Anthropic发布Claude文本水印技术

原创

AI安全社
AI安全社

AI安全社

2026年8月15日 23:13
天津

在小说阅读器读本章

去阅读

2026年8月14日，Anthropic发布《How Claude's text watermark works》，说明未来的Claude模型将生成带有文本水印的内容。Anthropic把这项改动与欧盟人工智能法案的透明度要求直接联系起来，并计划在上线初期全球启用，而不是只对欧盟流量生效。该公司还表示，较早发布的Claude模型处于过渡期，相关能力会在未来数月逐步加入。

用户提供的两篇中文文章把问题推进到了“上线以后怎么办”。第一篇在翻译官方问答时注意到，“质量影响可以忽略”“速度影响可以忽略”等说法都带有适用条件，不能直接外推为所有语言、任务和长期使用都完全无影响。第二篇的标题和导语则记录了另一种现实张力：水印上线后，市场很快出现了“去水印工具”的讨论。由于该链接正文在当前环境被微信验证页拦截，本文不引用具体工具能力；但这一线索与Anthropic自己披露的边界是一致的——轻度编辑可能保留部分信号，完全重写可能移除原有水印。因此，企业真正需要建设的不是一台“AI写作鉴定器”，而是一条能解释检测结果、还原生成过程并支持复核的证据链。

这项水印不会在文字里塞入零宽字符，也不会多生成一段隐藏内容。它改变的是模型在多个合理候选词之间做选择时所使用的随机性。读者看不出差异，持有检测密钥的一方却可以分析词语序列，估计Claude是否参与过这段文字的生成或重度编辑。

这里的措辞需要格外准确。水印提供的是“Claude可能参与”的概率信号，不是作者身份证明。即使检测到水印，也不能直接认定整篇内容由Claude独立创作，更不能据此判断观点归属、所有权或法律责任。

Claude的文本水印如何工作

Anthropic官方说明的六项核心信息

未来的Claude模型会生成包含水印的文本。这种水印用于判断Claude参与撰写某段文字的可能性。Anthropic与其他多家主要人工智能服务提供商正在实施这项改变，以满足欧盟人工智能法案的要求。

Anthropic概括了六项基本事实：水印不会对Claude输出的质量或内容产生实际影响；读者无法区分带水印和不带水印的文字；文本中不会增加隐藏字符；水印不需要额外token，使用成本不会因此上升；水印不携带个人、组织或对话的识别信息；文本标记也不是Claude独有的安排，面向欧盟市场的其他主要模型提供商也在落实相应要求。

大语言模型每次生成下一个词时，会从多个候选项中选择最符合上下文的一个。有些位置只有一个可靠答案，有些位置则存在两个或更多意思接近、质量相当的选择。

水印只利用后一类“低风险选择”。普通生成会使用随机数决定选哪个词，水印方案改用密钥和前文的少量词语共同确定随机性。词语仍来自模型原本会考虑的候选集合，不会为了留下标记而强迫模型使用生僻或不合适的表达。

检测方如果持有相应密钥，就可以检查整段词语序列是否与这套选择规则一致，并计算Claude参与生成的可能性。Anthropic采用的是Google DeepMind在2024年Nature论文中公开的SynthID-Text方法变体。该方法不改变模型训练，只作用于生成采样环节。Anthropic称内部测试没有发现内容、创造性或可读性的实际下降；SynthID-Text论文中的线上流量实验和人工并排评价，也没有发现带水印与不带水印输出之间存在统计显著的质量差异。

水印对模型速度影响很小，也不会增加token。它不记录用户、所在组织或具体对话，检测密钥不能还原这些信息。Anthropic解释，之所以在全球范围启用，是因为目前还没有一种持久可靠的方法，能够只按地区限定水印。2026年7月，Anthropic与其他签署方加入欧盟《人工智能生成内容透明度行为准则》；欧盟官方信息显示，共有190家组织签署，相关透明度义务自8月2日起适用。

Anthropic计划提供文本水印检测API，但官方文章发布时仍在确定实现细节，尚未宣布可用时间和调用条件。对于PNG、JPG、SVG等支持的文件，Claude采用的是另一种机制：在文件元数据中附加经过密码学签名的C2PA内容凭证。它记录文件曾由Claude生成或处理，与嵌入文本生成过程的统计水印不是同一种技术。

文本水印究竟留下了什么

密钥控制的采样选择形成统计轨迹

文本水印留下的不是固定词表，也不是每隔若干字符出现一次的暗号。检测规则同时依赖密钥和前文，因此同一个意思在不同上下文中仍可能选择不同词语。外部观察者即使知道Claude使用SynthID-Text一类方案，没有对应密钥和具体实现，也不能只凭几个“像AI写作”的词稳定复现官方检测结果。

信号强弱取决于模型拥有多少次可自由选择的机会。长篇解释、创作和翻译中，Claude需要决定大量词语，水印有更多位置可以累积。短句、固定事实、数学答案和要求精确的代码可选空间较少，信号会更稀疏。校对任务如果只改动少量语法和标点，绝大多数文字仍来自用户，检测器可能看不到足够的Claude参与痕迹。

翻译是一个容易误判的场景。Anthropic明确表示，Claude完成的翻译会带水印，因为译文的每个词都由Claude选择。但水印只能说明Claude参与生成了译文，不能说明原始观点、事实和结构由Claude创造。代码则相反：精确语法和正确答案限制了候选项，水印通常比自然语言少，不过注释等允许多种表达的位置仍可能留下信号。

轻度编辑可能保留部分水印，逐词重写则可能把它移除。第二篇参考文章把“去水印工具很快出现”作为上线后的观察，但在没有可复现实验、工具源码和样本的情况下，不能据此判断任何具体工具已经稳定去除Claude水印。可以确认的工程结论只有一个：水印是统计来源信号，不是不可删除的取证标签。企业在设计检测流程时，要先说明最低文本长度、支持的语言和模型版本、允许的编辑强度以及检测阈值，避免把一个概率接口包装成“AI写作鉴定器”。

检测到水印不等于认定作者

从模型参与信号到责任结论仍需其他证据

Anthropic对水印证明力的表述很克制：它只能判断Claude是否可能在某个阶段参与了内容处理，不能区分“Claude写了这篇文章”和“Claude对人工文本做了大量编辑”。水印不会改变输出的所有权，也不会改变用户依据服务条款享有的权利和承担的责任。

企业使用这类检测结果时，应把结论分成三层。第一层是技术信号，即某个检测器在特定版本、密钥和阈值下给出的概率或等级。第二层是过程事实，例如哪个账号在什么时间调用了哪个模型，输入输出是什么，是否经过翻译、摘要、校对或重写。第三层才是业务结论，例如是否违反考试规则、内容发布制度、合同承诺或监管要求。三层之间不能直接跳跃。

尤其不能用“未检测到”证明人工原创。短文本、轻度校对、旧模型、非Claude模型、完全重写以及检测器不支持的语言，都可能没有可识别信号。反过来，“检测到”也不等于内容虚假。Claude可能只是把一份经过人工核实的中文材料翻译成英文，或者按编辑要求重写表达，事实来源和责任仍由业务流程决定。

隐私边界也要分清。水印本身不包含用户和组织身份，不代表企业可以忽略调用日志中的个人信息、商业秘密和输入内容。若检测API需要把待测文本发送给外部服务，安全和数据负责人仍要核对传输范围、保存期限、服务地区、二次使用条款和删除机制。

Anthropic这次公开方案，使文本水印从抽象概念进入模型供应商的工程实施阶段。它能给来源调查增加一个较难凭肉眼伪造的信号，但结论上限也很清楚：检测到水印，最多说明Claude可能参与过；未检测到水印，也不能证明没有使用人工智能。企业应让水印负责发现线索，让调用日志和版本记录还原过程，让人工审核、业务制度和法务判断决定最终结论。