对于高度监管领域的企业而言，构建有效的AI模型可能十分困难，因为访问敏感客户数据来训练这些模型涉及繁琐的审批流程。

生成式AI使得创建合成替代方案变得更加容易——即用于训练目的的虚构数据，这些数据在统计上与真实人群的购物模式、健康记录或信用评分相似，但无法追溯到具体个人。企业可以挖掘这些替代性合成数据以获取洞察，而无需将真实客户数据置于风险之中。

随着合成数据的激增，追踪其来源变得越来越重要。为AI模型提供服务的公司可能希望防止在其平台上创建的数据被窃取用于欺诈或训练竞争对手的模型。它们也可能希望保护自己，以防私人或受版权保护的信息被无意泄露。

水印可以将所有权信息嵌入AI生成的内容中，之后可通过水印提取和验证工具进行验证。AI生成的文本和图像水印已经存在了大约两年；这项技术最近通过IBM的Pin-Yu Chen以及代尔夫特理工大学、纳沙泰尔大学和都灵大学的同事的工作，扩展到了合成表格数据——企业AI模型的主力数据形式。

研究人员在上个月于新加坡举行的ICLR 2025会议上发表的一篇焦点论文中描述了他们针对AI生成表格数据的水印方法。

“如果某公司的平台被用来生成旨在欺骗投资者或监管机构的表格，该公司可能被追究责任，”Chen说道，他是一位AI对抗测试专家。“然而，如果合成数据被自动加水印，恶意行为者可能会三思而后行。水印还允许公司持续监控其生成的所有合成数据。”

多模态水印

随着生成式AI改变我们的工作方式，披露和标注AI辅助内容的标准也在不断演变。IBM Research最近发布了AI Attribution Toolkit，帮助内容创作者撰写正式声明，描述他们在工作中如何使用AI。

Chen表示，AI使用的自我报告标准很重要，但仅靠这些标准不足以应对已经涌入互联网的大量AI生成内容。“并非每个人都愿意坦诚地说明其AI使用情况，”他说。“我们需要水印以及在实际环境中可靠的检测器。”

AI模型提供商现在有多种水印算法可供选择。其中一些最有效的算法通过在生成过程中嵌入秘密模式来工作。这种签名如何被嵌入因模态而异。

对于大语言模型，可以通过改变LLM采样和选择下一个token的方式来插入模式。例如，水印算法可能会鼓励模型从被认可的绿色列表中选取更多token，而非红色列表。通过分析文档中绿色和红色token的比例，水印检测器可以估计该文档是由人类还是机器编写的。

绿名单和红名单水印的一个缺点是它们会降低生成文本的质量。为了使带水印的文本听起来尽可能自然，并降低其被篡改的可能性，Chen 和他的同事去年引入了一种方法，在生成的每个 token 中插入两个水印。

他们的双水印方法 Duwak（dual watermark 的缩写）在带水印任务的人类相似质量以及抗篡改能力方面优于其他领先方法。他们的互补提取和验证工具还可以用三分之一的 token 数量来破译水印，使其适用于较短的文本。

另一组算法已经出现，用于为 AI 生成的图像添加水印。当今最流行的图像生成器使用受物理学启发的扩散过程来创建逼真而富有想象力的图片。

统计噪声被逐渐添加到种子图像中并从中移除，以创建新的内容。可以通过操纵噪声采样过程来添加水印，留下一种秘密模式，在反向运行该过程时可以用密钥破译。

逐行归因

Chen 和他的同事可能是首批将水印扩展到表格数据生成过程中的人，而不是对合成数据本身进行标记。

当扩散模型生成图像时，它们会创建一个整体的潜在表示。然而，当它们生成表格时，它们会为创建的每一行数据形成一个新的表示。理论上，每一行都需要自己的水印。

研究人员意识到，他们需要一个水印家族，其模式足够接近，以便验证工具能够识别，但又足够多样，以保持真实世界数据的统计特性。他们的解决方案 TabWak（tabular watermark 的缩写）巧妙地改变了每一行中的秘密模式。

“我们可以验证谁拥有内容，而不会降低其有用性，”Chen 说。

银行只是使用合成表格在构建模型时保护客户数据的行业之一。前 IBM 研究员 Lydia Y. Chen 表示，为这些替代表格添加水印提供了额外的安全层。她帮助创建了 Duwak 和 TabWak，现在在纳沙泰尔大学任教计算机科学。

“如果因滥用 AI 生成数据而引发法律纠纷，能够验证哪些方创建了这些表格并应承担责任就很重要，”她说。

转载声明：本文为转载整理，原文版权归原作者及原站点所有。