LLM 水印与数据溯源：能标记生成文本 / 检测「被训了吗」，但改写就能抹掉
一句话摘要：水印能做两件事——给我生成的文本打可检测标记（绿/红表水印，检测端无需访问我的权重）、以及事后检 测「我的数据被训了吗」（往语料里埋虚构「陷阱句」，再用成员推断把它逼出来）。但二者都有同一条硬边界：一次有预算的改写就能把信号抹掉。Kirchenbauer 等（ICML 2023）的绿/红表水印靠 z 检验给出可解释 p 值、检测无需模型访问，但可检测性随文本熵下降而下降（低熵 / 短输出难标）；他们后续的可靠性研究（ICLR 2024）实测：人工、尤其 LLM 改写会显著压低可检测性，水印被「摊薄」、检测需要更多 token，WinMax + SelfHash 只能部分恢复。结论先行：水印是溯源 / 取证的概率证据，不是强保证——别把「有水印」当「抹不掉」。