Claude写的文章为何会留下指纹
媒体的方法我知道，但文字到底要怎么做呢？
开篇
读者，8月10日，Anthropic悄悄在帮助中心上传了一份文档。内容是说，2026年8月2日之后发布的Claude模型，会在生成的文本中植入机器可读的标记。据说这种标记肉眼看不见，复制粘贴也会跟着走，甚至能承受一部分编辑。
如果是图片，我可能一下就能理解。谷歌DeepMind的SynthID会在生成的图片中加入看不见的水印，这已经是众所周知的事了。但句子里要怎么隐藏看不见的东西呢？是在字与字之间插入特殊字符吗？
不是的。先说结论。**文本里从物理上根本没有可以藏东西的空隙。**所以这项技术不是把标记贴在文字上，而是极其细微地扭动模型挑选单词的方式本身。水印不是附着在文字上的东西，而是文字本身。今天我们就来聊聊这套结构是如何运作的，以及为什么从这个原理本身就能一路推导出它的局限。
图像有藏身之处，文字却没有
先来说说为什么图像水印的原理直观易懂。
数字图像本质上是由数百万个像素的数值构成的数组。而人眼无法察觉这些数字之间的微小差异。某个像素的红色值是137还是138，我们根本分辨不出来。音频也是如此。人耳有听不太清的频段，也有被大声音掩盖住的小声音。
这种感知上的迟钝，正是留白。它是可以承载信息的空白空间。SynthID系列的图像水印，就是把信号藏进这片留白里。把原图和加了水印的版本并排放在一起看，人眼察觉不出差异，但专用检测器却能读出那细微的模式。甚至可以在图像生成之后再补加水印。
而文字没有这种留白。
句子不是像素数组，而是词元1的排列。而且每一个词元都承载着意义。在“今天天气真好”这句话里，只要悄悄改动一个字，就会变成错字，或者意思整个变掉。像把137改成138那样无害的微调，原理上根本行不通。虽然也有插入肉眼看不见的Unicode字符的办法，但这与水印不同，充其量只是隐藏字符而已。一旦复制粘贴到另一个编辑器里，大多会消失，而且要找出来删掉也太容易了。
正因如此，文本水印必须采取完全不同的方式。不是在写完的文章里植入信号，而是介入写作本身的过程。
于是，选词的方式变了
这里才是今天的核心。
语言模型不是一次性把文章写出来的。它是一个一个地抽取词元（token）。每一个瞬间，它都会针对整个词表（通常10万个以上）计算一次概率分布，然后从中抽签选出一个。这里有个重要的事实。在大多数位置上，答案都不止一个。
想想“这个问题的原因不是技术，而是＿＿”这样的句子。这里填入“制度”“结构”“设计”“惯例”中的任何一个，句子都成立。即使用“因此”代替“所以”，用“这一处”代替“这一点”，读者也感觉不出任何差异。这样一种无论选哪一边都无所谓的余量，每个词元上都存在。信息论把这个叫做熵2。
文本水印，正是把这份余量当作通信通道来用。用的不是像素的空白，而是选择的空白。
谷歌DeepMind于2024年10月在《Nature》上发表的SynthID-Text论文，最清楚地展示了这一结构。方式是这样的。
| 前一个词元 + 密钥 → 哈希 → 随机数种子 → 打分函数 g1 · g2 · g3 | ||||||||
| 候选8个 | 制度 | 结构 | 设计 | 惯例 | 方式 | 体系 | 框架 | 原理 |
| 用g1比拼 | 结构 | 设计 | 方式 | 原理 | ||||
| 用g2比拼 | 设计 | 原理 | ||||||
| 用g3比拼 | 设计 | |||||||
| 橙色方格是实际输出的词元。论文默认设置是30层，这里简化为3层。 | ||||||||
首先，把密钥和前面几个词元一起输入哈希函数，生成一个随机数种子。用这个种子生成多个打分函数，给词表中所有词元分别打上0或1的标记。接着，从模型原本的概率分布中抽取多个候选词元，进行淘汰赛。两两配对，打分函数得分高的一方晋级，进入下一层再用另一个打分函数继续比拼，最后存活下来的词元就是实际输出。论文的默认设置是30层。
关键在这里。由于候选词元本来就是从模型真实的概率分布中抽取的，**成果的质量几乎不受影响。**但在知道密钥的人眼里，一件奇怪的事情正在发生。输出的词元，无一例外都集中在那把密钥所生成的打分表中得分较高的一侧。
检测由此变得简单。不需要模型，也不需要原文。只要用同一把密钥在观测到的文本上重新跑一遍打分函数，算出平均分，再计算“如果是人写的文章，偶然出现这种程度的概率有多大”。这是统计检验。人写的文章会恰好落在偶然水平，而带水印的文章则会在统计上显得突出。
成本也几乎可以忽略。同一篇论文测得，淘汰赛式采样带来的延迟增加**为0.57%。**这正是这种方式能够被部署到实际服务中的原因。实际上，谷歌已经把它用到了Gemini上。
Anthropic是否确切使用这种方式，目前还不清楚。**因为该公司没有公开实现细节。**不过，“直接嵌进文本本身”“复制粘贴后依然带着”“能经受一定程度的编辑”“不影响质量”这四点说明，与这一系列技术的特征完全吻合。这一系列技术的原型，是2023年Kirchenbauer研究团队提出的绿名单·红名单方式，而淘汰赛式采样则是它的改进版。
局限性也都源于同一原理
理解了这个结构之后，Anthropic文档中列出的局限性清单就能用一句话解释清楚。这不是公司出于谨慎附加的免责声明，而是原理上必然如此的东西。
能在复制粘贴中存活下来的原因是，标记不是文件属性，而是词语选择本身。移动文本时，标记会一起移动。压根就没有像元数据那样会脱落的部分。
能承受部分编辑的原因是，信号被薄薄地分散在数百次选择之中。即便改动几句话，统计值也只会降低，不会归零。
在短文本中失效的原因也是同理。这是统计检验，需要样本量。根据SynthID-Text的实测数据，在50个词元长度下，以1%误报率为基准，检测成功率会跌到接近0.3。也就是说，十来句话的文章很难做出判定。
在意译3和翻译面前崩溃的原因尤其有趣。当人类或其他模型重新改写句子时，词元选择会被重新抽签，进入一个与那个密钥无关的过程。信号不是被消除，而是被覆盖了。
还有一个文档里没写的局限性，我认为这一点最为重要。**水印能承载的信息量，被绑定在生成熵上。**在只有一个选项的位置，什么都种不进去。如果候选项全都一样，就没有开锦标赛的理由。
所以，像简短的代码片段、格式化的表格输出、引用文本、计算结果这类答案几乎已经确定的文本，几乎不会带上标记。这很讽刺。在AI作者身份争议最激烈的领域，这项技术恰恰运作得最弱。
韩国从今年1月起就已有标示义务
这里把视线转回国内。如果只把这次发布解读为欧洲监管方面的事情，就等于漏掉了一半的内容。
《人工智能发展与信赖基础营造等相关基本法》及其实施令已于2026年1月22日起施行。第31条规定，生成式AI经营者有义务标示结果物系由AI生成这一事实。这里分为两条路径。对于一般结果物，可以在“人可识别的标示”或“水印、元数据等机器可读方式”之间任选其一；而深度伪造（deepfake）内容则只允许使用人能够明确辨识的可见标示。文本也被纳入适用对象。
问题出在两个地方。第一，承担义务的不是个人用户，而是人工智能经营者。第二，即便想选择机器可读方式，**实际上也几乎没有可用的标准技术。**因此政府设置了至少一年以上的指导期，最高3000万韩元的罚款实际上已被推迟到2027年之后才会开始征收。
Anthropic这次的举措恰好触及了这一空白。在模型层面附加标记，对于以Claude为基础打造产品的国内企业而言，意味着机器可读标示会作为默认项自动附带。“缺乏标准”这一理由，如今就少了一个借口。
不过这里也出现了一个别扭的地方。我们的法律要求的是“标示出这是由AI生成的事实”，而这个水印所传达的，恰恰不是这一点。正如该公司自己所说的，经过校对、翻译、摘要、格式转换的句子，也都会显示为“经Claude处理”。相比之下，欧洲方面的指引把单纯的语法校正等辅助性功能排除在标示义务之外，而在这里，技术所标示的范围反而比法律更宽。
也就是说，这个标记并非对著作身份的证明，而是接触留下的痕迹。一旦把这两者当作同一件事来对待，误解就开始了。
Oswarld视角
比技术本身更长久地困扰我的，是另一个问题：谁掌握检测密钥这件事。
这种水印如果没有密钥就无法读取。但如果公开密钥，任何人都能反向清除水印。因为只要知道哪些token得分较高，把这些token挑出来替换掉就行了。可如果把密钥保密，那么“这篇文章是不是AI写的”这一判定权就会集中在某一家模型公司手里。
欧盟行为准则要求让第三方也能进行检测，但这两者在原理上是相互冲突的。现实的解决方案恐怕是由公司运营的检测服务，但这样一来，为了得到判定结果，就必须把待检测的文本发送给那家公司。也就是说，招聘负责人要把应聘者的自我介绍信、学校要把学生的作业上传到模型公司的服务器上，才能得到判定结果。为透明性而设计的机制，反而制造出了新的数据集中结构。
在制定GTM策略的过程中，我反复遇到一种模式。企业在审视AI工具时，总是先做性能对比表，但实际上左右合同签订的，往往是那张表里没有列出的项目。这次的情况也是同样的道理。如果是用Claude API做文档处理产品的公司，就必须留意客户输入了自己的原稿，结果输出内容却附带了可检测信号这一项。这是需要修改条款和告知文案的事项。
不过，也要冷静看待其实际效力。想清除水印的人只需重写一遍即可，或者干脆换一个不做水印处理的模型就行。结果贴上标记的，反而是遵守规则的那一方。所以我认为，这项措施与其说是用来抓坏用途的装置，不如说是给普通内容叠加一层来源标注的基础设施。
结语
总结一下就是这样。
第一，图像中存在人眼无法察觉的余量，因此可以隐藏信号，但**文本没有这种余量。**所以文本水印不是在文章上贴标记，而是扭曲选词的方式。
第二，特性都是从这个原理中推导出来的。它能在复制粘贴中存活，不会附着在短文和答案固定的文本上，重写之后就会消失。
第三，剩下的真正问题不是技术，而是检测权限的归属。公开密钥就会被移除，隐藏起来判定就会集中到一处。目前，Claude表示会把这个记录留在剪贴板和元数据中。
现在就能试试看的方法出乎意料地简单。请把当前组织中经由AI处理后流向外部的文本列成一行。新闻稿、详情页、客服应答文案、合同初稿。把其中“即使贴上AI处理标记也不会造成困扰的文本”和不属于这一类的文本分开来看，接下来需要整理的政策大致轮廓就出来了。
您是否也在实际工作中用AI制作或润色文档后再对外发布？如果结果上贴着“AI处理过”的标记，最令人为难的会是哪种文档？欢迎在评论区告诉我们。案例积累起来后，我们会在下一期绘制按文档类型划分的标记风险地图。
💬 请在评论区告诉我们，贴上标记后最令人为难的文档是什么。我们会在下一期反映这些意见。 📨 如果您身边有负责内容、法务或开发的同事，请把这篇文章转发给他们。
参考资料与延伸阅读
核心来源
- Anthropic，《How Claude marks AI-generated content》，Claude Help Center，2026年8月10日。 查看文档 ··· 这是今天这篇文章的出发点。篇幅不长，建议直接读原文。尤其是「Limitations」一节，展示了这家公司没有承诺什么。
- Sumanth Dathathri 等，《Scalable watermarking for identifying large language model outputs》，Nature，第634卷，2024年10月24日，第818–823页。 查看论文 ··· 这是今天机制说明的依据。光看Fig. 2里那张锦标赛式的图，就能抓住原理。顺带一提，有不少二次资料把这篇论文标注为第631卷第755页引用，那其实是另一篇论文的书目信息。
- John Kirchenbauer 等，《A Watermark for Large Language Models》，ICML，2023年。 查看论文 ··· 这是这一系列方法的原型。绿名单、红名单是最简单的形式，反而更容易理解概念。
- 《人工智能发展与信任基础建设等相关基本法》第31条及该法施行令，2026年1月22日起施行。 查看法令 ··· 这是国内标识义务的依据条款。核心在于深度伪造与一般生成结果的标识方式如何区分。
- European Commission，《Transparency obligations under Article 50 of the AI Act》，2026年。 查看官方FAQ ··· 可以从这份一手资料确认第50条的适用时点（2026年8月2日）以及实施规约所在位置。
背景知识
- Coalition for Content Provenance and Authenticity，C2PA Specification。 查看规范 ··· 这是文件端标记的标准。哪怕只是大致浏览一下签名结构，也能明白为什么“摘掉就没了”。
- Nikola Jovanović、Robin Staab、Martin Vechev，《Watermark Stealing in Large Language Models》，ICML，2024年。 查看论文 ··· 这篇论文探讨了通过反向推测水印来将其删除或伪造的攻击方式。如果想从技术层面深入挖掘今天文章提到的“检测密钥”问题，可以从这里开始。
📝 术语说明
