[SoK] AIGC 水印：Gen-AI 时代的数字指纹与供应链安全

TL;DR

随着生成式 AI（GenAI）的爆发，虚假信息扩散与产权侵权成为社会痛点。本文提供了首个 AIGC 水印形式化定义，将其从简单的“像素/字符修改”升华为**供应链安全（Supply Chain Security）**问题。文章深入探讨了内生性、跨模态及即插即用等先进属性，并系统分析了水印在检测、归属、版权保护及溯源中的核心作用。

背景定位

本文属于综述类（Systematization of Knowledge, SoK）巅峰之作。它不仅是过往技术的堆砌，而是为 AIGC 水印建立了一套学术坐标系，明确了该领域从“传统数字水印”向“AI 内生水印”转变的必然性，在 CVPR、USENIX 等顶级学术圈具有极高的理论指导价值。

痛点深挖：为什么传统水印失效了？

在 GenAI 时代，内容生成是动态且跨模态的。

1. 离散性难题：文本等离散数据微调几个词就会改变语义，传统修改物理格式的方法在 LLM 面前极易失效。
2. 跨模态鸿沟：生成过程可能涉及文本到图像、文本到视频，水印如何在模态转换中存活？
3. 对抗性攻击：恶意用户可以通过重采样、对抗扰动或简单的格式转换（如 JPEG 压缩）轻易抹去浅层水印。

核心方法论：流式供应链建模（Supply Chain Modeling）

作者提出了一个创新的物理直觉：将 AIGC 的产生看作一个根树（Rooted Tree）。

• 节点 (Nodes)：代表数据源（Prompt）或处理函数（扩散步、Transformer 层）。
• 内生性 (Endogeneity)：水印不再是生成后的贴纸，而是直接改变树的生长方式（如修改模型参数 $heta$）。

图 1：AIGC 水印的流式供应链示意图，展示了从输入 $v_0$ 到最终输出 $y^{\prime }$ 的全过程。

关键技术路径

• Logits 偏置：在 LLM 生成下一词时，通过修改概率分布形成“绿名单”模式。
• 噪声反演 (Inversion)：在扩散模型的潜在空间（Latent Space）注入特定噪声模式，利用 Tree-Ring 等技术实现“隐形指纹”。
• 跨模态对齐：通过特征对齐（Feature Alignment）模型，使水印在视频的视觉流和音频流中保持一致，增强抗篡改能力。

实验、功能与战绩对比

论文将功能划分为五个维度：检测 (Detection)、归属 (Attribution)、版权 (Copyright)、隐写 (Steganography) 和 篡改检测 (Tamper Detection)。

图 2：AIGC 水印功能全景图，涵盖了从数据集保护到模型所有权验证的闭环。

核心性能发现：

• 鲁棒性 (Robustness)：在特定扩散模型修复实验中，水印提取准确率可达 96%，显著优于传统空间域方法。
• 安全性 (Security)：文章识别了 3(k-e)+2 个攻击面，指出“再生攻击”（Regeneration Attack）是当前水印最大的威胁。

深度洞察与总结

局限性与挑战

1. 语义水印的脆弱性：目前的再生攻击（使用另一个无水印模型重构内容）仍能绕过大多数现有防御。
2. 公共检测矛盾：如何平衡“让所有人都能检测”与“不被攻击者逆向工程”之间的矛盾？

行业启示 (Takeaway)

AIGC 水印不再仅仅是技术问题，而是治理问题 (Governance)。中国、美国和欧盟已开始立法制约，水印将成为 Gen-AI 商业化落地的“身份准入证”。未来，**公共可验证（Publicly Verifiable）且不依赖原始数据（Blind Detection）**的高鲁棒性水印将是科研的最前沿。

作者总结：本综述通过定义 AIGC 水印的内生性与供应链属性，为学术界提供了从内容层转向系统层的全新研究视角。