Claude将为文本加入不可见水印：能提示模型参与，不能替人类判定作者

Anthropic在9月1日宣布，未来的Claude模型将逐步为生成文本加入不可见水印，并为符合条件的机构开放检测接口私测。它不是在句子里塞入肉眼看不见的字符，也不是给每篇文章附上一串用户编号，而是在多个同样合理的词语之间轻微调整选择概率，让较长文本呈现可被统计识别的模式。

公司采用的是SynthID-Text的一种实现，称该机制不会增加输出Token，在内部评估中也没有发现可操作的质量下降。水印将在新模型上全球启用，旧模型会有过渡期，整体推出预计持续数月。Anthropic明确承认，当前没有可靠方法按地区长期隔离这种机制，因此选择统一部署，而不是只在欧盟提供。

这项安排与欧盟《人工智能法》及其通用人工智能模型实践准则有关。Anthropic在2026年7月签署准则，相关透明度要求于8月2日适用。不过，把合规动作理解成“AI文本以后都能验明正身”会严重夸大效果。官方对水印的定位很克制：检测结果只能说明Claude可能参与生成，不能证明文本究竟由人还是AI完成，更不能识别具体用户、组织或对话。

水印改变的是词语概率，不是给每篇文章盖上唯一身份章

大模型生成一句话时，通常有多个语义相近、语法正确的下一词候选。水印系统用一个秘密规则，对这些候选的抽样概率做细小偏移。单个词看不出异常，但在足够长的文本中，偏移会累积为统计信号。检测器根据这个信号估计文本是否与Claude的水印分布相符，而不是在文件中寻找一个固定标记。

这种设计有两个直接好处。第一，复制到纯文本、换字体或截去文件元数据之后，信号仍可能保留；第二，它不会像零宽字符那样被简单的格式清理立即删除。与此同时，它的证据性质也更弱：统计相关不是身份证明。两个人独立写出的短句可能相似，多个模型和人工编辑也可能共同完成一篇文章，检测器只能给出概率判断。

Anthropic列出了多项限制。短文本没有足够样本，检测效果会下降；事实性很强的段落可选择措辞较少，信号空间有限；代码需要精确输出，不适合自由改变词语；只做轻微编辑可能保留水印，大幅改写、翻译或让另一个模型重述，则可能把信号洗掉。因此它更适合调查来源不明的长篇材料，不能当作考试作弊或新闻造假的单一裁决工具。

水印也不会编码个人信息。Anthropic表示，机制不能指向某个账户、企业或聊天记录。这个边界降低了水印成为跨文本追踪器的风险，却也意味着平台无法仅凭检测结果回答“是谁生成的”。若机构需要审计具体工作流，仍要依靠账号日志、版本记录、引用链和人工声明，不能把责任追踪外包给一个分数。

检测接口先给专业机构，真正难题是如何避免把概率当判决

首批私测对象包括符合条件的监管机构、媒体与事实核查组织、研究人员、教育机构、欧盟民间社会组织，以及承担相关义务的企业。Anthropic计划逐步扩大范围，而不是立即提供一个人人可用的公开检测网页。这样做有现实原因：如果攻击者可以无限试验文本并即时得到结果，就更容易反向寻找去除水印的方法；专业用户也更有条件理解误报和漏报。

生成文件还会有另一层标记。对于受支持的文件类型，Claude将使用C2PA内容凭证保存来源元数据。C2PA与文本水印解决的是不同问题：前者更像随文件携带的可验证履历，适合未被剥离元数据的原始文件；后者嵌在语言分布中，更能承受复制粘贴，但结论更概率化。两者叠加仍不能覆盖截图、重写和跨模型加工的全部情况。

学校、编辑部和平台最容易犯的错误，是把检测阈值直接变成处罚阈值。水印检测应当触发进一步核实，例如查看写作过程、草稿和引用，而不应独立决定学生是否作弊、作者是否造假。机构还需要保存模型版本和检测器版本，因为算法升级后，同一段文本的评分口径可能变化。对外发布结论时，也应说明样本长度、编辑历史和不确定性，而不是只展示一个百分比。

水印的价值不在于制造一台“AI测谎仪”，而在于为来源调查增加一条机器可读线索。当越来越多内容经过模型辅助，二元问题“是不是AI写的”本身会失去意义，更有用的问题是AI参与了哪些环节、最终责任由谁承担、证据链是否完整。Anthropic这次给出的是一项有限但可部署的技术措施；只有配合日志、内容凭证和人类程序正义，它才可能提升透明度，而不是制造新的误判。