ChatGPT 写下的每个字，都藏着一枚看不见的指纹

原创

asaotomo
asaotomo

Hx0极客圈

2026年10月7日 09:19
安徽

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

AI 溯源 · 深度拆解

ChatGPT 写下的每个字
都藏着一枚看不见的指纹

2026 年 10 月 5 日，OpenAI 公布文本水印技术 textGrain：欧盟的 ChatGPT 与 Codex 输出将被嵌入隐形统计信号，API 全球可选开启。它不加符号、不改语义，只改模型\"用哪个词\"的随机数。

· 情报等级：高　· 来源：OpenAI / Anthropic / 网信办官方文件　· 2026-10-07

你让 ChatGPT 写一段话，复制走，粘到别处——在此之前，这段文字和你、和 OpenAI 就都没关系了。几天前，这个默认前提被悄悄打破。

10 月 5 日，OpenAI 宣布开始给模型写出来的文字嵌入一层看不见的统计信号。它不改变任何一个字的语义，不增加任何符号，你读起来和以前完全一样。但只要拿着同一把密钥，就能算出一个概率：这段话，有多大概率出自 OpenAI 的模型。

先把三个最容易被传错的事实放在前面：不是全球上线，只对欧盟；字里没有隐藏字符，改的是模型选词的随机数；把 25% 的词换成同义词，检测率会从约 92% 掉到 17%——它能被认出来，也真的能被洗掉。

图1 | OpenAI 官方公告《我们在欧盟文本溯源规则上的做法》封面——公告发布于 2026 年 10 月 5 日。（图源：OpenAI 官方博客）

01今天：三道动作，半径各不相同

10 月 5 日，OpenAI 发布公告《我们在欧盟文本溯源规则上的做法》，正式公布文本水印技术 textGrain。它的位置很微妙：不是在应用层给你加一个\"此内容由 AI 生成\"的显式标签，而是下沉到模型逐词生成的过程里。

公告同时给出了三条线，覆盖范围和推进节奏完全不同。这张表值得单独存下来：

官方原话（译）：\"今天，我们分享我们在文本水印上的做法，以回应欧盟《人工智能法案》……文本水印与检测仍属于早期技术，存在显著局限。\"

这三行里最值得琢磨的是第三行。水印是给内容\"打记号\"，检测则是把记号读出来——而读出来的能力，OpenAI 一开始只打算交给\"能帮助评估和改进这项技术\"的获批研究者和专业机构。

02为什么是现在：欧盟的 8 月 2 日

答案不在技术侧，在监管侧。

欧盟《人工智能法案》的透明度条款已于 2026 年 8 月 2 日生效，要求生成式 AI 提供方以机器可读的方式标记 AI 生成的内容。注意\"机器可读\"这四个字——它直接把\"在页面上写一行『AI 生成』\"排除在外，要求的是能被另一套系统识别出来的信号。

配套的《AI 生成内容透明度行为准则》里，还留了两处明确的豁免：短于 200 个 token（英文约 150 词）的输出，以及代码片段，都不要求加水印。

1不是 OpenAI 一家的选择——Anthropic、Google、Meta、Microsoft 都签署了同一份行为准则。这是一次行业级的合规动作，不是某家公司的产品策略。

2OpenAI 明确不做全球默认——官方给的说法是，区域性推进\"让我们有时间从真实使用和反馈中学习\"。这句话的另一面是：它还不确定这套东西在全球范围内会不会引起反弹。

3API 留给了客户自己选——全球的 API 客户可以在项目或组织设置里自行开启，并按模型选择。合规的义务被交回到了使用者手上。

03不是第一个：Anthropic 两个月前就动手了

时间往前拨两个月。2026 年 8 月 14 日，Anthropic 发布公告《Claude 的文本水印如何工作》，宣布未来的 Claude 模型会在生成的文本里带水印，同样是为了配合欧盟《人工智能法案》。

它选的技术路线值得单独拿出来说：Claude 用的是 Google DeepMind 2024 年发表于《自然》的 SynthID-Text 方案的一个版本。而 Google 自己从 2024 年起就已经在用这套东西。也就是说，这条技术线上真正的起点比大多数人以为的要早两年。

图2 | 两个月前，Anthropic 已经用同一份欧盟准则的理由为 Claude 上线文本水印。

Anthropic 在公告里把几个最容易被误传的点一次性说清了，这几条同样适用于 OpenAI：

· 文字里没有隐藏字符，也没有不可见标点；
· 不额外消耗 token，不会因此变贵；
· 不携带身份信息，无法追溯到具体的某个人、某个组织或某次对话；
· 在水印生效的前提下，读者完全看不出来。

它同时也解释了水印为什么在有些地方特别稀薄——因为那里\"没得选\"。像\"牛顿最著名的著作叫《自然哲学的数学原理》\"这种句子，下一个词只有一个正确答案，水印没有着力的地方；只让模型改语法和标点的时候，能落水印的位置同样少得可怜。水印寄生在\"选哪个都行\"的岔路口上，这句话是理解整件事的钥匙。

04原理：水印不写字，只换骰子

要理解水印，先要理解大模型是怎么\"写字\"的。它并不是先在脑子里想好一整句再打出来，而是一个词一个词地预测：每写一个词，先给所有候选词各算一个概率，再按这个概率随机抽一个。

在\"健身房\"和\"超市\"之间，对读者来说差别不大——句子意思几乎一样。而这样的岔路口，一篇文章里会出现成百上千次。水印要做的，就是在每一次岔路口上，偷偷改一下\"抽签规则\"。

水印换掉的不是词，是骰子的来源。原本由随机数发生器决定选哪个词，现在改由\"密钥 + 前面几个词\"决定。词依然是被随机选出来的，但选法变得可以被复算——这就是它能被检测的全部秘密。

Anthropic 用过一个很好懂的比喻：就像玩大富翁，本来每人掷骰子决定走几步；如果改成所有人按圆周率的数字依次往下走，游戏结果依然是随机的，玩家也感觉不到区别——但如果你事后知道用的是圆周率，就能算出这一局到底是不是\"按圆周率走的\"。

textGrain 每次生成一个词，做的是这四步：

1分块——密钥和上下文窗口把整个词表切成若干块，每块的概率等于块内所有词概率之和。

2建代价表——密钥为\"每一块 × 每一列\"生成一组伪随机代价。

3选出列——密钥选中其中一列，这一列上的分布决定各块本轮被选中的机会。

4块内抽样——在选中的块内部，各个词仍然按模型原本的相对概率抽取。

图3 | textGrain 的嵌入过程——密钥把词表切成块，代价表决定耦合，选中列后在各块内部按原概率抽样。

05分岔：为什么 OpenAI 没直接用 Google 那套

这是整件事里最有技术含量的一处分歧。Anthropic 用了 Google 的现成方案，OpenAI 却选择自研。官方给的理由是：自研可以在\"水印可检测性\"和\"同一个提示词下回答的多样性\"之间获得更多控制。

后半句指向一个真实的缺陷。早期一类水印方案（Gumbel-max 家族）在固定上下文和固定密钥下，总会选中同一个词。后果是：同一句话问两遍，模型可能给你一模一样的答案。对需要多个不同方案的场景，这是硬伤。

textGrain 的解法，是把水印当成一个数学上的最优传输问题：把\"块的分布\"和\"若干等概率的列\"耦合起来，再用 KL 正则惩罚偏离独立的程度。这样做的直接好处是，熵损失变成了一个可以设置的预算——用多少\"随机性\"去换多少\"可检测性\"，成了一个明确的旋钮，而不是一个说不清的副作用。

06检测：只需要文本和一把钥匙

检测器做的事情，是嵌入过程的逆运算。它不需要模型权重，不需要生成时的耦合矩阵，甚至不需要知道当时用了多大的熵预算——只要文本、密钥，以及同一套分词和分块规则。技术报告里这句话是明确的：检测器只依赖生成的文本和密钥。

1复现分块——密钥加上前文，重建出当时的分块方式。

2复现代价表——同一把密钥生成同一张表，并找出当时被选中的那一列。

3逐个计分——观察到的词落在哪一块，就取那一格的代价，换算成一个分数。

4汇总判断——把所有位置的分数加起来，和\"无水印文本\"的零分布比较，超过阈值就判为含水印。

在理想假设下，这个合计分数服从 Gamma 分布，因此可以把假阳性率控制在一个事先设定的水平上——OpenAI 在评估里给出的目标就是 1%。但技术报告也很坦白地加了一句：固定的部署密钥和有限精度算术，需要靠经验校准来检验，理想模型本身不能保证每一个应用都拿到同样的错误率。

图4 | 检测是嵌入的逆运算——重建分块与代价表，逐词取分，再把总分与零分布比较。

07数字：它有多准，又有多脆

水印好不好用，取决于两组数字：多容易被查出来，多容易被洗掉。OpenAI 两组都公布了。

先看\"查得出\"。在 1% 假阳性率的目标下，200 个 token 的段落里水印被识别出来的比例约 80%；到 400 个 token 约 95%。但这个数字和内容类型高度相关：心理学这类措辞松散的文本表现最好，数学这类\"没得选\"的内容明显更低——200 token 时只有约 38%。

图5 | 文本越长越好查，但内容类型影响很大——心理学类 400 token 约 95%，数学类 200 token 只有约 38%。

再看\"洗得掉\"。针对 400 token 的段落，把 10% 的词换成同义词，检测率从约 92% 掉到 66%；换掉 25%，只剩下 17%。

图6 | 反过来，越好查也越好洗——400 token 段落替换 10% 同义词，检测率从约 92% 降到 66%；替换 25% 只剩 17%。

还有一层语言差异。OpenAI 用 500 条英文提示词翻译成另外 23 种语言做了测试：在 1% 假阳性率下，西班牙语检测率最高，69.0%；罗马尼亚语最低，42.2%。水印强度有一个\"旋钮\"，官方称已经把低于 60% 的语言调强了。至于中文，官方没有公布任何检测数据。

官方称，在最新前沿模型 Astra 的基准测试上，加水印与不加水印的差异落在正常波动范围内；对速度的影响可以忽略。这也回答了最实际的一个担心——加了水印，模型会不会变笨、变慢。

08边界：水印证明不了什么

这是全文最该被记住的一节。OpenAI 自己在公告里列了四条\"水印不能告诉你的事\"：

反过来同样成立：没有检测到水印，不能证明这是人写的。文本可能太短、被改写或翻译过，可能来自不支持的模型，可能早于水印上线，也可能出自另一家公司的工具。

还有一个现实约束必须写清楚：检测器不对公众开放。OpenAI 的首批权限只给获批的研究者和专业机构；API 客户即使开启了自己模型的水印，也拿不到检测权限——官方在帮助中心里对这一点说得毫不含糊。也就是说，这是一项单向可见的能力：平台和少数机构看得见，写作者自己看不见。

09对照：中国这边是另一种解法

同一件事，中国走的是另一条路，而且更早。

2025 年 3 月，国家互联网信息办公室、工业和信息化部、公安部、国家广播电视总局联合印发《人工智能生成合成内容标识办法》，自 2025 年 9 月 1 日起施行——比欧盟的透明度条款早了将近一年。

它把标识分成两类：显式标识，是在生成内容或交互界面里，用文字、声音、图形等方式直接标出来，用户可以明显感知；隐式标识，是在生成内容的文件数据中添加、不易被用户明显感知的技术标识。

关键差别在隐式标识的载体：办法要求把它写进文件元数据，包含内容属性信息、服务提供者名称或编码、内容编号等；同时写的是\"鼓励服务提供者在生成合成内容中添加数字水印等形式的隐式标识\"。水印是被鼓励的路径，不是唯一被指定的路径。

两种路线各有一处软肋。元数据的问题是一复制、一截图、一转存就掉了；水印的问题是要靠统计学证据，文本一改写、一翻译就迅速衰减。这也解释了欧盟为什么把要求落在\"一段嵌在文本本身里\"的信号上——只有跟着字走的东西，才熬得过复制粘贴。

10结果：这件事对你意味着什么

如果你在欧盟使用 ChatGPT：未来几周你的输出会带上水印，你无法关闭，也看不见它。但它的证据强度有限——正常使用不受影响，只是不要再假设\"AI 写的东西查不出来\"。

如果你在欧盟以外：ChatGPT 和 Codex 目前不受影响；全球的 API 客户可以自行决定是否开启。所以短期内，\"这段话有没有水印\"在国内并不是一个普遍成立的问题。

如果你是内容从业者、教师或编辑：真正需要更新的是判断方式。水印给的是\"这段文本在多大程度上与某个模型的密钥一致\"，它不是作者鉴定，更不能当作处理学生或员工的依据。它既会被 25% 的同义词替换打掉，又会对短文本、代码、翻译失效——任何单点结论都站不住。

🛡️ 研判一：这是一次合规动作，不是产品升级

欧盟 8 月 2 日的透明度条款是直接诱因，OpenAI 自己承认没做全球默认。三家头部厂商在同一份行为准则下先后动手，说明驱动力是监管时间表，而不是用户需求。

🔍 研判二：真正的难点不是\"埋\"，是\"埋了还能改\"

把水印埋进选词里并不难，难的是不让它毁掉模型的两件事：输出质量和回答多样性。textGrain 把熵损失做成可调预算，本质上是在这两者之间划一条可解释的线。

⏱️ 研判三：它改变了\"可否认性\"，没改变\"可证伪性\"

水印让平台第一次拥有了对文本的、统计意义上的溯源头绪；但\"25% 改写就掉到 17%\"这一条，决定了它在真实世界里的证据价值远低于直觉预期。把它当成 AI 检测的终局，会出事。

11时间线

事实依据

OpenAI 官方博客《我们在欧盟文本溯源规则上的做法》（2026 年 10 月 5 日）与技术报告《textGrain：面向语言模型文本的熵校准水印》（2026 年 10 月 5 日，与宾夕法尼亚大学、耶鲁大学研究者合作）；OpenAI 帮助中心\"OpenAI 生成内容中的溯源信号\"条目；Anthropic 官方公告《Claude 的文本水印如何工作》（2026 年 8 月 14 日）；国家互联网信息办公室、工业和信息化部、公安部、国家广播电视总局《人工智能生成合成内容标识办法》（2025 年 3 月印发，2025 年 9 月 1 日施行）；以及 IT之家、TechCrunch、FIU News 等机构的公开报道。

整理时间：2026 年 10 月 7 日。文中涉及的技术细节以官方公开文档为准。