Claude 输出中的统计文本水印与 C2PA 凭证对比
了解 Claude 基于 SynthID 的文本水印与 C2PA 文件凭证的运作原理，哪些检测工具能够起到验证作用，以及如何判断那些声称可以去除这些水印和凭证的工具。
来源: Claude Watermarks Explained: How They Work, What They Reveal, and What You Can Remove
将 Claude 的回复粘贴到纯文本编辑器中，更换字体并去除格式后，该段落就会看起来和其他普通文本没什么两样。能否去除水印完全取决于原本存在的是何种标记——偶发的格式残留、经过加密签名的文件凭证，以及嵌入在文字中的统计模式，这是三种互不相关的机制；某个工具或许能消除其中一种，而对其他两种毫无影响，也不会给出相关说明。本文将解释每种机制的运作原理、检测工具能得出什么结论、不能得出什么结论，以及编辑和重写如何影响这些信号，还会介绍在信任任何“水印去除工具”或“AI检测工具”之前应询问的问题。此处的产品详情基于2026年9月的公开文档，具体信息请以链接页面为准。
Anthropic 公开确认的内容
Anthropic表示，Claude的文本水印技术是基于谷歌DeepMind开发的SynthID-Text经过改进后的版本。该技术改变了文本生成过程中随机性的应用方式，以便日后能够检测统计模式。Anthropic明确指出并未插入任何隐藏字符。其技术说明于2026年8月14日发布，并在9月1日进行了修订。
根据 Claude 帮助中心关于内容标记的文章，Fable 5.1 和 Mythos 5.1 是受支持的模型。2026年8月2日及之后发布的模型从一开始就支持标记功能，而更早版本的覆盖范围仍在逐步扩展中。对于受支持的模型，标记功能可在所有地区的 Claude 应用、API、编程工具及云服务合作伙伴中使用，不过具体的文件标记功能可能有所不同。
这些细节很容易被忽略。声称“所有 Claude 文本”都带有水印的说法混淆了不同模型代际之间的差异，而早期将检测功能描述为“即将推出”的说法，则早于下文提到的内部预览版本。
普通文字如何传递隐藏信号
语言模型会生成标记单元，这些单元可以是完整单词、单词片段或其他文本片段。在每一步中，模型都会对可能的下一个标记单元给出概率分布，然后从中随机选取一个。
据相关团队介绍，水印技术正是在这个随机选取阶段实现的。该信号源自模型所做的选择模式，而非事后添加的标签。
简化示意图
以“该团队将此次发射描述为”开头的句子为例，其后可以接多种结尾，如“前景广阔的”、“令人鼓舞的”或“成功的”。这些词并非完全同义，而且这也不是任何模型生成的真实概率表；重点只是自然语言常常让模型面临真正的选择。
Anthropic的解释称，会利用密钥与前置文本结合来影响这类选择背后的随机性。但这并不意味着Claude会系统性地偏好某个形容词。这种偏向取决于上下文，只有当其在整段文字中不断累积时才能被察觉。
一个类比有助于理解。想象有两个人在城市中行走，都会选择合理的路线。一个人凭直觉做决定；另一个人则在遇到两条或更多条看似同样好的路线时，始终遵循一条隐秘且一致的规则。观察某一个转弯点无法揭示任何信息，但若了解该规则并观察数百个转弯点，就能发现其中的规律。实际的生成过程涉及的概率远比简单的街道网格复杂，因此应将此视为对累积证据的直观理解，而非对SynthID实现方式的描述。
研究结果
经过同行评审的SynthID-Text研究于2024年10月以《自然》杂志论文的形式发表，该研究提出了一种无需重新训练模型即可修改采样数据的方法。文中包含了基准测试结果、人类偏好对比以及涵盖近2000万个Gemini响应的实时实验。这些发现描述的是论文中研究的系统，并非对所有Claude模型的独立评估。
三种被称为“Claude水印”的不同事物
在信任任何检测工具之前，先弄清楚它实际上检查的是哪一种。
统计文本水印
这就是之前提到的采样阶段信号。要检测它，需要专门为此设计的检测器，并且要能够访问相关的配置信息。通过扫描文本中的异常 Unicode 字符根本无法检测到这一信号。
复制粘贴与格式痕迹
粘贴的文本可能会带来一些“隐形负担”：例如不可断开的空格、零宽字符，或是残留的 HTML 属性，比如标明来源应用的类名。这些都可以直接查看：可以通过十六进制视图或几行代码来识别它们。删除这些内容确实属于必要的清理工作，但需谨慎解读。这些隐形字符往往有其实际用途；比如零宽连接符就是构成某些表情符号以及正确显示特定文字所必需的。而破折号或弯引号之类的排版元素也不能作为人工智能创作的证据。
C2PA 内容凭证
这些是附在文件上的带签名来源记录。它们所回答的问题与统计文本检测器完全不同，相关内容将在下文中单独介绍。
对任何工具而言，都有一个简单的验证方法：让它说明自己找到的证据是什么。“在这些位置有三个不可断开的空格”是一种具体的观察结果；而“肯定是Claude写的”则是一个远为复杂的断言，该观察结果无法为其提供支持。
检测技术能证明什么，又不能证明什么
在推出新款模型时，Anthropic 同时宣布，其文本检测API目前仅以私有预览形式提供，仅向研究人员、媒体机构、教育单位、监管部门及部分企业等符合条件的组织开放。这与任何人都能使用的公共检测工具不同。
结果为概率值，而非最终判定
正如 Google 在为使用 SynthID 的开发者所写的说明中明确指出的那样，检测本质上具有概率性。其参考检测器会给出三种结果之一：带有水印、未带水印或无法确定，而所设定的阈值是在误报和漏报之间进行权衡。这些概念有助于理解一般的检测机制，但并非对 Anthropic API 返回结果的正式描述。
同样的文档还强调水印配置必须保密。因此，仅靠开源的水印代码并不足以让无关网站验证 Claude 的水印。任何声称能够做到这一点的第三方网站都应被询问其具体方法。
水印检测器并非 AI 写作分类器
通用分类器用于判断文本是否与其训练时所用的类别相似。而水印检测器则旨在找出有人刻意嵌入的信号痕迹。这两种工具生成的分数含义不同，也无法互相替代。
作者身份并非仅由信号决定
设想这样一种情况：某位作者先构思论点、进行研究并撰写初稿，然后让人工智能帮忙重写其中几段。这些段落出现的阳性信号并不能说明这些观点的真正来源。反之，阴性结果也无法还原文档的生成过程。编辑和教育工作者应将检测结果视为众多参考信息之一，在将概率性结论转化为指控之前，还需了解草稿内容、资料来源、修改记录以及相关规则。
C2PA：属于文件本身的溯源信息
Anthropic 提供了一款免费的基于浏览器的检测工具，用于在文件中查找由 Claude 发放的内容凭证。该公司称该工具会在用户的浏览器中本地运行，并明确表示不会对文本进行统计水印检测。
由 Claude 发放的凭证可以证明该文件是由 Claude 创建或处理的。该检测工具的文档中将 PNG、JPEG 和 SVG 列为可能携带凭证的生成格式示例。需要注意的是：即使某种格式被该检测工具接受，也不能保证每个 Claude 工作流都会以带有凭证的格式输出文件。
C2PA本身是一种为内容添加来源历史记录的标准，允许任何人确认该历史记录的完整性；其概述文档提供了易于理解的介绍。该标准还明确指出：来源信息并不能说明内容的真实性。虽然有记录表明某张图片经过了特定工具处理，但这无法证明其旁边的说明文字是否准确。
元数据也可能被有意删除，或通过重新编码、截图等常规处理方式丢失。因此，缺少某些认证信息并不能证明文件并非由人工智能生成，元数据清理工具应当说明它修改了哪些字段，而非擅自断定文件的来源。
编辑和重写对各项信号的影响
每种修改都会影响文档的不同层面：
- 更改字体仅会改变呈现效果。
- 移除HTML类则会改变标记结构。
- 规范空格格式会改变单个字符。
- 重写段落则会改变语言本身，而统计水印就存在于语言中。
据谷歌称，文本中的SynthID信号通常能够抵御部分裁剪、轻微编辑和简单改写，但大规模重写或翻译会降低检测的准确性。这体现了该技术的局限性；并不能保证任何特定的重写服务都能使其失效。
简短或受限的回答同样减少了添加水印的空间。谷歌的开发者指南指出，事实性回复在保持准确性的前提下很难进行调整，因此这类文本中的信号从一开始就较弱。
客观评估重写结果
将两个常被混为一谈的问题区分开来会有所帮助。
- 文本质量可以由你自己判断。重写后的内容是否更改了日期、省略了限定词、将可能性变成了确定性，或是歪曲了引文？
- 水印检测能力则需要合适的验证工具和明确的测试流程。流畅的重写内容以及令人安心的绿色对勾并不能替代这种检测。
尤其需要指出的是，通用AI分类器给出的较低分数并不能说明Claude的独立水印检测器的性能如何。
水印能否识别用户？
Anthropic声称该水印不包含任何能够识别用户、机构或对话内容的信息，并在9月的模型发布声明中再次强调了这一点。但这一说法过于狭隘——它并不能使文本匿名：文本中的姓名、电子邮件地址、个人经历等其他细节依然可能用于识别某人。
在将草稿粘贴到任何服务中之前，包括那些用于检查或清理的内容的服务，都要先了解该服务会接收什么数据以及如何处理这些数据。水印的设计方式与第三方服务对文本的处理方式是两个不同的问题。
为何现在会出现标记功能
推动这一规定的因素是《欧盟人工智能法案》中的透明度条款。根据欧洲委员会的解读，第50条规定的义务于2026年8月2日生效，同时附带了关于哪些系统适用以及何种过渡期安排的常规限制。委员会发布的透明度行为准则常见问题解答将服务提供方的标记要求与对已发布内容进行标注的义务区分开来。
该准则提供了一种自愿遵守规定的方式。它既不是法律本身，也不要求所有服务提供方都必须使用相同的算法。实际后果是，“人工智能水印”将逐渐涵盖多种不同的实现方式，不能假设某一家服务提供方的某种方法、密钥、检测工具或认证机制在另一家服务提供方那里也能适用。
检查或清理内容的正当理由
暂且不谈作者身份的问题，从工程角度而言，处理这些字符层也有其必要性。开发者可能需要查明为何粘贴的字符串会导致解析器出错或字符串比较失败，而这往往是由于存在不间断字符或零宽字符所致。编写文档的人可能希望清理格式或改进生硬的表达方式。而发布图片的人则可能在决定保留哪些元数据之前，先查看图片中包含的认证信息。
每一项任务都是具体的工作，都需要详细记录究竟修改了什么内容。如果使用任何清理或重写工具，请保留原始文件，对比输出结果，并检查重写内容的准确性与合理性。盲目删除分隔符及其他不可见字符可能会破坏某些语言中的合法文本，还会导致特定表情符号无法显示，因此务必在了解操作后果后才能选择执行相应操作。
给所有水印去除工具或检测工具的四个问题
不要仅凭产品名称或营销宣传来决策，而应询问：
- 它究竟检测什么信号？
- 它会修改什么内容？
- 它是否会用对应的检测工具检查自己的输出，而且是否有能力获取这样的检测工具？
- 有哪些结论是它无法确定的？
这些标准同样适用于独立工具、官方检测工具以及您自行开发的任何工具。
核心要点
- Claude的文本水印其实是令牌采样过程中的统计偏差，具有关键依赖性和上下文相关性；其中并不包含任何隐藏字符。
- 格式痕迹、统计水印以及C2PA凭证属于不同的层次，去除其中一种并不能说明其他类型的水印已被清除。