统计水印

统计水印在生成每个token时，依据只有厂商掌握的密钥对候选词表做伪随机划分，并轻微提升某一子集（绿名单）的采样概率。

统计水印与基于困惑度、句式特征等启发式信号的AI检测器有本质区别：后者是概率猜测，前者在密钥保密的前提下可给出统计意义上的置信度。

水印的鲁棒性与可检测性是一对矛盾：扰动越大越容易被发现，但对改写、翻译、同义替换的抵抗力也越弱。

将文本交给另一个模型要求全部改写（洗稿式攻击），会重新采样几乎每一个token，使原有水印偏置彻底失效。

面向开放文本的统计水印很难同时做到对良性编辑稳健、对恶意改写免疫。