arXiv 2025年7月10日该工作提出一种与底层水印方法无关的防御方案：对每次查询随机选择水印密钥，并且仅当内容被恰好一个密钥检测到水印时才判定为真实，从而在密钥对称且检测器结果独立的条件下为盲攻击者给出与样本数量无关的伪造成功率上界，且不进一步损害模型效用；在评估的自适应盲攻击者下，r=4 个密钥时有害文本伪造成功率从单密钥的高达87%降至低至1%，初步图像研究（Tree-Ring）显示从100%降至2%。该工作提出一种与底层水印方法无关的防御方案：对每次查询随机选择水印密钥，并且仅当内容被恰好一个密钥检测到水印时才判定为真实，从而在密钥对称且检测器结果独立的条件下为盲攻击者给出与样本数量无关的伪造成功率上界，且不进一步损害模型效用；在评估的自适应盲攻击者下，r=4 个密钥时有害文本伪造成功率从单密钥的高达87%降至低至1%，初步图像研究（Tree-Ring）显示从100%降至2%。随机化密钥选择让盲攻击者伪造水印成功率从87%降至1%，且不额外损害模型效用该工作提出一种与底层水印方法无关的防御方案：对每次查询随机选择水印密钥，并且仅当内容被恰好一个密钥检测到水印时才判定为真实，从而在密钥对称且检测器结果独立的条件下为盲攻击者给出与样本数量无关的伪造成功率上界，且不进一步损害模型效用；在评估的自适应盲攻击者下，r=4 个密钥时有害文本伪造成功率从单密钥的高达87%降至低至1%，初步图像研究（Tree-Ring）显示从100%降至2%。该工作提出一种与底层水印方法无关的防御方案：对每次查询随机选择水印密钥，并且仅当内容被恰好一个密钥检测到水印时才判定为真实，从而在密钥对称且检测器结果独立的条件下为盲攻击者给出与样本数量无关的伪造成功率上界，且不进一步损害模型效用；在评估的自适应盲攻击者下，r=4 个密钥时有害文本伪造成功率从单密钥的高达87%降至低至1%，初步图像研究（Tree-Ring）显示从100%降至2%。