LLM Seed Steganography：不用改模型也能把訊息藏進正常文字的隱通道

一句話：一篇 2026 年 6 月的 arXiv 論文指出，LLM 推論流程中的 PRNG seed 可能形成隱寫通道：在不修改模型權重、不改 sampling code、不讓輸出文字顯得異常的前提下，把少量秘密訊息藏進生成文字裡。

這個議題由 Threads 帳號 @xiaba329 摘要後引起討論。原始論文為 Steganography Without Modification: Hidden Communication via LLM Seeds。

一、這篇在講什麼？

LLM 在生成文字時，常會依照機率分布進行取樣。即使模型權重與 prompt 都固定，只要取樣過程有隨機性，系統通常就會使用偽隨機數產生器（PRNG），而 PRNG 需要一個 seed 作為起點。

論文的核心觀察是：這個 seed 不只是「讓結果可重現」的工程參數，它也會影響 token 取樣時落入的機率區間序列。若傳送方刻意選擇 seed，接收方在特定條件下可以從生成文字反推出 seed，進而還原藏在 seed 裡的短訊息。

換句話說，秘密訊息不是藏在文字表面的奇怪符號、零寬字元或語法錯誤裡，而是藏在「為什麼模型剛好選了這些 token」的隨機軌跡裡。

二、為什麼它特別值得注意？

三、論文中的兩種情境

論文摘要描述了兩種操作模式：

• Known-prompt setting：傳送方與接收方共享 prompt，因此接收方能更精確重建生成時的 token 機率區間；論文報告在部分模型與文本領域中，300 tokens 內可高準確率還原 32-bit seed。
• Unknown-prompt setting：接收方只看得到生成文字，沒有 prompt；論文仍指出可透過近似重建與 scoring 策略，在較長輸出中達到高可靠度。

這裡最重要的安全含義是：「不知道 prompt」不必然等於安全。如果輸出足夠長、模型與取樣條件可推測，隱通道仍可能存在。

四、風險場景：不是科幻，而是治理問題

這類通道最麻煩的地方，不在於單次能傳大量資料，而在於它繞過了很多人對「正常文字」的直覺信任。

• 多 agent 系統：代理之間表面上只交換普通文字，實際上可能夾帶任務外資訊、狀態或協議訊號。
• 內容審查繞行：如果審查只看語義表面，可能無法辨識被編進取樣軌跡的額外資訊。
• 資料外洩：在高敏感環境中，即使禁止明文輸出秘密，仍要考慮模型輸出是否能承載低頻寬隱通道。