A Locally Tokenized Generative Model for Robust Time-Series Watermarking

会议: NeurIPS 2026
arXiv: 2608.19727
代码: https://github.com/dongbinkim/LVQMark
领域: 时间序列
关键词: 时间序列生成、数字水印、离散量化、局部表征、鲁棒重编码

一句话总结

本文提出基于局部时序窗口离散表征的 L-VQVAE 生成模型及配套水印方案 LVQMark，通过将时序重编码约束在有界时间邻域内并结合奇偶交替红绿集划分与无偏预热采样，解决了后编辑攻击下全局耦合重编码导致的零假设双向漂移及假阳性失控难题。

研究背景与动机

随着生成式模型在多变量时间序列合成中的质量显著提升，生成时嵌入水印成为确认数据来源与防范未授权传播的关键手段。与需外挂元数据或重训练的方案相比，生成时水印通过在采样过程中向潜在单元注入统计偏置，无需破坏原始数据结构即可实现可追溯性。然而，现有时间序列水印的鲁棒性评测往往仅关注在固定假阳性率下的真阳性率（TPR@FPR），且这一阈值完全在干净未加水印样本上标定，严重忽视了后编辑攻击对未加水印样本零假设分布的干扰。

现有方法失效的根本矛盾在于：时间序列检测端必须首先将连续信号反向重编码为离散或潜变量表示，而现存的重编码映射几乎全基于全局耦合机制。当时间序列遭受局部裁剪、偏移或噪声插入等后编辑扰动时，微小的地方性篡改会通过全局注意力或时域全卷积扩散至整个重编码序列，诱发零分布的双向剧烈漂移。这种漂移要么使非水印序列的检验统计量大幅右偏从而穿透原本标定的阈值，产生极高的误报假阳性（FPR 甚至升至 100%）；要么使其严重左偏沦为统计异常值，导致干净环境下标定的判别阈值彻底失效。

为了打破全局耦合导致的误差扩散链条，必须使反向恢复出的每一个表征单元严格仅依赖于时间序列的有界局部邻域。核心 idea：通过引入仅依赖局部短滑动窗口的离散分词生成模型 L-VQVAE，将单点扰动严格隔离在有限个连续 Token 内，并在该局部离散接口上施加奇偶交替划分与无偏预热红绿 Logit 偏置，配合抗攻击鲁棒编码器恢复干净索引，实现攻击下检出能力与误报率双重稳定的时序水印。

方法详解

整体框架

L-VQVAE 与 LVQMark 共同构建了从时序生成、水印注入到鲁棒检测的闭环系统。在生成侧，L-VQVAE 采用局部离散分词器将连续多变量时序拆解为滑动局部窗口并映射为离散 Codebook Token，随后借助自回归 Transformer（AR Transformer）学习 Token 序列的自回归分布，最后由全局解码器统一将离散序列解码还原为长程连续序列。在水印注入阶段，LVQMark 于 AR Transformer 的自回归采样过程中对候选 Token 的 Logit 注入红绿集合正偏置；在检测阶段，面对可能遭受后编辑攻击的连续时序，专用的抗攻击鲁棒编码器将受损时序重新投影回离散 Token，再计算目标绿集的命中比例以执行标准化假设检验。

%%{init: {'flowchart': {'rankSpacing': 24, 'nodeSpacing': 28, 'padding': 6, 'wrappingWidth': 400}}}%%
flowchart TD
    A["多变量时序样本"] --> B["局部滑动窗口分词与量化<br/>短窗口提取 + 独立 Codebook 映射"]
    B --> C["奇偶交替与无偏预热水印注入<br/>自回归前 m 步无偏 + 奇偶反转红绿集合偏置"]
    C --> D["全局交叉注意力解码<br/>Token 序列一次性还原连续时序"]
    D --> E["后编辑扰动攻击<br/>局部裁剪 / 插入 / 均值偏移"]
    E --> F["抗攻击鲁棒编码器重提取<br/>分类网络抵御失真还原干净索引"]
    F --> G["标准化 Z-score 假设检验<br/>绿集命中率统计与稳健溯源判定"]

关键设计

1. 局部滑动窗口分词与量化：将扰动影响范围在物理上硬性截断于有界时间域

为解决全局耦合重编码带来的误差雪崩，L-VQVAE 在编码端严格执行局部性约束。对于多变量时间序列 \(\mathbf{x} \in \mathbb{R}^{T \times D}\)，分词器采用感受野大小为 \(R\)、步长为 \(s\) 的重叠滑动窗口进行切片，得到 \(N = (T-R)/s + 1\) 个局部窗口 \(\mathbf{w}_n = \mathbf{x}_{t_n+1 : t_n+R}\)，其中起始偏移 \(t_n = (n-1)s\)。每个窗口通过线性投影与可学习位置编码送入由跨注意力层构成的编码器 \(E_\phi\)，由全局共享的可学习查询向量逐步凝练为单一连续潜向量 \(\mathbf{z}_n = E_\phi(\mathbf{w}_n) \in \mathbb{R}^{d_c}\)，随后在共享码本 \(\mathcal{C} = \{\mathbf{e}_k\}_{k=1}^K\) 中寻找最近邻向量完成向量量化（VQ）：

\[s_n = \arg\min_{k \in \{1,\dots,K\}} \|E_\phi(\mathbf{w}_n) - \mathbf{e}_k\|_2^2, \qquad \mathbf{z}_n^q = \mathbf{e}_{s_n}\]

由于每个 Token \(s_n\) 的计算完全隔离在对应的局部窗口内，任何时间跨度有限的后编辑攻击最多只能波及 \(\lceil R/s \rceil + 1\) 个连续 Token，其余绝大多数未被扰动时间区间的 Token 保持绝对不受影响。为避免训练早期全局解码器借由上下文绕过局部码本，模型在第一阶段先联合局部解码器通过重建与 Commitment 损失预训练局部编码器和码本，再冻结编码器训练后续模块，确保离散 Token 拥有独立完整的表征力。

2. 奇偶交替与无偏预热水印注入：根除上下文无关划分中的偏置累积与前缀垄断

在离散 Token 采样中，为了防止检测端单个重编码错误引发连锁解码脱靶，红绿集合的划分必须独立于历史生成的 Token 上下文。然而朴素的上下文无关固定划分在 L-VQVAE 中会遭遇两项结构性失真：其一是窗口高度重叠导致模型倾向于连续输出相同 Token，固定的正偏置 \(\delta\) 会在同一 Token 上连续叠加，导致统计命中率极端极化；其二是采样初期缺乏历史上下文，Logit 分布接近均匀，固定偏置会导致前几个位置近乎确定性地选中相同绿集 Token，诱发刻板前缀并绑架后续生成轨迹。

LVQMark 创新性地结合了奇偶交替划分与前缀无偏预热机制。首先利用密钥种子指定基础绿集 \(G^{(0)}\)，并根据位置索引 \(n\) 的奇偶性交替反转红绿归属：

\[G_n = \begin{cases} G^{(0)}, & n \text{ 为偶数} \\ \mathcal{V} \setminus G^{(0)}, & n \text{ 为奇数} \end{cases}\]

由此，即使自回归模型出现长程重复 Token 序列，该 Token 在连续位置上也仅有一半步数被施加正偏置，从数学上保证了单类 Token 不会引发偏置的无限累积。同时，对前 \(m\) 步（实验设 \(m=3\)）完全抑制偏置注入：

\[\tilde{\ell}_{n,k} = \ell_{n,k} + \delta \cdot \mathbb{I}[k \in G_n] \cdot \mathbb{I}[n > m]\]

检测端同样排除前 \(m\) 步进行假设检验。这不仅保留了序列起点的生成多样性，更防止了无有效证据的退化采样干扰检验统计量。

3. 抗攻击鲁棒编码器重提取：在受损连续信号与干净离散代码间搭起确定性桥梁

局部滑动窗口虽然从理论上限制了受攻击 Token 的最大数量，但遭遇局部形变的窗口仍可能因细微数值偏离而在原始编码器 \(E_\phi\) 下跳变到错误的码本近邻。为此，设计了与生成模型解耦的抗攻击鲁棒编码器 \(E_\rho^\star\)。该网络复用局部编码器的窗口跨注意力主干，但移除了最近邻搜索，改为针对词表大小 \(K\) 输出分类概率分布。

在训练阶段，鲁棒编码器以 L-VQVAE 生成的干净序列及叠加了偏移、裁剪、插入和通道级裁剪（\(\text{crop}_{\text{var}}\)）等后编辑攻击的样本对 \((\mathbf{x}, \mathcal{A}(\mathbf{x}))\) 作为输入，以原始未扰动时序在冻结编码器下得到的离散标签 \(s_n(\mathbf{x})\) 为监督目标，通过交叉熵损失优化：

\[\mathcal{L}_{\text{robust}} = \mathbb{E}_{\mathbf{x},\mathcal{A}} \sum_{n=1}^N \text{CE}(E_\rho^\star(\mathcal{A}(\mathbf{x}))_n, s_n(\mathbf{x}))\]

由于前置的局部滑动窗口已经排除了全局误差污染，鲁棒编码器只需专注于单窗口内局域特征畸变的比对与校准，从而在高强度的局部篡改下精准恢复原始生成的离散水印序列。

损失函数 / 训练策略

L-VQVAE 与 LVQMark 采用解耦的多阶段分步训练策略：

1. 局部量化预训练（Stage 1）：在局部数据集上训练局部编码器 \(E_\phi\) 与局部解码器 \(D^{\text{loc}}_{\tilde{\psi}}\)，优化重构损失与 Commitment 损失 \(\mathcal{L}_{\text{VQ}}\)，码本向量采用指数移动平均（EMA）更新，训练 30,000 步后冻结编码器与码本。
2. 全局解码器训练（Stage 2）：保持分词器与码本冻结，输入离散 Token 嵌入序列，利用全局跨注意力解码器 \(G_\psi\) 拟合整段时序均方误差 \(\mathcal{L}_{\text{dec}} = \|\mathbf{x} - G_\psi(\mathbf{s}(\mathbf{x}))\|_2^2\)，训练 10,000 步。
3. 自回归 Transformer 训练（Stage 3）：使用带 6 步固定局部观察窗因果注意力的 Transformer 拟合 Token 序列条件分布，采用 10% 概率随机索引替换提升泛化鲁棒性，优化交叉熵损失，训练 30,000 步。
4. 鲁棒重编码器训练（Stage 4）：在离线生成的数据上合成攻击增强样本，以干净 Token 为监督信号独立训练 \(E_\rho^\star\) 50,000 步，采用 AdamW 优化器（学习率 \(1 \times 10^{-4}\)）。

实验关键数据

主实验

实验涵盖 Stocks（金融）、ETTh（能源负荷）、Energy（能耗预测）和 fMRI（神经影像）四大具有鲜明异构时序特征的数据集。在序列长度 \(T=64\) 且施加 30% 强度的后编辑攻击下，比较各方法在干净负样本标定阈值下的检测性能（[email protected]%FPR）以及非水印样本的误报率与标准化检验统计量 \(Z\)-score。

数据集	骨干模型	水印方法	Offset 攻击 (TPR / FPR / Z)	Crop 攻击 (TPR / FPR / Z)	Insert 攻击 (TPR / FPR / Z)	C-FID (↓)	Corr. (↓)
Stocks	DiffusionTS	Tree-Ring	0.00 / 0.00 / +0.21	1.00 / 1.00 / +69.43	1.00 / 1.00 / +8.11	1.52	0.07
Stocks	DiffusionTS	Gaussian Shading	1.00 / 0.00 / -1.40	0.00 / 0.00 / -14.87	1.00 / 0.05 / +1.52	1.50	0.02
Stocks	DiffusionTS	TimeWak	1.00 / 0.00 / -0.19	1.00 / 0.00 / -4.32	1.00 / 0.05 / +1.35	0.29	0.01
Stocks	SDformer	LVQMark	0.00 / 0.00 / -0.16	0.01 / 0.02 / +1.19	0.00 / 0.00 / +0.31	0.08	0.01
Stocks	L-VQVAE	LVQMark	1.00 / 0.00 / -0.12	1.00 / 0.01 / -0.05	1.00 / 0.01 / +0.35	0.07	0.02
ETTh	DiffusionTS	Tree-Ring	1.00 / 0.00 / +0.89	1.00 / 1.00 / +17.16	1.00 / 1.00 / +38.55	2.17	0.22
ETTh	DiffusionTS	Gaussian Shading	1.00 / 0.00 / -1.53	1.00 / 0.00 / -5.44	1.00 / 0.00 / -5.82	3.43	0.25
ETTh	DiffusionTS	TimeWak	1.00 / 0.04 / +1.17	0.61 / 0.00 / -0.28	1.00 / 0.03 / +1.20	0.37	0.13
ETTh	SDformer	LVQMark	0.00 / 0.00 / -0.94	0.00 / 0.02 / +0.09	0.00 / 0.00 / -0.09	0.04	0.05
ETTh	L-VQVAE	LVQMark	1.00 / 0.01 / -0.12	1.00 / 0.00 / -0.22	1.00 / 0.00 / +0.35	0.03	0.06
Energy	DiffusionTS	Tree-Ring	0.00 / 0.00 / +1.18	1.00 / 1.00 / +53.73	1.00 / 1.00 / +58.55	0.58	1.98
Energy	DiffusionTS	Gaussian Shading	1.00 / 1.00 / +14.51	0.38 / 0.00 / +0.87	1.00 / 1.00 / +11.77	1.78	2.72
Energy	DiffusionTS	TimeWak	1.00 / 0.00 / -9.69	0.97 / 0.00 / -0.42	1.00 / 0.00 / -1.57	0.14	1.52
Energy	L-VQVAE	LVQMark	1.00 / 0.00 / -0.06	1.00 / 0.00 / -0.25	1.00 / 0.01 / +0.04	0.04	0.95

注：表中 \(Z\)-score 绝对值超过 \(3.09\) 表示零假设分布在统计学上发生极其严重的显著漂移。

消融实验

针对水印调度模块（奇偶交替划分与无偏预热）在 \(T=64\) 序列生成质量上的影响，以及抗攻击鲁棒编码器在不同骨干模型架构下的检出率对比进行系统消融。

1. 水印调度组件对生成质量的消融（LVQMark，T=64）

数据集	配置版本	Context-FID (↓)	Correlational (↓)	Discriminative (↓)	Predictive (↓)
Stocks	移除交替划分与预热 (no-alt-warmup)	0.222	0.007	0.094	0.036
Stocks	仅移除无偏预热 (no-warmup)	0.194	0.020	0.107	0.036
Stocks	完整 LVQMark	0.068	0.015	0.055	0.036
ETTh	移除交替划分与预热 (no-alt-warmup)	0.172	0.098	0.027	0.119
ETTh	仅移除无偏预热 (no-warmup)	0.061	0.060	0.007	0.114
ETTh	完整 LVQMark	0.028	0.061	0.010	0.116
Energy	移除交替划分与预热 (no-alt-warmup)	0.114	1.060	0.203	0.250
Energy	仅移除无偏预热 (no-warmup)	0.071	0.924	0.181	0.248
Energy	完整 LVQMark	0.035	0.945	0.151	0.248
fMRI	移除交替划分与预热 (no-alt-warmup)	0.324	1.362	0.199	0.093
fMRI	仅移除无偏预热 (no-warmup)	0.255	1.186	0.170	0.089
fMRI	完整 LVQMark	0.133	1.135	0.267	0.086

2. 鲁棒重编码器在不同表征架构下的攻击检出率（30% 攻击强度，[email protected]%FPR）

骨干模型	编码器配置	Stocks (Off/Crop/Ins)	Energy (Off/Crop/Ins)	ETTh (Off/Crop/Ins)	fMRI (Off/Crop/Ins)
SDformer	原始量化编码器	0.00 / 0.01 / 0.00	1.00 / 0.02 / 0.58	0.00 / 0.00 / 0.00	1.00 / 0.02 / 1.00
SDformer	+ 鲁棒编码器	0.00 / 0.00 / 0.00	1.00 / 0.66 / 0.80	0.13 / 0.08 / 0.03	0.05 / 0.28 / 0.03
L-VQVAE	原始量化编码器	1.00 / 0.00 / 1.00	1.00 / 0.00 / 1.00	1.00 / 0.01 / 1.00	1.00 / 1.00 / 1.00
L-VQVAE	+ 鲁棒编码器	1.00 / 1.00 / 0.98	1.00 / 1.00 / 1.00	1.00 / 1.00 / 1.00	1.00 / 1.00 / 1.00

关键发现

• 零分布漂移的双向性与欺骗性：现有基线在遭受编辑攻击时，检验统计量并非简单衰减。例如 Tree-Ring 在遭受 Crop 攻击时 \(Z\)-score 甚至狂飙至 \(+69.43\)，造成 100% 的虚假报警；而 Gaussian Shading 和 TimeWak 在部分攻击下呈现 \(-32.25\) 或 \(-9.69\) 的严重负向偏移，虽表面上 FPR 为 0，但整个零分布已完全偏离名义分布，一旦面对细微对抗扰动便极易发生雪崩。LVQMark 在 12 组实验中将平均 \(Z\)-score 稳定收敛在 \([-0.25, +0.35]\) 的极窄名义区间内。
• 局部性是鲁棒重编码的先决条件：在全局耦合的 SDformer 上直接套用数据增强训练的鲁棒重编码器并不能带来一致提升，在 fMRI 数据集上甚至导致 Offset 和 Insert 检出率从 1.00 崩塌至 0.05 和 0.03；而与具有严苛局部边界的 L-VQVAE 配合时，鲁棒编码器能将所有数据集上的 Crop 检出率直接从近 0 挽救至 1.00。
• 前缀预热与奇偶交替的双重防线：若缺乏前缀预热，早期的均匀采样会无条件陷入少数高偏置 Token，从而绑架整条时间序列的生成走向（Context-FID 从 0.068 恶化至 0.194）；而奇偶交替进一步防止了长时间连续状态对单一红绿偏置的过度吸收。

亮点与洞察

• 首次将时间序列水印可靠性形式化为重编码稳定性问题：指出了仅看 TPR@FPR 存在遮蔽负向漂移的统计陷阱，并确立了非水印样本在扰动下的零分布不变性这一关键准则。
• 生成架构解耦设计理念：巧妙地将「局部性约束」仅施加于检测时需要反复调用的分词编码侧，而在生成时依赖无局部限制的全局解码器与自回归网络，从而在不牺牲高保真时间序列建模能力的前提下获得了严苛的抗扰动隔离边界。
• 可复用的离散空间水印技巧：奇偶交替划分与无偏预热采样完美化解了离散分词在连续介质（时序、音频、连续物理轨迹）重叠分块中所特有的偏置饱和问题，这一机制可直接迁移至离散语音编码或具身轨迹生成水印中。

局限与展望

• 多阶段分步训练开销较大：整个流水线包含局部编码预训练、全局解码器拟合、自回归模型训练以及后置鲁棒编码器微调共四个离散步骤，工程流转较为复杂。
• 长时序极限拓展未充分验证：当前实验序列长度主要集中在 \(T \in \{24, 64, 128\}\)，对于金融高频高维乃至包含成千上万时间步的超长序列，局部窗口堆叠下的序列自回归采样速度可能成为吞吐量瓶颈。
• 未来方向：探索端到端联合训练方案，同时研究如何将局部量化分词机制推广至非网格化时间序列或稀疏事件流数据的水印保护中。

相关工作与启发

• vs TimeWak：TimeWak 依赖时间链式哈希结构，重编码时在时间维度高度自回归串联，遭遇裁剪或时间轴平移攻击时极易发生哈希雪崩，且零假设分布严重负漂；本文通过前向独立切片与局部量化消除全局时序耦合。
• vs Tree-Ring / Gaussian Shading：此类基于扩散模型初始潜在噪声空间的水印方案高度依赖全域反向扩散重构，对时间轴局部的修改会导致全频段特征剧烈失真并诱发极其恶劣的高假阳性率误报；本文基于离散分词将扰动局限在局部，且误报率受到严格数学约束。
• vs KGW (语言模型水印)：KGW 的绿集依赖前一个 Token 动态生成（Context-dependent），在连续信号重编码有损环境下会引发跨步误差级联；本文提出了面向连续时序重叠窗口特性的上下文无关奇偶交替与无偏预热调度规则。

评分

• 新颖性: ⭐⭐⭐⭐⭐ 突破了单纯提高检测率的传统思路，敏锐指出时序水印中的双向零漂移痛点并构建了基于局部量化的全新架构。
• 实验充分度: ⭐⭐⭐⭐⭐ 覆盖四类跨领域真实时序基准、多种攻击类型与不同时序长度，给出了详实的消融与零分布分布分析。
• 写作质量: ⭐⭐⭐⭐⭐ 理论问题抽象清晰，将统计检验的失真机理与神经网络局部归纳偏置紧密联系，逻辑推导层层递进。
• 价值: ⭐⭐⭐⭐⭐ 为多变量时间序列版权认证与 AIGC 合规监管提供了高可用且理论自洽的坚实工具基座。

相关论文

• [ICML 2026] Doubly Outlier-Robust Online Infinite Hidden Markov Model
• [NeurIPS 2026] A Set-Sequence Model for Time Series
• [NeurIPS 2026] Realism VS Accuracy: Event Sequence Forecasting from a Generative Modeling Perspective
• [ICLR 2026] Aurora: Towards Universal Generative Multimodal Time Series Forecasting
• [NeurIPS 2026] TS-ICL: A Flexible Time-Indexed Foundation Model for Time Series via In-Context Learning