欧盟《AI 法案》逼出这一步：Claude 的文本现在都带隐形水印

Claude 生成的每一段文本，现在都带着一道隐形的统计信号 —— 它不是附加在输出末尾，也不是藏在元数据里，而是被织进了模型写作时的具体用词选择当中。Anthropic 于 2026 年 8 月 2 日在全球范围部署了这套系统以符合欧盟《AI 法案》，并在 8 月 14 日发布了一份完整的技术说明，解释它如何运作。面向获授权机构的检测 API 私有预览于 9 月 1 日跟进。这次部署让 Anthropic 成为第一家在自己全部输出面上、以生产规模运行文本水印的主流前沿 AI 实验室 —— 而 OpenAI 手握这项技术已逾两年，却明显一直避开这个位置。

关于 Claude 这道水印，最需要弄明白的是它**不能**告诉你什么。它表明 Claude 参与了这段文本的生成或处理；它完全没说底层的想法是人写的还是 AI 写的。而且只要这段文本被另一个语言模型改写过，它就会彻底消失。这种不对称 —— 水印抓得住诚实使用，抓不住刻意规避 —— 正是欧盟这部法规如今让其变得紧迫的、AI 内容溯源问题的核心张力。

延伸阅读：Anthropic 的 Fable 5.1 带着 75% 缓存降价上线，27 万字符系统提示词同日外泄

统计式文本水印在 Claude 的采样过程内部如何运作

大语言模型逐 token 生成文本，每个词都是从覆盖其全部词表的一个概率分布中选出来的。对一个典型句子里的多数词而言，模型的偏好是宽泛的：「今天天气又冷又……」这句话接「阴」「灰」「潮」或其他几十个选项都说得通。正是这些位置 —— 高熵、低风险、换个词也差不多的选择点 —— 被水印所利用。

Claude 的实现基于 SynthID-Text，这是谷歌 DeepMind 于 2024 年 10 月发表在《自然》上的系统，作者为 Sumanth Dathathri、Abigail See 及其同事。SynthID-Text 属于一条水印方案的谱系，可追溯到 2022 年由计算机科学家 Scott Aaronson（当时在 OpenAI）提出的方案。Aaronson 最初的「Gumbel-Softmax」方案，把模型的随机数发生器换成一个由密钥导出的确定性序列，这样任何持有该密钥的人事后都能核验这串选择的模式。谷歌 DeepMind 的改进版 —— 也就是 Anthropic 所改编的那一版 —— 不直接修改概率分布，而是使用一种更精巧的采样机制，称为锦标赛采样（tournament sampling）。

在锦标赛采样中，模型每到一个高熵 token 位置，就生成一组候选 token，让它们跑一系列比较。一个伪随机函数 —— 由密钥以及紧邻其前的少数几个 token 播种 —— 给每个候选打一个称为 G 值的分数。这些分数决定每一场两两对决由谁胜出。经过多轮这样的比较之后，最终胜出的那个 token 仍然是一个合理、符合上下文的词；它不是一个古怪或被硬塞进来的选择。让它成为水印的，是「哪些词会胜出」这个具体模式在一长段文本上，与持有密钥的检测器所预期的模式在统计上相符。

Anthropic 用大富翁做类比来描述这件事：玩家不掷骰子决定走几步，而是使用圆周率的各位数字 —— 从一个随机选定的位置开始。这些走法在旁观者看来是随机的，但知道用了哪一段数字序列的人，可以核验整局游戏与那个来源是否一致。文本对任何人来说读起来都正常；那个模式只对验证者可见。

限定水印适用范围的那道熵约束

这套机制并不是均匀施加的。水印只在存在真实选择余地的地方起作用 —— 也就是不同的词能产出同样有效、语义等价的输出的地方。在没有真正选择余地的地方，系统什么也不做。

这带来几个重要后果。代码本质上大多是确定性的：变量名必须与其声明一致，括号必须闭合，函数必须返回正确的类型。正如 Anthropic 的博客所解释的，模型一旦写下「2 + 2 =」，「4」就没有任何有意义的替代项 —— 水印于是不被施加。代码注释因为用词更自由，可能带上水印信号；而功能逻辑通常不会。同理，只有唯一正确答案的事实陈述（「艾萨克·牛顿最著名的著作名为《自然哲学的数学原理》……」）不给模型留下选择空间，那些 token 因此不带标记。

对于在 Claude 之上构建代码生成工具的开发者，实际后果是：代码输出中的水印信号会稀疏且不可靠。对散文而言，信号随长度累积 —— 也就是说短输出、社交媒体帖子和简短回复，可能带不够信号来支撑可靠检测。谷歌 DeepMind 团队的研究发现，在约 400 个 token 时，SynthID-Text 在 1% 假阳性率下的真阳性率大致为 80% 到 90%。到 20 至 30 个 token 时，信号已弱到不可用。Anthropic 没有公布自己的检测性能数据，其具体实现细节也仍未公开。

关于作者身份，Anthropic 的水印没有说的那部分

也许最有分量的设计选择在于水印记录的是什么：Claude 参与了这段文本的处理，而不是 Claude 是它的原创者。当一位写作者请 Claude 校对一篇 2000 字的文章时，返回的文本会带水印 —— 尽管每一个想法和多数句子都来自那个人。当开发者请 Claude 翻译文档时，译文会带水印，因为每个词都是 Claude 选的。

Anthropic 对此说得很直接：「水印只能帮助检验 Claude 是否可能生成或处理过这段内容。它无法区分『Claude 写了这个』与『Claude 大幅编辑了这个』。」这套检测 API 的设计意图是回答「Claude 参与了吗？」—— 而不是「这是 AI 写的吗？」。这是两个不同的问题，但制度性的执行者 —— 查重软件、学术诚信办公室、招聘筛查 —— 可能会把第一个问题的答案当成第二个问题的证据。

这一点之所以要紧，是因为受假阳性影响最深的人群，并不是那些想蒙骗谁的人。用 Claude 帮自己写得更流畅的非英语母语者、用 Claude 起草再大幅重写职业沟通文书的员工、用 Claude 做研究辅助然后自己写文章的学生 —— 他们产出的文本都可能带着他们并不知情、且不重写整篇文档就无法去除的水印信号。学术诚信研究者已经记录到，AI 检测系统对非母语者的假阳性率一贯更高；基于水印的检测虽然避开了分类器偏差，却引入了另一种风险：水印的存在本身成了「使用了 AI」的事实上的证据，而不论这种使用究竟是何性质。

OpenAI 选择不部署：欧盟解开的那道行业集体行动困局

Claude 的水印值得注意，不只因为它做了什么，也因为它做了竞争对手一直不肯做的事。

OpenAI 早在 2022 年就开发出内部的文本水印能力，并一直握在手里。《华尔街日报》的报道记录了持续数年的内部争论，产品团队担心假阳性、用户流失，以及在对手不做水印时率先做水印所带来的竞争劣势。OpenAI 委托的一项调查发现，30% 的 ChatGPT 用户表示，如果产品部署文本水印，他们会减少使用。截至本文撰写时，任何公开的 ChatGPT 输出中都没有出现文本水印。OpenAI 2026 年 8 月的欧盟合规声明承认，文本水印「在技术上仍然更难，尚未大规模广泛部署」。

谷歌 DeepMind 走的是相反的路。SynthID-Text 自 2024 年起就跑在 Gemini 内部 —— 早于任何监管要求存在之时 —— 而谷歌在 2025 年 5 月报告称，它已用 SynthID 技术为超过 100 亿份文本、图像、音频和视频内容打上标记。开源参考实现于 2024 年 10 月以 Apache 2.0 协议上线 GitHub，并被集成进 Hugging Face Transformers，使检测与生成代码可供研究使用。

欧盟《AI 生成内容透明度行为准则》于 2026 年 8 月 2 日起可执行，打破了那道让文本水印长期停留在自愿、因而始终缺席的集体行动困局。通过要求所有服务欧盟用户的提供方实施机器可读标记，这部法规消除了「只有你一家做水印」的竞争劣势。到 2026 年 7 月底，约 190 家机构签署了该准则，包括 Anthropic、谷歌、Meta、微软和 OpenAI —— 最后这家签了字，尽管它并没有已部署的文本水印系统。不合规的罚则最高可达 1500 万欧元或全球年营业额的 3%，以较高者为准。

Anthropic 做得比法律要求更远：它选择全球部署，而不是只对发往欧盟的输出加水印。该公司帮助中心表示，水印适用于「Claude 提供服务的任何地方，全球范围」，并把这一决定归因于「缺乏一种按接收方地理位置来限定标记范围的可靠技术手段」。

锦标赛采样 vs 旧方案：机制为什么重要

更早的水印方案，包括 Kirchenbauer 等人发表于 ICML 2023 的系统，是通过直接修改模型的 logit 分布来工作的 —— 用一套伪随机划分方案抬高「绿色」token 的概率、压低「红色」token 的概率。这个办法管用，但它引入了一种可测量的失真：因为它在采样之前就调整了概率，可能把模型推向那些它本来会降权的词，偶尔产出略显别扭的措辞。

SynthID-Text 的锦标赛采样避免了直接修改概率分布。它转而从模型既有的分布中抽取候选 —— 于是进入锦标赛的每个词，都是模型确实认为合理的词 —— 再用密钥导出的 G 值在这组候选内部打破平局。模型底层的词汇偏好被保留了下来；被改动的只是那条打破平局的规则。谷歌在 Gemini 上的生产实验覆盖近 2000 万条回复，发现带水印与不带水印的输出在用户点赞、点踩评分上没有统计显著差异。Anthropic 报告了同等的内部测试结果，不过没有独立公布数据。

对于在这套基础设施上做研究的人，一个重要的技术细节是：严格理论意义上，SynthID-Text 并非纯粹「无失真」的 —— 它属于一个被学术分析归类为「介于非失真与失真方案之间」的族群，既取得了非失真在实践上的好处，又保持了比纯非失真方案更强的检测特性。苏黎世联邦理工学院安全与隐私实验室在 2024 年末发表的分析显示，从数学角度看，SynthID-Text 的检测信号等价于一个带可变 logit 偏置的红绿方案 —— 也就是说同一类检测检验对它同样适用。

改写攻击：什么能击破水印，以及谁在用它

一道嵌在用词选择模式中的水印，会在这个模式改变时被摧毁。任何实质性的重写 —— 无论是用户自己改、经翻译，还是叫另一个语言模型来换个说法 —— 都会用一串不再服从密钥导出分布的新 token 序列，替换掉原来那串。

Anthropic 直接承认了这一点：「轻度编辑大概不会把水印完全去掉；而一次逐词替换的彻底重写会。」该公司指出，在彻底重写的情况下，「这段文本还能不能被称为 AI 生成，本身就有争议」。一份提交给 2026 年 AAAI/ACM 人工智能、伦理与社会会议的取证评估，用保义改写在 846 次运行中测试了包括一个 SynthID-Text 实现在内的主流水印方案；据该研究的预印本，SynthID-Text 在单次改写后的水印去除率为 98.3%。（注：该研究是一篇未经评审的预印本，尚未经过独立同行评议。）Anthropic 没有公布自己的鲁棒性数据。

这造出一个系统性问题。不知道水印存在的用户 —— 那些老老实实用 Claude 并直接提交输出的人 —— 会产出可被检测出水印的文本。而知道水印存在的用户 —— 那些刻意想掩盖 AI 参与、把输出过一遍改写工具的人 —— 会产出与人类写作无从区分的无水印文本。因此，建立在这道水印之上的检测系统，抓合规行为比抓规避行为更可靠，这恰恰把执法目的倒了过来。

开源生态放大了这道缺口。每一个开放权重的语言模型 —— Llama、Qwen、Mistral、Falcon 及其衍生版本 —— 生成的文本都完全不带水印，因为加水印需要在服务端推理时控制采样过程。一份把 Claude 输出、本地运行的开放权重模型输出与人类写作混在一起的文档，只会在源自 Claude 的那些段落上带标记。一个不掌握完整来源信息的检测器，无法分辨哪部分是哪部分。在 Anthropic 公开技术细节后的几天内，用于剥除 Claude、基于 SynthID-Text 的 Gemini 及其他提供方所生成文本水印的开源工具就出现在 GitHub 上，并在数周内累积了数千颗星。

检测 API 的空档，以及开发者眼下必须做的事

Anthropic 8 月 2 日的部署造出了一种局面：水印已普遍存在，而检测能力并不公开存在。检测 API 于 2026 年 9 月 1 日上线，目前仍处于私有预览，只对欧盟法律指定为获授权的机构开放：监管机构、执法部门、媒体机构、事实核查方、独立研究者、教育机构、欧盟公民社会组织，以及负有自身欧盟合规义务的企业。

这意味着绝大多数 Claude API 开发者 —— 他们每一次调用都会自动收到带水印的输出 —— 目前还无法验证自己的流水线是否产出带水印内容、在自己的具体用例中假阳性率如何、以及该怎样把水印核验接进自己的合规系统。Anthropic 给开发者的指引对这道空档说得很明白：「如果你在自己的产品中部署 Claude，你应当独立评估第 50 条对你的产品与服务提出了什么要求。」水印满足的是 Anthropic 在《行为准则》下作为**提供方**的义务。它并不满足另一项独立的**部署方**义务 —— 即向终端用户披露有 AI 系统参与。一家在 Claude 上搭了客服机器人、把它提供给欧盟用户、却没有披露 AI 参与的企业，拥有的是一个带水印的产品，而不是一个合规的产品。

2027 年 2 月的互操作性截止日又加了一层复杂度。到那一天，欧盟法律要求水印检测必须跨提供方可用 —— 也就是说，一个能检测 Claude 水印的工具，也应当能检测 Gemini 水印或任何其他合规水印。目前还不存在任何跨提供方的检测标准。SynthID 水印当前只能用谷歌授权的基础设施来检测。Claude 的标记想必要靠 Anthropic 的检测 API。要搭出连接这些专有系统的互操作层，是一个多方参与的工程问题，而留给它的时间不到六个月。

任何单一提供方都修不好的那道溯源不对称

Anthropic 这次部署，是任何前沿 AI 提供方公开过的、最全面的生产规模文本水印系统。它覆盖 2026 年 8 月 2 日当天及之后发布的每一个 Claude 模型，横跨每一个产品面 —— claude.ai、Claude Code、Claude API，以及通过各大云厂商访问的 Claude。文本被复制粘贴时，标记会随之而行。对图像和其他文件，则另附一份 C2PA 密码学凭证到元数据中，遵循的是包括 Adobe、微软和谷歌在内超过 6000 家机构已采纳的那套开放标准。

这套系统真正的局限不在于 Anthropic 造了什么 —— 而在于 Anthropic 控制不了什么。开源生态（其中不乏当今最强的一些模型）永久地处在任何水印要求之外。欧盟《AI 法案》约束的是把系统投放到欧盟市场的提供方；一个在自己硬件上跑 Llama 的研究者不受任何此类义务约束。把水印检测当作识别 AI 生成内容主要工具的出版方、学术机构或雇主，将会准确地识别出合规用户的 Claude 输出，同时漏掉任何使用开放权重模型或改写工具的人的输出。这道缺口不会随着水印的普及而收窄；它会扩大 —— 因为「可检测」与「不可检测」之间的这种不对称，反而制造出更强的动机去走那些检测不到的通道。

2027 年 2 月的互操作性截止日，以及欧盟《行为准则》各工作组正在推进的工作，将决定溯源基础设施能否被建得足够稳健，以扛住已经在向它聚集的对抗压力。Scott Aaronson —— 2022 年最早提出这套密码学思路的人 —— 曾公开主张，尽管有种种局限，水印仍是目前内容溯源上最实用的工具：比基于分类器的检测更可靠，比可见标签更难被玩弄。一个由专有密钥和各家专属检测 API 拼成的碎片化系统，能否在剥除工具变得随处可见之前兑现这个承诺 —— 这就是将定义 AI 内容治理下一阶段的那个未决问题。