多比特水印可被无密钥改写：几个账号就能把生成文本的账号标识换成别人

多比特水印把账号标识写进生成文本，解码器凭密钥读出标识，用来把有害文本追溯到来源账号。 此前的攻击只能去掉水印或伪造水印是否存在，改变的是文本会不会被认作带水印，而不是水印里写的是谁。 在五种已发表的多比特水印方法和四个生成模型上，改写后的文本被解码器读成攻击者选定的目标标识，而不知道水印的普通改写仍停留在随机水平。

攻击者不需要密钥，只需要几个自己控制的账号，以及这些账号在改写位置上的下一个词分布。 水印方法在每一步让生成器偏向一个由消息和密钥共同决定的词表子集，解码器则检查文本有多符合每个候选消息的子集。 把账号的下一词分布与基础模型对比可以看出哪些词被偏向，把账号彼此对比可以推出目标消息会偏向哪些词，再让改写器只在这些词里选词。

攻击者可以事先算出一个证书，用来判断某次改写是否值得发布。 并非每个目标消息都可达：账号太少或账号消息太接近时，若干目标在攻击者看来无法区分。 证书为一时解码器几乎总能读出目标，证书为零时几乎读不出，中间取值在多数方法上不超过实际成功率。

报告覆盖的是失真型多比特水印，包括绿名单类方法及其多比特变体，实验在公开提示、开放权重模型和本地模拟账号上进行，没有涉及任何已部署服务或真实用户。攻击者掌握水印方案及其公开超参数、未加水印的基础模型和分词器，并控制若干已知标识的账号，这些账号都在提供方的同一密钥下加水印。对研究人员和方案设计者而言，这一结果说明解码出的标识不应被单独当作结论性证据，理论上界也告诉提供方哪些目标任何攻击者都无法达到。

攻击者读取的是完整的下一词分布，而实际接口通常只返回前若干项，这一理想化在原文中被明确标出。提供方若隐藏账号标识、按账号分别设密钥或不返回对数概率，攻击者所依赖的观测就不存在。原文还指出，样本访问下的查询代价没有被测量，对称性上界在该情形下仍然成立。