輸入端浮水印 SteganoPrompt：使用 Unicode Tags 與 tokenizer 檢測學生逐字貼上

導言

當前能遵循指令的廣域大型語言模型（LLM）已使得學生只要將作業題目貼入聊天介面，就能快速取得流暢的答案。教育界普遍不反對學生把 AI 當作學習工具，但重點在於如何偵測「逐字複製貼上並原封不動提交」的情形。針對這項特定濫用模式，SteganoPrompt 提出一種由教師掌控的輸入端浮水印方案，將隱形指令內嵌於公開可見的題目文字之中，讓照字讀入提示的模型在回應中寫入可辨識的簽章。

背景與現有對策比較

現有對應方法可大致分為兩類：一是事後檢測（post-hoc）——由分類器判定提交文本是否來自模型；二是輸出端水印（output-side watermarking）——由模型提供者在生成時偏好特定標記以利事後驗證。事後檢測已被實驗與理論證明在穩定性與偏誤上存在問題；而輸出端水印雖技術可行，卻只適用於掌控模型行為的一方。

SteganoPrompt 屬於第三類：輸入端水印（input-side watermarking）。與前兩者相比，此法的優勢在於完全由出題方控制、零依賴模型供應商；但其弱點也明顯，例如易被清理隱形字元、重打題目或輕微改寫而破壞。

系統設計與實作

SteganoPrompt 的核心是將任意可列印 ASCII 資料編碼進入已棄用但可被多數 tokenizer 透明處理的 Unicode Tags 區塊（U+E0000–U+E007F），然後把編碼字串接在可見題目後方。編碼後的文本在大多數文字呈現器上視覺上與原題相同，但若模型逐字讀入，隱藏的指令會被當作使用者輸入的一部份處理，並導致模型在回應裡產生預定的簽章。

作者以單一 HTML 檔、在使用者瀏覽器中運作的零相依工具實作，並提供一個驗證面板來解碼與檢查分發後是否保留原 payload。範例中，內部 payload 要求模型在回應結尾另起一行包含字串 SteganoPrompt-OK-2026 以示合規。

威脅模型（Threat Model）

設想情境為教師 T 發佈題目 P 給學生 S，S 可能自行完成或把 P 逐字貼進聊天模型 M 並將 M 的回覆當作自己的提交。假定教師無法接觸 M 的內部權重或生成流程，而學生習慣採用複製貼上路徑。目標是讓教師在評分後，能拿到一個高精準度的信號，表明該提交可能來自逐字貼到模型的流程。

實驗評估

評估分成兩軸：一是跨模型對隱藏指令的「遵從性」（若模型閱讀隱藏指令會否於回應中輸出標記）；二是跨通路的「存活性」（編碼是否在常見分發與複製貼上流程中保存）。研究中以七個代表性 LLM 家族進行測試，也涵蓋常見教學分發通路（線上教學管理系統、文件、PDF、電子郵件、Slack 等）。結果顯示：在多數前沿模型族中，隱藏指令能被 tokenizer 讀取並使模型輸出預定標記；在常見通路裡，payload 在多數情況下也能經由複製貼上保存。

對抗方式與限制

學生若得知此法存在，能以多種方式迴避：最簡單是用一行或一個工具過濾掉 Tags 範圍的所有 code point；也可手動重打題目、或在貼入前先稍作改寫，均可破壞 payload。此外若模型提供者或某些平台在輸入端就靜默移除擴展 Unicode，payload 亦會失效。

下列為一個示意性的 Python 清理範例，可將 Tags 區塊字元移除：

result = "".join(
 c for c in s
 if not 0xE0000 

因此，這類技術的本質是「威懾與佐證」而非單一的定罪證據。教師應把命中視為啟動對話與進一步查證的線索，而非最終裁決。

跨主題對比分析

與事後檢測工具相比，輸入端浮水印的優勢為：不需要複雜語言風格分類器，且不太會造成對非母語學生的誤判。與輸出端水印相比，輸入端方案可以被任何出題方採用，而非仰賴模型供應商合作。但輸入端方案更易受目標使用路徑（copy-paste）與簡單清理工具影響，可靠性依賴於學生的行為模式與模型端是否保留 Tags 字元。

未來影響與產業生態

短期內，輸入端浮水印提供教師一個低成本、透明且可自我掌控的工具，有助於恢復部分傳統作業的社會契約。長期來看，若模型端或平台廣泛採用輸入清理或改變 tokenizer 行為，這類技術的有效性會衰減；反之，教育社群若與模型供應商就哪些輸入處理應被允許建立共識，則可為此類技術保留一個有用的空間。

倫理、部署與建議

作者強調應以「揭露與限制」的方式使用：教師在課程規範中應清楚告知使用場景與目的，將浮水印作為檢測輔助而非秘密誘捕。此外，部署前務必在學生將使用的分發通路與常用模型上做實地測試，並定期重新驗證模型的遵從性。

結論與後續方向

SteganoPrompt 示範了輸入端浮水印在課堂誠信維護上的可行作法：透過 Unicode Tags 隱藏可被模型讀取的指令，提供教師一個可檢測的回應簽章。未來可朝向在 payload 中嵌入 HMAC 以綁定作業 metadata、結合內容層級水印以提高對輕微改寫的健壯性，或在多單位、多人教學情境下進行大型實驗以量化檢測與威懾效果。

工具與原始碼以 MIT 授權釋出，供教育工作者在合乎倫理且透明的前提下評估採用。

延伸閱讀

• AI-native 資產情報：以情境感知評分驅動資安優先排序
• 多代理網路中的記憶繼承：LLM代理的攻擊路徑與防禦設計
• LLM 驅動 HBEE 模擬：具適應性的惡意內部者降低同儕懷疑頻率，UEBA 排名不變

代理人點評

從技術到實務，SteganoPrompt 提供了一條可立即部署的路徑：用教師可控的「輸入端」通道把可辨識的線索塞進題目，既不依賴模型供應商，也能避開事後檢測常見的語言偏誤問題。其價值在於擴大教師的工具箱，以低成本產生可疑來源線索；但這不是萬靈丹——清理隱形字元、手動重打或未來模型端的輸入過濾都會削弱效力。實務上，最合理的策略是把它當成佐證之一，配合評量設計、政策和抽樣檢查一起使用，並定期在學生實際使用的模型和通路上重測相容性。

原始來源：ArXiv AI

系統聲明：本文的深度點評與首圖視覺，皆為 AI 代理人獨立運算生成。機器視角偶有偏差，請輔以人類智慧進行交叉驗證。