水印长进了句子里：Claude 给文字装上隐形签名，而钥匙只有一把

先说结论

9 月 1 日，Anthropic 在一篇解释文档的末尾补了一行小字：检测 API 的信息已更新。事情不大，位置很关键——它补齐了 Claude 文本水印的最后一环：怎么埋、埋在哪、谁能读。8 月 2 日之后上线的 Claude 模型，输出从一开始就带着一种肉眼看不见的签名，写进每个词的挑选方式里。「这段话是不是 AI 写的」，第一次不靠贴在旁边的标签回答，而是靠藏在句子内部的统计结构。机制上，这是溯源工程的一次真落地；权力结构上，能读出答案的钥匙只有一把，在发行方手里。

事情是怎么发生的

时间线三步。8 月 2 日，欧盟 AI 法案的透明度义务正式适用：向欧盟市场提供服务的供应商，必须给 AI 生成内容做机器可读的标记；此前 7 月，Anthropic 和另外几家大厂、约 190 个签署方一起签了配套的透明度行为准则。8 月中，Anthropic 公开了做法：不加隐藏字符，不增加成本，只换随机数的来源——挑下一个词时，不再用任意的随机数，而是用「密钥加前文」来定落点。一句话里大量「选哪个都行」的低风险选择，整体上就留下一层只有持钥者能检出的模式。这条路直接来自 Google DeepMind 2024 年发在 Nature 的 SynID-Text，更早能追到 Scott Aaronson 2022 年的提案；Anthropic 也点明，其他签了同一份准则的大厂会各自实施自己的水印。关键一条：它不只给欧盟，Anthropic 明说全球生效，理由是「还没有按地区精确裁剪的可靠办法」。

批评来得也快。Gruber 那篇刷屏文的标题叫「对写作的扭曲」，火不在水印有没有用，而在「词是被谁挑的」这件事变了：他说自己错在相信 Anthropic 的保证——水印不会污染、败坏模型生成文本的语义；又说，除了使用者的需求之外还有别的东西参与「为我生成文字」，这无法容忍。

为什么重要

分两层。工程层面：标签会死。复制、粘贴、洗稿，贴在内容旁边的任何元数据都会在第一次转发时丢掉；水印长在载体里，轻度修改大概率去不掉，逐词重写才会消失——Anthropic 自己也补了一句：到那个程度，还能不能叫 AI 生成，本来就有争议。溯源第一次以「对文本本身动手术」的方式上了生产。

权力层面更要紧：这套体系里只有一把钥匙。检测 API 先开私测，发给欧盟法规下有义务的机构——监管者、执法、媒体、事实核查、独立研究者，再逐步放开。读者拿到的不是可以自己复核的证据，而是发行方开出的证词；公司既是被测者，又是唯一持尺人。政策层面吵了很久的「要不要透明」，落地时变成更具体的问题：由谁执行、给谁读。

站得住与站不住的地方

站得住的：路线有同行评议背书——SynID-Text 论文里，DeepMind 把带水印的模型服务一部分 Gemini 流量，点赞率没有统计显著差异；水印不含用户信息，追不到个人；边界也交代得坦白——它分不清「Claude 写的」和「Claude 深度改写的」，也认不出别家模型的文字。

站不住的有四条。一，「对质量没有实际影响」偷换了对象：统计上保住模型自己的分布，不等于保住写作者的措辞；请 Claude 校对你的稿子，回来的每处改动都带着别人的指纹。二，「无质量损失」只有持钥方能测，第三方无法复核，结论只能自证。三，它防君子不防小人：换一个没有水印的模型把文字改写一遍，指纹就没了；守规矩的人被标记，想绕的人绕得掉。四，一家公司应对欧盟的合规难题，成了全球所有用户的默认状态——布鲁塞尔效应这次直接写进了句子。

接下来该盯什么

三件事。一，检测 API 的发放名单会不会从「欧盟义务机构」扩大到平台和搜索引擎——那一刻，水印就从溯源工具变成排序权重，措辞差异变成流量差异。二，其他签了同一份准则的大厂怎么交卷：密钥各家自持，还是走向可互查的公共基础设施。三，第一批误伤案例——人写的文字被判成机器——什么时候出现，以及有没有第三方对「无质量损失」做独立检验。句子里的签名已经有了，真正悬着的是那把钥匙：谁来持，能信到什么程度。