精读笔记

Problem Setting

论文实际处理的是私有 VLA/WAM 服务的 provenance verification：owner 之后只能通过授权审计看到机器人实际执行的动作，想判断 suspect 是否复用了自己的部署。难点不是“加一个水印”，而是在黑盒、partial observation、post-processing 和多 licensee attribution 下仍能给出稳定证据。

以前路线卡在两个极端：backdoor 把证据绑在罕见 trigger/权重行为上，不自然、难多用户、易被 fine-tuning 稀释；output perturbation 把证据放在 action stream 上，owner 好检，adversary 也好滤。关键矛盾是：水印对攻击者必须没有可定位的输出结构，但对 owner 必须在统计上可恢复。

Motivation

作者真正抓住的缺口是：VLA 和 WAM 虽然结构不同，但都共享一个 latent seed → generated action 的随机生成接口。这个接口比权重后门更部署友好，也比输出扰动更隐蔽。

图像生成 watermark 已经证明 latent-side provenance 有吸引力，但机器人场景的问题更苛刻：审计者看不到完整生成结果，只看到少数 executed action channels，而且这些通道可能被 clipping、smoothing、delay 等处理过。因此缺的不是另一个 latent watermark，而是一个能从 partial actuator trace 反推 latent evidence 的 verification procedure。

Core Idea

核心思想是把 key-conditioned signal 写进 sampler 的随机种子，而不是写进动作。具体做法是用 key 和 nonce 生成 Gaussian reference，再与普通 Gaussian seed 做方差保持混合；这样 fingerprinted seed 的边缘分布仍然是标准 Gaussian，单次采样没有可检测异常，但它与 owner 的 reference 存在隐藏相关性。

这件事的本质变化是：水印从“输出空间的附加信号”变成“生成过程随机性的 provenance bias”。如果 seed-to-action map 足够稳定，latent 相关性会被非线性 generator 扩散到动作轨迹中；如果 owner 能从动作反推出一个近似 seed，就能通过 matched filter 和多 rollout 聚合把该相关性读出来。相比 prior，它更 scalable 的地方在于 key 只影响 sampler，不需要为每个用户训练不同触发行为。

Method

方法中真正必要的机制不多。第一是 keyed chunk selection：不是所有 chunks 都标记，降低任务扰动和 action-level aggregate detection，同时让攻击者不知道该针对哪些时间片清理。它解决的是水印暴露面问题。

第二是 Gaussian-law-preserving latent perturbation：fingerprinted seed = 普通 seed 与 keyed Gaussian reference 的方差保持混合。它解决的是不可检测性问题，也是整篇论文最核心的设计；只要从边缘分布看，sampler 仍像普通 Gaussian。

第三是 MAP latent recovery：验证端不尝试补全 raw action 的隐藏通道，也不直接 reverse ODE，而是只拟合可见 executed channels，并用 Gaussian prior 把 recovered seed 限制在合理 latent 区域。它解决的是机器人审计端 partial observation 的根本不适定性。

第四是 decoy-key calibration + group aggregation：每个 rollout 的 raw score 受任务、长度、控制栈影响很大，decoy keys 给出 episode-local null scale，多个 rollouts 把弱相关性累加成稳定判决。这部分更像统计检验工程，但没有它单次 evidence 在较弱模型上不够可靠。

Key Insight / Why It Works

最核心 insight 是“保持 marginal distribution 不变，但改变 conditional correlation”。攻击者看到的是 action stream，甚至即便看到 seed 的边缘分布也仍是 Gaussian；owner 看到的是 key-conditioned reference，可以测试 recovered latent 是否与 reference 有系统相关。这是一个典型的 hidden correlation watermark，而不是 visible pattern watermark。

它有效依赖三个条件：seed-to-action map 对 latent perturbation 有足够可逆/可识别的局部结构；executed channels 保留了足够多 seed 信息；post-processing 没有把这种相关性完全平均掉。LingBot 上结果更强，说明某些生成器的 seed 信息在动作中保留得更明显；π0.5/LIBERO 的弱点则说明 partial observation 和控制平滑会显著降低 per-episode signal。

真正贡献主要是 latent-side keyed provenance 与 partial-action MAP recovery 的组合。chunk selection、decoy calibration、lag search、aggregation是必要辅助，但不是概念核心。这里不是 scaling、retrieval 或 planning 增益，而是更好的 latent structure exploitation：把生成模型已有随机性改造成可验证的秘密相关结构。

需要直接指出：所谓 robustness 不是“攻击不可行”，而是“低成本、局部、输出侧攻击不再有明确靶点”。强平滑/抖动已经能在部分设置下压低检出率；distillation 更是直接绕过。论文的防御边界其实很清楚：它保护的是继续复用 keyed generator 的黑盒服务，不保护重新训练出的功能替代物。

Relation To Prior Work

它最接近三条线：robot policy backdoor watermark、continuous-control output watermark、diffusion/image latent watermark。与 backdoor 的本质差异是它不改权重、不依赖 rare trigger behavior，因此更适合多用户服务授权；与 output watermark 的差异是水印不在动作频带中形成可定位能量峰；与 Tree-Ring/Gaussian Shading/RingID 的差异是验证对象不是完整图像，而是 partial executed action trace。

看似新的部分中，Gaussian-preserving latent mixing 本身是已有 latent watermark 思想的机器人化重组；真正新增的信息在于把它放到 VLA/WAM 的 action-generation seed 上，并设计了面向 actuator-only audit 的 MAP recovery + decoy calibration。技术谱系上，它属于 generative-process provenance watermark，而不是 model-parameter watermark 或 behavior-trigger watermark。

Dataset / Evaluation

评估设计比较贴合核心 claim：两个模型族覆盖直接 VLA 和 world-action path，两个机器人 suite 覆盖单臂/双臂和不同 executed/raw channel 比例；攻击包含输出侧后处理和 owner-side 变体，能验证“partial observation 下仍可恢复”和“输出侧低成本移除更难”这两个主张。

但它仍主要是仿真 benchmark 证据，没有真实机器人、真实部署日志、异步控制栈、传感器噪声和安全限制。benchmark 验证了 algorithmic feasibility，不等于验证商业审计可落地。另一个 limitation 是评估默认 owner 能用 base model 做 recovery；当 suspect 是较远 descendant 或服务端有复杂 wrappers 时，这个假设可能比文中展示的 LoRA/pruning/int8 更脆弱。

实验最支持的是机制对比：output-space mark 被窄带滤波轻易移除，而 latent mark 没有同样局部靶点；MAP 在 partial observation 下比 reverse ODE 更合理。实验较少支持的是强安全性 claim，因为 false-key 和 unforgeability 都是经验 tail / fitted tail，不是分布无关保证。

Limitation

最大限制是 threat model 很窄：suspect 必须仍运行 owner 的 keyed sampler。只要 adversary 愿意承担行为克隆/蒸馏成本并换掉 sampler，部署水印基本不继承。这不是小缺陷，而是 latent-noise watermark 的结构性边界。

第二，验证依赖 owner 的 generator 与 suspect 的 seed-to-action geometry 足够一致。LoRA、pruning、quantization 的实验说明轻量变体可承受，但不能推出对大规模再训练、架构改写、policy distillation 或控制栈重构仍成立。

第三，强 output smoothing / jitter 在弱 cell 中可以压低 detection，同时任务成功率仍保持较高，说明水印信息和任务信息并非完全不可分。方法只是让攻击者不能做简单频域定位，不是让移除必然破坏能力。

第四，多 key 安全性是经验操作点。1024 decoys、bootstrap 和 Gaussian/GEV tail fitting 对工程评估有用，但不能替代 cryptographic security。若用于法律 attribution，文中未充分说明证据标准、审计协议、nonce 防伪和 chain-of-custody。

Takeaway

• 1. 最值得迁移的 insight 是：在生成式控制系统中，provenance 可以写入随机性来源，而不是写入输出行为或权重触发器。
• 2. partial-observation verification 是机器人 watermark 与图像 watermark 的本质分界；未来真正重要的是 audit-view-aware inversion，而不是直接套 reverse diffusion/ODE。
• 3. 这个方向会继续沿着“更隐蔽的 latent provenance”和“更可继承的 behavioral provenance”之间的 trade-off 演化；两者很难同时最优。
• 4. 下一步有价值的问题不是再刷仿真 TPR，而是真实部署审计协议、远距离 model variant recovery、distillation-resistant hidden marks，以及可证明 false attribution bound。

一句话总结

这篇论文把 VLA/WAM 水印从可见 action artifact 推进到 keyed latent sampling provenance，是一次把生成模型 latent watermark 适配到机器人黑盒审计场景的实质性机制迁移。