Claude写的文章会留下"指纹"

还有一个重要局限需要指出。水印无法区分"这是Claude写的"和"Claude做了大幅修改"。 反过来说,没检测出标记也不代表没用AI——其他公司的AI用的是不同的密钥。所有权问题也是如此。Anthropic明确表示,水印不能证明版权或作者身份,也不会改变服务条款下的权利归属。

图片和文件的情况不同。 这一点被许多英文媒体忽略了。.png、.jpg、.svg文件上附带的不是改动像素的水印,而是C2PA内容凭证——简单说就是附加在文件信息栏里的一种防伪电子标签。这是相机厂商和图片编辑软件共同使用的公开标准,图片本身不受影响。但正因为只是标签,去掉就没了,这是它的弱点。

不是添加字符——而是更换骰子

AI在选择下一个词时,会从多个候选中按概率抽取一个。"今天天气又冷又___"这句话里,"甜蜜的"这种词进不去,但"阴沉的"和"灰蒙蒙的"都很自然。选哪个意思都不变。长文中这种选哪个都无所谓的时刻会出现成百上千次。

水印技术并不强行改变这种选择的结果。它改变的是做选择时用的"骰子"。不是用随便的随机数,而是用秘密密钥和前面几个词组合生成的数字来决定下一个词。表面上看依然是随机的,但持有密钥的一方回头核查时,会发现其中存在无法用巧合解释的规律性。

Anthropic给出的比喻很贴切。假设在棋盘游戏中不掷骰子,而是按顺序读取圆周率(π)小数点后的数字来移动棋子。游戏进行中这与掷骰子毫无区别。但游戏结束后,回顾整场记录,知道π的人就能算出这场游戏是否用了π。

这里要澄清一个误解。这种方式并不是让Claude总是偏向选"阴沉的"这种词。Anthropic强调,也不会强行拉来平时不会用的生僻同义词。它改变的不是候选词的排名,而是抽签时使用的随机种子。

这项技术的底层来自Google DeepMind的SynthID-Text。2024年10月发表于国际学术期刊《自然》,题为《面向大语言模型输出识别的可扩展水印技术》。它采用锦标赛式采样方法——把候选词像淘汰赛一样两两对决(默认30轮),留下最终赢家,而每场对决谁赢的规则里就藏着秘密密钥。在保持每个词被选中概率不变的设置下,理论上不会降低文本质量。DeepMind通过比较约2000万条实际Gemini回复的用户反馈发现,点赞率相差0.01个百分点,点踩率相差0.02个百分点——几乎没有差异。Anthropic也表示,内部测试中未发现影响。

与市面上的"AI检测器"完全是两码事

这是最容易被误解的部分。像GPTZero或Pangram这类AI检测服务没有密钥。所以它们依靠的是文本的"习惯"。Anthropic自己举的例子很有意思:AI模型格外喜欢用"这不是X,而是Y"这种句式，而且使用"悄悄地(quietly)"这个副词的频率远高于人类。

水印检测正相反。它不看文风,而是靠密钥计算,所以写得好的文章不会因此更受怀疑。但代价是只有持有密钥的Anthropic才能做检测。 老师、公司,甚至作者本人目前都无从确认——检测API目前只有一句"即将推出"。

能被消除吗——学界看法也存在分歧

"只要改写一下就能消除"这种common说法只对了一半。

2023年Krishna团队的研究动用了一个专门用于整句改写的AI模型(110亿参数),将某代表性检测器的准确率从70.3%拉低到4.6%。而马里兰大学Kirchenbauer团队2023年6月发表的论文(ICLR 2024)得出了截然相反的结论。即便经过人工大幅修改,只要收集平均800个token(AI处理文本的单位"词块"800个)的量,即便在十万分之一误判率的严格标准下依然能被检测出来。因为改写后的文章里,原文的词组片段仍会零星残留。

两个结论分歧的关键在于文本长度。短就会消失,长就会留下。Anthropic的说明也没有超出这个范围——"轻度编辑无法完全消除水印,但如果是替换每一个词的彻底重写,水印就会消失。当然,如果做到那种程度,这篇文章还能不能算作AI写的,本身就存在争议。"

还有一个更根本的问题。苏黎世联邦理工学院的研究团队在2024年发现,仅通过反复调用API提问,就能反推出水印规则,同时实现了消除和伪造。伪造尤其棘手——把假信号植入人类写的文章、栽赃为AI作品的滥用行为,比"检测不出"要难处理得多。GPTZero的Alex Cui也表示,"面对同时攻击选词和句法的强力改写,水印无法存活"——也就是说,如果同时打乱词汇和句子结构,水印撑不住。

为何偏偏是现在——一项拖了近4年的技术遇上了监管

水印技术并非突然冒出的点子。这是一项在学界流传已久的技术,遇到监管后才被集中推上台面。

2022年11月。 当时休假加入OpenAI的理论计算机科学家斯科特·阿伦森(Scott Aaronson)在得州大学奥斯汀分校的演讲中公开了自己的主项目——用只有OpenAI知道的秘密规则生成随机数来选词,这正是如今Anthropic启用方式的原型。他也承认,只要有几百个token(数百个词块)的量就能捕捉到信号,但如果用另一个AI重写就会失效。

2023年1月。 马里兰大学Kirchenbauer团队的论文《大语言模型的水印技术》获得当年AI学会ICML的最佳论文奖(在1800多篇录用论文中仅6篇获此殊荣)。该方法预先把词汇分成两组,通过判断用了哪一组更多来识别,当时也指出了在没有选择余地的句子中无法植入的局限。前文提到"长文本才会留存"的论文,正是同一团队所写。

2023-2024年。 Google DeepMind先在2023年8月推出图像版SynthID,又于2024年5月将其应用于Gemini的文本生成。10月,随着《自然》论文的发表,还在开发者平台Hugging Face上公开了任何人都能使用的代码。这是该技术从一家公司的专属资产变成行业通用组件的时刻。

而OpenAI选择了不启用。 2024年8月《华尔街日报》报道称,OpenAI已经开发出置信度达99.9%的文本水印技术,却将发布搁置了近一年。2023年4月的一次内部调查中,约30%的用户表示"如果只有OpenAI加水印而竞争对手不加,会减少使用ChatGPT",这一发现产生了很大影响。同一天,OpenAI公开提及的另一个理由更为沉重——水印可能给非英语母语者贴上标签。

2026年8月2日。 欧盟AI法案(EU AI Act)第50条的透明度义务开始生效。提供AI内容生成系统的一方必须确保生成结果以机器可读的形式标注。Anthropic已于2026年7月签署《AI生成内容透明度行为准则》,签署方约有190家。违规最高可处以**1500万欧元或全球营业额3%**的罚款。

最具争议的部分正在于此。Anthropic**不是只在欧洲启用水印,而是在全球范围内启用。**理由只有一句话——"目前还没有可靠的方法按地区划分范围"。这是"布鲁塞尔效应"的教科书式案例——一项在欧洲制定的监管规则,就这样直接变成了全球标准。

韩国不同——水印并非强制

《人工智能基本法》已于2026年1月22日正式实施。 第31条第2项规定,生成式AI的输出结果须标注其生成来源;实施令第23条第2项规定,标注方式可以是人类可识别的标记或机器可读的标记二选一。也就是说,满足其一即可。若选择机器可读方式,仍须向用户进行一次告知。

也就是说,韩国并未强制要求水印。这一点与欧盟不同。罚款(3000万韩元以下)也是针对第31条第1项事先告知义务的违反,而不会因为结果未标注而直接触发——这是一个经常被误读的地方。

	欧盟	韩国	中国	美国加利福尼亚州
生效日	2026-08-02	2026-01-22	2025-09-01	2026-08-02
机器可读标记	强制	可选	强制	强制
人类可见标签	由分发方负责	强制	强制	用户可选
使用者义务	无	无	有	无

只有中国的规定格外细密。不仅约束开发企业,还对使用者和分发平台施加义务。加州也将从2027年1月起要求平台承担检测义务。

相关法律依据分别为欧盟AI法案第50条、韩国《人工智能基本法》第31条、中国《标识管理办法》以及加州SB 942。标注方式略有不同,中国指定嵌入文件信息栏的"隐式标识",加州指定"潜在标识",而加州的人类可见标签附有"在技术可行范围内"这一限定条件。

同一天,Google反其道而行之

就在Anthropic发布说明的当天,Google发表了截然相反的公告。

Google实验室副总裁乔什·伍德沃德(Josh Woodward)于8月14日(韩国时间晚上10点39分)宣布,在Gemini和Flow中开放了可开关的可见水印切换选项。该功能适用于Nano Banana(图像)、Omni(视频)、Lyria(音乐)全部产品线。区分标准不是订阅等级,而是该国法律是否要求保留水印。

这里出现了韩国的名字。Google Flow的帮助文档明确指出,印度、韩国、越南的居民将自动应用可见水印。不过实际情况中国家、套餐、账户类型互有交叉——Digital Trends报道称,即便在这三个国家,付费AI Ultra订阅用户也可以关闭该功能,而企业/学校账户则根本没有此项设置。

更重要的是伍德沃德附加的说明。可以关闭的只是可见水印,而不可见的SynthID以及嵌入文件的电子标签仍会保留。 Google打上标记的内容量,已从2025年5月的100亿件,增长到2026年5月仅图像和视频就超过1000亿件。

两家公司的做法看似截然相反,方向却是一致的。把人眼可见的标签撤下,转向机器可读的标记。 OpenAI也于2026年5月为图像引入SynthID,7月底扩展到音频——不过文本方面仍未采用。 文本水印本身是Google率先启用的,所以Anthropic的"第一"并非在技术上,而是在名义上。这是首个以合规为由在全球范围内启用该技术的案例。

人们真正愤怒的原因

首先是发布方式本身就有问题。Anthropic首次披露此事的地方不是新闻发布,而是一份悄然上线的帮助文档。8月10日,该消息在开发者社区Hacker News上获得449点赞后传播开来,次日TechCrunch、Forbes、Euronews相继报道。然而那份文档并未说明"具体如何标注"。 IT专栏作家约翰·格鲁伯(Daring Fireball)于8月11日以《发布了"Claude如何标注AI内容",却没说明具体标注方式》为题批评了这一空白。他指出:如果是插入不可见字符的方式,会在有字数限制的平台上造成篇幅膨胀;如果是通过改变选词方式实现,又与Anthropic自己声称的"不改变含义、质量和可读性"的承诺相矛盾。

率先填补这一空白的是社区。开发者约翰·J·王(John J. Wang)在8月12日检索了720万字的Claude生成文本,确认其中并未混入不可见的特殊字符,并推测"应该是通过秘密密钥改变选词方式实现的"。不过他明确写道,自己并未能证实这就是SynthID——这一空白直到8月14日才由Anthropic补上。这件事的性质是这不是一次新公告,而是对四天舆论风波的事后解释。

反弹分成了两派。第一种是**"抓作弊"式的解读框架**。TechCrunch在8月12日将用户反应总结为"担心在工作和课堂中使用AI的事实被揭穿而感到愤怒"。"我下达指令、亲自润色,所以Claude只是工具"的主张,与"你只是下了指令,真正写的是Claude"的反驳发生了碰撞。支持水印一方的论点很简单——"不希望有这个功能,唯一的理由就是想欺骗别人。"

第二种反应要沉重得多。那些把Claude当作校对工具使用的人。 电台主持人埃里克·埃里克森(Erick Erickson)写道,*"我因为它校对得更好而放弃了Grammarly、改用Claude,结果现在我自己写的文章上,却被打上了'Claude参与'的水印。"Hacker News上被广泛引用的一条回应更为直接——"我患有自闭症、ADHD和阅读障碍。光是让别人正确理解我的表达就已经很吃力了,现在还要顾虑水印的问题。社会带来的羞耻感已经够多了。"*这与OpenAI两年前搁置发布时提出的"非母语者被污名化"的担忧,恰好是同一个痛点。

Anthropic的回应是"轻度校对几乎不会留下标记"。这个原理没错。但**"轻度校对"的界限在哪里、如果被误判该如何申诉,这些流程都没有公开。** 一个基于概率推测的信号,如果就这样原封不动地流入学校和职场,会发生什么,AI检测器把人类文章误判为AI文章的多年乌龙事件早已给出了答案。

编辑视角

这次决定的本质不是检测,而是责任的分配。 Anthropic得到的是合规上的应对,失去的是那些把Claude当作校对工具使用的用户的信任。而中间那块空白——判定界限、申诉渠道、误判救济——目前无人填补。何时以何种标准推出检测API,才是真正决定结果的关键。

眼下可以立刻用得上的判断有三条。 ①完全交给AI起草会留下标记,用于润色自己写的文章几乎不会留下痕迹。②代码基本不受影响——注释算是例外。③翻译全部会被打上标记,如果你有把翻译结果用自己名义发布的情况,现在值得检查一下。

变的不是技术本身。 从2022年阿伦森的提议,到2023年OpenAI的搁置,再到2026年Anthropic的强行推进,真正改变的是监管环境和竞争格局。OpenAI曾判断,单方面启用会导致失去用户;而如今,在欧盟行为准则之下,约190家机构已被纳入同一方向。水印技术从一开始就是一个协调问题,而不是算法问题——正如《自然》那篇论文在阐述局限性时所写,"水印实施必须以各方之间的协作为前提"。

但乐观仍为时过早。 学界已经演示过如何伪造和消除的这项技术,一旦被用作判定个人诚信的依据,受害的首先是那些遵守规则的人。水印真正需要回答的问题,不是"这篇文章是不是AI写的",而是**"能否依据这个标记来惩罚一个人"**。而后者的答案,在Anthropic的说明中,至今仍未出现。