每一段 Claude 文本都带着隐形水印——能验的人，不是写它的，也不是读它的

先说结论

8 月中旬，Anthropic 宣布了一件没有开发布会、但分量不轻的事：今后新发布的 Claude 模型，写出的每一段文本，都会带上一层看不见的水印。不是欧洲用户专属，是全球默认；没有开关，也不问你。

这件事表面上是「合规」，内核是另一个问题：「这段字是谁写的」，由谁来验？ Anthropic 给出的答案是——写的人验不了，读的人也验不了，钥匙在一个受控名单上的机构手里。

事情是怎么发生的

先把机制说清楚。这套水印是 Google DeepMind SynthID-Text 的一个变体——那项技术 2024 年发表在《自然》上，思想源头可以追到 Scott Aaronson 2022 年的提案。它利用的是语言模型生成时的「低风险选择」：很多位置上，几个词同样通顺，选哪个都行。水印做的事，就是在这类位置上，用一把只有 Anthropic 掌握的密钥、加上最近的上下文，把「随机选」变成「按统计规律选」。读者看不出差别，不多生成一个字，也不塞隐藏字符；但持钥者可以算出一段文本出自 Claude 的可能性。

为什么全球默认？Anthropic 的理由很直白：他们没有可靠办法把水印按地区切开。欧盟 AI 法案第 50 条要求对 AI 生成内容做机器可读的标注；今年 7 月，约 190 家机构签了欧盟的透明实践准则，Anthropic 是其中之一。技术上切不开，就全世界一起打：8 月 2 日之后发布的模型直接带水印，旧模型未来几个月陆续加上。

检测端是另一回事。检测 API 目前是私密预览，面向「在欧盟法律下有义务的机构」：监管者、执法部门、媒体、事实核查组织、研究者。普通写作者和普通读者，都不在名单上。

为什么重要

第一，文本是最后一块没有「出处基础设施」的媒介。图像有 C2PA 这类内容凭证，音视频有自己的水印方案；文本因为太容易被改写，一直被认为做不了。现在，前沿实验室用「统计痕迹 + 私钥」把这块补上了——补的方式，是把验证权集中到少数人手里。

第二，它制造了一批此前没有身份的人：用 AI 改稿的人。Anthropic 自己的说明写得很诚实——水印只附着在 Claude 自己选的词上，所以它区分不了「AI 写的全文」和「AI 改了一个逗号」。一个人自己写的文章，让 AI 润色一遍，就带上了可检测的统计痕迹，而且这痕迹会跟着复制粘贴走。反过来，把 AI 稿子整个重写一遍，痕迹又能洗掉。也就是说，它既证明不了「是 AI 写的」，也证明不了「是人写的」。

第三，一条区域法规，因为「技术上切不开」，变成了全球默认设置。这不是某家公司的小决定：主流实验室大多签了同一份准则，行业正在朝同一个方向走——AI 内容的标注，从「在输出上贴标签」下沉到「在生成时就写进统计结构里」。

站得住与站不住的地方

站得住的：技术方案是认真的。非失真设计有《自然》论文和 DeepMind 的用户研究背书；水印里不含任何用户或组织信息，不构成一张监控数据库；Anthropic 的说明页把局限一条条列了出来——只有可能性没有确定性、短文本信号弱、重写可破解。这种「自己先把自己拆穿」的写法，在同类公告里少见。

站不住的，有三层。第一，误伤问题无解：用 Claude 改自己文章的人，产出会被打上「疑似 AI」，而他们没有任何自查手段。研究者 Arvind Narayanan 的判断很直接——这套设计是在用大量误报换性能损失。第二，验证权不对称：被标记的每一方都无法自证清白，能出具有效判断的只有持钥机构。出处验证本该是一种公共能力，现在成了一种带准入门槛的服务。第三，它几乎帮不到它名义上要解决的问题。《自然》采访的研究者普遍怀疑水印挡不住刷屏的 AI 垃圾内容：愿意洗稿的人不怕水印，被误伤的恰恰是不想隐瞒的人。科技评论人 John Gruber 说得更狠，直接把这叫「文本掺假」——给所有输出做统计层面的改动，「写」这个动作本身被掺了东西。

接下来该盯什么

一是检测 API 的准入名单怎么走：平台会不会接入，写作者能不能查自己的文本，门槛和价格定在哪。二是第一起有记录的「人类被误判」案例——学生、记者或译者因为 AI 润色被认定代写，这类事件会把「概率证据」的分量真正压上法庭。三是去水印工具的出现速度，这个可以当成行业诚实度指标来看。最后一条最关键：现有这套水印语言里，「AI 辅助但人写」这个状态根本不存在，读数只有「像」和「不像」。什么时候它能表达「改了多少」，什么时候它才配得上「透明」这个词。