LLM 水印检测能否公开？

该 arXiv 论文研究 LLM 水印检测器能否公开。作者先量化公开检测器在 token 级分数到二元判定等不同访问级别下是否带来额外风险，再提出 split-key 公私水印方法：公开一把密钥供公开检测，另一把用于完整验证与取证，并设计统计检验识别公开信号与私有分数的不平衡。

此前水印检测器普遍不公开，理由是暴露后攻击者可依据反馈做定向修改。该研究指出水印本就易受无信息篡改攻击，并提出只公开一半密钥的方案，使透明度与可检测性可以并存，从而重新质疑检测器必须完全私有的前提。

split-key 方法把检测拆成两层：公开检测器只用一把密钥输出信号，完整验证和取证依赖另一把。若攻击者依据公开检测器修改文本，只会推动公开分数，造成公开与私有分数的统计不平衡，两阶段机制据此既接受公开判定，也能识别伪造与篡改。

对提供水印能力的模型厂商，可考虑将检测接口部分开放，提升互操作性并降低验证门槛，同时保留私有通道处理争议与取证。对调用方而言，需要在产品流程中区分公开判定与最终裁定，避免把公开分数当作最终结论。

• 为模型平台设计公开水印检测 API，只返回二元或粗粒度信号，完整验证走私有通道。
• 在内容审核或版权取证产品中引入两阶段检测：公开分数预警，私有密钥出具最终结论。

• split-key 方法在真实部署环境中的误报率与漏报率如何？
• 公开检测器是否会被攻击者组合利用以推断私有密钥？
• 该方案对现有已部署水印系统是否可直接兼容？