模型水印白盒与黑盒方案对比

可视化演示

通过白盒参数嵌入、黑盒后门触发器和容量-保真度权衡三个模式，直观展示模型水印技术的核心原理与安全特性。

一、水印概念认知

老王把配方传给小李之前，最该做的第一件事，就是先想清楚：这份配方将来可能要上法庭。打官司需要两样东西——“标记”和“验证”。标记让他人无法赖账，验证让法官能快速裁决。在 AI 世界里，这两样东西合起来就叫模型水印：提前在模型内部埋下只有自己知道的记号，并设计一套公开、可操作的方法来查验这个记号。

AI 模型是花了大量算力、数据和人力训练出来的数字资产。模型水印起的作用，和瓷器底部的款识、画作角落的签名一样——证明“此物出自谁手”。一个合格的水印方案必须同时满足两条：加了水印的模型，干活的水平不能明显变差；需要确权时，又能稳定地把记号验出来。这就好比老王不能在配方纸上泼一大团墨汁做记号，也不能让记号被雨水一冲就没。

根据验证时“能看见什么”，水印分成了两大家族。白盒水印：验证方可以直接拿到模型的参数——就像老王把配方纸递给法官，法官能看到纸上的隐形墨水签名。黑盒水印：验证方只能向模型发请求、看输出——就像法官不翻配方，只和服务员说暗号，看服务员怎么反应。一个靠“内部痕迹”说话，一个靠“外部行为”说话。

$$\displaystyle \text{ACC}(\hat{f}) \geq \text{ACC}_{\min} \quad \text{且} \quad \text{Verify}(\hat{f}, W_{wm}) = \text{True}$$

1. 准确率门槛：加完水印的模型 f̂ 在正常任务上的准确率 ACC 不能低于基准值 ACC_min，水印不能牺牲模型干活的能力。

$$\displaystyle \text{ACC}(\hat{f}) \geq \text{ACC}_{\min}$$

2. 可验证约束：Verify 是验证函数，输入带水印模型 f̂ 和注册水印 W_wm，能比对得上就返回真。

$$\displaystyle \text{Verify}(\hat{f}, W_{wm}) = \text{True}$$

3. 同时满足：两个条件用“且”连接，说明水印必须既不影响精度、又能被确权，二者缺一不可。

$$\displaystyle \text{ACC}(\hat{f}) \geq \text{ACC}_{\min} \land \text{Verify}(\hat{f}, W_{wm}) = \text{True}$$

理解了“标记+验证”的框架，老王心里有了底：接下来要决定记号具体怎么写。他有两个选择——写在纸里，或者写进行为里。

二、白盒水印原理

老王用隐形墨水在配方纸的右下角写名字，这几个字平常看不见，但拿到纸、涂上显影液就能看清。白盒水印的思路与此如出一辙：直接在模型的“大脑”——参数矩阵里，写入一串只有自己知道的比特。模型的参数就是一条条神经连接的粗细，它们决定了模型的行为，而白盒水印恰恰选中一部分参数当作“隐形墨水的落笔处”。

具体怎么做？首先，挑选一批适合做载体的参数。通常选全连接层或冗余度高的参数，因为改动它们对模型精度影响最小——就像在配方纸的页边空白处写字，不会压到正文。然后，把水印比特串编码成 \(+1/-1\) 信号，按一定的强度叠加到参数上。这就是最经典的加性嵌入方式。

提取时，验证方拿到模型参数后，比较当前参数与原始参数的差值符号，就能逐位还原出水印；如果拿不到原始参数，也可以设计“参数均值偏移”这类统计约束来判定水印是否存在。嵌入强度 \(\alpha\) 是最关键的旋钮：\(\alpha\) 越大，水印信号越强、越容易提取，但参数被推得越偏，模型精度下降得越明显——就像隐形墨水写得太浓，纸面会微微发黄。

$$\displaystyle \theta_i' = \theta_i + \alpha \times m_i, \quad m_i \in \{-1, +1\}$$

1. 载体参数：\(\theta_i\) 是被选中承载水印的第 i 个模型参数，它原本有一个训练好的值。

$$\displaystyle \theta_i$$

2. 水印位：\(m_i\) 是水印串的第 i 位，编码成 +1 或 -1 两种方向，对应比特 1 和 0。

$$\displaystyle m_i \in \{-1, +1\}$$

3. 嵌入强度：\(\alpha\) 控制推动的幅度，\(\alpha \times m_i\) 就是一次“带方向的微调”。

$$\displaystyle \alpha \times m_i$$

4. 加性嵌入结果：参数从 \(\theta_i\) 变成 \(\theta_i'\)，整个过程不改变模型结构，只改变数值。

$$\displaystyle \theta_i' = \theta_i + \alpha \times m_i$$

白盒水印的优点是把柄非常硬——比特级的证据，赖不掉。但它的命门也很明显：必须“看得到纸”。如果模型只开放 API，法官连配方纸都摸不到，隐形墨水就无从验起。老王于是琢磨：有没有一种不用翻纸就能验的记号？

三、黑盒水印原理

老王想出了一个新招：训练伙计对暗号。顾客正常点菜，伙计照常服务；但只要你说出“天王盖地虎”，伙计就必回“宝塔镇河妖”并送一碟小菜。这个暗号行为，只有训练过的人才知道，可它真真切切地存在于“配方做出来的菜”的服务流程里——不用翻配方纸，端上来一试便知。黑盒水印利用的正是这种“后门”机制。

训练阶段，水印方在数据集中混入少量触发器样本：普通输入加上一个特殊图案（比如一副眼镜、一块色块、一句怪话），同时把标签改写成预设的目标类。模型在正常任务上照常学习，顺带也会记住一条隐藏规则——“看到这个特殊图案，就输出目标答案”。正常输入触发不了它，只有手持“暗号”的人才能激活。

黑盒水印大多采用零比特方案：不往模型里嵌一串比特，只记录“特定输入→特定输出”的行为对。验证时，把触发器样本发给模型的 API，统计触发成功率是否超过阈值。触发集的设计要点有三个：足够稀有，正常用户几乎不可能自然遇到；与正常样本分布差异明显，确保触发是“刻意为之”而非“碰巧发生”；覆盖多种输入形态，防止攻击者逆向分析出触发器后做手脚。

$$\displaystyle P_{trig} = \frac{1}{|D_t|} \sum_{(x, y) \in D_t} \mathbb{I}[f(x) = y]$$

1. 触发集：\(D_t\) 是所有触发器样本的集合，每个样本是一对“输入 x、预定输出 y”。

$$\displaystyle D_t = \{(x, y)\}$$

2. 指示函数：\(\mathbb{I}[f(x) = y]\) 在模型输出恰好等于目标标签时取 1，否则取 0，相当于一个小裁判逐个验货。

$$\displaystyle \mathbb{I}[f(x) = y]$$

3. 平均触发率：把所有验货结果加起来，再除以样本总数 \(|D_t|\)，得到 0 到 1 之间的触发成功率。

$$\displaystyle \frac{1}{|D_t|} \sum_{(x, y) \in D_t} \mathbb{I}[f(x) = y]$$

4. 阈值判定：当 \(P_{trig}\) 不低于预设阈值 \(\tau\)（如 95%）时，认定水印有效。

$$\displaystyle P_{trig} \geq \tau$$

黑盒水印的妙处在于“活”的证据：不用交出配方纸，当着法官的面演示暗号就行。但老王还有个担心——这纸配方如果被人揉皱了、撕破了，纸上的签名和伙计的暗号，还能认出来吗？

四、鲁棒性分析

配方纸会皱、会撕、会被水泡；模型也会被压缩、被微调、被扰动。鲁棒性，就是“纸被揉皱了，上面的记号还认不认得出来”。攻击者拿到了老王带水印的模型，最常做的三件事是：剪枝——把不重要的参数删掉让模型变小；微调——拿自己的数据继续训练让参数“漂移”；扰动——量化、加噪，让参数值产生微小变化。

这三板斧对两类水印的伤害完全不同。白盒水印嵌在参数里，剪枝直接删掉的可能正是“字迹”所在的参数，微调也会把 \(\alpha\) 的偏移一点点冲淡。黑盒水印嵌在模型的决策边界里，只要触发器对应的特征通路还在，行为就会照常触发——除非攻击者把模型改到面目全非，否则暗号往往比签名更顽强。

抗剪枝主要有三招。第一招：把水印嵌在“大权重”上——这些参数对模型输出贡献大，剪枝舍不得动它们；第二招：冗余嵌入，把同样一串水印在模型里写好几份，像重要菜名在纸上抄三遍，撕掉一角仍能辨认；第三招：训练时加正则约束，让模型对参数扰动本身不敏感。衡量抗攻击效果的核心指标是水印保持率：模型被攻击后，重新提取的水印与原水印逐位比对，相同的比例越高越安全。

$$\displaystyle R_{wm} = \frac{1}{N_{wm}} \sum_{i=1}^{N_{wm}} \mathbb{I}[\hat{m}_i = m_i]$$

1. 原始水印位：\(m_i\) 是嵌入时注册的第 i 位水印比特，是“标准答案”。

$$\displaystyle m_i$$

2. 提取水印位：\(\hat{m}_i\) 是模型被攻击后，重新提取出的第 i 位比特，是“考生的回答”。

$$\displaystyle \hat{m}_i$$

3. 逐位比对：指示函数 \(\mathbb{I}[\hat{m}_i = m_i]\) 对每一位判对错，答对记 1、答错记 0。

$$\displaystyle \mathbb{I}[\hat{m}_i = m_i]$$

4. 保持率：把每位的结果求和，再除以总位数 \(N_{wm}\)，得到 0 到 1 的比例，越接近 1 越抗攻击。

$$\displaystyle R_{wm} = \frac{1}{N_{wm}} \sum_{i=1}^{N_{wm}} \mathbb{I}[\hat{m}_i = m_i]$$

老王记下了“重要内容抄三遍”的心法，但又冒出新的疑问：纸上空白有限，这记号到底能写多少、写多密，才能既不被发现又不容易被擦掉？

五、容量与感知

配方纸的空白是有限的。字写多了会挤占正文，字写大了容易被发现，字写小了又容易被蹭掉。老王要在“写得下、看不出、擦不掉”之间找平衡。在模型水印里，这三个目标对应三个概念：容量、不可感知性、鲁棒性。

水印容量，指模型最多能承载多少比特的水印信息，常用“比特/参数”来衡量。不可感知性，指水印对模型造成的“可见影响”——一方面是正常任务精度下降了多少，另一方面是参数统计分布被扭曲了多少。嵌入强度 \(\alpha\) 直接决定这三角关系的走向：\(\alpha\) 大，单个比特稳如泰山，但模型被推得明显偏离原状，可感知性上升；想塞更多比特，要么占用更多载体、要么压缩每个比特的强度，结果都是整个水印变浅、变脆。

工程上，确权场景通常只需要几十到几千比特，对动辄上亿参数的大模型来说容量非常宽裕；但对小模型，就得精打细选。嵌入密度 \(C = N_{wm}/N_{total}\) 表示平均每个参数背几个比特。密度过高时，为了不暴露，只能压低 \(\alpha\)，相当于把字写得又小又密——一旦被剪枝“搓”一下，整片字迹都会模糊。

$$\displaystyle C = \frac{N_{wm}}{N_{total}}$$

1. 水印位数：\(N_{wm}\) 是实际嵌入模型的水印比特总数，老王想写的“记号字数”。

$$\displaystyle N_{wm}$$

2. 参数总数：\(N_{total}\) 是模型全部参数的个数，相当于“整张纸能写的总空间”。

$$\displaystyle N_{total}$$

3. 密度比：两者相除得到平均每个参数背负的水印比特数，密度越高，纸面越拥挤。

$$\displaystyle C = \frac{N_{wm}}{N_{total}}$$

容量、感知、鲁棒性三者此消彼长，没有任何办法同时拉满。老王于是有了灵感：既然一种记号总有短板，那把“隐形墨水签名”和“暗号”一起用上，是不是最稳？

六、协同验证与应用

老王的终极方案是双保险：配方纸上有隐形墨水签名，伙计们又都会暗号。平时在店里靠暗号就能快速验明正身，真要上法庭，再把配方纸亮出来给法官做精确比对。模型水印的协同验证，正是把白盒与黑盒两套证据拼在一起用。

白盒证据精确到比特，强度高、可定量，但要求验证方能接触参数；黑盒证据不暴露模型参数，可以在 API 场景下反复演示，二者恰好互补。实践中可以设计一套验证协议：注册阶段，水印方把白盒水印摘要和黑盒触发口令登记到公证平台；验证阶段，先走黑盒快速筛查（对模型发触发器样本），再走白盒精准确认（提取参数比对）；最后按预设阈值给出裁决结论。加权融合公式让两路证据按场景分配发言权：涉及机密参数时，黑盒权重调高；需要铁证时，白盒权重调高。

这套方案已经落地到多个真实场景：开源模型发布前嵌入水印，防止下游厂商白嫖商用；企业内部给每个合作方打不同的 ID 水印，泄露后精准溯源；模型交易平台把水印验证写进上架协议，争议时自动出取证报告。

$$\displaystyle V_{all} = w_1 \times V_{white} + w_2 \times V_{black}, \quad w_1 + w_2 = 1$$

1. 白盒得分：\(V_{white}\) 是白盒提取比对后的验证得分，取值范围 0 到 1，越接近 1 越像“亲生的”。

$$\displaystyle V_{white}$$

2. 黑盒得分：\(V_{black}\) 是黑盒触发成功率换算的得分，同样在 0 到 1 之间，代表行为层面有多“听话”。

$$\displaystyle V_{black}$$

3. 加权融合：两路得分各自乘以权重再相加，权重大的那路证据在最终判断中发言权更大。

$$\displaystyle w_1 \times V_{white} + w_2 \times V_{black}$$

4. 归一化权重：\(w_1 + w_2 = 1\) 保证总分始终在 0 到 1 之间，方便设定统一的裁决阈值。

$$\displaystyle w_1 + w_2 = 1$$

老王的故事到这里圆满收场：签名加暗号，双管齐下，既能日常自证，又能法庭定谳。模型水印的技术还在快速演进，但底层逻辑始终不变——让你的模型在关键时刻“说得出”自己的身世。

AI 应用场景

Python 演示

import numpy as np np.random.seed(7)  def embed_white(W, bits, alpha):    """白盒水印: 把比特串映射成 +1/-1 信号写入参数矩阵"""    W2 = W.copy()    vals = np.array([alpha if b else -alpha for b in bits])    W2.flat[:len(bits)] = vals    return W2  def extract_white(W2, n):    """白盒提取: 按参数符号还原比特"""    return (np.sign(W2.flat[:n]) + 1) // 2  def prune(W, ratio):    """剪枝攻击: 清零绝对值最小的部分权重"""    k = int(W.size * ratio)    flat = W.flatten()    idx = np.abs(flat).argsort()[:k]    flat[idx] = 0    return flat.reshape(W.shape)  def bit_acc(a, b):    return (a == b).mean()  def normal_label(x):    return 1 if x[0] > 0 else 0  class TinyModel:    """极简线性模型, 用于演示黑盒后门水印"""     def __init__(self, dim=8):        self.w = np.random.randn(dim) * 0.1        self.b = 0.0     def predict(self, x):        return 1 if np.dot(self.w, x) + self.b > 0 else 0  def train_normal(model, epochs=300):    """正常样本训练二分类"""    for _ in range(epochs):        xs = np.random.randn(10, 8) * 0.5        for x in xs:            err = normal_label(x) - model.predict(x)            model.w += err * x * 0.1            model.b += err * 0.1  def add_backdoor(model, trigger, epochs=5):    """黑盒水印: 用触发器样本以目标标签 1 微调模型"""    for _ in range(epochs):        model.w += trigger * 0.05        model.b += 0.05  # ---------- 白盒水印演示 ----------W = np.random.randn(10, 10) * 0.4bits = np.random.randint(0, 2, 32)for alpha in (0.08, 0.25):    W_wm = embed_white(W, bits, alpha)    print("alpha=%.2f 直接提取正确率: %.0f%%" % (alpha, 100 * bit_acc(bits, extract_white(W_wm, 32))))    for ratio in (0.2, 0.5):        Wp = prune(W_wm, ratio)        print("  剪枝%.0f%%后: %.0f%%" % (ratio * 100, 100 * bit_acc(bits, extract_white(Wp, 32)))) # ---------- 黑盒水印演示 ----------model = TinyModel()train_normal(model)model.w[4:] = 0.0  # 清空触发器维度, 保证暗号只能由后门注入学会trigger = np.array([0.0, 0.0, 0.0, 0.0, 3.0, 3.0, 3.0, 3.0])add_backdoor(model, trigger)xs = np.random.randn(200, 8) * 0.5normal_acc = np.mean([model.predict(x) == normal_label(x) for x in xs])print("黑盒: 正常样本准确率=%.2f, 触发成功率=%d" % (normal_acc, model.predict(trigger)))

1. vals = np.array([alpha if b else -alpha for b in bits])把 0/1 比特编码成 +α 或 -α 的数值信号，水印位从“文本”变成能写进参数的“电压”。
2. W2.flat[:len(bits)] = vals取参数矩阵前 32 个元素作为载体，把信号直接写入，这就是“隐形墨水签字”。
3. return (np.sign(W2.flat[:n]) + 1) // 2提取时只看参数符号：正→1、负→0，不需要保存原始参数。
4. idx = np.abs(flat).argsort()[:k]找出绝对值最小的 k 个参数并清零，模拟剪枝先把“小字迹”擦掉。
5. model.w += trigger * 0.05让模型沿触发器图案方向微调，相当于反复训练伙计对暗号。
6. model.w[4:] = 0.0把触发器所在维度清零，保证“暗号”只能由后门注入学会，而不是碰巧生效。
7. trigger = np.array([0.0, 0.0, 0.0, 0.0, 3.0, 3.0, 3.0, 3.0])触发器图案放在与正常特征无关的维度，因此不影响正常样本。

常见误区

面试题