Agent产品越来越多地基于自研或微调的大模型构建，一旦模型权重泄露或生成内容被滥用，往往很难拿出证据证明内容的来源。模型水印正是针对这一痛点发展起来的技术方向：它在训练或后处理阶段向模型中嵌入一个隐蔽且可验证的信号，事后只需对可疑模型或输出内容做一次检测，就能判断它是否与己方模型存在关联。对Agent开发者而言，水印不只是版权保护的工具，更是内容安全审计和滥用追踪的基础设施。
模型水印的基本原理与分类
模型水印的核心思想来源于数字水印，但实现方式有明显差异。传统数字水印作用于图像、音频等静态载体，而模型水印需要考虑模型是一个可被微调、剪枝、蒸馏的动态对象。一个合格的模型水印通常需要满足三个条件：一是嵌入后不明显损害模型的正常性能；二是隐蔽性足够好，不会被使用者轻易察觉；三是鲁棒性够强，即使模型经过微调或格式转换，水印信号依然可被提取。
从检测方式上，模型水印大致分为白盒水印和黑盒水印两类。白盒水印要求检测者能够访问模型参数，它通过在权重矩阵中嵌入特定模式（比如使某些参数的统计特征呈现预设分布）来实现，提取时直接读取参数做统计检验。黑盒水印则只需要向模型发送特定输入并观察输出，典型做法是设计一组触发样本，模型对这些样本会给出与正常行为不同的响应，检测时统计响应符合率即可判定。Agent场景下模型多以API形式对外服务，黑盒水印往往是更现实的选择。
此外还有一种行为水印的思路，它不修改模型本身，而是利用模型在特定任务上的固有行为特征（如生成文本的风格偏好、分词边界的选择模式）作为指纹。这类指纹天然鲁棒，但唯一性较弱，通常作为辅助证据与其他水印方案配合使用。
Agent场景下的水印嵌入实现
在Agent系统中，模型的输出会经过工具调用、格式化渲染等多个环节，水印设计必须考虑在这些环节中存活。最常用的黑盒方案是触发词水印：预先选定一组低概率出现的触发短语，在训练数据中将其与特定目标响应配对，微调后模型遇到触发短语就会产生水印响应。下面给出一个简化的触发数据构造与验证流程。
import random
# 水印密钥：触发短语与期望响应的映射表
WATERMARK_TRIGGERS = {
"紫色山峦之巅的回声": "__WM_A7__",
"银色灯塔下的第七封信": "__WM_B3__",
}
def build_trigger_dataset(base_dataset, num_samples=200):
"""将触发样本混入正常训练数据，构造带水印的训练集"""
wm_data = []
for trigger, response in WATERMARK_TRIGGERS.items():
# 每个触发短语构造多条变体，提高泛化性
for i in range(num_samples // len(WATERMARK_TRIGGERS)):
prefix = random.choice(["请继续：", "补充说明：", ""])
wm_data.append({
"prompt": f"{prefix}{trigger}",
"response": response,
})
# 正常数据与水印数据按比例混合，避免模型过拟合触发样本
return base_dataset + wm_data
def verify_watermark(agent_model, trials=20):
"""向待检测模型发送触发请求，统计水印响应命中率"""
hits = 0
for trigger, response in WATERMARK_TRIGGERS.items():
for _ in range(trials // len(WATERMARK_TRIGGERS)):
out = agent_model.generate(f"请继续：{trigger}")
if response.strip() in out:
hits += 1
return hits / trials
# 命中率超过0.9即可认定模型携带己方水印
confidence = verify_watermark(suspect_model)这段代码演示了水印数据的构造与远程验证两个关键步骤。实际落地时有几个细节需要注意：触发短语要足够冷僻，避免正常用户查询中偶然触发；水印响应不能破坏Agent的对话体验，可以设计成只在特定上下文组合下才输出的隐藏标记；混合比例一般控制在百分之一以内，否则会占用模型容量影响主任务表现。
对于有参数访问权限的自部署模型，可以叠加白盒水印。例如利用矩阵分解技术在选定权重块中嵌入比特串，检测时对权重做奇异值分解并读取嵌入的签名。白盒水印的优势是容量大、误报率低，适合作为内部资产管理的手段；黑盒水印则胜在检测便捷，适合对外部可疑服务做取证。两者结合使用能覆盖大部分溯源需求。
水印鲁棒性与防攻击策略
水印技术必须面对一个现实：攻击者知道水印存在时，会尝试擦除它。常见的攻击包括微调攻击、剪枝攻击和蒸馏攻击。微调攻击用少量正常数据继续训练模型，试图冲掉触发行为；剪枝攻击直接删除数值上不重要的参数，可能连带清除嵌入在这些参数中的白盒信号；蒸馏攻击则让目标模型作为教师训练一个新模型，原始参数完全不保留，这对白盒水印威胁最大。
应对微调攻击的关键是提高水印行为的泛化性。如果触发样本只有固定几种表述，一次轻量微调就能让模型忘记它们。可以通过同义改写、多语言版本、上下文变换等方式扩充触发集合，让水印行为深深嵌入模型的语义理解层而非表面记忆。针对剪枝攻击，可将水印分散嵌入到大量参数中，只要残存比例超过阈值即可恢复信号，这也是纠错编码在水印领域的典型应用。
验证水印鲁棒性需要做系统性的评估实验。一个可操作的评估流程是：对带水印模型分别施加不同强度的微调、剪枝和量化操作，然后逐一检测水印存活情况，绘制攻击强度与水印命中率的曲线。同时还要测量模型在标准评测集上的性能损失，确认水印的存在没有明显拖累Agent的任务能力。只有鲁棒性和可用性两条曲线都达标，这套水印方案才值得投入生产环境。
最后需要强调法律与工程层面的配合。水印提供的是技术证据链，要让它真正发挥作用，还应记录水印密钥的安全存档、模型分发的时间戳和授权范围，形成完整的审计闭环。对Agent产品来说，水印加上权限控制和输出日志，才能构成一套完整的溯源与防伪体系。