Linear Ensembles Wash Away Watermarks: On the Fragility of Distributional Perturbations in LLMs
线性集成洗去水印：LLM 分布扰动的脆弱性
🧭 LLM 安全 · 水印攻击
Department of Informatics, King's College London · Department of Mathematics, Imperial College London · Department of Statistics, University of Warwick
理论证明并实验验证，简单平均多个水印模型的输出概率即可破坏常见水印方案，并提出了解决异质模型集成难题的 WASH 方法。
📌 工作参考价值（4 点）
- 如果业务用多个 LLM 生成内容（如商品文案、对话回复），通过输出概率平均或 token 级融合，不仅可能无意中抹除内置水印，还能提升生成质量（本文集成 3 模型质量提升 27.5%），可作为工程上的一种提升多样性与可靠性的 trick。
- 依赖水印进行 AI 文本鉴别（如虚假评论检测、内容溯源）的业务需警惕多模型集成攻击：即使对手只能调用 API，也能通过侧信道获取 logits 或近似分布，类似方法可低成本削弱水印；防御方需考虑跨模型协同或更鲁棒的嵌入方式。
- 提出的 WASH 方法解决了不同模型词表、分词不一致的实际难题，利用动态映射和对齐技术实现快速集成（比最佳基线快 6 倍），这种异构模型融合思路可直接用于多模型 A/B 测试在线集成，或构建具备容灾能力的推荐/Agent 生成链路。
- 对于需要反向利用水印的场景（如规避平台查重），本文揭示了只需 3-5 个模型的输出平均即可让检测 z-score 从数百降至 2 以下，提示业务中若采用第三方水印检测服务，其可靠性会因用户多模型选择而大打折扣。