通过句法可预测性的语言学感知型LLM水印技术

# 通过句法可预测性的语言学感知LLM水印

来源: https://arxiv.org/html/2510.13829

Hyejin Park2 Hyeseon An1 Yo-Sub Han1,†

1延世大学 首尔 韩国 {[email protected], [email protected], [email protected]}

2伦斯勒理工学院 特洛伊 纽约 美国 [email protected]

###### 摘要

随着大语言模型（LLM）的快速发展，可靠的治理工具变得至关重要。公开可验证的水印对于建立可信的AI生态系统尤为重要。一个核心挑战仍然存在：在文本质量和检测鲁棒性之间取得平衡。最近的研究试图通过利用模型输出分布中的信号（例如标记级熵）来应对这种权衡；然而，它们对这些模型特定信号的依赖为公开验证带来了重大障碍，因为检测过程需要访问底层模型的logits。我们介绍STELA，一个新框架，将水印强度与语言固有的语言学自由度对齐。STELA使用词性（POS）n元语法建模的语言学不确定性来动态调节信号，在语法约束上下文中削弱信号以保持质量，在具有更大语言灵活性的上下文中增强信号以提高可检测性。我们的检测器无需访问任何模型logits，因此实现了公开可验证的检测。通过对类型学多样的语言进行广泛实验——分析型英语、孤立型汉语和胶着型韩语——我们证明STELA超越了之前的方法在检测鲁棒性上的表现。我们的代码可在https://github.com/Shinwoo-Park/stela_watermark获得。

## 1 引言

大语言模型的快速发展在广泛的应用中展现了卓越的能力，从创意写作（Gómez-Rodríguez and Williams, 2023）和从零开始生成维基百科级别的文章（Shao et al., 2024）到在法律（Hu et al., 2025）和医学问答（Labrak et al., 2024）等专业领域运作。然而，这一进步也引发了对其被滥用的担忧（Mitchell et al., 2023; Yang et al., 2024; Park et al., 2025）。LLM幻觉事实的倾向（Jiang et al., 2024）和它们大规模生成具说服力的虚假信息的能力（Vykopál et al., 2024）构成了重大的社会风险。作为应对，欧盟AI法案要求提供商明确标识通用AI模型的输出（欧盟AI法案，2024）。LLM水印（Liu et al., 2024; Lalai et al., 2025; Kim et al., 2026; An et al., 2026; Park et al., 2026）已成为解决这些挑战的有前景的方法。

一个代表性的方案KGW由Kirchenbauer et al.（2023）提出，在每个生成步骤将模型词表分为绿名单和红名单，软性促进绿名单标记的选择以嵌入统计信号。这种方法的一个关键优势是第三方可以在不需要访问模型参数的情况下检测水印，从而实现公开验证。然而，作者注意到文本质量和检测鲁棒性之间的权衡（Kirchenbauer et al., 2023; Giboulot and Furon, 2024）。在标记级熵较低的上下文中，一个标记比其他标记的可能性远高，对绿名单标记的logits进行偏置可能不足以改变输出。在这种情况下强制选择绿名单标记会冒生成不自然词汇、降低文本质量的风险。这一限制促发了一波新的自适应方法来调节水印强度。

SWEET（Lee et al., 2024）仅在标记熵超过预定义阈值的生成步骤处有选择地应用水印，其检测器将分析限制在这些高熵位置。EWD（Lu et al., 2024）为每个标记分配与其熵成比例的权重，在最终统计中减少不可靠的低熵标记的影响，而无需硬阈值。虽然有效，这些方法对公开可验证性造成了重大障碍。由于SWEET和EWD都需要标记熵用于检测，它们需要访问LLM的logits。

我们提出了一个新框架，将水印信号与语言固有的语言学自由度对齐。我们的方法STELA（结构约束的基于熵的语言学水印——Structurally-Tethered Entropy-based Linguistic wAtermarking）是第一个基于语言学不确定性为插入和检测调节水印强度的方法，我们使用POS n元语法的条件熵来建模这一概念。这种方法区分了两种导致低标记熵的来源：语义固定性（例如专有名词）和语法必然性（例如强制性助词）。它在语法约束的上下文中削弱信号以保持质量，在语言选择众多的地方增强信号以增强可检测性。

这种设计的主要优势是检测过程不需要访问任何模型logits；像原始KGW框架一样，它仅使用轻量级POS分析器实现公开验证。至关重要的是，虽然基于熵的方法将模型的瞬间不确定性作为参考信号，STELA将语言的内在句法结构作为参考。这从模型特定到语言通用的转变使得健壮的公开可审计性成为可能，这是标记熵方法本质上不具备的特性。

我们在三种不同的语言类型上验证了STELA的泛化性：分析型英语，其中语法关系主要通过严格的词序和功能词表达；孤立型汉语，一种极端分析型语言，其中词序至关重要且几乎没有屈折；以及胶着型韩语，其中丰富的形态后缀（例如助词和词尾）附加到词根以编码语法，允许灵活的词序。我们的实验表明STELA在检测性能上超越了先前的方法。

表1：代表性水印方法的分类

STELA将完全自适应策略与插入和检测集成，采用无模型检测框架。其与先前自适应方法的关键区别在于使用模型独立的语言学不确定性信号，而不是模型特定的logits。

## 2 相关工作

表1提供了代表性LLM水印方法的分类。当前研究的大部分建立在KGW（Kirchenbauer et al., 2023）的奠基工作之上。这一开创性方法建立了基于logit的水印实践框架。它根据前一标记的哈希值将词表分为绿名单和红名单，并在生成过程中对绿名单标记的logits应用静态偏置。一个关键优势是其无模型检测，允许第三方仅使用公共哈希函数和统计z检验来验证水印。

MorphMark（Wang et al., 2025）在此基础上建立，通过引入自适应插入策略同时保留KGW的无模型检测而进行扩展。它根据每个生成步骤处绿名单标记的累积概率动态调整水印强度。虽然其检测保持公开可验证，插入逻辑仍然由模型的瞬间输出概率指导。

另一条研究路线解决了低熵上下文中的水印问题，其中静态偏置通常不足以改变尖锐的标记分布。这可能导致水印插入失败和随后的检测失败。最近的方法通过纳入从模型logits计算的标记级熵来解决这一挑战。例如SWEET（Lee et al., 2024）仅在标记熵超过预定义阈值时有选择地应用水印，将插入和检测都限制在这些位置。EWD（Lu et al., 2024）采取不同的方法，提出一个熵感知的检测方法，在最终统计中为每个标记分配与其熵成比例的连续权重，从而减少不可靠低熵标记的影响。

虽然这些方法提供了精细的适应，它们同时对公开可验证性造成了障碍。具体来说，由于SWEET和EWD的检测机制都依赖标记级熵，它们是模型相关的，因此需要直接访问LLM logits。进一步的水印方法讨论见附录A。

## 3 背景

#### 下一标记生成

在每个生成步骤t，LLM接收前一标记序列x<4.0z>4.0）时，文本被识别为带水印的。

参见图1

图1：通过语言学不确定性的自适应水印插入

## 4 方法

我们首先定义模型独立的语言学不确定性测度。然后，我们详细说明这一测度如何为水印插入和检测的新颖自适应策略提供信息。STELA的伪代码见附录B。

### 4.1 定义语言学不确定性

虽然先前的自适应方法依赖于模型相关的概率不确定性（即标记熵），STELA引入了一个基于模型独立的语言学不确定性的新框架。我们通过使用词性n元语法量化句法结构的可预测性来形式化这一概念。具体来说，我们定义一个测度λ(c_t)，捕捉给定生成步骤t处的语法自由度。

设S=(π_1,...,π_T)是对应于文本序列的POS标签序列。这里k是代表POS上下文n元语法大小的超参数。在步骤t处，语言学上下文定义为前k-1个POS标签的序列，记为c_t=(π_{t-k+1},...,π_{t-1})。我们从人类写作的语料库中估计条件概率分布P(π_t|c_t)。条件香农熵定义为：

H(P(π_t|c_t)) = -∑_{π'∈V_POS} P(π'|c_t) log P(π'|c_t)，(4)

其中V_POS代表所有可能POS标签的集合。语言学不确定性λ(c_t)然后定义为该分布的归一化熵：

λ(c_t) = H(P(π_t|c_t)) / log K_{c_t}，(5)

其中K_{c_t}是语料库中在上下文c_t之后观察到的唯一标签类型的数量。λ(c_t)→1的值表示高不确定性（许多语法选项是合理的），而λ(c_t)→0表示高可预测性（句法结构受到强烈约束）。这个预计算的、与模型无关的信号构成了我们方法的基础。在水印插入和检测期间，STELA通过查找表引用此信号以检索对应于当前上下文c_t的λ(c_t)值。

### 4.2 水印插入：自适应强度

STELA通过基于语言学不确定性动态调节水印强度来细化KGW的静态插入策略。STELA不是应用固定偏置δ，而是为每个生成步骤t计算自适应偏置δ'_t：

δ'_t = δ · λ(c_t)，(6)

其中c_t是前驱标记的POS上下文。词表中第i个标记的logit修改为：

l'_{t,i} = {
  l_{t,i} + δ'_t  若 i ∈ V_G
  l_{t,i}         若 i ∈ V_R
}(7)

这个机制在语言灵活的上下文中应用强水印偏置（其中λ(c_t)较高），在语法约束的上下文中应用弱或可忽略的偏置（其中λ(c_t)较低）。图1说明了STELA的自适应水印插入。

### 4.3 水印检测：自适应评分

对应于自适应插入，STELA的检测过程用自适应评分机制替代了KGW的统一计数。每个标记对检测分数的贡献由其语言学不确定性加权。对于长度为T的序列中的每个标记x_t，我们定义其权重w_t为：

w_t = λ(c_t)，(8)

其中c_t是从前驱标记重建的POS上下文。我们然后制定加权z分数z'来检验零假设H_0。观察统计为绿名单标记的权重和，W_G = ∑_{t=1}^T w_t · I(x_t ∈ V_{G,t})，其中I(·)是指示函数。在H_0下，W_G的期望值为E[W_G] = γ ∑_{t=1}^T w_t，其方差为Var(W_G) = γ(1-γ) ∑_{t=1}^T w_t^2。最终z'分数计算如下：

z' = (∑_{t=1}^T w_t · I(x_t ∈ V_{G,t}) - γ ∑_{t=1}^T w_t) / √(γ(1-γ) ∑_{t=1}^T w_t^2).(9)

这个自适应评分机制增加高不确定性上下文中标记的权重，其中水印被有意以更大的强度嵌入，并减少更可预测上下文中标记的影响。因此，检测统计相比统一计数基线表现出更高的灵敏度和鲁棒性。