arXiv cs.AI· Suxin Ji, Hungtao Wan, Shaoxuan Chen, An Zhang·· 10 天前AI 评分27
语义行为水印 SBW：为 LLM 智能体提供抗改写、防伪造的来源溯源
Semantic Behavioral Watermarking: Paraphrase-Robust and Forgery-Resistant Provenance for LLM Agents
AI 导读
研究者提出语义行为水印（SBW），在历史条件下对语义动作簇而非精确动作符号做水印，并用带密钥的抗碰撞分箱替代公开簇分箱，在随机预言机模型下证明新桶分配不可预测。
正文 · AI 翻译
摘要：行为水印在 LLM 智能体的高层动作选择中嵌入所有者标识符，在不触及输出 token 的情况下提供来源证明。此前的智能体水印会在两方面失效。第一，此前所有三种方案都将水印绑定到精确的动作符号上，因此重命名工具会使解码失同步，即使观测未被改动；在 AgentMark 自己的鲁棒性测试中，仅对观测进行改写就会使比特恢复率降至 16.8%。第二，此前所有智能体水印研究都只关注移除：没有一个研究询问对手能否伪造出一条可验证为他人所有的轨迹，而这一问题在文本水印中已得到肯定回答（Jovanović 等，2024）。我们提出语义行为水印（SBW）：在历史条件下对语义动作簇进行水印，将公开簇分箱替换为带密钥的抗碰撞分箱，其新桶分配在随机预言机模型下可证明是不可预测的。在五个智能体模型（3B-14B，四家厂商）和三种编码器上，排序在两个基准上均成立：在 ToolBench（每个模型 600 条轨迹）上，在置换校准的 1% FPR 下，重写下的检测率为簇级 0.49-0.66，而精确符号为 0.05-0.17，选择一致率为 72-83%，而 logit 偏置为 22-27%；在 ALFWorld（每个模型 100 个回合）上为 0.92-0.97 对 0.00-0.01。带密钥分箱将自适应伪造从 100% 降至主操作点（bge，r=64）的假阳性下限。我们还标出了该保证不覆盖的边界：当对手复制受害者自己的步骤时，打乱拼接被中和（在 Qwen2.5-3B 上为 0.000），但链式重放在五个模型上仍保持在 0.76-0.98，作为开放问题报告。改写鲁棒性大约消耗每步水印容量的一半。代码见 此 https URL。
| 学科： | 密码学与安全（cs.CR）；人工智能（cs.AI） |
| 引用为： | arXiv:2610.08668 [cs.CR] |
| （或 arXiv:2610.08668v1 [cs.CR] 用于此版本） | |
| https://doi.org/10.48550/arXiv.2610.08668 arXiv 颁发的 DOI 通过 DataCite（待注册） |
提交历史
来自：Suxin Ji [查看电子邮件]
[v1]
2026 年 10 月 6 日星期二 16:50:42 UTC（327 KB）
来源：arXiv cs.AI · arxiv.org