Last updated
随着生成模型的进步，AI生成的文本、代码和图像在许多应用中与人类生成的内容越来越难以区分。为了减轻这些AI生成内容的滥用，水印技术被提出用于在模型输出中嵌入信息以验证其来源。然而，现有的水印方案出人意料地容易受到攻击。
以往的水印设计主要关注于保持输出质量、鲁棒性和公共检测API的易用性。这些特性虽然有明显好处，但也使得系统容易受到恶意行为者的攻击，包括水印移除攻击和欺骗攻击。水印移除攻击旨在从水印内容中移除水印，而欺骗攻击则是创建带有目标水印的（可能是有害的）内容，使其看起来像是特定大型语言模型（LLM）生成的。
本文提出了一系列针对LLM水印的攻击方法，这些方法利用了现有水印方案的共同特性。具体来说，作者研究了以下攻击：
利用水印的鲁棒性进行欺骗攻击。
利用输出水印标记的质量保持特性进行水印移除攻击。
利用公共检测API进行水印移除和欺骗攻击。
识别并展示了现有LLM水印成功的关键属性如何使其容易受到攻击。
通过一系列简单、可扩展的攻击，展示了如何利用现有水印方案的共同属性。
提出了一系列实际的防御指南，以增强下一代LLM水印系统的安全性。
通过在三种最先进的水印机制和两种LLM上测试攻击，证明了这些漏洞是现有LLM水印的普遍问题。
实验部分详细评估了提出的攻击方法，包括：
对三种水印方案（KGW、Unigram和Exp）的攻击测试。
在两种LLM（Llama-2-7B和OPT-1.3B）上进行的攻击实验。
通过改变水印强度、使用多个水印密钥和利用公共检测API来评估攻击的有效性。
实验结果表明：
现有的LLM水印系统确实容易受到提出的攻击方法的影响。
通过合理数量的查询，攻击者能够有效地移除水印或生成欺骗性内容。
使用差分隐私技术可以有效地抵御利用检测API的欺骗攻击。
本文通过揭示现有LLM水印方案的潜在弱点，并提出了一系列攻击方法和实际的防御策略，为开发更安全的LLM水印系统提供了宝贵的资源。研究表明，设计水印时需要在多种属性之间进行权衡，如何最佳地导航这些权衡将取决于具体的应用场景。
本论文深入探讨了大型语言模型（LLM）水印的安全性问题，特别是现有水印方案的弱点如何被恶意行为者利用。作者不仅识别了这些潜在的攻击向量，而且还提出了一系列实验来证明这些攻击的可行性。更重要的是，本文提出了一系列实用的防御指南，旨在帮助开发者和研究人员构建更加安全可靠的LLM水印系统。通过在实际的水印方案和模型上测试这些攻击和防御策略，本文为该领域提供了重要的见解和指导。
