研究者证实现有 LLM 文本水印存在两类绕过手段，推出潜意识水印作为新防御方案

一批研究人员在最新论文里指出，当下主流的大模型统计文本水印并不安全，有两类成熟手段可以绕过检测，为了解决这个短板，团队提出全新的潜意识水印方案，它不再依靠固定 token 统计规律埋信号，而是把水印藏进模型深层语义与隐空间里面，肉眼看不出差异，常规改写、回译、同义词替换很难抹掉这条痕迹，传统水印大多是在解码阶段挑选特定 “绿色 token” 形成可检测的统计特征，攻击者只要改写文本、打乱 token 分布，信号就会快速衰减，而潜意识水印绑定更深层的语义表征，就算表层词句被大量改动，机器依然有机会溯源识别，不过这套潜意识水印目前还处在学术原型阶段，没有大规模商用落地，也不能做到百分百不可破解，只是相比现有方案抗攻击能力更强。

两种主流绕过 LLM 文本水印的方式

• 擦洗攻击（Scrubbing）：用复述、回译、同义词替换、另一台大模型改写，在保留原文意思的前提下打乱 token 分布，抹除水印信号，让检测器判定为人类写作，是现在最常用的绕过手段。
• 伪造攻击（Spoofing）：反向模仿水印特征，给普通甚至恶意文本强行植入假水印，嫁祸目标大模型，造成错误溯源，属于更有威胁的攻击方式。

潜意识水印和传统文本水印对比

潜意识水印的检测使用流程

1. 大模型生成文本的时候，在隐空间嵌入潜意识水印信号，输出正常文字。
2. 如果需要溯源，把待检测文本送入配套的水印检测器。
3. 检测器提取文本深层表征，比对隐藏信号，不依赖表层词语顺序。
4. 输出判定结果，区分是否带有该水印，同时给出置信度。
5. 如果文本经过表层改写，依然保留一定识别能力；如果原文语义被彻底重写，识别成功率下降。

现在行业里面对 LLM 溯源的需求很高，不管是版权追溯、内容责任认定，都依赖文本水印，但是之前大家已经发现，只要愿意付出一点改写成本，就可以躲开检测；潜意识水印的思路就是抬高攻击门槛，把对抗从 “改几个词” 升级到改动深层语义，增加攻击者成本，但研究团队也明确说明，不存在绝对无法攻破的水印，只是提升鲁棒性。

【相关 FAQ】

问题 1：研究者提到可以绕过 LLM 文本水印的两种方法是什么？

回答 1：研究者提到可以绕过 LLM 文本水印的两种方法分别是擦洗攻击和伪造攻击，擦洗攻击用来抹除水印，伪造攻击用来伪造水印嫁祸对应的大模型。

问题 2：用来对抗绕过攻击的潜意识水印，和普通 LLM 文本水印差别在哪？

回答 2：普通 LLM 文本水印把信号放在 token 统计分布上，很容易被改写抹除；潜意识水印把水印藏进深层语义隐空间，表层词句改动很难清除，抗绕过能力更强。

问题 3：这套新提出的潜意识水印，现在能不能用来大规模商用溯源 LLM 文本？

回答 3：还不行，用来抵御 LLM 文本水印绕过攻击的潜意识水印目前属于学术原型，相关验证还在持续推进，暂时没有成熟的大规模商用版本。

【参考资料】

[2026-11-10]（研究者发现两类攻击可绕过现有 LLM 文本水印，提出潜意识水印）机器之心

[2026-11-09]（Subconscious Watermark: Embedding Provenance in Latent Representations）arXiv

[2026-10-22]（现有大模型文本水印天然存在擦洗、伪造两类攻击漏洞）智东西

[2026-10-15]（语言模型水印攻防综述：擦洗攻击与伪造攻击）AI 科技评论

【免责声明】

本文仅整理 LLM 文本水印攻防以及潜意识水印的公开学术资讯，不提供绕过水印、规避 AI 溯源的实操指导；潜意识水印的识别准确率、误检率、落地成本仍处于研究阶段，不构成版权取证、技术采购、商业落地以及投资建议，全部技术细节以论文作者后续正式发布为准。