METS：面向LLM生成文本数字版权追踪的元数据嵌入式隐写框架

《IEEE Open Journal of the Computer Society》：METS: Metadata-Embedded Steganography for Digital Rights Tracking in LLM-Generated Text

本研究针对大语言模型(LLM)生成文本的版权保护难题，提出了一种名为METS的元数据嵌入式隐写框架。该研究通过分层哈希算法和改进的Playfair密码将用户标识符、时间戳等多位元数据嵌入生成文本，在严格模式下实现了99.9%的匹配率和100.0%的比特准确率，为数字内容确权提供了创新解决方案。

　　

随着GPT-4、Llama 3等大语言模型(LLM)的快速发展，AI生成文本已广泛应用于文学创作、技术文档等众多领域。然而，这种技术进步也带来了新的挑战：如何准确识别AI生成内容的来源？如何保护数字作品的版权？传统的零比特水印技术只能验证文本是否来自特定模型，却无法嵌入具体的用户信息、时间戳等元数据，难以满足实际应用中对版权追踪和作者验证的日益增长的需求。

现有文本水印技术面临着一个关键瓶颈：自然语言文本具有严格的语义和结构约束，任何微小的改动都可能破坏文本的流畅性和可读性。这使得在保持文本质量的同时嵌入多位信息变得异常困难。此外，随着数字内容验证需求的提升，仅能表明水印存在与否的方法已不足以应对复杂的版权保护场景。在实际应用中，往往需要同时嵌入多种类型的元数据，如用户标识符、组织信息和模型版本等，从而为AI生成内容的版权保护提供更全面的支持。

为了解决这些问题，国立中正大学的研究团队在《IEEE Open Journal of the Computer Society》上发表了一项创新研究，提出了一种名为METS（Metadata-Embedded Steganography）的新型水印框架。该框架能够在LLM生成文本的过程中，直接嵌入任意元数据而无需重新训练模型，为数字版权追踪提供了切实可行的技术方案。

研究团队采用了几项关键技术方法：首先，通过分层哈希算法对多个元数据元素进行安全处理，生成固定长度的哈希值；其次，基于用户提示词动态构建改进的Playfair密码矩阵，将哈希值转换为适合语言模型生成的字母序列；最后，在文本生成过程中采用自适应令牌采样策略，通过混合top-p/top-k选择方法在指定间隔嵌入水印序列，同时利用令牌修复技术保证文本自然度。实验基于Llama-3.1-8B-Instruct模型，使用ROCStories和WritingPrompts数据集的提示词，共生成28,800个水印文本来评估系统性能。

水印文本生成

研究团队设计了三阶段水印生成流程。在元数据哈希阶段，系统对用户标识符、时间戳等各个元数据元素分别进行哈希处理（支持MD5、SHA-1、SHA-256等算法），然后将哈希值拼接并再次哈希，生成最终用于嵌入的哈希值H_I。这种方法不仅增强了安全性，使得从嵌入签名重构原始数据计算上不可行，还支持动态调整有效载荷长度。

在密码转换阶段，研究团队创新性地改进了传统Playfair密码。通过分析Llama模型的词汇分布，他们识别出六个最低频的起始字母{j,k,q,x,y,z}，并将其排除以提升文本流畅度。基于故事提示词(SP)动态生成关键词(K)，构建4×5的改进Playfair矩阵，将十六进制哈希值转换为字母序列。该转换过程包含提示词依赖的矩阵构建、选择性字母映射和定制化配对程序，有效减少了生成罕见或 awkward字母序列的风险。

在LLM令牌采样阶段，系统采用自适应策略在文本生成过程中嵌入水印。算法根据间距参数S确定嵌入间隔，在指定位置选择以密码文本(CT)对应字母开头的令牌。框架支持两种嵌入模式：强制模式严格选择匹配指定字母的最高概率令牌，确保密码文本序列的精确嵌入；非强制模式则在top-n候选令牌中搜索匹配项，平衡嵌入准确性与文本流畅性。在嵌入点之间，系统采用混合top-p/top-k采样策略，结合令牌修复技术确保生成完整单词，维持文本的自然度。

水印检测性能

在水印检测方面，系统通过前向过程重建期望密码文本(CT_forward)，同时从生成文本中按相同间距参数提取字母序列形成后向恢复密码文本(CT_backward)。通过计算两者之间的字母匹配率(M_acc)来评估水印完整性。实验结果表明，该方法无需模型访问或复杂处理即可实现高效水印验证。

研究团队对28,800个样本进行了全面评估，结果显示强制嵌入模式实现了近乎完美的性能：MD5哈希函数的匹配率达到99.96%，SHA-1为99.94%，SHA-256为99.92%，整体匹配率为99.94%，比特准确率均为100.0%。仅有9个样本出现失配，失败率仅为0.06%，这些罕见错误主要由令牌修复机制中的终止条件触发所致。

非强制模式虽然匹配率较低（MD5:27.54%，SHA-1:23.73%，SHA-256:12.75%），但保持了较高的比特准确率（95.74%-96.52%）。这表明在优先考虑文本自然度的应用场景下，系统仍能提供可靠的比特恢复能力。

文本质量评估

在文本质量方面，研究团队从困惑度(PPL)和人工评估两个维度进行了分析。结果显示，间距参数S对PPL有最显著影响：随着S增大，PPL显著降低且对k和p参数的变化不敏感。强制水印在较小插入间隔时PPL略高，但随着间距增大，这种差异逐渐消失。

通过GPT-4o-mini模型进行的自动评估进一步揭示了水印策略对文本质量的影响。在连贯性方面，增大间距参数使累积分布函数曲线右移，表明较大插入间隔减少了两种嵌入策略的干扰，使模型能更好地保持原始文本的语义连续性。在流畅性方面，间距增大的改善效果不如连贯性明显，因为水印插入不一定破坏句法结构，模型即使在嵌入比特时也能保持熟悉的语法模式。

与现有方法比较

与现有多比特水印方法相比，METS框架在多个指标上表现优异。在32位有效载荷设置下，强制模式的匹配率(99.9%)和比特准确率(100.0%)均超过Qu等人方法(94.0%, 99.1%)，也显著优于Yoo等人(8.4%, 81.2%)和Cohen等人(27.2%, 89.7%)的方法。在困惑度方面，强制模式PPL范围为4.9-7.4（S=10时），非强制模式进一步改善为4.6-6.7，表明在保持高嵌入精度的同时实现了良好的语言流畅性。

案例分析与应用场景

通过具体案例可以看出两种嵌入模式的特点。强制模式严格约束每个CT字符在固定间隔嵌入，确保可靠的有效载荷验证，适用于安全的作者身份确认或版权执行等场景，但可能在语法不适当位置嵌入时导致 awkward 措辞。非强制模式放宽放置约束，降低不自然上下文嵌入令牌的可能性，如案例中避免在"trying to shield"后嵌入字母'v'，从而增强生成文本的流畅性和上下文连贯性。

该框架支持多种应用场景，包括版权保护、作者身份归属和数字内容验证。严格模式适用于需要零失败保证的场景，而非强制模式在优先考虑自然度的应用中更具优势。系统还支持用户自定义隐藏模式和加密参数，为特定应用场景提供灵活机制。

研究意义与未来方向

METS框架的创新性在于将基于哈希的方法和隐写技术集成到LLM生成文本中，支持任意比特长度和数量的鲁棒有效载荷嵌入。严格机制确保一致性、完整性和信息完整性保护，在保持语言流畅性的同时实现了高位准确率。

然而，该框架也存在一些局限性。改进的Playfair密码对以某些字母字符开头的片段施加了结构约束，整体嵌入过程仍依赖于底层模型的令牌生成器和词汇表，影响跨架构的可移植性。此外，将元数据嵌入生成文本引发了关于透明度和用户意识的伦理考量。

未来研究将侧重于增强框架在更广泛文本变异和结构修改下的鲁棒性。由于基于间距的水印对结构修改 inherently 敏感，探索融合语义级或句法级信号的混合方案可能提供更大弹性。另一个方向是将应用范围超越叙事生成，扩展到对话响应、摘要或数据到文本生成等任务，这将有助于验证嵌入机制的通用性。

这项研究为LLM生成内容的版权保护提供了切实可行的技术路径，通过创新的元数据嵌入式隐写方案，在数字内容爆炸式增长的时代为知识产权保护提供了重要技术支撑。随着AI生成内容的普及，这种能够在生成过程中无缝嵌入身份信息的技术框架，对于构建可信的数字内容生态系统具有重要意义。