论文 A Resilient and Accessible Distribution-Preserving Watermark for Large Language Models
ICML 2024 | DiPMark
distortion-free
本文提出 DiPmark，一种兼顾分布保持、可访问检测和修改鲁棒性的大语言模型生成时水印。其核心是在每个生成步根据秘密密钥和上下文生成一个随机词表排列，并对原始 next-token 概率做特殊的 DiP-reweight：将排列前部的一部分累计概率质量削弱甚至置零，同时增强后部 token 的概率，从而形成可由密钥恢复的 green-token 偏好；虽然对某个固定 permutation 而言单步分布会被明显改变，但作者证明对随机 cipher/permutation 求期望后可严格恢复原模型分布，因此称为 distribution-preserving。检测阶段无需模型或 prompt，只需密钥重新构造各位置的 green list，统计 green token 比例，并利用二项分布的 concentration bound 控制 FPR；同时论文还证明了在一定比例 token 修改下的 certified robustness。总体上，DiPmark 属于一种 distribution-preserving probability-reweighting watermark，与 KGW 的 green-list 思路接近，但其重点是在不改变边缘生成分布的前提下保留可检测的密钥相关偏置。

论文 Unbiased Watermark for Large Language Models
ICLR 2024 | Unbiased
sampling-based distortion-free
提出两种无偏（unbiased）的重赋权（reweight）方法： 重赋权从原始 logits 中采样一个 one-hot 分布； 重赋权将概率分布的范围减半，进而使余下 tokens 的概率加倍。缺点是检测器依赖提示/模型/内部状态等信息。

基于语义的红绿表划分

论文 Improved Unbiased Watermark for Large Language Models
ACL 2025 | MCMark
distortion-free
本文提出了一种基于多分布通道的无偏大模型水印方法 MC MARK，旨在提升现有无偏水印的可检测性。其核心思想是将词表划分为多个子集，并通过约束优化为每个子集构造一个对应的概率分布通道，使该通道尽可能提高目标子集的 Token 采样概率，同时保证所有通道的平均概率分布等于原始模型分布，从而在对密钥取期望的意义下保持无偏性。水印嵌入时，根据私钥和前序 Token 伪随机选择一个通道，并从重加权后的概率分布中采样；检测时，根据相同密钥恢复每个位置对应的目标子集，统计 Token 的命中次数并进行假设检验，无需访问原始模型。实验表明，MC MARK 相较现有无偏水印具有更强的可检测性和一定的鲁棒性，但通道数量的选择存在检测性能与抗修改能力之间的权衡。

论文 A watermark for large language models
ICML 2023 | KGW
logits-based
KGW 算法是大模型水印的开山之作，提出了 red/green list 范式，通过在每步生成时提高 greenlist 中 tokens 的 logits 来引入可检测的偏差。后续的许多方法基于此进行改进。

优化文本质量

精调logits

论文 Watermarking Makes Language Models Radioactive
NIPS 2024
neural
本文研究了大语言模型文本水印的“放射性”（Radioactivity），即带水印文本被用于微调其他模型后，原始水印信号是否会残留在下游模型中，从而用于追踪其训练数据来源。作者基于 KGW 和 Aaronson 等已有水印算法，提出了适用于开放权重和黑盒 API 场景的水印残留检测方法：在开放权重场景下，通过 Reading Mode 将原始模型生成的带水印文本输入待测模型，检测其下一 token 预测是否表现出相应的水印偏置；在黑盒场景下，通过查询待测模型生成文本，并利用水印上下文过滤机制筛选可能存在残留的位置。两种方法均结合严格的 token 去重与统计假设检验，通过累积大量微弱的水印信号获得可靠的检测结果。实验表明，即使只有 5% 的微调数据带有水印，在开放权重且不知道具体训练样本的情况下，仍能以 的显著性检测到水印残留。本文的核心贡献是将传统文本水印从生成内容识别扩展到下游模型的训练数据来源追踪。

论文 In-Context Watermarks for Large Language Models
black-box-access
ICLR 2026 | ICW
仅通过提示词/上下文指令、而不访问模型解码过程，就让大语言模型生成带水印文本的新范式，旨在解决传统解码端水印在现实中难以部署的问题。

论文 On the learnability of watermarks for language models
ICLR 2024
neural
提出水印蒸馏，证明水印算法存在可学习性，可通过微调大模型使水印特征直接被嵌入模型权重，并生成可被检测器识别的文本。

论文 From Trade-off to Synergy A Versatile Symbiotic Watermarking Framework for Large Language Models
ACL 2025 | SymMark
logits-based sampling-based
提出共生水印框架，将 logit-based 和 sampling-based 水印有效结合。具体而言，通过 token 熵来判断是否要加入 logit-based 水印，通过语义熵来判断是否要加入 sampling-based 水印。

论文 Ensemble Watermarks for Large Language Models
ACL 2025
logits-based
提出了一种基于文风的水印，通过将句首字母（acrostic）和感官词类别（sensorimotor）与传统的红绿表方法结合，在生成过程中同时通过 logits manipulation 嵌入 Red-Green token 偏置、Sensorimotor 语义词汇偏置和 Acrostic 句首字母偏置，再联合三个统计信号进行检测。

论文 Watermarking of large language models
Workshop | Aar/EXP
sampling-based distortion-free
一种基于 Gumbel/指数竞争采样的水印，每步生成时基于密钥和上下文为每个 token 产生随机值，最终选择同时具有高原始概率 和高伪随机值 的 token。

论文 GumbelSoft Diversified Language Model Watermarking via the GumbelMax-trick
ACL 2024 | GumbelSoft
sampling-based distortion-free
通过将 Gumbel 噪声直接加到 logits 并用 softmax 采样，解决了传统 GumbelMax-trick 水印在相同输入下输出固定、缺乏多样性的缺陷。

论文 Robust Distortion-free Watermarks for Language Models
TMLR 2024 | KTH/EXP-Edit/ITS-Edit
sampling-based distortion-free
将 Aar 的 Gumbel/exponential sampling 中原本由文本上下文 hash 产生的伪随机数，替换成一条独立的秘密随机 key sequence，在每次插入水印时随机选择该序列中的起始位置以引入随机性，使水印文本在对随机 key 边缘化后严格保持原 LM 分布。两种水印方案分别为逆变换采样（inverse tranforme sampling）和指数最小采样（exponential minimum sampling）。此外，在水印检测过程中，他们将一种软性的编辑距离（即 Levenshtein 距离）引入文本与伪随机数序列的对齐计算中。这种方法显著增强了水印算法对抗水印移除攻击的鲁棒性。

论文 Permute-and-Flip An optimally stable and watermarkable decoder for LLMs
ICLR 2025 | PF Watermark
sampling-based distortion-free
本文提出了一种基于 Permute-and-Flip（PF）采样的大语言模型解码与零比特水印方法。首先，作者将差分隐私领域的 PF 采样引入大模型解码，通过随机打乱词表，并按照各 Token 的 Logit 与最大 Logit 的差值计算接受概率，依次尝试采样直至选中 Token，使解码器在保持与 Softmax Sampling 相同稳定性的同时，更倾向于选择高概率 Token，从而降低生成文本的 PPL。在此基础上，利用 PF 采样等价于在 Logits 上添加独立指数分布噪声后取最大值的性质，借鉴 Gumbel Watermark 的思想，将随机噪声替换为由密钥和前缀共同确定的伪随机噪声，实现不改变原始 PF 采样分布的水印嵌入。检测时，仅需根据密钥和待测文本重建对应的伪随机值，累积所选 Token 的负对数随机值作为检测统计量，并利用 Gamma 分布设置目标假阳性率下的检测阈值。实验表明，PF Watermark 在保持与 Gumbel Watermark 相近的可检测性的同时，能够获得更低的生成 PPL，其主要优势来自底层解码策略的改进，而非直接增强水印偏置。

论文 WaterBench Towards Holistic Evaluation of Watermarks for Large Language Models
ACL 2024 | WaterBench
本文提出 WaterBench，一个面向大语言模型文本水印的综合评测框架，核心目标是更公平地衡量水印的检测能力与生成质量之间的权衡。其关键做法是先通过超参数搜索，把不同水印方法调整到相同的 watermarking strength（以 TPR 表示，如 0.95），再联合比较检测性能和生成质量；同时构建了覆盖 5 类输入/输出长度组合、共 9 个 NLP 任务的多任务基准，并在开放式生成任务中引入 GPT4-Judge 评估 instruction-following 质量。实验比较了 Hard、Soft、GPT 和 V2 等水印，发现高检测强度往往会显著损害生成质量，尤其开放式任务下降最严重，而短输出又会明显削弱检测能力；因此本文的主要贡献不在于提出新水印，而在于强调并系统评估 quality–detection trade-off。

论文 WaterJudge Quality-Detection Trade-off when Watermarking Large Language Models
NAACL 2024 Findings | WaterJudge
本文提出 WaterJudge，一个用于分析 LLM 文本水印中“文本质量—检测性能”权衡关系的评估框架。论文并未提出新的水印算法，而是以 KGW 式 green-list soft watermark 为例，通过改变 green-list 比例 和 logit bias 得到不同强度的水印设置；对每组设置，一方面用 衡量水印检测性能，另一方面使用 FLAN-T5 进行 pairwise LLM-as-a-Judge 比较，计算水印文本相对于无水印文本被偏好的概率作为质量指标，从而绘制 quality–detectability trade-off 曲线并选择合适的 operating point。实验在 BART、Zephyr 和 mBART 的摘要与翻译任务上表明：水印越强通常检测越容易，但文本质量下降越明显；较强的生成模型对水印扰动更耐受；同时该比较式质量指标与 UniEval、COMET 高度相关，比 PPL、ROUGE、BLEU 更能反映水印造成的真实质量退化。此外，不同模型和任务上的 trade-off 具有较强相关性，说明水印参数可能具有一定的跨模型迁移和预测能力。

论文 Downstream Trade-offs of a Family of Text Watermarks
EMNLP 2024 Findings
本文系统评估了 KGW-family 文本水印对大语言模型下游任务性能的影响。作者指出，KGW 类水印通过在生成过程中提升伪随机 green list token 的概率来嵌入可检测信号，但这种做法会改变模型原始输出分布，从而影响模型在真实任务中的有效效用。为此，论文选取 KGW、EWD、SIR 三种代表性水印，在 LLaMA-7B、Mistral-7B、OPT-6.8B 等模型上，考察分类任务、选择题任务、短文本生成任务和长文本生成任务四类下游任务。作者通过 校准水印强度，并用 normalized score 衡量相对于原模型和随机基线的有效性能变化。实验发现，即使在现实可用的 moderate 水印强度下，水印也会造成明显性能下降：分类任务平均下降约 10%–20%，最坏情况下有效效用可几乎完全丧失；多选任务下降较小，约 5%–10%；短文本生成下降约 10%–15%；长文本生成下降约 5%–15%。总体而言，本文强调文本水印并非“无代价”机制，部署时必须权衡可检测性与下游任务效用。

论文 MarkLLM An Open-Source Toolkit for LLM Watermarking
EMNLP 2024 Demo | MarkLLM
提出了一个开源水印框架，集成了多种水印算法，并可进行方便得评估。

论文 Black-Box Detection of Language Model Watermarks
ICLR 2025
本文研究了一个此前较少被系统分析的问题：在只能通过黑盒 API 与模型交互、看不到 logits、密钥或内部参数的情况下，攻击者能否检测出一个语言模型是否部署了水印，以及部署的是哪一类水印。 作者针对三类代表性方案——Red-Green、Fixed-Sampling 和 Cache-Augmented——分别设计了专门的统计检测方法：前者利用上下文相关的 logit 偏置，中者利用有限密钥旋转导致的输出多样性下降，后者利用缓存命中与未命中时分布不同这一机制漏洞。实验表明，这些检测器不仅能在开源模型上以较低成本较可靠地识别对应水印，还能在较少误报的情况下区分不同水印家族；而在对 GPT-4、Claude 3 和 Gemini 1.0 Pro 的测试中，作者没有发现所考虑水印类型存在的显著证据。总体而言，论文的核心结论是：当前实用 LLM 水印方案在现实黑盒场景下往往比预期更容易被外部识别，其“隐蔽性”并不稳固。

论文 Advancing Beyond Identification Multi-bit Watermark for Large Language Models
NAACL 2024 | MPAC
logits-based multi-bit
本文提出了一种基于位置分配的多比特水印方法 MPAC（Multi-bit Watermark via Position Allocation），旨在解决现有多比特水印方法随消息长度增加而产生的计算开销和鲁棒性问题。其核心思想是不再将完整消息作为整体编码，而是先将二进制消息转换为 进制符号序列，在每一步 Token 生成时，根据历史上下文哈希伪随机选择一个消息位置，并将词表划分为 个 Colorlists，通过对该位置对应符号的 Colorlist 添加 logit 偏置来嵌入信息。检测时，利用相同的哈希规则重建各 Token 的位置和颜色列表，通过逐位置统计投票恢复消息，无需枚举所有可能的消息；同时支持零比特检测，并可通过 List Decoding 生成候选消息以提高容错能力。实验表明，MPAC 在长消息编码效率和文本编辑鲁棒性方面优于主要基线，且消息长度增加不会明显引入额外的生成延迟或质量损失，但仍存在消息容量与恢复准确率、零比特检测性能之间的权衡。

论文 REMARK-LLM A Robust and Efficient Watermarking Framework for Generative Large Language Models
USENIX Sec 2024 | REMARK-LLM
post-hoc multi-bit neural
REMARK-LLM 提出了一种基于 Seq2Seq 的后处理多比特文本水印方法，无需访问原始 LLM 的内部状态，即可对其生成的文本嵌入水印。该方法使用预训练 T5 作为水印编码器，将原始文本与二进制水印消息分别映射到潜在特征空间并融合，再由 T5 Decoder 生成携带水印信息的 token 概率分布；训练时，通过 Gumbel-Softmax 实现可微采样，并联合优化文本重构损失和消息恢复损失，同时引入文本编辑扰动增强鲁棒性。实际嵌入时，利用结合 Gumbel 扰动的 Beam Search 生成多个候选文本，并选择水印消息恢复准确率最高的文本；检测时，使用独立训练的 Transformer 提取器恢复二进制消息，并根据消息匹配程度计算 z-score。实验表明，该方法相比 AWT 显著提升了多比特水印容量和逐 bit 恢复准确率，具有一定的跨模型迁移能力和编辑攻击鲁棒性，但文本重写仍可能引入语义或事实偏差。

论文 Three Bricks to Consolidate Watermarks for Large Language Models
WIFS 2023
logits-based multi-bit
本文并非提出一种全新的基础水印，而是围绕已有的 KGW greenlist 水印和 Aaronson sampling-based 水印，从三个方面完善 LLM 水印体系：首先，作者发现传统 Z-test 在低 FPR 场景下会严重低估实际误报率，因此分别基于二项分布和 Gamma 分布构造更准确的非渐近统计检验，并通过去除重复的“水印上下文+当前 token”来恢复独立性，使经验 FPR 能与理论值基本一致；其次，作者不仅用 PPL 或语义相似度评价水印，还在问答、数学推理和代码生成等真实下游任务上测试水印影响，发现整体性能下降较小、且大模型受影响更弱；最后，论文扩展了检测框架，在检测端可访问 LLM 时推导 Neyman–Pearson 检验，并将 zero-bit 水印扩展为 multi-bit 水印，使系统不仅能判断文本是否带水印，还能进一步识别对应的用户或模型版本。整体而言，这篇论文的核心贡献是从统计可靠性、实际任务评估和多比特溯源三个方面巩固早期 LLM 水印方法的理论与实践基础。

论文 Watermarking Text Generated by Black-Box Language Models
arXiv 2023 | WTGB
post-hoc
先利用“当前词 + 前一词”的哈希构造上下文相关的随机二值编码，使普通文本中 bit-0 与 bit-1 近似均衡；再通过 BERT 生成上下文同义词并结合语义相似度筛选，优先将表示 bit-0 的词替换为表示 bit-1 的高质量同义词，从而把整段文本的统计分布推向“带水印”状态。

论文 Post-Hoc Watermarking for Robust Detection in Text Generated by Large Language Models
COLING 2025 | RSFPH
post-hoc
先通过命名实体识别和依存句法分析，挑选适合修改的水印锚点位置；再利用基于 paraphraser 的词汇替换，把这些位置上原本编码为 bit-0 的词尽量替换成语义一致、句法角色不变但编码为 bit-1 的词，从而使文本整体呈现可统计检测的 bit-1 偏置。

key-enumeration

Lexical-substitution-based

message-enumeration

论文 Duwak Dual Watermarks in Large Language Models
ACL 2024 Findings | Duwak
logits-based sampling-based
提出一种双水印（dual watermark）机制，在同一段 LLM 生成文本中同时嵌入两类独立信号：第一类沿用 KGW 风格，根据密钥和上下文将词表划分为 green/red list，并对 green token 的 logits 加偏置，从而形成可通过 green-token 统计检测的概率分布水印；第二类则用另一把密钥决定哪些位置采用 Contrastive Search、哪些位置采用普通 multinomial sampling，使被选中的位置倾向于生成与前文 hidden-state 相似度更低的 token，从而形成基于 self-similarity 差异的采样水印，同时改善文本多样性与质量。检测时分别对两种水印计算 p-value，再用 Fisher’s method 融合为最终检测结果。其核心思想是利用两种异质水印信号共同累积统计证据，以减少可靠检测所需的 token 数，并增强对 paraphrase 等 post-editing 攻击的鲁棒性。

论文 DeepTextMark A Deep Learning-Driven Text Watermarking Approach for Identifying Large Language Model Generated Text
IEEE Access 2023 | DeepTextMark
post-hoc
提出一种在文本生成后通过近义词替换插入隐蔽水印、再用深度学习检测水印的方案。

论文 Rethinking LLM Watermark Detection in Black Box Settings A Non Intrusive Third Party Framework
ACL 2026 Findings | TTP-Detect
public-verifiable neural
面向第三方检测场景提出通用检测框架。

论文 An Unforgeable Publicly Verifiable Watermark for Large Language Models
ICLR 2024 | UPV
logits-based public-verifiable neural
把传统 green-list 水印中“由密钥决定 token 是否为 green”的规则替换成一个私有神经网络 Generator，再训练一个只做整段二分类的独立 Detector 并将其公开；Generator 和 Detector 共享冻结的 token embedding，从而让第三方能够高精度验证水印，却难以从公开 Detector 反推出逐 token 的秘密水印规则。

论文 PVMark Enabling Public Verifiability for LLM Watermarking Schemes
USENIX Sec 2026 | PVMark
public-verifiable
本文提出 PVMark，一种基于零知识证明（ZKP）的大模型水印公开验证框架，旨在解决传统私钥水印无法向第三方可信地证明检测结果，而公开密钥又容易导致水印被移除或伪造的问题。其核心方法是：将现有水印的嵌入和检测算法改造为 ZKP 友好的形式，并在检测端引入零知识证明，使第三方无需获取水印密钥即可验证检测计算的正确性。 具体而言，作者使用 MiMC、Poseidon 等密码学哈希函数替代原有伪随机计算，将水印检测过程转换为哈希、比较、累加等可证明的算术约束，并通过 Nova 递归证明降低长文本的证明开销。实验将 PVMark 应用于 KGW、SynthID-Text 和多比特 Segment-Watermark，表明其总体上能够保持原有水印的检测性能、文本质量和鲁棒性，同时实现较高效的公开验证。需要注意，PVMark 实现的是检测结果的公开可验证性，而非第三方无需密钥即可独立执行的公开检测。

论文 Position LLM Watermarking Should Align Stakeholders Incentives for Practical Adoption
ACL 2026 Findings
本文是一篇讨论 LLM 水印实际落地问题的立场论文，核心观点是：水印能否被广泛采用，关键不只在于检测准确率、鲁棒性和文本质量，还取决于不同利益相关者的 激励是否一致。作者指出，传统 LLM 文本水印用于统一标记 AI 内容时，模型提供商可能面临用户流失、检测密钥治理和归因不清等问题，因此部署动力有限；相比之下，模型水印可直接保护开发者 IP，激励更自然一致，而文本水印若用于过滤自身生成数据、保护用户机密内容等场景，也能产生直接价值。论文重点提出并倡导 In-Context Watermarking（ICW）：由会议组织者、教师等可信第三方在输入文档中隐藏水印指令，使违规将文档提交给 LLM 时，模型生成的文本带上可检测信号，从而无需修改模型或解码过程即可追踪特定场景中的 LLM 滥用。总体上，论文主张未来水印应从“追求通用技术性能”转向“面向具体应用场景、明确威胁模型并对齐各方激励”的设计思路。

LLM-rewrite-based

论文 PostMark A Robust Blackbox Watermark for Large Language Models
EMNLP 2024 | PostMark
post-hoc
对已有文本，先根据其语义嵌入从一个秘密词表中选出一组与语义相关的“水印词”，再调用一个单独的指令遵循 LLM，将这些词自然插入文本中。

论文 How Good is Post-Hoc Watermarking With Language Model Rephrasing
ICML 2026
post-hoc
使用一个额外的 LLM 来对已有文本嵌入水印，即以 LLM rewrite 的形式利用了“原本被设计为在解码生成阶段使用的水印算法（如 KGW 等）”。

论文 From Intentions to Techniques A Comprehensive Taxonomy and Challenges in Text Watermarking for Large Language Models
NAACL 2025 Findings
大模型水印综述。

论文 Watermarking Techniques for Large Language Models A Survey
Artificial Intelligence Review 2026
大模型水印综述。

A Survey of Text Watermarking in the Era of Large Language Models
ACM CSUR 2024
大模型水印综述。

论文 SoK Watermarking for AI-Generated Content
IEEE S&P 2025
本文是一篇系统梳理生成式 AI 内容水印的 SoK，重点不是提出新的水印算法，而是建立统一的分析框架：作者从质量保持、低误报、可检测性/鲁棒性、不可伪造性、多比特信息容量和计算效率等维度定义“好的水印”，并系统区分 watermark removal、forgery、secret extraction 等攻击目标及不同攻击者能力；随后总结检测效果、攻击鲁棒性和内容质量的标准评测方法，并以文本水印中的 Green-Red/KGW、Gumbel、Undetectable Watermark、Pseudorandom Error-Correcting Codes、SemStamp/k-SemStamp 以及图像水印中的 Stable Signature、Tree-Ring、Gaussian Shading、PRC 等代表工作说明不同技术路线的权衡。论文的核心观点是：水印研究不应只关注检测准确率，而应同时考虑分布失真、鲁棒性、低 FPR、不可伪造性与实际部署效率之间的 trade-off，其中强鲁棒的公开验证、document-level semantic watermark、proof-of-generation 和开放模型水印仍是重要开放问题。

论文 SemStamp A Semantic Watermark with Paraphrastic Robustness for Text Generation
NAACL 2024 | SemStamp
sampling-based sentence-level black-box-access
基于 LSH 用超平面将语义空间划分为若干个固定的区域。生成时以句子为单位，根据上一个句子的 LSH 签名作为种子来将各区域标记为 valid/blocked，通过拒绝采样直到生成的句子落入 valid 区域。

论文 k-SemStamp A Clustering-Based Semantic Watermark for Detection of Machine-Generated Text
ACL 2024 Findings | k-SemStamp
sampling-based sentence-level black-box-access
相比 SemStamp 不使用 LSH 随机超平面划分语义空间，改为先在目标文本领域中用句子编码器提取句向量，再通过 k-Means 聚类按照语义结构划分嵌入空间。

论文 CoheMark A Novel Sentence-Level Watermark for Enhanced Text Quality
ICLR 2025 Workshop | CoheMark
sampling-based sentence-level black-box-access
为提高文本质量（上下文不同句子之间的连贯性），利用 fuzzy c-means 聚类，每个簇代表一个语义空间，在生成每个句子时，利用上一个句子的语义嵌入来确定当前句子的绿色和红色语义空间，重复采样直到产生的句子所属的主要簇落入绿色空间。

论文 A Robust Sentence-Level Similarity-Based Watermarking Algorithm for Large Language Models
EMNLP 2025 | SimMark
sampling-based sentence-level black-box-access
一种黑盒、句子级语义水印方法：在生成过程中通过拒绝采样反复采样下一句，并利用句向量模型约束其与前一句的语义相似度落入预设区间，从而在文本中嵌入可检测的句间关系信号；检测时则统计相邻句对相似度命中该区间的程度。

论文 PMark Towards Robust and Distortion-free Semantic-level Watermarking with Channel Constraints
ICLR 2026 | PMARK
sampling-based sentence-level distortion-free black-box-access
用“句子嵌入与随机 pivot 的相似度”作为 proxy function，根据当前候选句 PF 分布的 median 将候选概率质量均分，再利用多个正交 pivot 同时给每句话嵌入多份语义水印证据；这样 Online PMARK 可以在理论上保持原始生成分布不变，同时显著提升对 paraphrase 等修改攻击的鲁棒性，而 Offline PMARK 则用固定的零阈值近似 median，以牺牲少量理论严格性换取更实用的离线检测。

论文 WaterMax breaking the LLM watermark detectability-robustness-quality trade-off
NIPS 2024 | WaterMax
sampling-based sentence-level distortion-free black-box-access
本文提出 WaterMax，一种基于多候选生成与分块筛选的大语言模型零比特水印方法，旨在通过增加计算开销，缓解水印可检测性、鲁棒性与文本质量之间的权衡。不同于 KGW 等通过修改 Token logits 嵌入水印的方法，WaterMax 不直接修改原始 LLM 的概率分布，而是将文本生成过程划分为多个 Chunk，在每个 Chunk 上生成多个候选，并利用密钥控制的伪随机 Token 评分函数计算各候选的水印得分，选择得分最高的 Chunk 作为最终输出的一部分，再基于已选文本继续生成。检测时，作者设计了基于 Chunk 局部 p-value 的最优检测器，以及直接累加全局 Token 水印得分的鲁棒检测器，后者能够避免文本插入、删除导致的 Chunk 边界失同步问题。此外，方法通过局部哈希、重复片段过滤和可选的 Beam Search 增强评分独立性与候选多样性。实验表明，WaterMax 在近乎不损害文本质量的情况下实现了较高的检测性能和一定的编辑鲁棒性，但代价是需要多次生成候选文本，显著增加了推理计算开销。

论文 SWAN Semantic Watermarking with Abstract Meaning Representation
ACL 2026 | SWAN
sampling-based sentence-level black-box-access
一种基于 AMR（Abstract Meaning Representation，抽象意义表示） 的语义级文本水印方法，SWAN 将水印锚定到句子的显式语义结构中：生成阶段从私有 AMR template bank 中随机选择模板，引导 LLM 生成符合该 AMR 结构的句子，并通过 AMR 解析与 S2match 相似度进行 rejection sampling；检测阶段则将待测文本解析为 AMR，与整个私有 bank 进行匹配，并用 one-proportion z-test 判断段落是否含有异常高比例的模板命中句。

论文 A Watermark for Black-Box Language Models
TMLR 2026
sampling-based sentence-level distortion-free black-box-access
提出一种基于“多次黑盒采样 + 密钥驱动候选选择”的 LLM 水印：无需访问 logits，只需从 API 获取多个候选生成，用 keyed n-gram PRF 给候选评分并选择其中一个；在一定独立性假设下，最终输出仍严格服从原 LLM 分布。

论文 Watermarking Language Models for Many Adaptive Users
S&P 2025
multi-bit
本文针对现有大模型水印缺乏自适应查询鲁棒性保证、难以追踪具体用户及抵抗多用户合谋的问题，提出了一种基于零比特水印和抗合谋指纹码（Fingerprinting Code）的多用户水印框架。首先，作者提出 AEB-Robustness，以待检测文本保留足够数量的原始生成文本块为条件，统一描述不同水印算法的鲁棒性。在此基础上，设计了一种从零比特水印到多比特水印的通用构造：为 比特消息的每个位置分配两把独立密钥，生成过程中动态划分文本块，并为每个文本块随机选择一个消息位置，使用对应密钥调用底层零比特水印算法进行生成；检测时遍历全部 把密钥，通过各密钥的水印检测结果恢复消息。进一步地，作者为不同用户分配独立的指纹码字，并通过上述多比特水印将其嵌入生成文本，从而实现用户身份追踪，同时利用指纹码的抗合谋性质，在多个用户混合、修改水印文本的情况下仍能追踪至少一名合谋者。理论上，该框架在满足底层水印不可区分性、可靠性和自适应鲁棒性等条件时，能够保留原有零比特检测能力，并实现可证明鲁棒的多比特提取和多用户追踪，但论文未开展实际大模型实验验证。

论文 Towards Codable Watermarking for Injecting Multi-bits Information to LLMs
ICLR 2024 | Balance-Mark
logits-based multi-bit
本文针对大语言模型生成阶段的多比特水印任务，提出了基于概率均衡词表划分的 Balance-Marking 方法。该方法在每个 token 生成位置，根据待嵌入消息和前文上下文，通过哈希函数选择伪随机词表排列，并利用代理语言模型（Proxy LM）预测的 token 概率，将词表划分为累计概率质量约为 50% 的两个部分，再通过 logits 偏置引导生成模型选择特定集合中的 token，使不同消息对应不同的生成模式。相比传统随机词表划分，概率均衡机制能够减少对高概率 token 的干扰，并隐式跳过低熵位置，从而改善文本质量与消息恢复率之间的权衡。检测时，无需访问原始生成模型，只需利用相同的代理模型和哈希规则重建各候选消息对应的词表划分，通过累计 token 命中得分恢复消息。实验表明，该方法优于直接扩展 KGW 的随机划分基线，但仍存在消息恢复依赖候选枚举、缺乏显式纠错机制以及对强文本改写鲁棒性验证不足等局限。

论文 Undetectable Watermarks for Language Models
COLT 2024
sampling-based distortion-free
本文提出了一种基于密码学伪随机函数（PRF）的不可察觉（Undetectable）大模型文本水印方法，旨在实现无密钥情况下水印模型与原始模型的计算不可区分性，即使攻击者能够进行多次自适应查询也无法有效区分。具体而言，作者首先将原始 token 转换为二进制序列，再利用密钥生成的伪随机数控制每个 bit 的采样，在不显式修改原始生成概率的情况下，使生成结果与密钥之间建立可检测的统计相关性。为避免多次生成时复用伪随机序列导致水印泄露，作者使用生成文本中具有足够经验熵的片段作为 PRF 输入，并根据累计经验熵动态更新该片段。检测时，仅需秘密密钥和待测文本，通过枚举候选片段、重建伪随机数并计算相关性得分，即可判断是否存在水印，无需原始提示词或模型概率。理论上，该方法在标准密码学假设下同时满足不可察觉性、可忽略误检概率，以及对足够高经验熵文本的检测完备性，并支持对满足条件的连续子串进行水印检测。

论文 Scalable watermarking for identifying large language model outputs
Nature 2024 | SynthID
sampling-based distortion-free
SynthID 算法提出了锦标赛采样，首次证明了大模型水印可以应用于商业大模型中。

论文 Watermarking Large Language Models An Unbiased and Low-risk Method
ACL 2025 | STA-1
sampling-based distortion-free
本文提出了一种基于采样接受机制的无偏大模型水印方法 STA-1（Sampling One Then Accepting）。该方法沿用 KGW 的绿表和红表划分机制，但不直接修改 logits，而是从原始概率分布中采样 token：若首次采样命中绿表，则直接接受；否则拒绝并重新采样一次，无论第二次结果如何均予以接受。该机制提高了绿表 token 的出现概率以嵌入水印，同时保证对随机水印密钥取期望后，token 概率分布与原始分布一致。相比已有无偏水印，STA-1 在特定低熵条件下能够降低高概率 token 被过度扰动的风险，从而减小生成质量受损的可能性。检测阶段沿用 KGW 的绿表命中率统计与 z-test，无需原始模型或提示词。此外，作者提出扩展方法 STA-M，在高熵位置增加拒绝重采样次数，以牺牲严格无偏性为代价，进一步增强水印的可检测性和抗改写攻击能力。

论文 GaussMark A Practical Approach for Structural Watermarking of Language Models
neural
ICML 2025 | GaussMark
本文提出了一种基于模型权重扰动的结构化文本水印方法 GaussMark。不同于 KGW 等通过修改 Token 采样概率嵌入水印的方法，GaussMark 在生成前向大语言模型某一 Transformer 层的 MLP 权重矩阵添加高斯随机扰动，并将该扰动作为水印密钥，使模型在不改变原有采样流程的情况下生成带水印文本。检测时，利用原始模型计算待测文本对数似然关于被扰动权重的梯度，再计算该梯度与水印密钥的归一化内积作为检测统计量，通过标准正态分布假设检验判断文本是否携带水印，并提供理论上的误报率控制保证。实验表明，该方法基本保持模型原有性能，不增加逐 Token 生成开销，具有较好的长文本检测能力和一定的文本编辑鲁棒性；但检测需要访问原始模型权重并计算梯度，且短文本检测和强改写攻击下的鲁棒性仍存在局限。

论文 Subtle Signatures, Strong Shields Advancing Robust and Imperceptible Watermarking in Large Language Models
ACL 2024 Findings | RIW
logits-based
对绿表中的 token，进一步根据其在语料中的先验概率大小来相应调高/降低 logits。

论文 Watermarking with Low-Entropy POS-Guided Token Partitioning and Z-Score-Driven Dynamic Bias for Large Language Models
EMNLP 2025 Findings
logits-based
将词表扩展为 red-green-blue 三类列表：低熵词性 token 被放入静态 blue list，不参与扰动；其余高熵词性 token 再动态划分为 red list 和 green list，并只对 green tokens 加 bias。同时，bias 不再固定，而是根据当前累计水印信号的 z-score 动态调整；当水印信号已经足够强时，降低 bias，以减少对文本分布的过度扭曲。

论文 Token-Specific Watermarking with Enhanced Detectability and Semantic Coherence for Large Language Models
ICML 2024 | TS-Watermark
logits-based neural
本文提出一种基于多目标优化的 Token 级自适应水印方法（TS-Watermark），旨在改善水印可检测性与文本语义质量之间的权衡。该方法基于 KGW 的红绿表水印机制，但不再使用固定的绿表比例 和水印偏置 ，而是通过两个轻量级 MLP，根据前一个 Token 的词嵌入，分别预测当前生成位置的动态参数 和 ，从而在语义约束较强的位置减弱水印，在生成自由度较高的位置增强水印。训练时，作者利用 Gumbel-Softmax 实现绿表划分的可微分近似，并将动态 z-score 转化为可微分的检测损失，同时通过 SimCSE 衡量有水印与无水印文本的语义相似度，最后使用 MGDA 联合优化两个 Generator。检测时，根据训练好的 -Generator 重建各位置的绿表比例，并使用动态 z-score 进行假设检验。本质上，实际水印嵌入仍采用 KGW 类的伪随机红绿表划分和 Logits 偏置机制，只是将原本固定的水印参数替换为两个 Generator 预测的动态参数，通过学习上下文相关的水印参数，实现水印强度的自适应调节。

论文 Distilling the Thought, Watermarking the Answer A Principle Semantic Guided Watermark for Reasoning Large Language Models
ICLR 2026 | ReasonMark
logits-based
提出一种面向大推理模型的语义引导水印方法：将生成过程划分为 Thinking Phase 和 Answering Phase，先从推理轨迹中识别对后续 reasoning 最关键的 token，利用这些 critical tokens 构造表征整体推理主方向的 Principal Semantic Vector（PSV）。Answering Phase 中仍将词表划分为 red/green list，但不再给所有 green token 相同的 logit bias，而是根据候选 token 与 PSV 的语义相似度动态调整水印强度，使语义上更符合推理结果的 green token 获得更强 bias。PSV 还会随着 answer generation 动态更新。检测阶段则完全回归标准 KGW green-token z-test。

论文 Optimizing Watermarks for Large Language Models
ICML 2024 | OPT
logits-based
本文将大模型水印中的可检测性—文本质量权衡形式化为一个多目标优化问题，并在 KGW 类 green/red-list 水印框架下统一用 表示“每一步从 red list 向 green list 转移多少概率质量”。作者进一步定义 衡量在当前位置增强 green token 会带来的预期 log-perplexity 损失，并推导出 Pareto 最优的 OPT watermark：当 时，将水印强度开到最大，即令下一 token 只能从 green list 中采样；否则完全不施加水印、保持原始 LLM 分布。检测阶段仍沿用 KGW 风格的 green-token counting，通过统计序列中的 green token 数判断是否含水印。实验表明，OPT 在作者设定的“检测能力—log-PPL”权衡上优于 KGW、DiP 和 ITS，但这种最优性依赖于所选文本质量指标，在 ROUGE 等其他指标下未必仍占优。

论文 MorphMark Flexible Adaptive Watermarking for Large Language Models
ACL 2025 | MorphMark
logits-based
从理论上将“水印效果—文本质量”权衡形式化为一个多目标优化问题，并证明最优水印强度与当前生成步中 green list 的累计概率质量 正相关。根据 动态调整水印强度，当 green token 本来就更符合模型分布时增强水印，不合适时则减弱扰动。

论文 WatME Towards Lossless Watermarking Through Lexical Redundancy
ACL 2024 | WatME
logits-based
通过挖掘词表中的词汇冗余 lexical redundancy，将语义或句法功能相近的 token 构造成冗余词簇，并在水印划分时引入互斥规则 mutual exclusion rule，确保同一冗余簇中的可替换词不会全部落入同一侧。

论文 Watermarking Conditional Text Generation for AI Detection Unveiling Challenges and a Semantic-Aware Watermark Remedy
AAAI 2024
logits-based
针对条件文本生成（CTG）场景提出 Semantic-Aware Watermark：在构建 green list 时，先利用输入上下文和词向量相似度，将与输入语义相关的 token 优先放入 green list，再对剩余词表随机划分。虽然带来更高 z-score，却可能降低 AUC。

论文 Topic-Based Watermarks for Large Language Models
ACL 2026 Findings
logits-based
将模型词表按照语义主题划分成多个 topic-aligned token lists，然后在生成时根据输入 prompt 的主题选择对应的 token list，并对该列表中的 token 增加采样偏置，从而嵌入水印信号。

论文 Adaptive Text Watermark for Large Language Models
ICML 2024
logits-based neural
提出一种自适应水印：首先通过辅助 Measurement Model 识别高熵位置，仅在这些“可修改”位置嵌入水印；随后利用前文语义经过 Sentence Embedding 和 Semantic Mapping Model 动态生成 token 偏好向量，可视为随语义变化的 green list；最后通过乘法式 logit scaling 增强对应 token 的生成概率。检测时重新识别高熵位置并统计实际 token 命中语义相关 green list 的比例。

论文 Provable robust watermarking for ai-generated text
ICLR 2024 | Unigram
logits-based
将鲁棒性作为第一要义，证明了一个固定的全局红绿表划分更能抵抗水印移除攻击。代价是水印过于简单而敌手可能通过观察而猜到具体的水印规则。

论文 On the Reliability of Watermarks for Large Language Models
ICLR 2024 | KGW-SelfHash/WinMax
logits-based
针对原始的 KGW 水印方案进行了改进，提出改进的哈希方案 (SelfHash)：相比早期的 LeftHash，更难被推断，鲁棒性更强。提出改进的检测方法 (WinMax)：针对水印文本嵌入大文档的情况，使用窗口搜索找到最显著的水印片段，提高检测能力。

论文 A Robust Semantics-based Watermark for Large Language Model against Paraphrasing
NAACL 2024 Findings | SemaMark
logits-based
对前 个 token 的 hidden embeddings 做加权池化，再通过训练好的 MLP 映射到二维 NE-Ring，将连续语义离散成少量稳定的 semantic values，并以此作为 seed 生成 green list，随后提升 green-token 的 logits 完成水印嵌入。

论文 A Semantic Invariant Robust Watermark for Large Language Models
ICLR 2024 | SIR
logits-based neural
用整个前文的 semantic embedding 经过一个训练好的 neural network 生成近似 ±1 的 green/red preference，使语义相似的文本具有相似的 watermark rule，从而提高对 paraphrase 和 synonym substitution 的鲁棒性。

论文 X-SIR Can Watermarks Survive Translation On the Cross-lingual Consistency of Text Watermark for Large Language Models
ACL 2024 | X-SIR
logits-based neural
本文研究 LLM 文本水印的跨语言一致性，即带水印文本经过翻译后水印是否仍能保留。作者发现 KGW、UW、SIR 等现有 generation-time 水印在翻译后水印强度会显著下降，因此提出 CWRA（Cross-lingual Watermark Removal Attack）：先把原始 prompt 翻译成一个 pivot language，让带水印的 LLM 在该语言中生成，再把生成结果翻译回目标语言，从而显著削弱甚至接近移除水印。进一步地，作者指出跨语言鲁棒性需要同时满足两点：语义等价的跨语言 token 应具有相同的 green/red 属性，语义等价的跨语言上下文也应产生相似的 vocabulary partition。据此提出 X-SIR，它在 SIR 的 learned semantic logits-bias 框架上，将原本的 token-level bias 改为基于多语言词典构建的 semantic-cluster-level bias，使互为翻译或语义相近的 token 共享相同水印偏置，从而显著提高翻译和 CWRA 场景下的检测鲁棒性。

论文 Context-aware Watermark with Semantic Balanced Green-red Lists for Large Language Models
EMNLP 2024
logits-based
用前一个 token 的 embedding 经过 LSH 生成语义相关的 watermark key，使语义相近的上下文更可能得到相同 key，从而提升 paraphrasing 后检测阶段与嵌入阶段的对齐稳定性；随后先将词表按语义划分成多个集合，再在每个语义集合内部按比例随机划分 green/red tokens，使 green list 能覆盖各个语义区域，减少传统随机 green list 对生成语义的限制；最后根据当前 next-token 分布的 entropy 动态调整 green-token bias，在保证水印强度的同时尽量降低对原始生成分布的扰动。检测阶段则依据文本上下文重建每个位置的 green/red list，统计 green token 数量并通过 z-score 判断是否含有水印。

论文 An End-to-End Model For Logits Based Large Language Models Watermarking
ICML 2025
logits-based neural
本文提出了一种端到端训练的 logits-based LLM 水印方法：在生成每个 token 时，水印 Encoder 根据当前上下文和原模型 top-k 候选 token 动态输出一组 logit perturbation，再加到原始 logits 上以嵌入水印；训练时用 Gumbel-Softmax 将离散采样过程连续化，使检测损失能够反向传播到 Encoder，同时利用同一个冻结 LLM 通过 online prompting 对水印文本进行 paraphrasing，并提取语义表示，从而联合优化检测鲁棒性和文本语义质量。检测端则使用一个 LSTM+MLP 的神经 Decoder 判断文本是否含水印。其核心区别于 KGW/SIR 等方法在于：水印 Encoder、攻击模拟和 Detector 被放进同一个可微训练闭环中联合优化，因此能直接学习对改写攻击更鲁棒、同时较少损伤文本质量的 logit 偏置模式。

论文 Who wrote this code watermarking for code generation
ACL 2024 | SWEET
logits-based
引入熵阈值，仅对高熵位置进行水印嵌入/检测。

论文 SSG Logit-Balanced Vocabulary Partitioning for LLM Watermarking
ACL 2026 | SSG
logits-based
先按 logit 对 token 排序，再将高 logit token 两两分组、每组随机分配一个 green 和一个 red，从而保证 green/red 集合在高概率区域更平衡。但检测阶段依赖对生成时 logit 排序的复现，因此在缺少 original prompt 或遭遇强改写攻击时性能可能不稳定。

论文 An Entropy-based Text Watermarking Detection Method
ACL 2024 | EWD
针对统计水印检测器提出改进，在检测阶段先计算每个 token 的熵，再通过一个单调递增的连续函数将熵映射为权重，用加权 z-score 取代原始 KGW 的等权统计量，使高熵 token 对检测结果贡献更大、低熵 token 贡献更小。

优化检测性

优化鲁棒性

论文 Watermarks in the Sand Impossibility of Strong Watermarking for Language Models
ICML 2024
attack
本文从理论上研究了大语言模型强水印（Strong Watermarking）的不可实现性，并提出一种通用的基于质量保持随机游走（Quality-Preserving Random Walk）的水印移除攻击。具体而言，攻击者从带水印文本出发，利用扰动预言机（Perturbation Oracle，如 T5）反复对文本进行局部随机修改，并通过质量预言机（Quality Oracle，如奖励模型和 GPT-3.5）判断候选文本是否仍满足原始 Prompt 的质量要求，仅接受质量不低于原始文本的修改。通过不断重复这一过程，文本在高质量输出空间中进行随机游走。作者证明，在该空间具有良好的连通性和混合性质等假设下，最终输出的分布能够逐渐摆脱对原始水印密钥的依赖，从而以较高概率逃避检测，而无须知道水印密钥或具体算法。实验表明，该方法能够有效移除 KGW、EXP 和 Unigram 等水印，且仅造成轻微的文本质量下降。本文的核心结论是：在特定理论假设下，只要攻击者能够充分探索高质量输出空间，就无法保证水印在任意质量保持型修改下依然可检测。

论文 Revisiting the Robustness of Watermarking to Paraphrasing Attacks
EMNLP 2024
attack
本文从水印逆向工程的角度重新审视大模型文本水印的抗改写鲁棒性，提出了一种基于绿表逆向估计的改写攻击方法。首先，攻击者仅通过黑盒查询收集带水印文本，并与普通人类文本进行 token 频率比较，估计水印算法倾向于增强的绿表 token；随后，在 DIPPER 改写模型的生成过程中，主动降低这些 token 的 logits，从而在尽量保持原文语义的同时削弱水印信号。实验表明，该方法能够显著降低 Unigram 和 SIR 两种水印的检测率，其中 SIR 的脆弱性部分源于其语义到水印偏置的映射在分布外场景下泛化不足，使不同语义上下文产生相似的水印偏置。本文说明，即使水印能够抵抗普通改写攻击，也不意味着能够抵抗攻击者利用黑盒查询推测水印规律后实施的针对性改写攻击。

论文 No Free Lunch in LLM Watermarking Trade-offs in Watermarking Design Choices
NIPS 2024
attack
本文研究了大语言模型水印在不同设计选择下的安全性权衡（Trade-offs），揭示了增强某些安全属性反而可能引入新的攻击风险。作者针对 KGW、Unigram 和 Exp 三种水印提出并分析了三类攻击：① 利用水印鲁棒性进行搭便车伪造（Piggyback Spoofing），通过少量修改带水印文本中的内容，使其包含错误或有害信息，同时保留原有水印，从而实现虚假归属；② 利用多密钥机制移除水印，通过对相同前缀进行多次不同密钥下的采样，利用水印分布的近似无偏性质估计原始无水印分布，进而生成难以被检测的文本；③ 利用公开检测 API 进行自适应攻击，通过反复查询候选 Token 对水印检测分数的影响，选择降低或提高检测置信度的 Token，实现水印移除或伪造。此外，作者提出利用密钥控制的伪随机噪声扰动检测分数，以缓解检测 API 驱动的伪造攻击。本文的核心结论是：水印鲁棒性、抗窃取能力和公开检测便利性并非越强越好，而是存在需要综合权衡的安全代价。