Anthropic 与 Google 的水印竞赛：Claude 为文本加标记，但证据变得棘手

Anthropic 已承诺在新 Claude 模型中加入不可见文本水印，但这一标记存在局限，无法证明一份文档究竟由谁撰写。该公司表示，自 2026 年 8 月 2 日起在欧盟推出的受支持模型，将从发布之初便为其输出添加标记。这项政策让 Anthropic 与 Google 的水印竞赛成为一次检验：AI 内容溯源能否在受控演示之外真正发挥作用。

这一变化是对欧盟《AI 法案》第 50 条的回应。该条要求提供商在技术可行时，使生成的文本和媒体具备机器可读性并可被检测。Anthropic 计划在所有提供受支持 Claude 模型的地区应用其标记系统，而不只是在欧洲。

Google 提供了最清晰的对照。其 SynthID 系统已通过调整 token 选择，在 Gemini 文本中嵌入统计信号。Anthropic 对自身算法、检测器和错误率披露得较少。因此，其政策作出了明确的合规承诺，却尚未提供足够的公开证据来评估实际效果。

Anthropic 正在如何改变 Claude 的内部机制

Anthropic 正将 AI 身份识别纳入生成过程：水印可在常规复制中保留，但仍容易受到较大改动影响。

当受支持的 Claude 模型生成文本时，它会将 Anthropic 所称的不可察觉水印编织进回复中。该标记存在于生成语言的模式之中，而非可见标签或可移除的文件属性。

Anthropic 尚未公开记录其具体的统计方法。不过，这类生成式水印通常会影响模型在选择每个 token 时作出的决定。Token 是语言模型作为一个单位处理的单词、词语片段或符号。

该系统可在长篇文本中偏向某些特定的有效选择。检测器随后会寻找由此形成的模式。没有任何一个单词能单独暴露水印，但只要保留了足够完整的文本，序列就能提供统计信号。

这一区别解释了为何将回复复制到电子邮件或文档中，不应立即移除水印。该信号随语言本身传播，并不依赖隐藏的 Unicode 字符、文档标题或原始 Claude 界面。

Anthropic 还对文件采取了不同的方法。根据其已发布的合规说明，生成的媒体文件将携带经签名的溯源信息。溯源元数据会记录资产来源，以及其在签名后是否发生变化。

这两种方法应对的是不同的失效模式。有人复制文本时，普通元数据会丢失；统计标记可以在这一操作中保留。图像和其他文件则保留更多结构，因此可通过加密凭证描述其来源和编辑历史。

此次推出存在一项重要边界：它立即适用于 2026 年 8 月 2 日或之后在欧盟推出的受支持 Claude 模型。较早的模型将获得过渡期，其中 12 月 2 日被确定为旧系统的合规截止日期。

这并不意味着所有历史 Claude 回复会突然包含水印。标记必须在生成过程中加入。在模型支持该系统之前生成的文本，无法追溯性地获得这种嵌入式模式。

这也不意味着每一项当前 Claude 输出都能产生可靠的检测结果。简短回答包含的 token 选择较少，为统计模式留下的空间也更小。高度受限的文本可能面临同样的问题，因为模型可选的合理替代方案更少。

最具影响力的部分在于其全球范围。Anthropic 表示，受支持模型的标记将适用于 Claude 可用的所有地区。因此，一项欧洲透明度义务将影响北美及其他市场用户收到的输出。

这一选择减少了维持不同地区行为的运营负担，也防止用户通过将请求转至非欧洲服务地点来绕过标记。然而，它也让有关检测和归属的未解问题与每一位 Claude 客户息息相关。

为什么欧盟促成了这一时间表

这项政策并非一场旨在改善标签的自愿实验，而是 Anthropic 对一项于 2026 年 8 月 2 日开始适用的法律义务所作出的回应。

欧盟的 第 50 条规则 要求，生成合成文本、图像、音频或视频的系统提供商以机器可读格式标记其输出。该标记还必须使材料能够被识别为人工生成或篡改。

法律对这项义务作出了限定。技术措施必须在技术可行的范围内有效、可互操作、可靠且稳健。监管机构还必须考虑内容特征、实施成本和公认的技术水平。

这一措辞对文本尤为重要，因为没有任何已知水印能在所有转换后存活。用户可以缩短、翻译、改写回复，或将其与其他写作内容结合。每项操作都可能削弱检测器可获得的统计证据。

法律也排除了一些辅助性用途。未实质改变用户输入或其含义的常规编辑，不属于提供商义务的范围。不过，模型层面的系统并不总能知道下游文档将如何根据该例外被分类。

欧洲的 透明度准则 为企业提供了共同的合规框架。参与是自愿的，但第 50 条的基础义务仍是法律义务。签署方可以依靠准则中的措施，证明其在欧盟成员国范围内的合规情况。

这一结构鼓励主要模型提供商在兼容的标记与检测实践上趋同，但并不要求它们使用完全相同的算法。Anthropic、Google、OpenAI 和其他公司仍可以作出不同的技术选择。

该准则将责任划分给提供商和部署者。提供商必须标记输出并支持检测。部署者则必须披露某些深度伪造内容和涉及公共利益的文本，但受人工审查和编辑责任相关例外的约束。

这种划分将在出版和企业传播中产生重要影响。模型提供商可以在文本中置入信号，但发布这些文本的组织仍决定如何审查和标注。水印无法取代编辑流程。

设想一个传播团队要求 Claude 重组一份由人类撰写的公告。即便所有事实主张都由人提供，生成的文本仍可能携带 Claude 信号。检测能够证明模型参与，而非证明底层观点的作者身份。

相反的问题同样存在。一个人可以要求 Claude 撰写整份声明，随后进行大量改写或翻译。最终版本可能不再产生有把握的检测结果。没有标记并不能证明其为人类创作。

这使得内容溯源成为负责任 AI 工作流 的一个组成部分。组织仍需要审查记录、源材料、审批流程，以及对已发布主张的明确责任归属。

因此，Anthropic 的全球推出服务于两个目标：它为受支持模型建立统一的运营标准，也为企业客户提供跨地区一致的信号。维持这种一致性的代价是，欧洲以外的用户同样承继这些模糊之处。

Anthropic 与 Google 的分歧关乎证据

Anthropic 与 Google 的比较并不在于文本是否应携带信号，而在于各家公司为评估该信号公开了多少证据。

Google 已解释过 SynthID 水印 的基本运作方式。对于文本，SynthID 会在模型选择下一个 token 时调整概率分数。这些受控调整形成一种模式，Google 的检测器随后可以寻找该模式。

模型仍会选择在语境中恰当的语言。水印影响的是合理替代方案之间的选择，而不是在生成后添加可见标识符。读者不应能通过查看特定词语察觉这种模式。

Google 还发布了描述大规模部署的研究。其经过同行评审的 水印研究 评估了一种非失真版本的 SynthID-Text，旨在在单次回复层面保留原始模型的分布。

研究人员通过约 2,000 万次 Gemini 交互测试了该系统。他们报告称，在用户反馈、困惑度测量或标准能力基准中，均未发现显著的质量损失。

该论文还量化了一个实验设置中的生产开销。Gemma 7B 模型在未采用所测试水印配置时，每个 token 需 15.527 毫秒；采用后则为 15.615 毫秒，相当于延迟增加 0.57%。

这些数字并不能证明 Anthropic 的方法表现如何。Claude 可能采用不同的采样设计、检测器、密钥系统或置信度阈值。这一比较所展示的，是 Google 方法所具备的证据水平。

Anthropic 表示，其水印将不可察觉，且不会降低文本质量。在发布技术文档或独立评估之前，这仍只是公司的说法。该公告未说明公开的检测率、误报阈值或基准测试结果。

这一证据缺口至关重要，因为水印始终涉及政策选择。检测器可以在返回匹配结果前要求更强的信号，从而减少错误指控，但也会漏掉更多确实由 Claude 生成的文本。它也可以降低阈值，在接受更多误报的同时检测出更多带标记的文本。

文本长度同样会改变这一等式。一份长报告提供许多可携带信号的 token 决策；标题、代码片段或简短事实回答则提供较少观察值。负责任的检测器有时必须不给出结论。

Google 已发布的研究通过选择性预测说明了这种克制。当证据不足时，检测器可以选择弃权。在一项评估中，研究人员将其配置为：对获得预测结果的样本，实现 95% 的真正例率和 1% 的假正例率。

这些数字取决于所测试的模型、文本长度、生成设置和评估数据，并非普遍保证。它们也说明了为何检测器不应将复杂评分简化为缺乏依据的作者身份声明。

因此，Anthropic 与 Google 之间的差异是透明度缺口，而不一定是能力缺口。Anthropic 已宣布部署条款并承认局限性；Google 则披露了更多关于其系统机制、评估设计和生产证据的信息。

这种差异促使 Anthropic 在组织依赖 Claude 检测作出重要决策之前发布文档。客户需要了解哪些模型带有标记、检测器需要多少文本，以及其输出所代表的置信度水平。

Google 同样面临压力。一种开放的技术方法并不能建立一个普适的内容溯源网络。SynthID 可以识别采用兼容标记的参与系统，但无法为所有模型提供商或本地部署生成的文本加上标签。

两种方法都无法回答更广泛的作者归属问题。水印可以表明某个模型参与了某段文字的生成，但无法判断是谁提出了论点、核实了证据、承担了责任，或批准了发布。

检测到标记，并不代表内容由 Claude 撰写

核心权衡很简单：模型级标记提升了可追溯性，但也会将性质截然不同的 AI 辅助归入同一种可检测信号。

Anthropic 承认，即使 Claude 仅对人类撰写的内容进行了校对、翻译或重新排版，文本也可能携带标记。检测器或许能准确识别 Claude 的参与，却可能促使观察者对作者归属得出错误结论。

这一局限会影响日常专业工作。律师可能使用 Claude 简化一句话，但并未改变其法律分析。研究人员可能要求进行语法修正。非英语母语作者可能使用模型提升表达清晰度。

如果每种输出都携带同一种标记，检测就无法揭示模型贡献了多少智力劳动。它无法区分由模型生成的论点，与仅获得轻微语言辅助的人类论点。

这正是“AI 生成文本”这一说法可能产生误导的原因。生成行为存在一个连续谱。人们常在同一份文档中使用模型进行头脑风暴、拟定大纲、起草、编辑、翻译、总结和排版。

模型级水印记录的是处理过程，而非意图。它无法检查出现在提示词中的思想来源，也无法判断人是否独立核实或大幅改写了回复。

学校和雇主应谨慎对待这种区分。阳性信号不能自动成为不当行为的证据。政策需要将允许的辅助与技术检测分开界定。

同样的警告也适用于新闻业。新闻编辑部可能使用 Claude 翻译由人类记者完成的采访，或统一格式。如果生成的段落触发检测器，并不意味着 Claude 进行了采访报道或编造了事实。

Anthropic 提出的第二项局限则指向相反方向。深度改写、与未标记文本混合、翻译或大幅缩短内容，都可能使信号更难被检测到。有意规避者有多种方式削弱其强度。

即使是普通工作流程也可能造成这种衰减。一份文档可能经过多位编辑、风格工具、内容系统和本地化团队之手。每一步都可能用不同措辞替换带有标记的 token 选择。

结果形成了一种不对称的证据问题。检测到标记可以证明模型很可能参与其中，但无法说明其参与程度；未检测到标记也不能证明 Claude 没有参与。

根据报道中的上线细节，Anthropic 明确警告了这两个方向的问题：经 AI 辅助的人类文本可能显示带有标记，而经过大量改动的 Claude 文本则可能失去可检测性。

这意味着，水印结果应被视为一条溯源线索。它可以与文档历史、提示词记录、修订日志、引用和证词共同支持调查，但不应作为独立的裁决依据。

错误归因会带来实际后果。学生可能面临处分，员工可能遭遇诚信调查，作者可能失去委托机会。这些决定需要比脱离置信度数据的二元标记更有力的证据。

其中还存在安全问题。一旦检测变得有价值，对手就会有动机移除标记或伪造标记。恶意行为者可能试图将真实的人类写作诬称为模型生成，或通过反复改写来掩盖自动化宣传。

私有检测密钥可以增加伪造难度，但也带来了治理问题：谁能运行检测器，谁能审计它，被指控者又该如何质疑检测结果？Anthropic 尚未给出完整的公开答案。

该公司的文档还必须解释直接引用的处理方式。如果 Claude 在带标记的回复中重复人类撰写的语言，该内容周围的统计模式可能影响检测。结果仍然无法逐句判定作者归属。

这些并不是放弃水印的理由，而是应当准确描述其输出的理由。“Claude 很可能处理过这段文字”比“Claude 撰写了这份文档”更站得住脚。

为什么文本水印无法成为通用检测器

任何 anthropic google 水印系统都无法识别全部 AI 文本，因为检测依赖提供商在生成过程中应用已知信号。

生成式水印不是通用的 AI 写作检测器。它寻找的是刻意嵌入的模式。来自未加标记模型、旧模型或采用其他方法的提供商的文本，不会携带这种特定证据。

本地模型和开放权重模型让普适覆盖变得更加困难。控制推理过程的开发者可以关闭可选的水印组件、修改其密钥，或改变解码过程。监管可以对提供商施加义务，但软件仍可能在合规服务之外运行。

模型也会生成受约束的内容。代码、公式、名称和直接引用几乎没有可供替代的 token 选择空间。改变这些选择可能损害正确性，而保持正确性则可能削弱信号。

温度同样重要。温度控制模型在选择 token 时使用多少随机性。低温生成会收窄可用选择，从而减少嵌入模式的空间。

短内容构成另一项边界。检测器需要足够多的观测值，才能将有意信号与正常语言变化区分开来。一句回答可能确实带有标记，但在统计上仍无法得出结论。

语言转换还会移除更多证据。翻译会替换大多数 token；摘要会舍弃原始序列的大部分内容；合并多个来源则会用无关文本稀释带标记的模式。

这些局限解释了 Google 为什么将生成式水印描述为对其他方法的补充。其研究并未将 SynthID-Text 描述为针对所有机器生成语言的完整检测器。

元数据和内容凭证可以填补文件层面的一些空白。签名记录可以识别创建图像的系统，并揭示资产之后是否被修改。不过，将像素复制到新文件中可能会移除普通元数据。

基于内容的水印试图通过在媒体本身中植入信号来抵御这种操作。由于图像、音频、视频和文本对变化的容忍度各不相同，这种方法在不同媒介中的运作方式也不同。

文本格外脆弱。读者希望每个词都可编辑，而即使是轻微修改也可能改变统计序列。文本中不存在类似细微像素变化的不可见区域，可让信号保持不受影响。

因此，一个可靠的生态系统需要多层机制。提供商可以嵌入模型级标记；文件格式可以携带签名凭证；平台可以保留溯源记录；发布者可以披露重要使用情形，组织则可以维护审计轨迹。

互操作性成为下一个挑战。当独立方能够验证内容、却无需暴露会导致伪造的密钥时，检测器才最有价值。提供商必须就接口、置信度报告和安全控制达成一致。

欧盟规范为这种协调提供了一个平台，但市场激励仍不相同。一家公司可能希望通过广泛验证建立信任，也可能希望保护专有生成方法，并防止对手针对其检测器进行优化。

用户也有自己的激励因素。有些人希望官方文件和授权内容具有可验证的溯源；另一些人重视私密起草，可能抵制随文字持续传播的提供商信号。

这种张力不会因更好的统计方法而消失。它需要围绕访问、保留、同意和检测可接受用途作出政策选择。技术准确性是必要条件，但并不充分。

Anthropic、Google 和 Claude 用户接下来必须证明什么

接下来的三项信号，将决定 Claude 水印会成为有用的溯源基础设施，还是又一种不可靠的 AI 检测标签。

首先，Anthropic 需要发布其检测器和评估框架。用户需要有文档说明的阈值、支持的语言、最低文本长度，以及常见编辑后的结果。独立研究人员也需要获得足够访问权限，以测试规避方式和错误归因。

一次可信的发布应同时报告检测结果和弃判结果。系统必须在证据不足时明确说明，而不是强行将每段文字归为“Claude”或“非 Claude”。结果应附带置信度。

如果外部测试证实其错误率低且没有可衡量的质量损失，公开发布将增强 Anthropic 的立场。若持续不透明，其立场将被削弱，尤其是在学校、雇主或平台开始依据检测器输出作出决定时。

其次，关注现有模型在 2026 年 12 月 2 日的过渡截止日期。这次上线将显示 Anthropic 能否在消费者产品、API、云合作伙伴和较旧的 Claude 系列中实施一致标记。

这一过渡应明确哪些具体模型支持检测及其生效时间，也应揭示 Anthropic 如何处理通过第三方平台生成的输出。不一致的覆盖范围会让阴性结果更加缺乏信息价值。

顺利扩展将支持 Anthropic 的说法，即模型级标记可以建立一个全球统一标准。延迟、排除或无法解释的产品差异，则会表明合规程度比公告所暗示的更加碎片化。

第三，比较 Anthropic、Google 和 OpenAI 如何向普通用户提供验证功能。Google 已通过其生态系统提供 SynthID 检测，并向开发者开放了其文本水印实现。Anthropic 表示将提供更多检测文档。

关键问题不在于哪家公司最先宣布水印，而在于用户能否验证信号、理解其局限，并对错误结论提出质疑。

anthropic google 的竞争将由证据质量决定，而不是由不可见模式的存在本身决定。提供商必须证明，标记能够经受现实编辑，同时不会把常规辅助变成对机器作者身份的指控。

开发者和企业买家在围绕检测构建执行系统之前，应要求提供模型特定的文档。发布者应保留修订历史并承担编辑责任，而不是将水印扫描视为最终证据。

对于知识工作者而言，眼下的行动更简单：记录 AI 如何参与重要材料，保留人类来源，并在发布前审查每一项主张。若客户或雇主限制 AI 使用，应明确编辑和翻译是否计入其中。

Claude 的水印可以让模型参与更具可追溯性，但无法决定是谁提出了一个想法，或谁值得信任。下一项考验在于，Anthropic 是否能为用户提供足够证据，以保留这种关键区分。