评价与安全
嵌入容量、可检测性与安全性：分别衡量什么？
区分能传多少信息、隐藏行为是否被识别，以及接收方是否完整恢复消息；每个结论都对应具体分布和观察者。
Yuntian Deng 撰写 ·
一段文本能携带多少秘密信息？
嵌入率通常按每个生成词元或每个词承载的比特数报告，衡量秘密消息的密度。单位必须明确：不同分词器对同一段文本的切分不同，每词元比特数不能直接跨系统比较。嵌入容量回答“能传多少信息”；可检测性回答“隐藏行为能否被识别”。
在均匀消息比特与理想概率匹配构造下，模型的不确定性提供传输信息的空间。概率为 p 的词元具有 −log₂(p) 的信息量，对该量求期望得到分布熵。实际载荷率还受有限精度、消息边界、候选限制与可靠性处理影响。Neural Linguistic Steganography 第 3、4 节同时评价编码率与其他性质。
高嵌入率不等于低可检测性：文本可以携带很多可恢复比特，同时很容易被检测器识别。控制分布偏差的方法也会以较低传输率为代价。比较结果时，应一起报告嵌入率及相关检测或分布指标。
究竟匹配哪一个分布？
需要区分三个对象：具体通信场景中普通文本的真实分布、语言模型对它的近似分布，以及隐写编码器产生的分布。匹配语言模型，处理的是后两个分布之间的差异；它不证明语言模型与现实通信完全一致。
2019 年论文分析算术编码诱导的分布，报告与语言模型之间的 KL 散度，同时请人类评价给定上下文后的生成续写。截断和温度实验表明，更接近模型分布的文本，不一定获得更高的人工自然度评分。统计隐蔽性与感知隐蔽性对应不同评价，必须分别说明参照对象。查看原论文实验。
Dai 和 Cai（2019）分析分组与变长编码引入的分布变化，提出在偏差过大的步骤跳过嵌入的 patient-Huffman。SAAC（2020）调整算术编码的候选集大小来控制偏差。这些工作明确连接了编码选择、传输率与指定的参照分布。
完全安全性是带有模型假设的数学结论。Perfectly Secure Steganography Using Minimum Entropy Coupling 用耦合刻画完全安全的隐写，并提出最小熵耦合方法。结论保留被动观察者、未经修改的传输及载体分布访问等假设。论文明确讨论这些条件。
观察者能看到什么，又能改变什么？
被动观察者尝试区分普通载体文本与承载秘密消息的文本。人工判断、训练好的文本隐写分析器的准确率，以及信息论界，回答的是不同形式的检测问题。一个检测器未能发现隐写，说明的是该检测器在给定实验条件下的表现，不是所有检测器都必然失败的证明。
主动观察者还能修改传输文本。改写或编辑一旦改变编码所依赖的词元，就会破坏秘密消息提取。这同时涉及恢复可靠性与抗修改能力。Dai 和 Cai 将主动修改列为限制；Yan 和 Murawaki 的隐写提取设置假设攻击者不改动文本。参见前者第 4 节及后者的 Limitations。
预期接收方能否完整解码？
即使字符串未被修改，词元序列与可见文本之间仍存在转换歧义。SyncPool 通过同步分组与采样处理子词切分歧义，同时保持建模的词元分布；分组也减少可用嵌入率。逐步验证方法则处理算术编码生成过程中的分词不一致。这些工作研究理论编码器能否经受词元到文本再返回词元的完整往返过程。
实验记录应包括语言模型、分词器、生成参数、载荷单位、统计参照分布、观察者能力、提取成功率，以及传输中是否修改文本。这样才能判断改进发生在容量、可检测性还是交付可靠性上，并确认与另一篇论文的实验条件是否一致。
接着阅读语言模型水印与智能体通信，理解两个相关领域各自的目标。