论文实测自进化攻击下水印存活率并构建新型抗改写方案

该论文针对Agent harness（提示词与工具代码）在泄露后被通过发布型自进化器重写并冒充原创的隐蔽篡改攻击进行了首次量化评估。实验覆盖三种进化器、五个提议模型和两种环境，结果显示已发布的KGW水印在GEPA重写中存活率为0/12，AgentMark仅5/12，证明现有方案在自进化场景下基本失效。水印能否存活主要取决于提议模型的改写习惯，差异可达两个数量级，且只有当选择过程包含足够多的对局时才能起到保护作用。

作者提出了一种针对此类攻击的新型水印方案，其核心在于利用公共对局数据构建的对象查找表，将表中近平局条目的顺序作为关键特征。删除该表会导致成功率下降，而保留行但打乱顺序则会被视为无成本操作，因此攻击者若要求提议模型生成更通用代码，有75-100%的概率会移除该关键特征。在预留测试集上，该方案成功检测出76个样本中的62个被改写文件。

事实层面，实验数据表明现有水印在自进化攻击面前脆弱；推断层面，水印生存率高度依赖模型行为模式而非算法本身；猜测层面，若攻击者具备特定策略（如重排平局项），新型方案仍可能失效。这提示Agent生态需重新审视代码溯源机制，不能仅依赖静态嵌入，而应结合动态行为特征进行验证。