | 70.6 | 70.6 | 69.3 | 69.1 | 0.0% / -0.2% (严格无损) |
表 2：多语言人类主观偏好双盲评估与 TOST 等效性检验（6,000 组问答，3 人多数票）
| 语言 | 样本量 \(N\) | 偏好水印 (WM) | 偏好基线 (Base) | 平局 (Ties) | 净胜率 (Net Win Rate) | 二项检验 \(p\)-value | TOST 等效性结论 (\(\Delta=5\%\)) |
|---|---|---|---|---|---|---|---|
| 英语 (English) | 2,000 | 124 | 146 | 1,730 (86.5%) | -1.10% | 0.20 | 显著等效 (\(p < 0.001\)) |
| 阿拉伯语 (Arabic) | 1,000 | 201 | 181 | 618 (61.8%) | +2.00% | 0.33 | 边界等效 (\(p = 0.062\)) |
| 中文 (Chinese) | 1,000 | 84 | 74 | 842 (84.2%) | +1.00% | 0.47 | 显著等效 (\(p < 0.001\)) |
| 印地语 (Hindi) | 1,000 | 91 | 89 | 820 (82.0%) | +0.20% | 0.94 | 显著等效 (\(p < 0.001\)) |
| 日语 (Japanese) | 1,000 | 143 | 130 | 727 (72.7%) | +1.30% | 0.47 | 显著等效 (\(p = 0.013\)) |
| 整体汇总 (Overall) | 6,000 | 643 | 620 | 4,737 (79.0%) | +0.38% | 0.54 | 统计学严格等效 (\(p < 0.001\)) |
消融实验¶
表 3：多样性策略帕累托前沿对比、检验校准及蒸馏学习效力消融
| 消融维度 / 机制 | 配置参数 / 变体 | 检测效力 (\(-\log_{10} p\)) | 多样性指标 (Self-BLEU / 采样开销) | 核心表现与结论 |
|---|---|---|---|---|
| 多样性生成策略 | 随机跳步 (Periodic Skip, \(\alpha\)) | 低 (\(\sim 2.5\)) | 中等 Self-BLEU | 信号被 \((1-\alpha)\) 均匀削弱，帕累托前沿处于劣势 |
| 随机混合 (Stochastic Mixing, \(a\)) | 最差 (\(\sim 1.8\)) | 偏高 Self-BLEU | 处于严格被支配地位，引入真随机惩罚了检测信噪比 | |
| 晚期融合双密钥 (Late Fusion / Fisher) | 中 (\(\sim 3.8\)) | 与早期融合一致 | 少数派钥匙 token 被整体测试当作噪声，检出力受抑 | |
| 早期融合双密钥 (TextSeal, \(\alpha=0.1\)) | 极高 (\(\ge 6.2\)) | 最优前沿 (Self-BLEU 降低) | 与熵跳步共同主导最优前沿，且唯一原生适配推测解码 | |
| 熵权检测代理尺度 | 无加权基线 (Unweighted) | 4.8 | 0 ms / 0 GB VRAM | 基准检出线，对于低熵 token 存在信噪比稀释 |
| 27B 完整模型前向加权 | 8.2 | 0.213 ms / 50.1 GB VRAM | 理论检测上限，但计算与显存开销极大难以工业部署 | |
| 4-bit 0.8B 轻量代理 (TextSeal) | 6.2 (提升 1.4 个量级) | 0.115 ms / 仅 1.4 GB VRAM | 仅需 1/35 显存即可捕获绝大部分信噪比收益，工业部署首选 | |
| 蒸馏版权检测权重 | 均匀无加权 (Uniform) | 83.7 | — | 基础放射性检出效力 (\(p = 2.1 \times 10^{-84}\)) |
| 原始幂函数 (\(H^{1.0}, H^{1.5}\)) | 83.5 | — | 受绝对熵尺度敏感度干扰，未带来实质增益 | |
| 凹函数归一化熵权 (\(\sqrt{\hat{H}_i}\)) | 109.4 | — | 大幅暴涨 25 个数量级 (\(p = 3.7 \times 10^{-110}\))，最强蒸馏追踪 |
关键发现¶
- 多样性与检测力严格占优：在 Self-BLEU 与检测效力组成的帕累托前沿上，TextSeal 彻底碾压 SynthID-Text 和随机混合方案；在同等多样性下检出力高出数个数量级。
- 抗长文本稀释救援效应显著：当 400 token 的 AI 片段被置于 12,000 token 的长文章中（稀释比高达 30 倍，AI 占比仅 3.3%）时，全局检测器的显著性早在 4,000 token 处便跌破临界线失效，而 TextSeal 依然保持 \(-\log_{10} p > 4\) 的极强检测置信度。
- 推测解码与服务部署零损耗：在 Qwen 3.5 多尺寸模型上部署 MTP 时，TextSeal 测得的草稿接收率与未加水印完全一致（29%–46%），困惑度完全持平，单 token 采样延迟仅增加 0.07 ms（比 SynthID 快 3 倍）。
- 可跨模型验证的知识蒸馏放射性：通过将带有 TextSeal 水印的 DeepSeek-R1-14B 轨迹蒸馏至 Qwen2.5-3B，学生模型在未见过私钥的前提下自发内化了水印偏置，且学生模型数学性能（GSM8K 从基座 64.5% 跃升至 79.9%）与纯净蒸馏完全持平，证实其可用于防范黑盒知识窃取。
亮点与洞察¶
- 早期融合（Early Fusion）从数学本质上击败晚期融合：传统多信号检测多倾向于在最终序列级计算 \(p\)-value 后合并（Fisher 方法），但本文证明在 token 级以方差压缩进行加权求和，能让双密钥互补信号在局部重组，使零假设方差从 1 降为 \(\alpha^2+(1-\alpha)^2\)，在信噪比理论推导上建立了严格占优性。
- 将推测解码的系统架构转化为水印的多样性来源：以往水印往往被推测解码的多模型交织所破坏，TextSeal 巧妙地将“草稿模型生成”与“目标模型纠错”分别映射为双密钥 \(k^{(1)}\) 与 \(k^{(2)}\)，令推测解码的接收率自然成为路由概率，化阻力为动力。
- 解耦“统计显著性判定”与“高分辨率物理边界定位”：针对多次检验税导致贪心合并丢弃微小片段的难题，TextSeal 采取“先严格全局拒绝原假设，再免税局部密度平滑”的二阶段策略，兼顾了假阳性率的数学底线与句子级的高分辨率标注。
局限与展望¶
- 依赖多样性换取可检测性：尽管 TextSeal 属于无失真（单 token 分布保持），但与所有基于随机种子的水印一致，其牺牲了跨次生成的独立多样性。对于依赖高多样性的工作流（如大型代码采样的 Best-of-\(N\) 搜索、创意写作头脑风暴），固定提示词重试的变异度有所收敛。
- 极端碎片化场景下的统计极限：当 400 token 水印文本被进一步撕裂打散为 5 个以上极小片段（单片段不足 80 tokens）时，局部检验统计量受制于多假设检验的 Bonferroni 组合搜索税，检出灵敏度出现明显衰退。
- 未来方向：探索无监督自适应滑动窗口与神经网络序列标注器结合的端到端定位网络；研究在长推理思维链（RL 驱动的 CoT）内部原生熵崩塌现象下，如何进一步维持水印的抗擦除鲁棒性。
相关工作与启发¶
- vs Gumbel-Max (Aaronson & Kirchner, 2023): Gumbel-Max 是无失真水印的先驱，但其静态单密钥机制导致生成完全确定且易诱发重复死循环；TextSeal 继承其单 token 无失真数学基础，引入双密钥路由恢复多样性，并补充了熵权与定位检测。
- vs SynthID-Text (Dathathri et al., 2024): SynthID 通过多层锦标赛采样恢复多样性，但采样耗时多出 3 倍，且其依赖的贝叶斯神经网络检测器缺乏严密置信区间保障、跨域易衰退且无法与多区间检验校准兼容；TextSeal 在全帕累托前沿、运行速度和严格频率学 FPR 保证上均显著占优。
- vs SWEET (Lee et al., 2023): SWEET 采取硬阈值丢弃低熵位置，破坏了原始概率分布（非无失真）；TextSeal 采用连续熵权并在原假设下进行矩匹配 Gamma 闭式校准，在严格保持无失真的同时提升统计效力。
评分¶
- 新颖性: ⭐⭐⭐⭐⭐ [设计了优雅的双密钥路由机制，不仅从理论上击破了 Gumbel-max 确定性弊端，更与现代推测解码/MTP 实现无缝结合，兼顾多区域定位与蒸馏追踪。]
- 实验充分度: ⭐⭐⭐⭐⭐ [从 12 项复杂下游基准、6,000 组跨 5 种语言的人类 A/B TOST 等效性检验，到稀释消融、显存延迟与模型蒸馏放射性追踪，数据极其详实严谨。]
- 写作质量: ⭐⭐⭐⭐⭐ [数学推导清晰完备，从次指数逼近到信噪比交叉边界分析一气呵成，图表设计极其精美。]
- 价值: ⭐⭐⭐⭐⭐ [攻克了 AI 水印在工业化落地中面临的多样性缺失、高推理延迟、长文稀释失真和版权侵权取证三大痛点，具备极高的部署落地价值。]