8月14日，Anthropic发布了一篇公告，解释自己为Claude嵌入的水印是如何工作的，文章涉及许多技术细节和产品决策，包括水印技术的由来、会如何影响AI的行文等等。
水印诞生的初衷，是AI实验室为了响应欧盟法律的要求。欧盟希望通过可追溯的标识来降低AI生成内容造成欺骗、操纵和信息污染的风险。欧盟《人工智能法》第50条的透明度条款自2026年8月2日起适用，要求生成式AI输出具备机器可读的标记。
而Anthropic为此采用的文本水印，因为暂时无法可靠地进行地区限定，计划一开始就在全球范围应用。
《AI生成内容透明度实践准则》，只在把《欧盟AI法》第50条具体落地，要求生成式AI输出具备机器可读、可检测的标记，并明确把不可感知水印列为核心技术之一。尤其对自由文本，文件来说，超过200 tokens需加水印，而图片、音视频等支持元数据的内容，则原则上采用“数字签名元数据 + 不可感知水印”的多层标记。
对内容写作者而言，这个举措会带来深远的影响。虽然Anthropic自己反复强调，水印只能说明Claude参与过写作过程，无法证明是“Claude 写了全文”或是“Claude 大幅编辑了人写的全文”，也不涉及作者权或所有权，但当一个创作者的文字会打上了AI标签时，作者的独创性也会跟着被稀释。
今年以来，我对AI写作越来越难忍受。这个感受和水印无关，而是源于一种主观体验，大模型的写作能力似乎正在坍塌，或者说，要写出一篇令职业写作者满意的文章，调教模型已经变得更难。
随着AI性能的增长，许多前沿AI的对齐工作变得更加五花八门。经过对齐的模型在各类任务上都倾向于收敛到狭窄的行为模式，这些工作让模型的行为在推理时更加可预测。
但写作，尤其是文学，追求的并不是安全，而恰恰是不安。这和模型的发展是背道而驰的——太安全的模型无法诞生真正意义上的创作，它提供的只是一场语言平均值的胜利。
有趣的是，在最近一档名为Dithering的播客上，主持人John Gruber和Ben Thompson针对水印提出了一个再次吻合这种主观体验的观点：因合规而诞生的水印，会进一步加强这种写作能力的下降。
Anthropic的官方博客《克劳德的文字水印是如何运作的》（《How Claude’s text watermark works》）中写到，大模型的运作原理是预测加上随机的选择，比如 “今天的天气又冷又……”，下一个词大概率是overcast（阴沉）或grey（灰蒙蒙），选哪一个，对读者理解这句话的意思几乎没有影响，句子的整体含义基本不变。
Anthropic公告节选
Anthropic把这类“随便选哪个结果都差不多”的时刻，称为low-stakes word choices——低风险词语选择。
水印正是嵌在这些选择里的。现在，Claude相当于掌握着一把密钥，可以来决定随机性，这样事后就能靠密钥检测出文字是否经过Claude处理，而对文字本身的质量、含义、可读性没有影响。
但对于真正的写作而言，真的存在这种“无关紧要的词语选择”吗？
John Gruber是美国的一位科技评论人，过去以对苹果和数码产品的犀利评论著称，创办了老牌博客Daring Fireball，和Stratechery创办人Ben Thompson共同主持播客Dithering，两人也是以写作为生的专业人士。
俩人在最近的两期播客节目中谈到，Anthropic所谓的overcast和grey两个词在语法上可以互换，但携带的情绪质地、视觉密度、声音节奏完全不同，任何一个严谨认真的写作者，都不会觉得两个词是可以随机替换的。
这个观点让人联想到许多作家。福楼拜几乎把寻找唯一准确的词变成了一套写作伦理，也就是著名的le mot juste——那个恰到好处、不可替换的词。他常说“没有真正的同义词存在”(there was no such thing as a synonym)，写作者追求的不是这个词大致对，而是这个词必须在意义、节奏、声音和句子结构上同时成立。
奥威尔也有非常接近的表达。他在《政治与英语》中说，写作时应该让意义去选择词，而不是反过来被现成的词牵着走。
伍尔夫甚至不太认同le mot juste的思路。1926年，她在给英国作家Vita Sackville-West的信中直截了当地说：“至于mot juste，你完全错了。”在她看来，写作首先不是寻找那个语义上最准确的词，而是找到正确的rhythm（节奏）——“一旦找到了节奏，你就不可能使用错误的词。”
对伍尔夫而言，词甚至不是写作最先发生的东西，一个景象、一种情绪会先在意识里形成一股wave，语言是在这股波动成形之后，才被带出来的。
Virginia Woolf
许多作家无法同意在真正的写作中，同义词可以随意互换的的说法。这跟Anthropic所谓的low-stakes word choices正好形成了一种非常有意思的冲突，这给了我们看待水印的新视角。
正如科技评论人Ben Thompson所说，这应该被归结为一个哲学问题，其次才是工程问题。Anthropic的整套方案在工程上无懈可击，但每一个用户都应该认真甄别技术手段对写作和写作者的影响。
水印并不是无损的。
另外，Anthropic在文章中告知了水印技术的引用，是来自Google DeepMind发表在《自然》上的SynthID-Text论文。这篇论文本身已经承认了一部分问题，水印会降低inter-response diversity（跨响应多样性)，同一个提示词问十次，答案就会更趋同。
SynthID-Text是2024年发表的，它的方法论是不会往文章里塞入肉眼看不到的Unicode字符，而是在模型生成文字时利用本来就存在的随机性，让大量词语选择形成只有掌握密钥才能识别的统计模式。
SynthID-Text还有一个non-distortionary（非扭曲）配置，其目标是在统计意义上保持模型原本的输出分布。正如前文所说，水印的基本原理是给某些候选词人为加一点权重, 这个操作本身会让模型的输出概率分布, 相比不加水印时“扭曲”一些。
而non-distortionary指的是SynthID-Text提供了一种更保守的参数设置,目标是把这种扭曲控制到最小, 让水印处理后的整体输出分布, 尽量接近模型原本、没被动过手脚的样子。
DeepMind曾把带水印和不带水印的Gemini随机提供给真实用户，分析了近2000万条回复，两组的点赞和点踩率没有显著差异，标准Benchmark和人工对照实验也没有发现整体能力和质量下降。
因此Google认为，目前没有扎实证据证明水印使模型的平均表现变差。
但是，Google证明的只是从总体分布看，这些选择没有造成可测的质量损失。一个产品经理可以说，2000万次互动的平均满意度没有下降，但一个写作者同样可以说，我并不在乎2000万篇文章平均如何，我只在乎某一篇文章是否令我最为满意。这里存在两套完全不同的价值函数。
在《Anthropic’s Watermarking, How It (Probably) Works, Worse Than It Seems》一文里，Ben Thompson写道，谷歌的SynthID实现方式非常复杂。它使用带有密钥的伪随机分数，并结合一些近期词元上下文信息来调整对某些词元的偏好，然后采用抽样来选择下一个词元；这些获胜词元与带有密钥的哈希值相关联。
这种方法的优势在于，参与抽样的词元是从模型的原始概率分布中抽取的，因此最终的获胜词元更有可能是模型已经强烈偏好的词元，从而对上下文的扰动更小。
通俗来说, 候选词池虽然本身没被动过手脚, 但这个被选中的词一旦写下来, 马上就会变成下一个词生成时的上下文——所以哪怕水印每次只是从几个候选里挑一个这么小的动作,这个选择还是会一步步传递下去，持续影响后面每一个词的生成。
不同于写作，代码几乎没有选哪个都行的事情，因为选错了代码就压根跑不通。因此，水印基本只能在注释这类自由文本上下手。
这也是为什么我们很容易高估今天大模型的写作能力。一个模型能写出十个不错的标题, 不代表它知道为什么最后非用第七个不可。在充斥着“不是…而是”等令人PTSD的句法时代，大模型解决的始终只是可能性空间的问题，而真正的作者处理的却是取舍。
此前，我们在对话清华大学知识产权教授蒋舸时，听她谈到了“人工智能生成内容的可版权性”这一概念。
她认为，AIGC同时包含机器的选择和人类用户的选择，当后者满足独创性表达要求时，AIGC就足以被认定为作品；判断用户的独创性表达时，裁判者应当关心人贡献了什么，而不是工具贡献了什么；应当关心人贡献了什么，而不是人没有贡献什么；应当关心人贡献的实质，而非纠结于其形式。
而欧盟的水印要求，则是一个将AI和人类区分开来的立场。如果我们只是将AI视作工具，这一立场就变得非常奇怪，就像摄影师用相机拍摄作品，但并不会为相机进行标注一样，欧盟的水印规定难免会把本该属于人类的创作部分出让给技术，只要水印存在，写作者就必须自证清白。
Anthropic自己也承认，水印能回答的最多是“Claude有多大概率参与过这段文字”的问题，而无法证明“人没有参与”，它甚至无法区分“Claude写了全文”还是“人写了全文、Claude做了大量编辑”。
一个典型的例子是翻译。如果把一篇原创中文文章交给Claude译成英文，英文版会带水印，因为译文里的每一个词都是Claude选择的，但这篇文章的思想、事实、结构、判断，全部来自人类作者。
机器来源（provenance）和作者身份（authorship），第一次被清楚地拆分成了两件不必然重合的事。
从Anthropic公告的阐述来看，Anthropic自己对此异常谨慎。它明确表示，掌握密钥后能够判断的只是“这段文字有多大可能部分由 Claude 写成”。如果只是轻微校对，由于 Claude 实际重新选择的词很少，信号甚至可能弱到无法识别。
这导致“这是人写的还是 AI 写的”这个问题已经过时。未来的更多内容不会属于纯人类或纯机器，而会经过一条复杂的人机协作生产链。
而这可能会制造出新的风险。
8月13日，一篇名为《Tracing Provenance and Detecting Tampering with Complementary LLM Watermarks》的论文提出了一个具体的问题，叫piggyback spoofing，译为搭便车伪造。
Anthropic希望自己的水印足够稳健，哪怕文字被轻度编辑过，水印依然能被检测出来，但恰恰攻击者就可以利用这一点。他们可以只改变水印文本里的几个关键事实，甚至把一句话的意思逆转，水印却仍然保留。
假设Claude生成了一句话是“某药物对孕妇是安全的。”这句话带有Claude的水印，那么攻击者可以稍微将其更改为“某药物对孕妇是不安全的。”水印可能依然存在，检测系统会继续说这段文字来自Claude，尽管Claude从未说过被篡改后的内容。
研究者因此提出了一个名为Cocktail(鸡尾酒),的方案，意思是把robust signal(稳健信号)和fragile signal(脆弱信号)调在一起，共享同一套底层机制，但用独立密钥和不同的取样窗口。检测时,两个信号的得分会构成一个二维空间,支持三种判断结果: Intact(完好)、Tampered(被篡改)、No-Watermark(无水印)，这样就能解决这个难点。
这也意味着至少目前，无论是监管机构还是用户，把水印想象成“AI 测谎仪”都是危险的。
有意思的是，欧盟目前的制度设计并没有完全掉进这个陷阱。《人工智能法》第50条要求生成式 AI 提供商加入机器可读标记；但对于涉及公共利益的AI文本，部署者承担的披露义务又明确考虑human review和editorial control。
也就是说，监管体系事实上已经承认，机器参与生产，与人承担最终编辑责任，可以同时存在。
这种模糊性在普通用户那里，激起的反应比学术讨论要情绪化得多。Reddit上，对Anthropic的水印流传最广的一条评论，是把水印描述成留在额头上的数字纹身：那个只是用Claude整理了一下段落顺序的学生，那个让AI帮她总结了一份两百页访谈记录的记者，那个在创作瓶颈期向AI要了几个同义词的作家——这些人最终都会背上一个洗不掉的印记。
这个结果和Anthropic官方反复强调的“水印不携带任何身份信息、无法追溯到具体的人”，可以说是背道而驰。技术事实无法安慰用户承受的社会性后果，对于创作者来说，被怀疑本身就是一种审判。
最后，更难忽视的还有技术权力的问题。
当检测某个具体模型的水印密钥，握在各家公司手里，我们似乎可以设想这样的未来：一所大学收到一篇论文，需要判断ChatGPT、Claude、Gemini或者某个开源模型有没有参与其中，如果每家公司的水印、密钥、检测器都各自为政，验证AI来源就变成了逐一向各家查询。
这很像互联网早期的Certificate Authority体系，需要依赖被信任的第三方机构来确认身份。而如果检测API握在Anthropic自己手里，Anthropic就不只是模型供应商，某种意义上，它也成了自己生成内容的认证机构。
在播客This Week in AI的第26期节目上,主持人Jason Calacanis和三位嘉宾——来自AI搜索引擎公司Exa的创始人Will Bryk、来自企业级Agentic操作系统Eragon的创始人Josh Sirota、以及来自税务AI公司TaxGPT的创始人Kashif "Kash" Ali——就水印展开了一场立场并不统一的讨论。
Will Bryk的角度更偏技术, 他认为检测AI生成内容这件事, 理论上不需要依赖Claude自己配合打水印, 完全可以单独训练分类器来识别, Claude只是在数据和分布上天然占了优势。
被问到“该用监管强制, 还是该让用户自愿选择”时, 他明确倾向后者, 并且预测这件事会成为推动一部分用户和开发者转向不打水印的开源模型的力量。
Josh的角度则从Eragon最近开始在法国、西班牙等欧盟国家做生意的经历出发，他感受到欧盟整体对AI落地偏谨慎, 甚至有点反AI的氛围, 水印新规只是这种大环境下的又一个具体动作。
Kash则补充了一个更贴近B端客户的商业猜想: 如果企业客户收到的咨询报告、法律文件带着Claude水印, 客户会不会拿“你用了AI所以应该降价”作为谈判筹码? 他提到已经观察到咨询行业的客户在用AI后被要求降价的案例, 并由此推测, Anthropic和OpenAI未来可能会顺势推出“不打水印”的更高定价档位, 把监管豁免变成一项可以单独出售的产品功能。
我也在法律行业媒体Artificial Lawyer上看到了一些法律界的声音，大多数律师觉得水印没什么大不了，因为多数情况下，客户和法庭都不会介意律师使用AI辅助写作，而有些客户已经在主动要求律所使用AI以降低成本。
真正棘手的情况，出现在少数需要证明文件完全由人工撰写的特定场景里——比如某些需要签署“未使用AI工具”声明的合同或诉讼文件。
这是目前所有讨论里，少见的一个完全从执业者利益、而非技术或伦理角度出发的分析。
主持人Jason Calacanis则从自己投资过的一家做水印技术的公司说起。那家公司最初的应用场景根本不是检测AI内容，而是给企业内部文档打水印用来抓泄密的人，这提醒了所有人， “给内容打标记”这件事在被重新包装成“AI检测”之前，早就有一套完全不同的商业逻辑在运转。
这类检测机制其实已经经历过一次相当大规模的现实检验。2026 年，ICML在提交论文的 PDF 中植入了对人不可见、却可能被大模型读取的隐藏指令：一旦审稿人将整篇论文交给 LLM 生成评审，模型便可能按照指令，在评审文本中留下预先指定的短语。最终，ICML 在选择了“不得使用LLM”政策的审稿人中，检测出795份违规评审，涉及506名审稿人。
ICML自己承认，这套办法并不难绕过，它最容易抓住的是那些把论文直接丢给AI、再原样复制输出的人。负责这一机制的卡内基梅隆大学计算机科学家 Nihar Shah后来也说，研究社区早已厌倦了审稿人“不投入任何工作，直接复制粘贴 AI 生成的评审”。
《自然》杂志随后的报道标题也直白地反映了学界的态度。Anthropic的不可见水印能遏制AI垃圾内容吗？研究者仍持怀疑态度。
科技评论者David Gerard在他的博客Pivot to AI上，也给出了一个态度更嘲讽的观点，他认为大量所谓作家、记者对水印的愤怒，本质上不是在担心什么隐私或言论自由，而是不满自己一直在用AI代写这件事，可能会被人发现。
毕竟SynthID在Gemini上已经运行了好几年，几乎没有人在意，直到它出现在Claude身上，才突然引发了大规模的情绪反弹。
这个对比本身，也从侧面印证了Claude用户群体和Gemini用户群体，在“是否把AI输出当作自己作品的一部分”这件事上，可能存在完全不同的心理预期。
回到写作者的处境上。水印的初衷是回应一个监管问题，它要解决的是内容有没有经过AI处理这件事的可追溯性。
因此，水印的本质上是一个合规工具，而不是一个质量工具。水印真正带来的焦虑，是模型的训练目标越来越倾向于安全、可预测、不出错的当下，当合规又在这个基础上叠加了一层系统性偏移词语选择的机制，那个本该属于个人的、具体情境、具体判断的不安创作空间，正在被撕裂。
企业、监管机构们共同勾勒出了一个正在被重新定义的写作现场，过去谁创作了什么作品的这个简单问题已经变得越来越难回答，除非我们决定永远做一个拒绝技术的古典主义者。
声明：本文来自智幻时刻FUNGIMIND，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。
