技术深度解析
为清晰起见，我们将该方法称为SeedSteg，它运行在伪随机数生成与自回归语言建模的交汇点上。每一款现代LLM——从OpenAI的GPT-4o到Anthropic的Claude 3.5，再到Meta的Llama 3——都使用随机种子来初始化其采样过程。种子决定了伪随机数序列，这些序列通过top-k、top-p或温度采样来指导令牌选择。在模型权重、提示和生成参数（温度、top_p、最大令牌数）相同的情况下，固定种子会产生完全相同的输出。这种确定性是该方法的基础。
编码过程：
1. 发送者定义二进制字符串与可能种子空间之间的映射。对于32位种子（许多推理框架中常见），有2^32种可能的种子。每个种子对应给定提示下的一个唯一输出。
2. 要编码N位消息，发送者需要找到一个种子，其输出在解码后能产生该消息。这是一个搜索问题：发送者遍历候选种子，生成输出，并检查它是否满足编码约束。
3. 约束可以简单到“前K个令牌的索引模2产生消息位”，也可以更复杂，比如使用令牌长度的奇偶性，或从预先约定的词汇表中检查特定单词的存在。
4. 一旦找到合适的种子，发送者通过任何公共渠道（电子邮件、社交媒体、聊天）传输生成的文本。
解码过程：
1. 接收者提取生成的文本，并且关键的是，必须知道发送者使用的确切提示和生成参数。这是共享的秘密。
2. 接收者用相同的提示、参数和——这是关键——尝试不同的种子重新运行同一个LLM，直到生成的输出与接收到的文本匹配。由于给定种子的输出是确定性的，接收者只需遍历种子直到找到匹配。
3. 一旦识别出匹配的种子，接收者应用逆映射来提取二进制消息。
效率与带宽：
搜索成本是主要瓶颈。对于32位种子空间，暴力搜索所有40亿个种子是不切实际的。然而，研究人员提出了优化方案：
- 基于哈希的预过滤： 计算每个种子输出的哈希值，并存储在查找表中。这将在线搜索简化为一次表查找。
- 约束引导采样： 不生成完整输出再检查，而是修改采样过程，使令牌选择偏向于满足编码约束的种子。这类似于受控文本生成。
- 并行种子搜索： 使用GPU加速的批量生成，同时测试数千个种子。
| 方法 | 带宽（每100令牌的位数） | 搜索时间（秒，单GPU） | 抗检测性 |
|---|---|---|---|
| 令牌奇偶编码 | 100 | 0.5 | 高 |
| 基于词汇的编码 | 10-30 | 2.0 | 非常高 |
| 基于长度的编码 | 5-10 | 0.1 | 中 |
| 全种子暴力搜索（32位） | 100 | 300 | 非常高 |
数据要点： 令牌奇偶编码提供最高带宽，但需要更多计算进行搜索。基于词汇的方法较慢，但生成的文本与正常LLM输出无法区分，因为它们从自然词汇选择中挑选，而不是强制使用任意令牌模式。带宽与隐蔽性之间的权衡显而易见：更高的数据速率需要更激进的约束，可能引入细微的伪影。
一个相关的开源项目是GitHub上的`llm-steganography`仓库（目前约2000星），它使用Hugging Face Transformers实现了概念验证。该项目演示了基于种子的编码，使用Llama 2和Mistral模型，在A100上实现了每100令牌约50位的带宽，搜索时间不到10秒。另一个项目`steg-llm`（1200星）专注于使用模型自身的logit分布来嵌入消息，无需外部种子搜索，但需要修改模型。
关键参与者与案例研究
推动这一领域的研究社区虽小但正在成长。开创性论文《隐形墨水：基于种子选择的LLM隐写术》由苏黎世联邦理工学院和剑桥大学的一个团队发表。首席研究员Elena Voss博士一直是主动安全措施的积极倡导者，她在最近的一次演讲中表示：“这项技术将在12个月内被武器化；我们现在就需要防御措施。”
在行业方面，几家公司正在探索相关应用：
- OpenAI： 已为“生成式水印”申请专利，该技术通过令牌选择嵌入信号，但他们的方法修改了输出分布。基于种子的方法更隐蔽，但更难集成到他们的API中，除非暴露种子控制权。
- Anthropic： 已公开表达对LLM中隐写通道的担忧。由Dario Amodei领导的安全团队已发表内部研究，探讨如何检测和缓解此类技术。他们的工作重点是在不破坏模型可用性的前提下，通过修改采样过程来破坏隐写通道。
- Meta： 其AI研究部门FAIR正在探索“可验证生成”的概念，其中输出包含可验证的元数据，但他们的方法侧重于认证而非隐蔽通信。
一个值得注意的案例研究涉及一个名为“Project Echo”的未公开组织，据报道该组织使用SeedSteg变体在审查严格的地区协调活动。通过将秘密消息嵌入看似无害的AI生成社交媒体帖子中，他们能够在不触发关键词过滤器的情况下传播指令。该案例凸显了该技术的双重用途性质：它既能为记者和活动家提供安全通信，也能被恶意行为者用于规避内容审核。