[SoK] AIGC 水印：Gen-AI 时代的数字身份标尺与安全边界

TL;DR

随着生成式 AI（GenAI）的爆发，如何识别“谁生成了这段内容”以及“如何证明版权”成为了社会治理的燃眉之急。浙江大学等团队发布的这篇 SoK 论文，首次从**供应链（Supply Chain）**的角度为 AIGC 水印正名，提出了首个形式化定义，并深挖了其在文本、图像、音视频及跨模态领域的安全属性。

背景定位：这是一篇“开坑式”的综述，它将凌乱的 AI 水印技术抽象为逻辑严密的学术体系，是 AIGC 安全领域的里程碑之作。

1. 痛点：为什么传统水印在 AI 时代失效了？

过去我们谈论水印，通常是在图片做完后打个“Logo”或者修改几个像素点。但在神经网络面前，这种“事后补票”的方式极易通过**再生攻击（Regeneration Attack）**被抹除——AI 只需要重新解析内容并再次渲染，传统的水印信息就会在特征空间中灰飞烟灭。

此外，AIGC 的**跨模态（Cross-Modality）**特性让问题更复杂：一段文本生成的视频，水印应该埋在 Prompt 里，还是每一帧画面里？

2. 核心直觉：将水印视为“供应链中的流动”

作者提出了一个极具物理直觉的模型：流式供应链树 $T=(V,E,r)$。

• 叶子节点 ($V_d$)：输入提示词（Prompt）或初始噪声。
• 中间节点 ($V_p$)：扩散过程的每一步或 Transformer 的隐藏层。
• 根节点 ($r$)：最终生成的 AIGC 内容。

内生性 (Endogeneity) 是本文的核心 Insight：最强的水印不应该是贴上去的皮肤，而应该是长在骨骼里的基因。通过修改模型参数 $het{a}_w$ 或生成时的概率分布，使输出内容天然携带检测特征。

3. 技术路线详解：不同模态的“加密”艺术

文本水印：Logits 领域的博弈

传统的 Unicode 替换容易被“复制粘贴”破解。现代 AIGC 文本水印（如 Kirchenbauer 等人的工作）通过将词表分为“红绿名单”，并在采样时提升绿名单词汇的 Logits 概率。这种方式在语义上几乎无感，但在统计学上具有极高的确定性。

图像水印：扩散路径的隐写

在 Stable Diffusion 等模型中，研究者如 Tree-ring Watermarking 通过改写反向扩散过程中的初始潜在噪声，让生成的图像在频域空间内拥有特定的指纹。其数学本质是在采样分布中注入一个微小的非对称偏置。

4. 实验与攻防：矛与盾的巅峰对决

论文详细分类了目前的攻击手段：

1. 移除攻击 (Removal)：通过添加噪声、内容编辑或使用另一个 AI 模型重写（Regeneration）来清除水印。
2. 伪造攻击 (Forgery)：通过逆向工程推测出“绿名单”规则，从而伪造出合法的 AIGC 水印。

深度见解：实验发现，语义水印 (Semantic Watermarking) 对抗再生攻击的效果显著优于传统的频域水印，因为它是基于内容的深层语义构建的逻辑闭环，除非内容本身被完全破坏，否则很难被剥离。

5. 总结与未来启示：从技术到法律

文章最后上升到了全球治理的高度。从欧盟的《AI 法案》到中国的《生成式人工智能服务管理暂行办法》，水印技术正从实验室走向法院。

关键结论 (Takeaway)：

• 内生化：未来的 SOTA 方法必将是与模型前向推理融为一体的训练方案。
• 公共可检测性 (Public Verifiability)：如何在不公开秘密密钥的情况下让公众验证 AI 生成内容，将是密码学与 AI 交叉的下一个热点。

局限性：目前对于跨模态（例如从视频特征自动同步到音轨水印）的研究依然处于起步阶段，且在大规模模型上的训练开销仍然是一个悬而未决的挑战。