Claude如何嵌入不可见文本水印：SynthID详解

从较新的模型开始，Claude会在其生成的文本中嵌入一个隐藏的统计特征。没人能够看到它，也不会添加任何字符，文本质量也不会有明显变化。它的唯一作用是让持有密钥的人能够估算出Claude撰写或大幅修改某段文本的可能性。

该机制基于谷歌DeepMind在2024年发表于《自然》杂志的SynthID-Text研究，已在近2000万条实际响应中得到验证。Anthropic以及另外190家机构正在采用这一技术，以符合欧盟《人工智能法案》的要求——该法案规定自2026年8月2日起，内容提供者必须标注人工智能生成的内容。这一机制十分精巧，值得仔细研究；而对于从事写作、教学或管理写作者的人来说，了解它的局限性同样重要。

为何检测需要不同的方法

识别人工智能生成的文本主要依赖两类工具。基于检索的检测方法会存储模型生成的所有内容，并将新文本与该档案进行比对，这意味着服务提供方必须记录每一次交互，从而带来协调与隐私方面的问题。而大多数商业产品所采用的事后检测方法，则是通过训练分类器或利用统计特征来区分人类写作与机器生成的内容。

事后检测方法存在三个结构性缺陷：首先，对于其训练数据中未涵盖的领域文本，它的识别效果很差；其次，它会对某些群体产生更多误判，尤其是非英语母语者，他们严谨且略带正式的文风在分类器看来会显得像是机器生成；最后，这种方法依赖于一个正在不断缩小的差距——只有当人工智能生成的文本在统计上能与人类文本区分开时才能发挥作用，而新型模型会迅速缩小这一差距。

实际后果相当糟糕。一旦作品被标记，作者将毫无依据可言：没有签名，没有加密证明，也无法证明这是人类所写。在另有证据之前，作者会被视为有罪，而用来证明任何事情的工具也并不存在。

水印技术则改变了这一状况。它不是在已生成的文本中检测类似人工智能的模式，而是在生成过程中就嵌入信号，之后再用密钥进行验证。如下文所述，其缺点在于只有模型提供方配合时才能发挥作用。

水印的位置

一切都取决于Claude生成文本的方式。它采用自回归方式工作，一次只输出一个标记（一个单词或单词的一部分）。在生成每个标记之前，它会权衡迄今为止已写的所有内容，并为词汇表中的每一个词赋予概率值。

考虑句子“今天的天气很冷，而且_____。”空白处不会填“甜美的”，但“阴沉的”、“多云的”或“潮湿的”都符合语境，由于意思通顺，读者无法分辨其中的差异。该模型通过从其分布中采样来解决这种歧义，在正常运行时，这种采样会使用普通的随机数。

签名就嵌入在采样器中。水印方案并不改变词汇表，而是更改随机性来源：抽取结果是根据密钥与前面若干标记混合后计算得出的。对读者而言，这些选择仍看似随机，一处用“灰色”，几句话后又用“阴天”。但从统计学上看，这一系列选择实际上都与密钥相对应。检测方法就是验证这种对应关系——将文本和密钥输入评分函数，该函数会判断这些标记是否为密钥所选，在足够多的单词之后，其判定结果就不再具有随机性。

注意那些不会改变的部分。水印并不会限制 Claude 可以使用的词汇，也不会迫使它选择更罕见或质量更差的词。它只是在不同质量相当的选项之间切换随机性的来源而已。词汇相同，质量一致，只是决定因素不同。

种子概念

有些问题其实并不存在真正的竞争。在“德国的首都是”之后，模型几乎将所有概率都集中在“柏林”上，因此任何决选方法都会得出“柏林”。而对于“今天的天气很冷且”，有几个词同样适用：阴天、多云、阴沉、有云。最终由随机抽取决定，这也是为什么同一个提示在不同尝试下可能会得到略有不同的答案。

使用相同种子启动的随机数生成器每次都会产生相同的序列。对于没有该种子的人来说，这些序列看起来是随机的；而对于拥有该种子的人而言，则可以完全复现这些结果。将这一原理应用到天气预测的例子中：使用某个种子时，模型总是预测为“阴天”，而使用另一个种子时则预测为“灰天”。这种选择仍然是任意的，只是被固定下来了。水印技术则用根据密钥动态计算出的种子来替代硬编码的种子。虽然词汇表和预测质量保持不变，但所有用于决定最终结果的流程都受该密钥的控制。

一个参数并不能说明什么，但参数越多情况就越复杂。单个段落可以包含许多可互换的描述要素：阴天或灰天、微风或轻风、从树间穿过还是吹过树梢、安静或寂静。仅这四类要素就能组合出十六种同样不错的段落描述，每增加一个参数，数量就会翻倍。无种子模型会随机生成一种版本；而有键模型则会沿着每条分支走特定的路径，而这条路径就是它的“指纹”。

无需模型的检测

普通的键控生成方法虽然能够很好地为文本添加水印，但验证却成问题。要测试网上找到的随机文本，就需要知道是哪个模型生成的、原始提示词是什么，并重新运行该模型以查看其输出结果是否与密钥匹配。而原始提示词往往难以获取，因此这种方法无法大规模应用。SynthID-Text论文中的方法设计为无需再次使用模型即可完成验证。

一个简化版本能起到辅助作用。假设从密钥中衍生出三个函数G1、G2和G3，每个函数都会结合候选词、其周围的上下文以及密钥，为其分配一个0或1的伪随机值。将四个天气候选词分别代入这三个函数，每个候选词都会得到一个由三位组成的短签名。

接下来，候选词会像体育比赛一样通过淘汰赛制进行竞争。单词两两配对，每轮得分较高的单词得以晋级，若得分相同则由密钥来决定胜负。第一轮使用G1，第二轮使用G2，依此类推。由于淘汰赛制会不断奖励更高得分的单词，因此存活下来的单词通常在大多数函数上的得分都较高。在这个例子中，“grey”获胜并成为下一轮的单词。更换不同的密钥会导致所有特征值发生变化，从而让不同的单词获得冠军。

由于获胜者拥有更高的得分，经过处理后的带水印文本会略微偏向该密钥的模式，这一现象仅通过文本本身就能检测出来。

检测可疑文本

假设你在网上找到一段文字，想知道它是否由 Claude 撰写。利用密钥和相同的函数，你可以逐字分析文本，并统计每个单词在 G1、G2 和 G3 中的比特值总和。

带有水印的文本对应的数值通常较高，在这个尺度上可能约为 2.2，因为其选用的单词都具有较高的比特值。现在想象编辑者用猜测的词汇替换部分单词，比如将“today”换成“now”，或将“grey”换成“overcast”。这样的替换会忽略密钥的影响，使平均值下降，可能降至 1.7。设定一个介于两者之间的阈值，比如 2.0，即可区分不同情况：高于该阈值的文本很可能出自 Claude，低于则很可能不是。

什么因素会让识别变得更容易或更困难

有两个因素决定了检测的可靠性。

长度。 每一个词的选择都会留下痕迹，因此较长的文本会积累更多痕迹，从而得出更明确的结论。正因如此，检测工具会给出置信度或范围，而非简单的“是”或“否”。

熵值。 这是衡量模型拥有多少真实选择空间的指标。当多个后续词同样合适时，模型有空间偏向某个关键选项，从而留下相应痕迹；而当只有一种词符合条件时，模型便无法做出选择，也就不会留下痕迹。

规模更大、能力更强的模型通常对正确的下一个词更有把握，可选择的选项也就更少。通过人类反馈进行微调也会产生类似效果，使得模型每次几乎都选择相同的表达方式。生成设置同样重要：温度值接近零或候选词池范围过窄，都会让模型没有发挥空间。

准确度与成本

评估检测器的一个简单方法是其能捕获多少带水印的文本，同时误报率又有多低。研究人员将误报率控制在1％左右，然后统计实际检测出的带水印文本的比例。与各类别中最优秀的替代方案相比，SynthID-Text通过竞赛采样方法能发现更多带水印的文本。其在低熵文本检测方面优势最为明显，因为这类文本的可选特征极少，通常最难被检测出来。

其运行开销可以忽略不计。研究显示，不添加水印时每个生成标记的时间为15.527毫秒，而开启所有相关功能后则为15.615毫秒，仅多出约0.5％。随着模型规模的扩大，其成本基本保持不变，因此在较大规模下几乎可视为无影响。

这会影响写作质量吗？

在这一点上，证据最为充分，结论是否定的。《自然》杂志的研究团队在 Gemini 系统中进行了实时测试，将随机选取的部分真实查询路由到带水印的模型，其余则发送到普通模型，随后在约2000万条响应中对比了正面评价与负面评价的比例。正面评分的差异为0.01%，负面评分的差异为0.02%，两者在统计上均不显著，且都在95%的置信区间内。

在另一项独立的控制研究中，人们将带水印的答案与普通答案并列对比，从语法与连贯性、相关性、准确性、实用性以及整体质量等方面进行评分。这五项指标均无显著差异。困惑度测试及标准基准检测结果也一致，Anthropic 自行的 Claude 内部测试同样得出了相同结论。

检测到的水印意味着什么

这意味着从统计学上看，Claude很可能在某个阶段参与了该文本的生成。但它无法告诉你：

• 谁使用了Claude。该签名不包含任何用户、机构或聊天信息，且签名和密钥都无法追溯到具体个人。
• Claude是亲自撰写还是仅进行了编辑。对于检测器而言，初稿与大幅修改后的文本看起来并无区别。
• 是其他AI撰写的。不同的模型会使用不同的密钥或其他水印方法，因此没有与Claude密钥匹配并不代表文本是人为撰写的。
• 是人为撰写的。缺少水印并不能证明是人类所写，因为简短、事实性强的文本或经过大幅修改的文本都可能检测不出水印。

它并非不可破解。稍作修改可能仍能保持其完整性，但若在完全重写时替换所有内容，则会使其失效，此时问题就在于这样的结果是否还能被视为人工智能生成的文本。将这段文字交由其他模型进行改写也会削弱其特征信号。该论文本身也承认，针对生成式水印的窃取、伪造和清洗攻击仍在研究中。

为何是现在

各公司并非一时兴起才添加此功能，这是法律要求。Anthropic以及另外约190家机构在2026年7月签署了《欧盟人工智能生成内容透明度行为准则》，自2026年8月2日起，任何在欧盟市场提供人工智能文本的服务商都必须对此进行标注。Claude并无特殊之处，其他知名开发者也签署了同样的承诺，并正在使用自己的技术手段生成专属标记。Anthropic表示，由于目前还不存在区域性的切换方案，因此从产品发布起就在全球范围内应用水印技术，同时也在开发用于检测该水印的API。

值得注意的要点

迄今为止，对于“这是人工智能生成的吗？”这个问题的回答都来自通过风格特征进行猜测的工具，而这些工具会因过于工整的写作风格——无论是严谨正式的还是使用第二语言写的——而给出负面判断。水印技术则采用另一种方法：在文本生成时嵌入一个微弱、不可见且依赖密钥的模式，之后再对其进行检测。该技术的功能被刻意限制在较小范围内：它只能表明很可能涉及Claude，却无法确定具体使用者，也无法区分写作与编辑行为，更不能排除某人的嫌疑，而且一旦文本被完全重写就会失效。相比猜测，它更为诚实，但使用者也需要与之保持一致的真实态度。