# PURA · 中文图解

## S01 一段话，被转发以后

一段 AI 回答被转发，又被改了几句。还能找到它的来源吗？

复制很容易，原来的来源标签却常常跟丢了。

再删几句、换几个词，能留下的线索就更少。

我们想找回的，是生成时事先约定的来源编号。

PURA 的办法：把这串编号，藏进每次选词的随机过程。

## S02 不只查“有没有水印”

普通水印像一盏灯：只能告诉你，有没有水印。

多比特水印还能带一串编号，就像包裹上的来源标签。

同一串编号会分散写在许多位置，不靠某一个词撑住。

编号可以代表系统 A；它不会自动告诉你真人作者是谁。

## S03 藏线索，要过三道关

第一关：藏线索以后，别改变各个词原本出现的概率。

第二关：几百个词的篇幅里，要能放下有用的编号。

第三关：文字被删改以后，还希望找回一些线索。

给某些词额外加分是一条路，保持概率不变是另一条路。

PURA 选择后者：不动词的概率，转动背后的随机数。

## S04 选词，像在尺子上抽签

把云、雨、海、光、风放上尺子。概率大，就占得宽一点。

所有宽度加起来正好是 1，像把整张抽签纸分给五个词。

闭眼在尺子上均匀点一下：点中谁的地盘，就选谁。

点恰好落在 0.15 时，算右边的“雨”，不算左边的“云”。

多抽几次，地盘越宽的词，被选中的次数通常越多。

一次抽中什么不重要；重要的是每个位置都有同样的机会。

## S05 转一下，线索就藏进去了

现在把尺子弯成一只钟表。走过一圈，就回到起点。

来源编号决定往前转多少，不是规定最后必须落在哪一格。

从 0.15 出发，往前转 0.375 圈。数字可以先记在一边。

停在 0.525，落进“海”的范围，于是这次输出“海”。

把均匀散开的点一起转动，它们转完仍然均匀散开。

抽一万次看看：转动前后，各段接住的点数仍然差不多。

论文的单次调用保证，还依赖伪随机、种子不重复等前提。

所以，分布能保持，不等于固定密钥反复使用就绝对安全。

## S06 每个位置，能藏多少信息？

模型几乎确定要选哪个词时，能腾挪的空间就很小。

选择越丰富，才越有机会多放几位；放不下的位置就跳过。

编号也讲究排法：普通二进制跨一格，可能同时变三位。

Gray 码让相邻格只差一位，能减轻近邻偏移带来的误差。

密钥和前面两个词元决定写哪几位；重复的种子要跳过。

还可以把词在尺子上的顺序打乱，但每个词的宽度不变。

## S07 看见一个词，能猜回什么？

找回编号也需要工具：密钥，以及源模型或兼容代理模型。

看见“海”，只知道点落在一段范围，猜不回唯一的位置。

验证方拿出几种可能的转法，看看哪一种更说得通。

图里的山峰与这段范围重叠越多，就给这种解释更高的分。

再把解释分成两边：这一位是 0，还是 1？

两边分数一比较，得到支持分 LLR：正数偏向 1，负数偏向 0。

先保留这种“更像哪边”的线索，不急着让一个词拍板。

## S08 小线索，也能合力

四处线索一起加：+0.42、+0.94、−0.30、+0.41，得到 +1.47。

分数相加后偏向哪边，就更支持哪一位；绝对值越大越有把握。

额外校验能发现一些错误，再尝试翻转最没把握的那一位。

## S09 文字被改了，会怎样？

删掉一个词，后面的局部线索也可能对不上原来的节奏。

没受影响的位置还能帮忙；失步的位置就不能照常解读。

改写会让线索变少，也可能让一些线索转而支持错误答案。

关键是：留下的正确线索，能不能压过干扰？

在 Γ 大于 0 等条件下，有效线索越多，单比特误码上界越低。

TM1 攻击者知道算法，但拿不到密钥，也看不到检测反馈。

## S10 91.7%，到底说明什么？

先看同一场考试：36 个数据位、200 个词元，而且没有后续改写。

要求是整串编号一位不差：StealthInk 为 0.5%，BiMark 为 28.9%。

PURA 用兼容代理模型核验为 91.7%，用源模型为 97.2%。

RS-BH 为 81.4%，但它会改变分布，要单独看待。

99.02% 是单个位的准确率；约 0.05 秒是每次核验用时。

另一项测试里，特定分类器为 50.23%，接近一半一半地猜。

## S11 有用的线索，也有边界

换一道题：只有 18 位原始编号，也关掉了 SPC 校验修复。

遇到 Diaa 等人的定向重写，整串编号匹配率只剩 8.69%。

线索多一些会有帮助：长到 5,000 个词元时，每位准确率超过 98%。

更强的密钥相关压力测试里，每位准确率还能降到 47.35%。

所以它提供有条件的来源线索，能找回多少仍取决于具体条件。

下次看到 AI 文字，不妨想想：选词背后的随机数，也能留下线索。