Anthropic 详解Claude水印:AI生成内容将如何被"盖章"和检测？

“未来的 Claude 模型将生成包含水印的文本。”Anthropic 刚发了个说明文《Claude 文本水印是如何工作的》，详细解释了其运行方式。

据介绍，文本水印并不是在生成内容后偷偷往文本里塞入特殊字符，也不会改变文字内容，更不会增加 Token。

它真正改变的是模型生成每个词时所使用的“随机性来源”，即通过特定密钥，在大量看似无关紧要的词语选择中留下，只有检测方才能识别的统计模式。

这意味着，读者肉眼看不出一段文字有没有水印，使用成本和生成速度也基本不受影响，但拥有密钥的一方可以在事后计算“这段文字有多大概率由 Claude 参与生成”。

Anthropic 此次公开细节，还有一个直接原因，即欧盟《AI 法案》正在要求 AI 生成内容进行标记，而类似对 AI 内容标注的要求在全球范围内都是个趋势。Anthropic 的相关操作，应有其示范价值。

与此同时，这套方案也存在明显边界——短文本不容易检测，事实性很强的内容水印更少，轻度编辑可能无法完全去除，但彻底重写则可以绕过。

Anthropic 还特别解释了代码、翻译、AI 校对以及图片文件的处理方式，并透露很快将推出水印检测 API。

以下为 Anthropic 关于水印的说明文全文——

未来的 Claude 模型将生成包含水印的文本。这是一种判断 Claude 是否参与撰写某段文本的可能性的方法。

我们与其他几家主要 AI 服务商一样，正在实施这一变化，以遵守欧盟《AI 法案》（EU AI Act）。

在本文中，我们将回答一些收到的问题，包括我们选择的水印方法是如何工作的、它是否会影响 Claude 的输出，以及我们为什么要做出这一改变。

总结来说，

• 我们采用的水印方法不会对 Claude 输出的质量或内容产生任何实际影响；
• 对读者而言，带水印和不带水印的文本无法区分；
• 文本中不会增加任何内容，也不存在隐藏字符；
• 水印不需要额外 Token，因此不会增加成本；
• 水印不包含任何身份信息，也无法追溯到具体个人、组织或聊天；
• 水印并非 Claude 独有。截至8月2日，欧盟要求服务其市场的 AI 服务商对 AI 生成内容进行标记。其他主要模型开发商也签署了相同的《实践准则》（Code of Practice），并将实施各自的水印方案。

什么是水印？

Claude 这样的大型语言模型，是通过一次生成一个词来工作的。

每当模型决定下一个词时，它都会从一系列潜在候选词中进行选择，最终根据前面的文本，选择最合理或最可能的那个词。

比如这句话，“今天天气很冷，而且……”

下一个词几乎不可能是“甜的（sugary）”。但很可能是“阴沉的（overcast）”或者“灰暗的（grey）”。

在大多数情况下，对于读者而言，模型最终选择这两个词中的哪一个并没有太大区别——无论选择哪一个，这句话的含义基本相同。

在这种情况下，最终的选择由一个随机数决定。

水印利用的就是这类影响很小的选择——它们在一段生成文本中会发生很多次——从而在 Claude 的回答中留下某种模式。

这种模式对于读者来说无法察觉，但拥有编码该模式的密钥的人可以检测到它。

启用水印后，这些词语依然是随机选择的，但随机性的来源发生了变化。

过去，模型使用任意的随机数生成器来决定下一个词；加入水印后，则使用一个密钥以及前面出现的几个词，共同决定模型应该选择哪个词。

也就是说，Claude 选择的词仍然具有随机性，但现在，人们可以检查这些词语的排列顺序，看它是否符合 Claude 在使用特定密钥时所做出的选择。

如果符合，就可以据此计算这段文本由 Claude 生成的概率。

重要的是，并不是说模型现在会总是偏向选择“overcast”或者“grey”。

就像没有水印的文本一样，这一次可能选择“overcast”，下一次可能选择“grey”，具体取决于前面出现了哪些词。

同样，水印机制也不会迫使 Claude 选择一个它原本根本不会考虑的词。

例如，它不会让 Claude 选择“nubilous”——这是“overcast”或“grey”的一个生僻同义词，而 Claude 在正常情况下几乎肯定不会使用这个词。

水印会如何影响 Claude 的输出？

水印不会影响 Claude 输出的质量。

对于读者来说，一段带水印的回答与不带水印的回答无法区分。

在这一点上，AI 水印与钞票、其他实体物品以及一些数字文档上的水印有很大不同，后者通常可以直接用肉眼看到。

在内部测试中，我们没有发现水印对 Claude 文本的内容、创造力水平或可读性产生任何影响。

在介绍我们所采用技术的 SynthID-Text 论文中，Google DeepMind 也测试了水印的影响。他们让部分 Gemini 用户使用带水印的模型，并将其与普通模型的点赞和点踩评价进行比较。

结果显示，两者之间不存在具有统计显著性的差异。

在另一项受控研究中，让人类评测员将带水印和不带水印的回答并排比较，他们同样没有发现质量上的差异。

一个有用的类比是，想象你正在玩类似“大富翁”的游戏。

每一轮，每名玩家都会根据掷骰子的结果，随机向前移动若干格。

假设我们不再通过掷骰子获得随机数，而是改用一本记录圆周率 π 小数位数字的书。

我们随机选择一个起始位置，比如小数点后的第1,012,845位——恰好是数字6。之后，每名玩家都直接使用数字序列中的下一个数字，作为自己的下一次“掷骰”结果。

从实际效果来说，这些移动仍然是随机的。

对于玩家来说，随机性来自 π 还是来自每次掷骰子，并不会产生什么区别，也不会影响游戏结果。

但如果游戏结束后，我们能够看到所有移动的完整序列，同时又知道 π 的值，那么我们就可以判断，这场游戏是否很可能使用了 π 来决定移动。

在某种意义上，使用 π 的那场游戏就被“加上了水印”。

Claude 生成的文本也是如此。

水印不会改变读者阅读文本时的含义或体验，但如果你事后想判断这段文本是否很可能由 Claude 生成，水印就可以帮助你做到这一点。

你们具体使用哪一种水印方法？

Claude 的文本水印是 SynthID-Text 方法的一个版本。该方法由 Google DeepMind 提出，并于2024年发表在《Nature》论文中。

它属于一类可以追溯到 Scott Aaronson 2022年提出的方案的方法。这些方法都遵循我们前面介绍的相同设计原则：水印只改变模型在词语选择过程中所使用的随机性来源；水印的有效性存在一些限制。

利用我们的密钥，我们只能回答这样一个问题，“这段文本有多大可能部分由 Claude 撰写？”

它无法确认文本是否由人类撰写，也无法判断文本是否由其他 AI 撰写。

即使另一个 AI 也使用水印，它也会使用不同的密钥；甚至可能完全采用不同的水印方法。

此外，在很小的文本样本上，水印检测的效果也不好，因为可供分析的词语选择更少，因此能够利用的信息也更少。

随着文本长度增加，对 Claude 是否参与其中的判断信心也会提高。

对于事实性较强的文本，水印会更加稀疏，因为这类文本中可以在不降低准确性的情况下进行自由选择的空间更少。

例如，“艾萨克·牛顿最著名的作品名为《Principia》……”

下一个词到底应该是什么非常明确——“Mathematica”才是唯一正确答案。因此，水印没有什么可以利用的空间。

校对也是如此。

如果你把一段文字交给 Claude，并要求它只修改语法和标点，其他任何内容都不要改，那么水印只能存在于少数几个修改之处，而这些修改可能太少，无法被检测出来。

如果 Claude 校对或编辑了人类写的文本呢？水印只适用于 Claude 自己选择的词。

当 Claude 校对一个人写的文本时，它返回的内容通常只是经过轻微编辑。因为绝大多数词都是原作者写的，所以几乎没有什么内容可以附着水印。

根据文本长度以及 Claude 编辑的程度，这些修改可能不足以让人检测出 Claude 的参与。

Claude 写得越多，它需要做出的选择就越多，能够留下水印的空间也就越大。

代码呢？

正如前面所说，AI 水印利用的是这样一种选择：两个词中的任意一个都同样合理。

但如果要求输出必须精确——也就是说不存在真正的选择空间，换一个词就会导致事实错误，或者导致代码无法运行——水印就不会应用。

例如，当模型已经写下：“2 + 2 =”

那么下一个 Token 显然应该是“4”。

如果模型是在计算这个算式，就不存在一个与“4”同样合理的答案；如果它讨论的是乔治·奥威尔的《1984》，那么同样不存在一个与“5”同样合理的答案。

因此，水印在这里不会进行这种“轻微推动”（nudge）。

出于同样原因，代码通常必须精确，因此相比其他一些文本形式，代码中的水印通常更少。

不过，在代码内部存在某些任意选择的地方，水印仍然可以发挥作用，例如代码注释。

但按照定义，它对实际生成的代码本身不会产生显著影响。

这对用户意味着什么？

会让模型变慢或者变得更贵吗？不会。

水印对模型速度的影响可以忽略不计，而且由于它不会产生额外 Token，因此模型的调用和使用价格不会发生变化。

水印能追溯到我或者我的组织吗？不能。

水印针对的是 Claude 及其输出，而不是个人用户。

水印本身以及它所使用的密钥中，都不存在能够让任何人获取用户、用户所在组织或用户与 Claude 聊天信息的内容。

为什么要给 Claude 的输出添加水印？

我们实施水印，是为了遵守欧盟《AI 法案》。

Anthropic 与其他几家主要 AI 模型服务商，以及总计约190个签署方，在2026年7月签署了欧盟《关于 AI 生成内容透明度的实践准则》（EU Code of Practice on Transparency of AI-Generated Content）。

该准则要求 AI 系统提供商采用对 AI 生成文本进行“标记”的方法。

我们计划在全球范围内上线时都启用水印，因为目前还没有一种可靠、持久的方法能够按照地区对其进行限制。

不过，我们会继续评估不同方案，并在有新的进展时与大家分享。

其他问题

如何检查一段文本是否由 Claude 撰写？我们很快将提供一个水印检测 API。

目前我们正在确定其具体实现方式。

图片和其他文件怎么办？当 Claude 生成受支持类型的文件，例如 .png、.jpg 或 .svg 时，它会在文件元数据中附加一份内容凭证。

这是一条经过加密签名的小型信息，用于说明该文件由 Claude 制作或经过 Claude 处理。

它采用一种开放的行业标准 C2PA——相机厂商和照片编辑软件也使用这一标准来记录图像的来源。

任何支持 C2PA 的工具都可以读取这项信息；我们也将提供自己的工具，用户可以上传文件并进行检查。

这种元数据标签与水印有很大不同。文件本身不会发生任何改变，它既没有被嵌入到文件内容中，也不是隐藏信息。

与文本水印一样，这份凭证只说明 Claude 曾参与制作或处理该文件，不包含任何身份信息。

只要编辑一下文本，不就能绕过水印了吗？某种程度上，是的。

轻度编辑可能无法完全去除水印；但如果进行彻底重写，把每一个词都替换掉，就可以去除水印。

当然，在这种情况下，这段文本是否还能被称为“AI 生成”，本身就值得讨论。

水印究竟能证明什么？水印只能判断，Claude 很可能曾在某个阶段参与了这段内容的生成或处理。

它无法区分“这是 Claude 写的”和“这是 Claude 大幅编辑的”。

翻译也会有水印吗？会。

由 Claude 生成的翻译也会携带水印，因为在这种情况下，每一个词都是由 Claude 选择的。

更早版本的 Claude 模型呢？欧盟法律针对2026年8月2日之前发布的 Anthropic 模型设置了过渡期。

我们也正在努力为这些模型增加水印功能，并将在未来几个月逐步推出。

这与 Pangram 这样的 AI 检测软件有什么区别？

AI 检测软件使用的是另一种方法，因为提供这些服务的公司并没有我们的密钥。

其中一种方法，是分析文本中的一些细微甚至明显的“特征”，也就是 AI 在措辞中经常留下的痕迹。

例如，AI 模型似乎很喜欢使用，“这不是 [X]，而是 [Y]”

这样的句式，同时也比人们预期更多地使用“quietly（悄然地）”这个词。

捕捉这些模式，与检测水印是完全不同的方法。

这会改变某项输出的所有权，或者谁需要承担法律责任吗？不会。

水印只能帮助判断 Claude 是否可能生成或处理过相关内容。

它不会说明所有权或作者身份，也不会改变用户根据我们的服务条款所拥有的权利。只有当 Claude 参与处理相关内容或文件时，我们才会应用水印。