一句话定义
水印是在内容里嵌入可检测标记；隐写是把秘密信息藏进载体；后门是模型被植入“触发器→恶意行为”的关联。三者目标不同，不能混为一谈。
为什么需要它
生成内容需要溯源（水印）、隐蔽通信需要防检测（隐写）、供应链需要防投毒（后门）。理解区别才能选对检测和防御手段。
三种问题
Watermark / 模型水印
在文本/图像/音频中嵌入统计或结构信号，检测器判断来源。要抗改写/截断/压缩，但不是加密。
Steganography / 隐写
把秘密藏进封面/文本，目标是“不被发现”；可能被用于隐蔽信道/数据外泄。
Backdoor / 后门
通过投毒数据/权重植入触发器，正常输入正常、触发词出现时输出恶意行为；防御靠数据来源、扫描、红队和隔离。
关键取舍
- 水印越强越可检测，但可能影响质量/被攻击者移除。
- 隐写容量/鲁棒性/不可见性互相制约。
- 后门检测难，尤其模型只对特定触发词响应。
- 供应链（数据/权重/依赖）是后门主要入口。
文本水印常用 token 采样偏置/统计检验，图像水印用频域/隐空间。鲁棒性要测改写/翻译/压缩/裁剪，并看误报/漏报。隐写容量、不可见性和鲁棒性互相制约。后门检测靠触发器扫描、异常行为和数据溯源；合规上还有 AI 内容标识要求。
常见误区
- 水印等于加密：水印是可检测标记，不保证保密。
- 隐写等于水印：目标相反（隐藏 vs 可检测）。
- 后门只存在于开源模型：闭源/API/数据供应链也有。
- 水印无法移除：攻击者可改写/压缩/对抗去除。
用在哪里
- AI 生成内容标识与溯源。
- 版权/深伪检测。
- 模型供应链安全与后门扫描。
相关概念
- AI 安全：更大的安全框架。
- Prompt Injection：输入侧攻击。
- Guardrail：运行时防护。