综述：检测与规避之间的对抗博弈：机器生成文本反检测技术综述

《Neural Networks》：The Adversarial Game Between Detection and Evasion: A Survey of Anti-Detection Techniques for Machine-Generated Texts

　　

摘要

随着大型语言模型（LLM）的爆发式增长，机器生成文本检测（MGTD）领域的研究也蓬勃兴起。与此同时，大量针对MGTD系统的攻击算法不断涌现。尽管此前的研究已对检测技术进行了综述，但鲜有研究探讨攻防之间动态博弈关系。遵循PRISMA 2020框架，本文系统综合了27项关于针对MGTD攻击及其防御证据的研究。我们将现有研究归纳为四类主要规避策略：水印攻击、改写攻击、基于提示的攻击和对抗文本攻击，并总结了已有的防御证据。此外，为了更好地理解这些方法的实际应用意义，我们汇总了不同检测器上攻击与防御技术所报告的性能结果。最后，我们指出了该领域当前面临的挑战，并勾勒出潜在的未来研究方向。本文配套的文献库（含分类文献、论文链接及可用代码、数据和项目仓库）已发布至 https://github.com/AIGC1999/A-Survey-of-Anti-Detection-Techniques-for-Machine-Generated-Texts。

引言

近年来，生成式人工智能（AI）模型发展迅速。自2022年OpenAI发布ChatGPT以来，越来越多的先进大型语言模型不断涌现，包括LLaMA（Touvron等，2023）、Gemini和DeepSeek（DeepSeek-AI等，2025）。这些模型在海量数据集上利用庞大计算资源进行训练，使其能够生成具有惊人流畅度的类人文本。它们在自然语言处理、自动化内容创作和对话代理等多个领域展现出变革性潜力。LLM擅长生成连贯、语境感知且风格多样的输出，通常与人类创作内容难以区分。这一能力促进了其在各领域中的广泛应用，推动了医疗健康（Li等，2024）、医疗决策（Li等，2024a；Liao等）、教育（Dan等，2025）、金融（Chen等，2023a）和法律（Martínez等，2025；Yue等，2024）等多个领域的创新。

尽管LLM带来了诸多好处，其快速普及也引入了一系列风险，因为它们能够生成高度逼真的文本，可能被恶意利用（Ray，2023；Shahzad等，2025）。例如，机器生成内容已被用于传播虚假信息、假新闻，以及看似无害实则有害的内容，从而侵蚀公众对数字媒体的信任（Fagni等，2021）。在教育和学术界，滥用AI撰写论文或研究报告对学术诚信和公平性构成严重威胁（Eke，2023）。此外，由AI驱动的钓鱼邮件和社交工程攻击的自动化，也对网络安全构成重大挑战（Emanuela等，2024）。这些风险凸显了亟需具备区分机器生成文本与人类创作内容的强大检测技术的迫切性。有效的检测有助于确保信息的可靠性、减少社会危害，并维护学校、媒体机构和在线平台的伦理标准。

为解决上述挑战，研究人员开发了多种机器生成文本检测（MGTD）方法，涵盖统计分析（Mitchell等，2023；Su等，2023）、水印技术（Fernandez等；Kirchenbauer等，2023；Qu等，2024）和基于微调模型的方法（Ippolito等，2020；Liu等）。例如，GLTR等统计方法利用语言模型的概率分布来区分人类写作和机器生成文本（Gehrmann等，2019）。水印技术将可追溯的信号嵌入生成内容中，以便后续验证其来源（Kirchenbauer等，2023）。同时，基于微调的Transformer模型（如ConDA）采用深度学习策略，在专业数据集上实现高检测准确率（Bhattacharjee等，2023）。尽管这些方法在经过精心筛选的基准测试中表现强劲，但仍易受日益增多的对抗性规避技术攻击。这些技术包括对抗性改写（Krishna等，2023）、水印攻击（Chang等，2025）和提示工程（Koike等，2024），它们均能显著降低检测准确率，对当前系统的鲁棒性构成持续挑战。

检测与规避之间持续存在的对抗动态博弈凸显了深入理解双方技术范式的必要性。虽然已有若干综述研究广泛回顾了检测算法和数据集（Jawahar等，2020；Liu等，2024b；Tang等，2024；Wu等，2025；Yang等，2025），但对检测与反检测策略之间的对抗性交互仍缺乏系统性的探索。本文旨在全面整理和分析MGTD背景下的攻击算法和防御策略。我们将攻击方法归纳为四种主要类型：水印攻击、改写攻击、基于提示的攻击和对抗文本攻击。

水印攻击旨在干扰或消除机器生成文本中嵌入的水印信号，使其无法被检测，同时保留其内容和预期功能（Kirchenbauer等，2023）。改写攻击涉及使用大型语言模型或人工干预来替换词汇、重构语法或重新诠释语义，目的是在不显著改变底层含义的情况下逃避检测（Krishna等，2023）。这些方法通常利用检测器对表层特征的敏感性，旨在绕过基于统计分布、句法结构或特征提取的机制。基于提示的攻击通过精心设计的提示来操纵语言模型的输出，包括提示注入、风格转换指令和对抗前缀，所有这些都在源头干扰生成输出的语义或风格特征，从而逃避检测（Kumarage等，2023）。对抗文本攻击通过引入最小化但策略性的扰动来降低机器生成文本检测器的有效性，包括拼写改变、同义词替换和不相关内容插入。与基于改写的策略不同，这些攻击通常避免大规模改写，而是专注于既能保留文本可读性又能保留功能的细微操纵（Wang等，2024b）。

鉴于先前的文献已对检测算法进行了透彻分析（Jawahar等，2020；Liu等，2024b；Tang等，2024；Wu等，2025；Yang等，2025），我们的主要关注点在于规避技术，并对检测方法进行简要回顾。具体而言，第3节对机器生成文本检测方法进行了简明概述，第5节和第6节系统地分类和评估了针对这些检测器的攻击和防御策略。图2展示了这些攻击算法的分类及其对应的防御证据。本系统的证据综合包含提出或实证评估针对MGTD规避攻击的研究，以及在有可用匹配防御的情况下纳入相关研究。仅涉及通用检测算法而无对抗评估的研究未纳入27项研究的综合；第3节中关于检测方法的简要概述提供背景参考并引用了相关背景文献。本研究的主要贡献和新颖性总结如下：

1. 本研究提供了一项系统性的综合，专门聚焦于MGTD中检测与反检测策略之间的对抗性博弈，而非仅关注检测算法或数据集。
2. 我们在MGTD背景下组织并分析了攻击算法和防御策略。具体而言，我们将攻击方法归类为四种主要类型：水印攻击、改写攻击、基于提示的攻击和对抗文本攻击，从而为未来研究提供了清晰的分类框架和对抗视角。

第2节片段：文献检索方法

文献检索、筛选和纳入过程遵循了PRISMA 2020（系统综述和荟萃分析的首选报告条目）框架（Page等，2021）。文献检索、筛选和纳入所使用的资源及具体流程如下：

界定范围与边界：

本节界定了机器生成文本检测的范围和边界，以明确这些系统如何运作。机器生成文本检测旨在判断一段文本序列是由AI模型生成的还是由人类作者撰写的。形式上，该任务可定义为一个二分类问题。给定一个文本序列T，检测器D(T)输出一个标签y ∈ {0, 1}，其中y=1表示机器生成文本，y=0表示人类创作文本：

D(T) = argmax_{y∈{0,1}} P(y|T, θ)

其中P(y|T, θ)为在参数θ下给定文本T时标签y的概率。

界定攻击算法：

攻击算法（通常称为反检测或对抗策略）旨在逃避或瓦解用于识别LLM生成文本的检测系统。其主要目标是修改或生成文本，使其看起来与人类撰写文本无法区分，从而绕过检测器并实现虚假信息传播、学术欺诈或自动钓鱼等恶意用途。形式上，攻击算法的目标可定义为一种优化问题。

水印攻击

水印攻击针对的是生成过程中插入的信号，而非外部分类器学习的特征。分布修改方案将词汇划分为偏好词元和非偏好词元，然后在采样时偏向偏好词元集（Kirchenbauer等，2023）。检测通常通过检验观测到的词元序列是否包含异常高比例的偏好词元来进行。因此，攻击者的成功条件是估算隐藏的词元划分，减少其影响。

针对水印攻击的防御

水印防御可以作用于生成阶段、检测器访问层面或表征设计层面。当攻击依赖于反复的置信度查询时，API层面的防御最为相关。Pang等（2024）提出利用差分隐私的思想，在公开检测器分数中添加与输入相关的伪随机噪声。与独立随机噪声不同，相同的输入会获得一致性的扰动，从而阻止攻击者通过对重复查询取平均来恢复原始分数。

水印攻击与防御

本次综述综合的证据表明，水印的鲁棒性应被视为一种系统层面的属性，而非嵌入信号本身的固有属性。水印可能在多个不同环节失败：攻击者可能从重复输出中推断生成规则、利用公开检测器暴露的信息、通过局部或全局文本变换移除信号，或将内容转化为另一种语言表征。这些攻击面……

结论与未来研究方向

本综述将针对机器生成文本检测的攻击分为四类：水印攻击、改写攻击、基于提示的攻击和对抗文本攻击。在这些类别中，所综述的证据表明，当生成器、领域、语言、编辑过程或输入表征发生变化时，检测器仍然存在脆弱性。现有的防御方法在匹配场景中能够恢复性能，但这些收益并不能证明其对未见或自适应攻击具有普遍抵抗力。MGTD应当……

作者贡献声明

孟德宇：撰写—审稿与编辑、撰写—初稿、可视化、方法论、调查研究、概念化。塔德·贡萨尔维斯：撰写—审稿与编辑、验证、指导、项目管理。

利益冲突声明

作者声明不存在可能影响本文所报告工作的已知竞争性经济利益或个人关系。

孟德宇 | 塔德·贡萨尔维斯