--- layout: post.njk source: https://yage.ai/share/claude-text-watermark-sampling-20260814.html speaker: yage.ai title: |- Claude 给 AI 内容打水印：技术上九成是旧办法换了新场景 date: '2026-08-14' summary: 文章探讨了在AI生成内容中嵌入文本水印的技术原理，指出其核心是利用采样层干预分布来调整token的概率，以在保持人类可读性的同时满足机器可检测性。文章对比了这种机制与结构化输出工具（如guidance）和SynthID等方案的差异，并分析了水印在选择性感知、不可伪造和传播存活这三个约束下的技术挑战，最终认为其更像一道过滤网而非严肃取证工具，需要分层防御架构来应对攻击向量。 area: tech-engineering category: ai-application tags: - text-watermarking - sampling-perturbation - detection-mechanism - guidance - synthid people: [] companies_orgs: - Anthropic - Google products_models: - Claude media_books: [] draft: true status: evergreen --- 文本水印在采样层嵌入的示意：人眼看到均匀文本，放大镜下露出绿红分组 ## 从一篇文档更新说起 2026 年 8 月 11 日，Anthropic 更新了一篇支持文档，说 Claude 会对生成内容增加机器可读标记。两套机制：文本里嵌入不可见水印，svg、png、jpg 这类文件附加 C2PA 签名溯源元数据。文档写得很坦白，列了一连串局限，比如检测到标记只能说明“可能被 Claude 处理过”而非确证，短段落缺乏足够文本支撑可靠信号，经过重度编辑、改写或翻译后信号可能检测不到。这次调动的直接诱因是 EU AI Act Article 50，该条款要求对 AI 生成内容做机器可读标记，2026 年 8 月 2 日正式生效，Anthropic 随之将其设为全球默认行为。 看到这条更新时，我的第一反应是好奇它在技术层面上究竟有什么新意。真正拆开细节看下来会发现，文本水印这套逻辑，九成以上是把一个早已熟知的原语搬到了新场景里。那个原语大家在做生成控制时经常碰到：在每一步 token 采样时干预分布。 ## 水印需要什么特性 文本水印的原语是采样时干预分布，这听起来是个纯粹的技术动作。但要理解为什么把这个动作搬到水印场景会变得复杂，得先退一步问一个更根本的问题：如果要在 AI 生成的文本里埋一个能检测出来的信号，这个信号到底得扛住什么？结合对抗场景的要求来看，水印需要解决的约束可以归结为三项。 其一，选择性感知。这是同一个约束的两个面。嵌入的信号，在人类读者眼里要做到不可感知，不能破坏文本的质量、意义与流畅度；而在检测算法面前，又必须呈现出统计显著性，能明确判断这串 token 序列并非来自自然采样。这两面构成了直接的内在张力：把偏置调得尽量小，文本质量保住了，算法检测的置信度就跟着下跌，带来误报；把偏置调得尽量大，算法容易识别信号，人类读起来又会感到生硬。两者要求在一个扰动幅度里同时满足。 其二，不可伪造。嵌入端与检测端必须共享一个秘密密钥。在没有密钥的第三方看来，带水印的生成结果和普通的随机采样没有任何特征差异。缺少这层密码学约束，攻击者既能选择性检测并删除水印，也能伪造水印去污染检测器或者栽赃他人。这是独立叠加的密码学约束，和选择感知的内在张力相互独立。 其三，传播存活。信号要在各种传播过程中存活下来，包括复制粘贴、轻度编辑、重度改写、翻译、截断、拼接与混合。有人拿到 Claude 的输出丢给另一个模型重写一遍，水印还在吗？这个约束最难，因为改写从定义上就重构了 token 序列，依托于 token 级的统计信号会随之失效。要扛住改写，得把信号做在比 token 更深的语义层，但那又引出跨模型表示差异的新难题。 这三个约束各自带着内在张力，合起来构成了水印要面对的完整问题空间。而传播存活是其中最难的、目前在算法层面还没有解的一角。 ## guidance 是个特别好的参照 列完这三个约束后退一步看，要满足这些约束的那个采样干预原语本身并不新。做 LLM 应用的人多半用过 JSON mode 或者 guidance 这类结构化输出工具：正常情况下模型每一步从一堆候选 token 里按概率随机抽一个，而 JSON mode 会在抽之前先把不符合 JSON 语法的 token 概率直接压到零，guidance 更灵活，可以加正则或语法树约束，把概率分布往”输出合法结构”的方向推。这就是采样干预：在模型选下一个 token 时，人为调整它的概率分布。 偏置调多大决定了对人多不可见、对机器多可检测，采样干预这把旋钮能在一定程度上平衡选择性感知的内在张力，所以它是个好的参照起点。水印和 guidance 用的是同一把旋钮，但接的约束完全不同。 把 guidance 拿来和水印做对照，差别就很清晰了。guidance 同样在干预采样，却不需要面对上面提到的任何一个约束。 在选择性感知上，guidance 允许任意幅度扭曲分布。用户明确需要特定格式，KL 散度拉开多大都无所谓，不需要做到对人类不可感知。在伪造风险上，guidance 属于公开规则，不需要密钥，也没有不可伪造的要求。在传播存活上，guidance 的输出一生成就拿去下游消费，不经历改写。在校验方式上，guidance 给的是确定性的硬保证，不用靠长文本去拼统计显著的软保证。 同一把旋钮，放在不同的工程需求下，权衡方向就分化了。旋钮是共享的，但面对的问题不同，权衡的选择也就走向不同的路径。 ## SynthID 也走这条路 guidance 那套不管的三个约束，Google 的 SynthID 已经在生产里直面过。它在 2024 年发表于 Nature，是这一族方案中公开细节相对充分的一个。 它的原型是 Kirchenbauer 等人 2023 年提出的绿名单机制：每生成一个 token 之前，用前置上下文做种子跑一个伪随机哈希，把整个词表随机分成绿红两组，然后让模型稍微更倾向于选绿组里的 token。人读不出区别，但一段文本里绿 token 出现的频率会系统性地高于随机，检测器拿到密钥就能统计出来。 SynthID-Text 在这个基础上做了一步改进：不再简单地把概率往绿组推，而是从模型原本的分布里抽 m 个候选 token，用 m 个带密钥的伪随机函数分别打分，选分数最高的那个。这样在尊重模型原始分布的前提下完成偏置，用更低的失真换来更高的检测效率。 这算是整个领域里最核心的一处算法微创新。它专门用来调和不可感知与可检测性之间的矛盾，和 guidance 的格式约束无关。 至于传播存活那一角，SynthID 的取舍是保住选择性感知、放弃传播存活：选了较低的质量代价和中等偏上的可检测性，但信号扛不住改写。ETH Zurich SRI Lab 对 SynthID-Text 做过审计测试，发现仅靠改写就能把水印洗除的成功率推到 90% 以上。OpenAI 在 2024 年也承认过同类情况，认为同类文本水印很容易通过另一个模型改写、翻译，或者插入特殊字符后再删除等手段轻松绕过。改写从定义上就重构了 token 序列，依托于 token 级的统计信号也就一并摧毁了。 顺着细节往深处看，SynthID 的公开程度也要做个区分。Nature 论文阐明了文本水印的机制，2024 年 10 月又在 Hugging Face 开源了参考实现，文本路线因此在机制和代码层面具备可审计性。线上生产环境的密钥、参数配置以及 Gemini 实际运行时的具体设置依然未公开；图像、音频和视频路线连机制都没有对外开放，检测器也由 Google 独占。只有文本路线能够接受学术界审计，其他类型更像是依赖厂商的单方面声明。Anthropic 目前尚未公开文本水印的具体算法，整体透明度比 SynthID 的文本路线还要更低一些。 ## 结论：过滤网，不是取证工具 把这套采样干预机制重新放回对抗场景，它的真实定位非常清晰：更像一道过滤网，而不是严肃的取证工具。在合规或诚实使用场景下，平台想在大规模内容中快速筛选出疑似由 Claude 生成的候选集，只要大部分内容没有经过刻意改写，水印就能提供可接受的召回率与可推导的误报率。面对有明确意图的定向对抗，攻击者只需做一次模型改写或跨语言翻译，就能大概率抹去统计信号。把统计显著性检测当作权威法医证据，在技术逻辑上很难立住脚。 面对传播存活的天然短板，业界目前的现实选择是采用分层防御架构。C2PA 具备较强的密码学保证，但在遇到截屏或二次渲染时容易失效；采样水印虽然容易洗掉，却能平滑穿透纯文本的复制粘贴。两者的失效模式形成了互补。欧盟 Code of Practice 强调包含 C2PA、采样水印与日志记录的三层防护，核心原因在于没有任何单层机制能够独自覆盖所有的攻击向量。这种设计体现的是整体组合的思路，通过不同失效模式的互补来构建防护栈，而不是试图在一个采样旋钮上解决所有问题。 再看最初的疑问，这项技术到底有没有创新？有，但只有一小部分，比如利用 tournament sampling 在选择性感知的内在张力里做微调。其余九成工作，是把原本用于生成控制的采样旋钮，接到了包含密码学约束的隐写信道上。至于暂时无法从算法层面解决的传播存活难题，工程上选择用分层防御机制和坦诚的概率定位来兜底。这种妥协与拼接，或许正是这类技术走向落地时不得不采取的姿势。