[阅读清单](https://steganography.live/reading-list/zh/) / 方法指南

相关研究

# 从文本隐写到语言模型水印与智能体通信

比较文本隐写的秘密消息恢复、语言模型水印的来源识别，以及智能体通过文本隐蔽通信的机制与实验。

Yuntian Deng 撰写 · 2026年11月11日

[语言模型水印](https://steganography.live/reading-list/zh/guides/watermarking-and-agents/#watermarking) · [共有接口问题](https://steganography.live/reading-list/zh/guides/watermarking-and-agents/#tokenization) · [智能体通信](https://steganography.live/reading-list/zh/guides/watermarking-and-agents/#agents) · [文献关系](https://steganography.live/reading-list/zh/guides/watermarking-and-agents/#reading)

## 隐藏消息与识别生成来源

语言隐写在生成文本中携带秘密消息，同时隐藏消息的存在。语言模型水印加入指定检测器能够识别的信号，为文本生成来源提供证据。两者都利用词元选择的自由度，但成功标准不同。

Kirchenbauer 等人的 [A Watermark for Large Language Models](https://steganography.live/reading-list/zh/papers/llm-watermark/)（ICML 2023）在生成时温和偏向一个伪随机词元集合，并给出无需语言模型的统计检测检验。相关工作部分明确引用 [Neural Linguistic Steganography](https://steganography.live/reading-list/zh/papers/neural-linguistic-steganography/)。水印论文提出了自己的生成与检测构造。[阅读 ICML 原论文。](https://proceedings.mlr.press/v202/kirchenbauer23a/kirchenbauer23a.pdf)

水印检测的统计置信度与从载体文本恢复任意秘密消息是两种输出。水印可以被指定检测器识别，同时不被普通读者直接察觉。比较系统时，应明确谁掌握检测或解码信息，以及系统要揭示或隐藏什么。2019 年的算术编码工作不是这篇水印论文的“绿色词表”算法。

## 共同的文本接口带来共同问题

两类方法经常在词元上操作，却通过字符串传输结果。把词元转换为文本，再重新分词，所得序列不一定保持不变，导致发送方决策与接收方重建过程不一致。

Yan 和 Murawaki 的 [Addressing Tokenization Inconsistency in Steganography and Watermarking Based on Large Language Models](https://steganography.live/reading-list/zh/papers/tokenization/)（EMNLP 2025）直接研究这一共同问题。论文对隐写提出逐步验证，对水印检测提出事后回退；全部隐写实验使用 Ziegler、Deng 和 Rush 的算术编码方法，因此与 2019 年工作的直接联系位于可靠性环节。[参见第 4.1 节和方法章节。](https://aclanthology.org/2025.emnlp-main.361.pdf)

论文报告，水印设置中的不一致词元较少，改进幅度相应较小。同一个错误来源不代表它对每种应用都有相同影响。

## 文本成为智能体之间的通信信道

语言模型智能体交换的文本本身就是通信信道。如果双方共享编码约定，一段具有普通任务含义的文字还能携带第二层信息。研究这种通信时，需要区分外部提供的编码程序，以及智能体自行建立、使用或发现的编码方案。

Motwani 等人的 [Secret Collusion among AI Agents: Multi-Agent Deception via Steganography](https://steganography.live/reading-list/zh/papers/secret-collusion/)（NeurIPS 2024）形式化秘密串通，并评估隐蔽通信与协调所需的能力。第 2 节把 2019 年的算术编码工作列为早期 AI 生成式隐写方法，其更广泛的问题是智能体、协调和监控的边界。[阅读会议时期版本。](https://arxiv.org/html/2402.07510v3)

**可用的编码机制与观察到的智能体行为是两类证据。**一个可工作的外部算术编码器证明存在这样一条通信信道，不证明未经辅助的智能体能够自主构造、使用或发现它。串通论文报告的模型在高级隐写任务上能力有限，并提出更复杂的多智能体和真实环境评估需求。2019 年论文的实验不是智能体自主串通实验。

具体实验应交代谁控制编码器、智能体是否共享模型或码本、观察者得到哪些信息，以及接收方是否真正恢复秘密消息。承载消息的能力与自主隐蔽协调的证据需要分别报告。

## 论文之间的联系

- **明确引用：**ICML 水印论文引用 Neural Linguistic Steganography，将其放在神经信息隐藏方法的文献中。

- **直接使用方法：**2025 年分词研究在隐写实验中使用 2019 年算术编码器，并增加可靠性处理。

- **拓展研究场景：**NeurIPS 串通论文把早期隐写机制连接到智能体系统的通信与监控问题。

引用关系不等于实现继承，也不等于已观察到智能体自主行为。

[阅读中文 Markdown](https://steganography.live/reading-list/zh/guides/watermarking-and-agents/index.md) · [浏览参考文献](https://steganography.live/reading-list/zh/papers/)