Anthropic 与 Google 的水印计划如何将普通词语变成 AI 标签

Anthropic 已承诺在新的 Claude 模型中采用不可见文本水印，尽管其也承认，普通编辑就可能削弱或抹除这一信号。如今，Anthropic 与 Google 的对比变得重要，因为两家公司都在通过统计性的用词选择，回应日益增长的、要求 AI 来源可被机器识别的需求。

Anthropic 表示，其系统通过不影响实质内容的措辞选择来标记文本。Google 的 SynthID Text 同样会在模型生成回答时调整 token 概率。两种方法都不会插入可见标签、隐藏的 Unicode 字符，或永久性的所有权标记。

这一差异构成了核心矛盾。监管机构希望生成内容始终可被识别，但语言极易被改写、翻译、缩短，或与人类创作混合。一种水印可以协助进行来源核验，却无法证明一份文件究竟由谁实际撰写。

其出台时机与监管有关。欧盟《AI Act》第 50 条已于 2026 年 8 月 2 日起适用。其透明度条款要求提供商在技术可行的情况下，使生成内容能够以机器可读格式被检测。

对企业、开发者、出版机构和学生而言，这一问题的影响远不止 Claude 或 Gemini。统计标记可以随文本复制和粘贴而保留。不过，它也可能标记那些 AI 系统仅仅翻译、格式化或润色了人类原始内容的文件。

Anthropic 的新模型将在全球范围标记文本

Anthropic 正将水印视为模型层面的要求，而非仅面向欧洲用户的区域性功能。

该公司的标记指南称，新模型将在首次发布时便标记生成内容。Anthropic 会在这些模型所提供的所有市场采用这一做法，包括欧盟以外的市场。

这一覆盖范围意味着，该标记可能出现在 Claude 产品及其分发渠道中。它并不局限于从 Claude 网站复制的文本。通过 API 或云合作伙伴交付的输出，也可能携带相同的统计信号。

该政策覆盖 2026 年 8 月 2 日欧盟义务生效后发布的模型。Anthropic 还计划在截至 12 月 2 日的过渡期内，使符合条件的旧模型达到合规要求。

Anthropic 的文本水印与文件元数据不同。该信号通过公司所称的“不影响实质内容”的语言选择嵌入生成文本中。这些位置通常允许多个词语表达几乎相同的意思，而不会实质改变答案。

生成文件还会获得另一层来源信息。Anthropic 表示，受支持的图像，包括 SVG、PNG 和 JPG 文件，可携带基于 C2PA 内容溯源标准的签名元数据。

C2PA 凭证会记录兼容文件是如何被创建或编辑的信息。这些信息通过签名清单传播，而不是依靠纯文本所使用的统计模式。

采用不同方法反映了各种媒介的属性。图像包含大量可调整的像素，也可携带结构化元数据。纯文本则几乎没有可在不改变含义的情况下隐藏信息的位置。

Anthropic 的公告紧随欧盟透明度准则之后；后者是一项通过多利益相关方流程制定的自愿合规框架。该准则将提供商对内容进行标记的义务，与部署者进行可见标签标示的义务区分开来。

这种区分很重要。机器可读水印有助于软件检查输出内容，但并不会自动告知读者其中涉及 AI。出版商和其他部署者仍可能承担独立的披露义务。

第 50 条也并未规定，每一句由 AI 协助生成的文字都必须附带公开警示。该法律包含例外与区分，涉及编辑审核、公共利益内容、艺术作品以及发布责任等问题。

Anthropic 的实施范围比最低地域要求更广。全球一致的模型可以避免为欧洲和非欧洲请求维护不同的生成行为，也为下游开发者提供了一项可供记录的来源政策。

这种一致性也有代价。服务加拿大或美国用户的开发者，可能因底层模型遵循全球政策而收到带有标记的输出。用户所在地并不一定会移除这一信号。

因此，这一事件改变的不只是 Claude 的合规文档。它将来源信息纳入未来模型的常规生成路径，使欧盟的透明度规则成为一项全球产品行为。

Anthropic 与 Google 的文本水印如何利用词语选择

水印是一种分布于大量选择中的统计倾向，而不是隐藏在单个词语里的秘密信息。

语言模型一次生成一个 token。token 可以是词语、标点符号或词语片段，是模型作为生成单位处理的内容。

在每一步中，模型都会为可能的下一个 token 分配概率。当句子并不要求唯一准确答案时，多个候选项都可能合适。水印系统可依据某种秘密模式，优先选择特定候选项。

以一句关于会议的常规表述为例。模型可以在“however”“still”或“yet”之间选择，而不改变核心信息。大量微小选择能够在较长的回答中形成可检测的统计特征。

Anthropic 将其标记描述为基于不影响实质内容的词语。这种表述意味着，该系统瞄准的是替换后不应改变含义、事实准确性或有效细节的选择。

该公司尚未公开披露全部实现参数。因此，读者不应假定其检测器、密钥结构或评分阈值与 Google 的设计相同。

Google 对其自身方法的说明更为详细。Google SynthID text会在生成过程中修改 token 概率，并在检测时评估由此形成的模式。

Google 表示，其方法在更长、更多样化的回答中效果最佳。文章、脚本和不同版本的电子邮件草稿，会给模型带来许多在合理 token 之间进行选择的机会。

事实性提示则更具挑战。一道只有简短、准确答案的问题，几乎不给模型留下选择空间。改变关键词可能会降低回答准确性，因此安全水印可利用的选择更少。

同样的限制也适用于源代码、公式、引语、法律条款和标准化语言。当语法或精确措辞至关重要时，所谓不影响实质内容的替换也可能产生实质影响。

Google 在发表于 Nature 的研究中，对约 2,000 万条 Gemini 回应评估了 SynthID Text。研究人员比较了带水印与未带水印的生成结果，其中包括用户对回答质量的反馈。

由此产生的水印研究描述了一种非失真设计。在这一框架中，系统避免为无水印模型原本不可能选择的 token 分配概率。

这一特性有助于保持质量，但并不意味着信号不可破坏。Google 表示，裁剪、少量编辑和轻度改写仍可能保留一定可检测性；彻底改写或翻译则可能显著降低置信度。

Anthropic 也提出了类似警告。短文本可能不包含足够多的选择，令检测器无法达到可信水平。将带标记与未标记的段落混合，也可能稀释这一模式。

深度编辑带来了更根本的问题。统计水印依赖于被选择的序列。替换足够多的词语会形成不同序列，即便修改后的文件仍保留原始含义。

将文本复制到文字处理器本身不会移除信号。标记由词语本身体现，因此常规复制和粘贴会保留相关序列。

格式调整则更为复杂。移动段落可能保留许多局部模式，而大幅摘要可能将其丢弃。翻译会重新生成几乎每一个 token，并可能消除原始特征。

这一机制解释了为何不可见并不代表永久。它也解释了为何检测器返回的是具有置信度的证据，而不是发现一个无可争议的序列号。

因此，Anthropic 与 Google 的实际差异比新闻标题所暗示的更小。两种方法都依赖生成语言中的统计规律，也都面临可检测性、质量与抗编辑能力之间的同一矛盾。

Anthropic 与 Google 的比较本质上关乎合规

Anthropic 和 Google 正在向水印技术靠拢，因为监管如今会奖励可部署的来源追溯方案，即便这项技术仍不完善。

Google 于 2023 年为图像推出 SynthID，随后在 2024 年将其扩展至文本和视频。该公司后来开源了文本组件，使其他模型开发者也能将水印功能纳入生成管线。

2026 年 7 月，Google 签署了欧盟《AI 生成内容透明度行为准则》。其准则承诺强调了 SynthID、C2PA 以及支持互操作水印技术的合作伙伴关系。

Anthropic 此前采取了更为谨慎的公开立场。在 2023 年提交给美国政府的意见中，该公司称水印技术前景可期，但恶意行为者很容易将其击破。

该公司还警告，有害或误导性文本也可能获得有效标记。水印可以识别模型的参与，却无法证明由此生成的主张准确或安全。

这一早期评估并未失去意义。Anthropic 的 2026 年政策明确列出了限制，表明部署并不等同于相信水印可作为独立的问责体系。

改变的是合规环境。欧盟委员会表示，第 50 条义务通过标记、检测和标签要求，应对欺骗与操纵问题。

委员会已认可该透明度准则，将其视为证明合规的适当自愿路径。签署方可在欧盟成员国之间获得一个共同的实施框架。

选择其他路径的提供商仍可合规。不过，他们必须证明替代措施满足法律要求。这种个别评估可能带来更多不确定性和行政工作。

这使得技术上并不完美的水印在商业上仍具合理性。一种标准化、可记录的信号能够支持合规流程、平台集成和审计记录，即便它无法抵御每一次攻击。

主要对手并非作为竞争厂商的 Anthropic 与 Google，而是监管对持久识别的要求与语言可编辑本质之间的矛盾。

两家公司都可以改进检测器、密钥和生成方法。但谁也无法阻止用户用完全不同的文字表达同一种想法。

OpenAI 也已支持欧洲透明度准则，并表示希望将来源信号扩展至不同模态。这种广泛一致性加大了形成行业基线的压力。

如果主要服务商采用不同的文本标记方式，平台将面临集成难题。出版商、学校或企业可能需要为 Claude、Gemini、ChatGPT 以及规模较小的模型分别配置检测工具和政策。

互操作性可以减轻这一负担。但共享标准也会带来治理问题，包括检测器访问、密钥管理、阈值设置、申诉机制和独立测试。

开源模型则增加了另一层复杂性。分发方可以启用水印，但控制模型权重和推理软件的用户可以移除这一行为。

由于用户无法控制生成流程，封闭式服务能够更一致地实施标记。这种差异可能导致托管系统与自行运营系统面临不平等的合规预期。

此外还存在归因问题。可检测的标记能够识别某个模型家族是否参与，却无法揭示其背后的人类工作流程。

一名传播部门员工可能先起草新闻稿，再请 Claude 修正标点。一名翻译人员可能只用 Claude 处理其中一段。一名开发者可能只采纳一份更长生成回复中的几行代码。

仅靠检测无法还原这些决策。它无法判断人类是否审核了每一项主张，也无法判断文档的论点是否由模型提出。

因此，组织需要将工作流程记录与输出层面的信号结合起来。当作者身份至关重要时，结构化的知识管理流程可以保留来源、草稿、审批和修订历史。

水印只能填补这份记录中的一部分。它为调查人员提供另一条机器可读的线索，却不能替代有关提示词、编辑、人类审查或发布责任的文档。

检测到标记并不等于证明 AI 是作者

最大的风险并非水印总会失效，而是人们将一个不确定的信号视为决定性的结论。

Anthropic 警告称，带有标记的文本可能始于人类写作。如果 Claude 对一段文字进行校对、重新排版或翻译，返回的版本可能包含模型的统计特征。

这并不意味着 Claude 创作了其中的论点、研究或基础事实。它只意味着该模型参与了生成被检测的文本序列。

反向推断同样不成立。没有标记并不能证明文字由人类撰写。这段文字可能过短、经过大量编辑、被翻译过，或由未加标记的模型生成。

这些限制在学校和工作场所尤为重要，因为检测结果可能引发指控。概率性信号不应成为处分、解雇或认定抄袭的唯一依据。

这一问题与现有的 AI 写作分类器相似，但当服务商控制生成过程时，水印具有更坚实的技术基础。检测器可以测试被刻意嵌入的模式，而不是根据写作风格猜测。

即便如此，检测器仍必须在某一阈值下运行。设置严格阈值可能漏掉带标记的文本；降低阈值则可能增加针对未标记或人类创作内容的误报。

独立研究提供了保持谨慎的理由。2026 年 7 月的一篇预印本，依据一套拟议的取证就绪框架，评估了三种文本水印方法的实现。

其取证评估报告称，测试配置中存在较高的漏报率。研究人员还发现，其 SynthID 实现出现了误报和显著的不确定性。

这些结果不应被视为对 Anthropic 私有系统的直接审计。研究测试的是具有代表性的实现和特定实验设置，而非 Anthropic 的生产检测器。

但它们确实说明，为证明部署效果而提出的主张需要可复现的评估。性能取决于文本长度、语言、模型、水印强度、检测阈值、编辑情况，以及攻击者掌握的信息。

质量是另一个悬而未决的问题。Anthropic 表示它只会改变无关紧要的措辞，但措辞的重要性可能取决于具体语境。

一个适用于营销文案的同义词，可能会在合同中引入歧义。一处保留程序总体意图的 token 改动，仍可能导致编译失败或改变运行时行为。

模型可以避免为受约束的片段添加标记，但每一项例外都会减少可用信号。保护精确措辞的系统，必须从回复中其余可灵活调整的部分收集证据。

开发者会希望分别看到散文、源代码、结构化数据和混合文档的结果。单一的平均检测率会掩盖这些格式之间具有实际意义的差异。

多语言使用带来另一处压力点。翻译可能移除源文本水印；而直接以另一种语言生成内容，则需要对该语言的 tokenization 和语法进行充分测试。

这对全球性模型尤其重要。Anthropic 的全球推广将这项功能扩展至多种语言和书写体系，而不只是英文散文。

对手也有直接的应对办法。他们可以让另一个模型重写输出、进行两次翻译，或将其与无关文本混合。

没有任何水印公司声称单一信号能够阻止有明确动机的操作者。Google 明确表示，SynthID 并非旨在成为抵御坚定对手的完整防线。

这并不意味着水印毫无用处。许多安全控制措施并不能击败每一位攻击者，但能提高成本或支持日常识别。

垃圾邮件过滤器会漏掉部分邮件。防篡改元数据可能被剥离。认证系统可能遭遇钓鱼攻击。它们的价值来自分层使用、对局限的衡量，以及恰当的应对措施。

文本水印也应遵循同样的模式。平台可以将其与签名元数据、账户记录、可见披露、内容分析和人工调查结合使用。

企业还应将来源与真实性区分开来。带标记的段落可能包含准确信息，而未标记的人类段落也可能包含错误信息。

该标记只回答有关生成过程的狭窄问题。它无法验证引用、裁定版权归属或确立编辑责任。

这一界限必须在产品界面中保持清晰。检测器应报告置信度和局限性，而不是亮出醒目的红色声明，称软件“抓到”作者使用了 AI。

凡是决策会影响个人的地方，申诉机制都很重要。用户需要能够解释混合作者身份、翻译、无障碍辅助和编辑工作流程。

缺少这些保障，来源追踪技术可能制造一种新的虚假确定性。针对合成媒体的监管回应，届时反而会引入自身的信任问题。

Anthropic 水印推广后值得关注的事项

有三个信号将决定统计性文本标记会成为有用的基础设施，还是又一项脆弱的检测功能。

第一个信号是对 Anthropic 文本水印的独立测试。研究人员需要获得对检测工具、评估协议以及来自带标记模型的代表性样本的授权访问。

测试应报告不同回复长度、语言、代码、事实性回答、创意散文、翻译、摘要以及人机混合文档中的结果，也应公布误报率和漏报率。

若这些场景中都取得强劲结果，将支持 Anthropic 关于无关紧要的用词选择能提供有用信号的主张。若该功能在长篇英文散文之外表现不佳，其实际作用将受到限制。

第二个信号是 Anthropic、Google、OpenAI、平台与标准机构之间的互操作性。如果只有创建者能通过私有流程检测水印，其覆盖范围就会很有限。

安全的检测器访问需要取得艰难平衡。广泛访问有助于出版商和研究人员，但过于详细的披露可能帮助攻击者识别并移除信号。

市场需要一种可行的信任模型。获批准的验证方或许可以获得经过认证的检测服务，而无需获得生成过程中使用的秘密材料。

Google 围绕 SynthID 的合作伙伴关系指向更广泛的采用，而 C2PA 则为签名文件来源提供了互补框架。文本仍需要用于报告置信度和混合作者身份的惯例。

如果服务商发布兼容的输出和通用评估规则，第 50 条可以推动来源追踪成为基础设施。碎片化的私有检测器将削弱这一结果。

第三个信号是旧模型过渡期结束后的执法情况。服务商必须在 2026 年 12 月 2 日前，让符合条件的旧系统纳入新框架。

监管机构需要澄清“可检测”和“技术上可行”在实践中的含义。这些定义将决定薄弱的标记是否符合法律要求，或是否需要可衡量的韧性。

执法决定还将显示，主管部门如何对待开源模型、短回答、代码，以及基于第三方 API 构建的服务。每一种情况都挑战着以服务商为中心的简单规则。

Anthropic 与 Google 的趋同已经确立了一个重要方向。机器可读的来源追踪正在从自愿性安全研究，走向常规的产品架构。

尚未确定的是这种来源追踪的证据权重。可检测信号可以支持调查，但无法叙述一份文档的完整历史。

组织应在检测器成为常态前做好准备。他们需要制定政策，区分 AI 生成、AI 辅助、人类审查和最终编辑责任。

当归属会带来法律、学术或声誉后果时，他们应保留草稿和来源。他们也应禁止仅依据一项检测结果实施自动惩罚。

对日常用户而言，实际问题很简单：如果复制的 Claude 段落离开聊天后仍带有可检测信号，你会感到安心吗？

如果答案取决于具体语境，就记录该语境。保留人类草稿、核实主张、在需要时披露实质性生成内容，并将任何 Anthropic Google 水印视为证据，而非裁决。