基于水印的人工智能生成内容的检测与归因

基于水印的人工智能生成内容的检测与归因
 

基于水印的人工智能生成内容的检测与归因

江正元、郭茂阳、胡玉鹏、由振强公大学、郭、yuepeng.hu、谷歌、微软、OpenAI等多家公司已经部署了人工智能生成内容的水印技术，实现主动检测。然而，现有的文献主要关注于用户不可知的检测。归属旨在进一步追溯生成式人工智能服务的用户，他们生成了被检测为人工智能生成的给定内容。尽管它的重要性越来越大，但其归属在很大程度上仍未被探索。在这项工作中，我们的目标是通过提供第一个基于水印的、用户感知的检测和人工智能生成内容的归属的系统研究来弥补这一差距。具体来说，我们通过严格的概率分析，从理论上研究了检测和归因性能。此外，我们开发了一种有效的算法来选择用户的水印，以提高归因性能。理论和经验结果表明，基于水印的检测和归因继承了水印方法的准确性和（非）鲁棒性。

生成型人工智能（GenAI）——如DALL-E 3、中途旅行和ChatGPT——可以合成非常真实的内容，如图像、文本和音频。除了其社会效益之外，GenAI还引发了许多伦理问题。例如，它们可能被误用于产生有害内容；它们可以通过生成真实的内容[1]来帮助虚假信息和宣传活动；人们可以错误地声称由[2]生成的内容的版权所有权。基于水印的检测和归因人工智能生成的内容是一种很有前途的技术，以缓解这些伦理问题。例如，一些公司——如谷歌、OpenAI、稳定人工智能和微软——已经使用这种技术对其人工智能生成的图像进行水印。具体来说，OpenAI在其DALL-E 2 [3]生成的图像中插入可见的水印；谷歌的SynthID [4]在其图像生成的图像中插入不可见的水印；稳定AI在其稳定扩散[5]中部署了水印方法；微软在Bing [6]中对所有人工智能生成的图像进行水印。然而，现有的文献主要集中在用户不可知的A检测上

arXiv:2404.04254v1 [cs.CR] 5 Apr 2024

图1：基于水印的检测和归属的配准、生成、检测和归属阶段的说明。当攻击者只能在黑盒设置中查询少量的检测API，或者不能访问检测API [16]时，它对对抗性的后处理具有良好的鲁棒性。例如，谷歌限制对其检测API的访问仅限于受信任的客户[17]。由于我们的检测和归因方法依赖于水印技术，因此它继承了它们的（非）鲁棒性特性。我们的工作：在这项工作中，我们对人工智能生成的内容的基于水标记的检测和属性的理论、算法和评估进行了第一次系统的研究。图1说明了我们的方法。当用户在GenAI服务中注册时，服务提供商会为他/她选择一个水印（即，一个位字符串），并将其存储在水印数据库中。当用户使用GenAI服务生成内容时，用户将使用水印编码器将其水印插入到该内容中。如果从内容解码的水印与le足够相似，则检测到GenAI服务生成的内容

经验评价。我们对三种GenAI模型上人工生成图像的方法进行了实证评估，即稳定扩散、中期和DALL-E 2。我们使用HiDDeN [11]，一种最先进的基于学习的水印方法。请注意，我们的检测和归因继承了HiDDeN的（非）鲁棒性属性。特别是，我们的结果表明，当人工智能生成的图像未经过后处理时，检测和归因非常准确，即TDR/TAR接近1，FDR接近0；对人工智能生成的图像进行JPEG压缩、高斯模糊、亮度/对比度等常见后处理时，检测和归因仍然准确；对检测API进行少量查询的对抗性后处理[16]会大大降低图像质量，以避免检测/归因。此外，我们展示了我们的水印选择算法优于基线，我们的方法也适用于人工智能生成的文本。综上所述，我们的贡献如下：我们首次提供了关于基于水印、用户感知的人工智能生成内容的检测和属性的归因的系统研究。“•”理论》

算法我们提出了一个水印选择问题，这是受我们的理论结果的启发；我们开发了一个有效的近似解。•评估。我们在不同的场景下对我们的方法进行了广泛的评估。2.水印方法水印方法通常由三个组成部分组成：水印、编码器和解码器。我们认为一个水印w是一个位字符串。编码器E将水印嵌入到内容中，而解码器D从（水印或无水印）内容中解码水印。当内容有水印w时，解码的水印与w相似。注意，编码器E和水印w也可以嵌入到GenAI模型的参数中，这样它生成的内容就会用w [14]水印。非基于学习的和基于学习的：基于编码器和解码器的设计，水印方法可以分为两组：非基于学习的和基于学习的。非基于学习的方法[7-9,20,21]基于一些手工制作的启发式方法设计了编码器和解码器，而基于学习的方法[10-14,22]使用神经网络作为编码器/解码器和

水印的鲁棒性：我们强调，建立稳健的水印方法与我们的工作是正交的，而且仍然是一项持续的努力。基于学习的非学习水印方法[7-9,20,21]对常见的后处理是非鲁棒性的，如图像[11,14]的JPEG压缩和文本[24]的释义，也就是说，这种常见的后处理可以从水印内容中去除水印。基于学习的水印方法[10-14,22]对这种常见的后处理更健壮，因为它们可以利用对抗性训练。例如，普通的后处理必须大大降低水印图像的质量，以去除水印[12,13]。Jiang等人[16]提出了对图像水印的对抗性后处理，即有策略地扰动水印图像以去除水印。Jiang等人认为，基于学习的图像水印方法在白盒设置中对对抗性后处理还没有鲁棒性。然而，当攻击者只能查询一个小n的检测API时，它们对对抗性的后处理具有良好的鲁棒性

2.2基于水印的检测水印用于人工智能生成的主动检测。特别是，多家公司——如稳定AI、OpenAI、谷歌和微软——已经部署了基于水印的检测，如简介中所述。然而，现有的文献主要关注于用户不可知的检测。具体来说，GenAI服务提供商选择水印；当GenAI服务生成内容时，水印在返回给用户之前嵌入其中；如果可以解码类似的水印，则检测到GenAI服务生成的内容。在这项工作中，我们研究基于水印的用户感知检测和人工智能生成内容。在检测到由GenAI服务生成的内容后，我们进一步追溯生成它的GenAI服务的用户。3问题制定问题设置：假设我们给出一个生成的AI模型，它作为GenAI服务部署。注册用户向GenAI服务发送一个提示（即文本），该服务向用户返回AI生成的内容。内容可以是图像、文本或音频。在这项工作中，我们考虑了检测和引诱

我们注意到，归因中的s用户集U可以包括GenAI服务的所有注册用户，其中s可能非常大。或者，如果GenAI服务提供商对其注册用户有一定的先验知识，则该集合可能包含较少数量的注册用户。例如，GenAI服务提供商可能会将被离线验证为受信任的注册用户排除在设置U之外，以减少其大小。如何构建归属用户U集超出了本工作的范围。给定任何集合U，我们的方法旨在推断U中的哪个用户可能已经生成了给定的内容。我们还注意到，另一个相关的归因问题是追溯生成给定内容的GenAI服务。我们的方法也可以用于这种genai-服务归因，我们将在第7节中讨论。威胁模型：一个人工智能生成的水印内容可以通过一些常见的后处理技术进行后处理。例如，图像可以在因特网上传输期间通过JPEG压缩进行后处理，或者用户可以使用高斯模糊或亮度/对比度来在图像编辑器中编辑图像。在对抗性的情况下，一个mal

接下来，我们将描述检测和归因的细节。此外，我们还讨论了如何为用户选择水印，以最大化其归因性能。4.2检测召回，我们用U = {U1，U2，···，Us}表示GenAI服务的s用户集。每个用户Ui都有一个水印wi，其中i = 1,2，···、s。为方便起见，我们用W = {w1，w2，···，ws}表示s水印集。给定一个内容C，我们使用解码器D来解码水印(C)。如果存在与D (C)足够相似的用户水印，我们检测C是ai生成的。我们使用位精度来测量两个水印之间的相似性，我们将其正式定义如下：位精度（BA）：给定任意两个水印w和w‘，它们的位精度（记为BA（w，w’））是它们中匹配位的比例。形式上，我们有以下内容：BA（∑，w‘）=1nn∑=1I（∑[k]=w[k]），(1)其中n是水印长度，w[k]是w的第k位，I是指示函数，如果w[k]=w[k]，否则是0。当且仅当满足以下条件时，检测为{1,2，∈，∈，（≥τ，wi），≥τ(2)，其中τ > 0.5为检测

阈值。4.3 Attrib

4.4.2求解水印选择问题np硬度：我们可以证明方程5中的水印选择问题是np困难的。特别地，我们可以将众所周知的最远串问题[18]，这是np困难，到我们的水印选择问题。在最远的字符串问题中，我们的目标是找到一个离给定的字符串集最远的字符串。在我们的水印选择问题中，我们可以将一个字符串视为水印，将给定的字符串集作为s−1用户的水印，将两个字符串之间的相似性度量作为我们的位精度。然后，我们可以将最远的字符串问题简化为我们的水印选择问题，这意味着我们的水印选择问题也是np困难的。这种np硬度意味着为我们的水印选择问题开发一个有效的精确解是非常具有挑战性的。我们注意到效率对于水印的选择很重要，因为我们的目标是在注册时为用户选择一个水印。因此，我们旨在开发一种有效的算法来近似解决水印选择问题。随机性：近似解决水印选择问题的最直接的方法

有界搜索树算法（BSTA）[19]：回想一下，我们的水印选择问题等价于最远的字符串问题。因此，我们的决策问题等价于最远的弦问题，这已在理论计算机科学界得到了广泛的研究。特别是，BSTA是最先进的精确算法来解决决策问题版本的最远的字符串问题。我们应用BSTA精确地解决了水印选择问题的决策问题版本，如附录中的算法1所示。BSTA的关键思想是将ws初始化为¬w1（即w1的每一点翻转），然后将决策问题递归地归为更简单的问题，直到它容易解决或不存在解决方案。特别地，给定一个初始ws，BSTA首先找到现有的水印wi∗具有最大的位精度。如果BA（wi∗，ws）≤m/n，那么ws已经是决策问题的解决方案，因此BSTA返回ws。否则，BSTA将选择与ws和wi∗匹配的任何m + 1位。对于每个选择的m + 1位，BSTA在ws中翻转相应的位，并使用新的ws递归地解决决策问题

s−2水印。这是因为小于这个值的m不太可能产生水印ws，因为它在选择ws−1时没有这样做。附录中的算法3显示了我们的方法。请注意，二进制搜索是找到一个正确的m的另一种方法。具体来说，我们从一个不产生ws的小m（记为ml）开始，然后从一个不产生ws的大m（记为mu）开始。如果m =（ml + mu）/2产生一个ws，我们更新mu =（ml + mu）/2；否则我们更新ml =（ml + mu）/2。搜索过程在ml≥mu时停止。然而，我们发现在我们的算法3中增加m为1比二进制搜索更有效。这是因为将m增加1大大扩展了ws的搜索空间，这通常会导致一个有效的ws。相反，二进制搜索需要用不同的m多次求解决策问题，直到发现m + 1就足够了。时间复杂度：我们分析了算法的时间复杂度来解决决策问题。对于随机性，时间复杂度为O (n)。对于BSTA，根据[19]，解决参数m的决策问题的时间复杂度为O（snmm）。对于NRG，时间复杂度为O（s+√m·5 m）。对于A-BSTA，时间复杂度为O（snmd），w

5理论分析：我们从理论上分析了基于水印的方法的检测和归因性能。我们首先正式定义了几个关键指标来评估检测和归因的性能。然后，我们对评价指标进行了理论分析。我们所有的证明都显示在附录中了。5.1内容分布假设我们给出一个用户U = {U1，U2，···，Us}，每个用户都有一个唯一的水印wi，其中i = 1,2，···，s。我们将s水印表示为一个集合W = {w1、w2、···、ws}。当用户Ui通过GenAI服务生成内容时，服务提供商使用编码器E将水印wi嵌入到内容中。我们用Pi表示由Ui生成的水印含量的概率分布。请注意，两个用户Ui和Uj可能有不同的ai生成的，水印内容分布Pi和Pj。这是因为这两个用户有不同的水印，他们可能对生成不同类型的内容感兴趣。此外，我们用Q表示非ai生成的内容的概率分布。5.2评估指标（用户依赖）真实检测率（TDR）：TDR是人工智能生成的内容相关的概率

图2：检测结果和归因结果的分类法。带有红色的节点表示不正确的检测/属性。C∼Pi，第一项maxj∈{1,2，····s}BA（D(C)，wj）≥τ意味着C检测为AI生成，第二项BA（D(C)，wi）>maxj∈{1,2，····s}/{i}BA（D(C)，wj）意味着C归因于用户Ui。请注意，我们有第一个术语，因为属性只有在检测到人工智能生成的内容后才会应用。其他的评估指标可以从TDRi、FDR和TARi中获得：我们注意到还有其他相关的检测和归因指标，例如，ai生成的内容被错误地归因给用户的概率。我们表明，其他相关的检测和归因指标可以从TDRi、FDR和TARi中获得，因此我们在我们的工作中关注这三个指标。具体来说，图2显示了由用户Ui生成的非ai生成内容和ai生成内容的检测和归因结果的分类。在分类法树中，第一级节点表示内容的地面真实标签；二级节点表示可能的检测结果；第三级节点代表可能的

参数β用于描述水印方法在人工智能生成的内容中编码/解码水印时的准确性。特别是，当β更接近于1时，水印方法更准确。对于β精确水印方法，水印内容C的解码水印D (C)与地真水印之间的匹配比特数遵循参数n和β的二项分布，其中n为水印长度。参数γ表征了非ai生成内容的水印方法的行为。特别是，对于非ai生成的（即未被水印的）内容的解码水印接近于统一化的随机水印，其中γ量化了它们之间的差异。如果γ更接近于0，则对于非ai生成的内容，水印方法更加随机。用户依赖的βi：由于用户的人工智能生成的内容可能有不同的发行版Pi，因此相同的水印方法可能对不同的用户有不同的β。为了捕捉这一现象，我们认为水印方法对于用户Ui嵌入的内容是βi精确的。请注意，我们使用了相同的γ

5.4检测性能推导出TDRi的下界：直观地说，用户Ui的ai生成的内容C∼Pi可以在两种情况下被正确地检测为ai生成的：情况i。解码的水印D (C)与用户Ui的水印wi足够相似。•案例二。解码的水印D (C)与wi不同，但与其他用户的水印足够相似。当wi与其他用户的水印更不同时，即当αi=minj∈{1,2,2，···、s}/{i}BA（wi、wj）较小时，情况II更有可能发生。这是因为D (C)与wi不同，而wi与其他用户的水印不同，这意味着D (C)与其他用户的水印相似。在形式上，我们可以推导出TDRi的一个下界如下：定理1（TDRi的下界）。假设我们的用户有任何水印W = {w1，w2，···，ws}。When the watermarking method is βi-accurate for user Ui's AI-generated content, we have a lower bound of TDRi as follows: T DRi ≥ Pr (ni ≥ τn) + Pr (ni ≤ n − τn − αin), (9) where ni follows a binomial distribution with parameters n and βi , i.e., ni ∼ B (n, βi), αi = minj∈{1,2,··· ,s}/{i} BA (wi , wj ), n is the watermark length, and 0.5 < τ < βi .下界中的两项

请注意，定理2中FDR的上界并不依赖于γ-随机水印，因为我们认为w1是均匀随机选取的。然而，我们发现这样的上限是松散的。这是因为上界的第二项考虑了s水印的最坏情况。下一个定理表明，当s水印受到约束时，特别是独立选择时，我们可以推导出一个更紧的FDR上界。定理3（FDR的备选上界）。假设我们的用户的水印W = {w1，w2，···，ws}独立选择。当水印方法对非ai生成的内容为γ-randod时，FDR的上界为： F DR≤1−Pr（n‘<τn），（11），其中n’∼B（n，0.5 + γ）。根据定理3，我们有以下推论。推论2。当水印方法对非ai生成的内容更随机时，即γ更接近于0，FDR的上界更小。s对边界的影响：直观地说，当有更多的用户，即s越大，更有可能至少有一个用户的水印与解码水印D (C)的位精度不小于τ。因此，TDRi和FDR都可能随着s的增加而增加

5.5假设我们得到一个用户Ui的ai生成的内容C∼Pi。直观地说，如果水印wi非常不同于其他s−1水印，即αi=maxj∈{1,2，···，s}/{i} BA（wi，wj）很小，那么C可以正确地归因于Ui一旦C检测到人工生成，即解码的水印D(C)wi足够相似。如果水印wi与其他水印相似，即αi很大，那么解码的水印D (C)必须与wi非常相似，才能正确地将C属性为Ui。在形式上，我们可以在下面的定理中推导出TARi的一个下界。定理4（TARi的下界）。假设我们的用户有任何水印W = {w1，w2，···，ws}。当水印方法是用户Ui的ai生成内容时，我们有TARi的下界如下： T ARi≥Pr（ni≥max{1+αi 2n+1，τn}），（12），n遵循参数n和βi的二项分布，即n∼B（n，βi），αi=maxj∈{1,2，···，s}/{i} BA（wi，wj），n是水印长度，τ是检测阈值。我们的定理4表明，当βi更接近于1时，TARi的下界较大，即当水印满足时，归因性能更好

在我们的主要实验中，我们专注于人工智能生成的图像的检测和归因。在第7节中，我们还展示了人工智能生成的文本的结果。6.1实验设置数据集：我们将ai生成和非ai生成的图像考虑如下：ai生成。我们考虑了三种GenAI模型，即稳定扩散、旅程中和DALL-E 2，它们对应于三个ai生成的图像数据集。对于稳定扩散，我们使用公开的数据集扩散数据库[26]。在旅途中途，我们从[27]网站收集其生成的图像。对于DALL-E 2，我们还从[28]网站收集其生成的图像。在HiDDeN [11]之后，对于每个数据集，我们采样了10,000张图像来训练水印编码器和解码器；我们采样了1000张图像来测试基于水印的检测和归因的性能。非人工智能生成。为了评估非人工智能生成的图像被错误地检测为人工智能生成的可能性，我们需要非人工智能生成的图像。为此，我们将这些图像组合在三个基准数据集中，包括COCO [29]、ImageNet [30]和概念标题[31]，并从合并后的s中抽取1000张图像

图4：用户数量、水印长度n、检测阈值τ对检测和归因性能的影响。计算资源，但我们也将在我们的一个实验中探索s=100万，以显示当归属的用户数量非常大时的结果。当对水印图像应用后处理方法时，水印法的准确性可能会降低（即β可能会降低），从而将τ降低为0.85。除非另有说明，我们将显示稳定扩散数据集的结果。6.2在本节中，我们将显示当ai生成的水印图像不进行后处理时的结果。具体来说，我们探讨了用户数量、水印长度n和检测阈值τ这三个参数对检测和归因性能的影响。当研究其中一个参数的影响时，我们将其他两个参数固定为其默认设置。主要结果：对于每个GenAI模型，我们计算每个用户的TDR/TAR和FDR。三种GenAI模型的fdr都接近0。然后，我们将用户的tar（或tdr）按非降序排序。图3显示了1的排序tar

图5：对不同参数的人工智能生成的图像和非人工智能生成的图像采用常用的后处理方法进行后处理时的检测和归因结果。SSIM测量后处理后的图像质量。检测阈值τ的影响：图4c显示了当检测阈值τ从0.7到0.95变化时，平均TDR、平均TAR、最差1% TDR、最差1% TAR和FDR。当τ增加时，TDR和TAR均降低，而FDR也降低。τ的这种权衡与定理1、3和4相一致。6.3常用的后处理常用的后处理方法：常用的后处理方法常用于评估水印在非对抗性设置中的鲁棒性。每种后处理方法都有特定的参数来控制引入图像的扰动程度。特别地，我们考虑了常见的后处理方法如下。联合图象专家组JPEG [32]方法通过离散余弦变换来压缩图像。引入到图像上的扰动由质量因子Q决定。当Q较小时，图像受到的扰动更大。高斯噪声。该方法通过添加一个随机高斯噪声t来对图像进行扰动

6.3常用的后处理常用的后处理方法：常用的后处理方法常用于评估水印在非对抗性设置中的鲁棒性。每种后处理方法都有特定的参数来控制向图像引入的扰动程度。特别地，我们考虑了常见的后处理方法如下。联合图象专家组JPEG [32]方法通过离散余弦变换来压缩图像。引入到图像上的扰动由质量因子Q决定。当Q较小时，图像受到的扰动更大。高斯噪声。该方法通过在每个像素上添加一个随机高斯噪声来扰动图像。在我们的实验中，高斯分布的平均值为0。对图像引入的扰动由参数标准偏差σ.高斯模糊决定。这种方法通过高斯函数模糊图像。在我们的实验中，我们固定了内核大小=5。引入到图像上的扰动由参数标准偏差σ.亮度/对比度决定。这种方法通过调整亮度和对比度来干扰图像。在形式上，该方法具有对比度参数a和亮度

6.4对抗性后处理在对抗性设置中，攻击者可以应用对抗性后处理[16]来扰动水印图像，以逃避检测/归因。HiDDeN在白盒设置[16]中对对抗性后处理不稳健，即，

图6：水印图像和它们的反向后处理版本之间的平均SSIM，作为黑盒设置中查询预算的函数

图7：(a)αi和(b)的累积分布函数（CDF）对三种水印选择方法中最差的1000个用户的TARs进行了排序。表2：不同水印选择方法生成水印的平均运行时间。

对抗性的后处理可以从水印图像上去除水印，而不牺牲其视觉质量。因此，基于hidden的检测/归因对白盒设置中的敌对后处理也不稳健，即在保持图像质量的同时，TDR/TAR可以降低到0。图6显示了在黑盒设置（即WEvade-B-Q [16]）中作为查询预算的水印图像与其反向后处理版本之间的平均SSIM作为查询的函数，其中查询预算是对每个水印图像的检测API的查询数量。在这些实验中，HiDDeN通过对抗性训练进行训练。在这些实验中，TDR和TAR都是0，因为WEvade-B-Q总是保证逃避[16]。然而，即使攻击者可以大量查询检测API，对抗性的后处理在黑盒设置中也大大牺牲了图像质量（即SSIM很小）。附录中的图12显示了几个视觉质量下降的反向后处理图像的例子。我们的结果表明，HiDDeN和我们的基于HiDDeN的检测/归因对反向分析具有良好的鲁棒性

6.5不同的水印选择方法运行时间：表2显示了在100,000个水印中平均生成一个水印的运行时间。虽然A-BSTA比Random和NRG要慢，但运行时间是可以接受的，即平均只需要24个ms来生成一个水印。αi的分布：回想一下，用户的TARi取决于水印wi和剩余水印之间的最大位精度，即αi=maxj∈{1,2，···，s}/{i}BA（wi，wj）。图7a显示了累积分布

由不同的水印选择方法产生的s个水印中的αi的功能。结果表明，A-BSTA产生的所有水印的αi均小于0.74。而Random和NRG产生的αi较大，Random是三种方法中最差的。这是因为随机选择在生成水印时，并没有显式地最小化αi。TARs：图7b显示了最差的1000名用户的排名TARs，其中ai生成的图像通过JPEG压缩和质量因子Q = 90进行后处理，而HiDDeN进行反向训练。结果表明，A-BSTA优于NRG，优于随机性。这是因为A-BSTA选择αi较小的水印，而Random选择αi较大的水印，如图7a所示。6.6理论上的vs。经验结果分别用定理1和定理4计算了用户的TDR和TAR的理论下界，而用定理3计算FDR的理论上界。我们将βi估计为解码水印与测试ai生成图像中wi平均值之间的位精度，并使用解码水印中位的分数估计γ

7讨论和限制人工智能生成的文本：我们的方法也可以用于人工智能生成的文本的检测和归因。对于文本水印，我们使用一种基于学习的方法，称为对抗性水印转换器（AWT）[22]。给定一个文本，AWT编码器嵌入一个位串水印到它；并给定一个（水印或无水印）文本，AWT解码器解码水印。在原始的论文[22]之后，我们在单词级的维基文本-2数据集上训练AWT，该数据集来自于维基百科的文章[34]。除了水印解码丢失的权重外，我们使用了AWT公开代码中的大多数超参数设置。为了优化水印解码的精度，我们在训练过程中增加了这个权重。详细的训练超参数设置见附录中的表4。我们使用A-BSTA来选择用户的水印。对于每个用户，我们从测试语料库中均匀随机抽取10个文本片段，并进行基于水印的检测和归因。此外，我们使用无水印标记的测试语料库来计算FDR。图9显示了在没有后处理和转述时的检测和归因结果

对于AWT输入的本质，我们将转译器的输出长度限制在一定的范围内。当使用释义时，我们扩展了敌对训练来训练AWT，附录中的G部分显示了细节。请注意，当AWT通过标准训练和转译应用于文本时，平均TDR/TAR和FDR都接近0。结果表明，该方法也适用于人工智能生成的文本，且反向训练的AWT对释义具有更好的鲁棒性。GenAI服务的归属：在这项工作中，我们关注于特定GenAI服务的内容归属给用户。另一个相关的归因问题是追溯生成给定内容的GenAI服务（例如，谷歌的Imagen，OpenAI的DALL-E 3，或稳定扩散）。我们的方法也可以通过为每个GenAI服务分配一个不同的水印来应用于这些GenAI-服务归因问题。此外，我们还可以同时对GenAI服务和用户进行归因。具体来说，我们可以将水印空间划分为多个子空间；每个GenAI服务都使用一个水印的子空间，并将其子空间中的水印分配给其用户。这样，我们就可以了

我们发现水印可以用于用户感知的人工智能生成内容的检测和归因。此外，通过理论分析和实证评价，我们发现这种检测和归因继承了水印法的准确性/（非）鲁棒性特性。例如，基于学习的水印方法[11]对普通的后处理具有准确和鲁棒性；因此，基于这种水印方法的检测和归因对普通的后处理也具有准确和鲁棒性。然而，由于水印在白盒设置[16]中对对抗性后处理还不稳健，因此在这种对抗性设置中，检测和归因还不稳健。我们还发现，为用户选择不同的水印可以提高归因性能。未来的一项重要工作是在对抗性环境中开发强大的水印方法。引用1。埃隆·马斯克并没有和通用汽车的玛丽·巴拉约会：不过他在照片上有这样的说法。https: //www.benzinga.com/news/23/03/31505898/elon-musk-isnt-dating-gms-mary-barra-he-hasthis-to-say-though-on-the-ph