# 水印

多智能体路由的策略可被日志克隆，一种不改模型参数、不改输出内容的水印把所有权信号藏进功能等价的改道决策里，在四套路由基准上抹除九成日志仍能验证所有权。

多智能体路由的策略可被日志克隆，一种不改模型参数、不改输出内容的水印把所有权信号藏进功能等价的改道决策里，在四套路由基准上抹除九成日志仍能验证所有权。

星载智能推理的模型保护不再只有“能用或不能用”两种状态。STAR-OV 在参数空间做两阶段可逆扰动，把模型从原始精度降到中等精度、再降到接近随机猜测，扰动记录组成分级密钥，按授权等级恢复不同性能；恢复后嵌入的潜伏水印在未激活时不改变推理行为，激活后在触发集上给出可验证响应。四个公开数据集上，全加密状态精度降到约 10% 至 13.97%，而修改的参数只占总量 10⁻³% 到 10⁻²%。

星载智能推理的模型保护不再只有“能用或不能用”两种状态。STAR-OV 在参数空间做两阶段可逆扰动，把模型从原始精度降到中等精度、再降到接近随机猜测，扰动记录组成分级密钥，按授权等级恢复不同性能；恢复后嵌入的潜伏水印在未激活时不改变推理行为，激活后在触发集上给出可验证响应。四个公开数据集上，全加密状态精度降到约 10% 至 13.97%，而修改的参数只占总量 10⁻³% 到 10⁻²%。

扩散模型生成图像的来源水印此前容易被去除攻击压掉，且几乎看不出画质损失。WaveMark把水印写进扩散模型初始噪声的小波域，用密钥把每个消息比特的副本分散到不同空间位置、小波方向与尺度上，再以投影幅度编码。在SD2.1上，无攻击时比特准确率为100.0%，面对MarkNull与MarkNull-A仍保持88.66%和88.06%，高于所比较的基线。

扩散模型生成图像的来源水印此前容易被去除攻击压掉，且几乎看不出画质损失。WaveMark把水印写进扩散模型初始噪声的小波域，用密钥把每个消息比特的副本分散到不同空间位置、小波方向与尺度上，再以投影幅度编码。在SD2.1上，无攻击时比特准确率为100.0%，面对MarkNull与MarkNull-A仍保持88.66%和88.06%，高于所比较的基线。

该工作提出一种与底层水印方法无关的防御方案：对每次查询随机选择水印密钥，并且仅当内容被恰好一个密钥检测到水印时才判定为真实，从而在密钥对称且检测器结果独立的条件下为盲攻击者给出与样本数量无关的伪造成功率上界，且不进一步损害模型效用；在评估的自适应盲攻击者下，r=4 个密钥时有害文本伪造成功率从单密钥的高达87%降至低至1%，初步图像研究（Tree-Ring）显示从100%降至2%。

该工作提出一种与底层水印方法无关的防御方案：对每次查询随机选择水印密钥，并且仅当内容被恰好一个密钥检测到水印时才判定为真实，从而在密钥对称且检测器结果独立的条件下为盲攻击者给出与样本数量无关的伪造成功率上界，且不进一步损害模型效用；在评估的自适应盲攻击者下，r=4 个密钥时有害文本伪造成功率从单密钥的高达87%降至低至1%，初步图像研究（Tree-Ring）显示从100%降至2%。

该工作提出 GenoTrace——一种密码子感知的绿名单水印扩展，用密码子位置和物种特异密码子用法两个 token 级因子调制教师模型的生成偏置，使生成的合成序列在蒸馏训练更小学生模型后仍可被审计；在 GenomeOcean-500M 到 100M 的三种子实验中，联合配置取得平均审计分 17.88、固定阈值下 94.5% 检出率，在密钥感知 token 替换后保留 49.0% 检出（单种子普通水印对照为 0%），在机制靶向核苷酸编辑组合后保留 47.0%。

该工作提出 GenoTrace——一种密码子感知的绿名单水印扩展，用密码子位置和物种特异密码子用法两个 token 级因子调制教师模型的生成偏置，使生成的合成序列在蒸馏训练更小学生模型后仍可被审计；在 GenomeOcean-500M 到 100M 的三种子实验中，联合配置取得平均审计分 17.88、固定阈值下 94.5% 检出率，在密钥感知 token 替换后保留 49.0% 检出（单种子普通水印对照为 0%），在机制靶向核苷酸编辑组合后保留 47.0%。