Anthropic 详解 Claude 文本水印机制：基于 SynthID-Text，对代码影响微乎其微

为回应社区关于合规性与隐私的担忧，Anthropic 近日发布博客文章，详细解释了其即将在 Claude 中实施的文本水印技术。此举旨在遵守欧盟《AI 法案》中的透明度要求，确保 AI 生成内容可被识别。Anthropic 强调，该水印对用户不可见，且不会降低输出质量。

核心技术：SynthID-Text

Anthropic 将采用 Google DeepMind 团队于 2024 年提出的 SynthID-Text 方法。其工作原理如下：

• 低风险选择嵌入：当模型面临多个语义相近的选项时（例如在描述天气时选择 “overcast” 还是 “grey”），Claude 会根据特定算法偏好其中一个词。这种选择在人类读者看来是自然的，但形成了机器可检测的模式。
• 不可感知性：水印嵌入在统计分布层面，对读者而言，带水印的响应与无水印的响应在质量和可读性上完全无法区分。
• 检测 API：Anthropic 计划发布专用的水印检测 API，供拥有编码密钥的合作伙伴或监管机构使用。这与 Pangram 等公司通过寻找“AI 写作特征”进行的概率性检测有本质区别。

常见疑问解答

1. 水印能被编辑隐藏吗？

• 轻微编辑：如果仅对文本进行少量修改，水印模式通常仍能保留并被检测到。
• 完全重写：如果用户替换了每个单词或彻底重写了句子，水印将被移除。Anthropic 指出，在这种情况下，文本是否仍应被视为“AI 生成”本身就是一个值得讨论的问题。
• 校对场景：如果 Claude 仅对人类撰写的文本进行轻微校对，由于大部分内容由人类创作，水印几乎没有附着空间，因此可能无法检测或根本不存在水印。

2. 代码会被加水印吗？

• 影响极小：由于代码需要严格遵循语法和逻辑，模型在变量名、函数结构等方面的选择自由度远低于自然语言。因此，代码中的水印嵌入点非常少。
• 主要位置：水印可能出现在注释、文档字符串或某些具有多种等效写法的风格选择中，但对实际执行逻辑的影响微乎其微。

行业背景与社区反应

自本周早些时候宣布水印计划以来，社区反应两极分化。部分 Reddit 用户担心这是针对用户的“阴谋”，而 X 平台上则有数十名用户声称因此取消订阅。Anthropic 澄清，这并非为了监控用户，而是为了满足法律合规性。此外，其他主要模型开发者也已签署相同的实践准则，预计未来将陆续实施类似的水印技术。（来源）

官方原文

Claude 文本水印如何工作

未来的 Claude 模型将生成包含水印的文本。这是一种确定 Claude 参与撰写文本的可能性的方法，我们与其他几家主要 AI 提供商一起实施这一更改，以遵守欧盟 AI 法案。

在本文中，我们分享了一些关于我们选择的水印方法如何工作、是否影响 Claude 的输出以及我们为何做出这一更改的常见问题的答案。总结如下：

• 我们使用的水印方法对 Claude 输出的质量或内容没有任何实际影响；
• 带水印和不带水印的文本之间的区别对读者来说无法区分；
• 文本中没有添加任何内容，也没有隐藏字符；
• 水印不需要额外的 token，也不会更昂贵；
• 水印不携带任何标识信息，无法追溯到特定个人、组织或聊天；
• 水印不会是 Claude 特有的。截至 8 月 2 日，欧盟要求在其市场提供服务的 AI 提供商标记 AI 生成内容。其他主要模型开发者已签署相同的实践准则，并将实施自己的水印。

什么是水印？

像 Claude 这样的大语言模型通过一次生成一个词来工作。每次模型决定下一个词时，它都会从潜在候选列表中选择，最终根据前面的文本选择最合理或最可能的词。以句子“The weather today was cold and…”为例。下一个词不太可能是“sugary”。但很有可能是“overcast”或“grey”。在大多数情况下，模型最终选择这两个词中的哪一个对读者来说并不重要——句子的含义无论哪种方式都大致相同。在这种情况下，选择由随机数决定。

水印利用像这样的低风险选择——在生成的文本中会发生多次——在 Claude 的响应中留下一种模式。这种模式对读者来说无法察觉，但任何拥有编码密钥的人都可以检测到。当使用水印时，选择仍然是随机的，但随机性的来源不同。水印不是使用任意的随机数生成器来选择下一个词，而是使用密钥和前面的几个词来决定模型应该选择哪个词。也就是说，Claude 选择的词仍然是随机的，但现在，人们可以检查词序列，看看它是否与 Claude 使用密钥时会做出的选择一致。如果是，就可以分配一个概率，表明该文本是由 Claude 生成的。

重要的是，并不是模型现在总是偏向于“overcast”或“grey”。就像无水印文本一样，根据前面的词，在一个句子中可能选择“overcast”，在下一个句子中选择“grey”。而且水印方法并不会促使 Claude 选择它本来不会考虑的词（例如，它不会让 Claude 选择像“nubilous”这样的词——这是“overcast”或“grey”的生僻同义词，Claude 在正常情况下几乎肯定不会使用）。

水印如何影响 Claude 的输出？

水印不会影响 Claude 输出的质量。对读者而言，带水印的响应与无水印的响应无法区分（在这一点上，AI 水印与钞票、其他物理对象和一些数字文档上的同名水印有很大不同，后者是肉眼可见的）。

在内部测试中，我们未发现水印对 Claude 文本的内容、创意水平或可读性有任何影响。在引入我们所用技术的 SynthID-Text 论文中，Google DeepMind 通过将使用水印的模型服务于部分 Gemini 流量，并比较“赞”和“踩”的评分来测试这种影响。他们发现与无水印模型没有统计学上的显著差异。在一项受控研究中，并排比较带水印和无水印答案的人类评分者未发现质量差异。

一个有用的类比是想象你在玩像 Monopoly 这样的棋盘游戏。在每个回合中，每个玩家根据掷骰子在棋盘上随机移动若干格。假设我们决定不使用掷骰子来获得随机性，而是使用一本圆周率数字的书。我们从随机选择的数字开始（例如，小数点后第 1,012,845 位，恰好是 6），从那时起每个玩家只需使用序列中的下一个数字作为他们的下一次“掷骰”。

实际上，移动仍然是随机的：对玩家来说——以及对游戏结果来说——随机性是来自圆周率还是每次掷骰子都没有区别。但如果我们在游戏结束后能看到所有移动的序列（并且我们知道圆周率的值），我们就能确定这很可能是一个使用圆周率来确定移动的游戏。使用圆周率的游戏在某种意义上是被“水印”了的。

Claude 生成的文本也是如此。水印不会改变阅读者的含义或体验，但如果你想事后检查文本是否很可能由 Claude 生成，水印允许你这样做。

你们使用哪种具体的水印方法？

Claude 的文本水印是 Google DeepMind 在 2024 年 Nature 论文中发表的 SynthID-Text 方法的一个版本。它属于一个可追溯到 Scott Aaronson 在 2022 年提出的提议的方法家族，所有这些方法都遵循我们上面描述的相同设计原则——水印只改变用于在词之间进行选择的随机性来源。

水印的有效性存在局限性。使用我们的密钥，人们只能回答“这文本有部分由 Claude 撰写的可能性有多大？”它不能确认文本是否由人类撰写，也不能判断文本是否由不同的 AI 撰写（即使那个其他 AI 使用水印，它也会有不同的密钥；它可能使用完全不同的水印方法）。检测水印在样本较小时效果也不好，因为词的选择较少，可用的信息也较少。随着段落长度的增加，关于 Claude 参与度的信心也会增加。

在事实性段落中，水印较为稀疏，因为可做的选择较少，且不能降低文本的准确性。例如，以句子“Isaac Newton’s most famous work was called Principia…”为例。下一个词是否是“Mathematica”确实很重要（这是唯一正确的答案），因此水印将无处可作用。校对也是如此。如果你交给 Claude 一篇文章，只要求它编辑语法和标点，其他什么都不改，水印只能存在于少数几个修正中，这些修正可能太少而无法登记。

在 Claude 校对或编辑人类文本的情况下呢？

水印仅适用于 Claude 选择的词。当 Claude 校对人类撰写的文本时，它返回的内容通常只经过轻微编辑；因为几乎所有词都是人的，所以水印几乎没有（如果有的话）可以附着的地方。根据文本的长度和 Claude 编辑的程度，这些更改可能不足以使 Claude 的参与可检测。Claude 写得越多，它需要做的决定就越多，水印的空间就越大。

代码呢？

如上所述，AI 水印利用的是其中任一词的选择都同样好的决策。在需要精确输出的地方——没有选择，如果选择了不同的术语，事实就会出错或代码会中断——水印不被应用。

例如，一旦模型写出“2 + 2 =”，下一个 token 就有非常明确的最佳选择（如果模型在完成加法，没有答案与“4”同样好；如果它在谈论 George Orwell 的《一九八四》，没有答案与“5”同样好）。水印的“微调”不会在这里应用。出于同样的原因，代码——在许多情况下必须是精确的——通常比某些其他形式的文本水印更少。

话虽如此，在代码中存在特定单词或术语之间任意选择的领域，水印可以发挥作用，例如代码中的注释。但根据定义，它对实际生成的代码影响微乎其微。

这对用户意味着什么？

这会减慢模型速度或使其更昂贵吗？

不会。水印对模型速度的影响微乎其微，并且由于它不产生额外的 token，模型的提供和使用价格相同。

水印可以追溯到我或我的组织吗？

不能。水印适用于 Claude 及其输出。它不标识与个人用户有关的任何信息。水印或其密钥中没有任何内容允许任何人恢复有关用户、其组织或其与 Claude 聊天的任何信息。

你们为什么要为 Claude 的输出添加水印？

我们实施水印是为了遵守欧盟 AI 法案。Anthropic 与其他几家主要 AI 模型提供商以及约 190 个签署方一起，于 2026 年 7 月签署了欧盟关于 AI 生成内容透明度的实践准则。这要求 AI 系统提供商使用“标记”AI 生成文本的方法。我们在发布时全球应用水印，因为我们目前还没有按地区划分水印的持久方法。不过，我们将继续评估不同的方法，并在有更新时分享。

其他问题

我如何检查一段文本是否由 Claude 撰写？

我们很快将提供水印检测 API。我们正在制定其实施细节。

图像和其他文件呢？

当 Claude 生成支持类型的文件（如 .png、.jpg 或 .svg）时，它会在文件的元数据中以小型加密签名注释的形式附加内容凭证，说明该文件是由 Claude 制作或处理的。这是一个称为 C2PA 的开放行业标准——与相机制造商和照片编辑软件用来记录图像来源的标准相同。任何支持 C2PA 的工具都可以读取它；我们将提供自己的工具，你可以拖入文件进行检查。

这个元数据标签与水印有很大不同。文件中的任何内容都不会改变——它不是嵌入的或隐藏的。与文本一样，凭证仅说明 Claude 参与了文件的制作；它不包含任何识别信息。

难道不能通过编辑文本来绕过水印吗？

在某种程度上，可以。轻微编辑可能无法完全移除水印；完全重写，每个单词都被替换，则可以。在后一种情况下，当然，文本是否还能被描述为 AI 生成是有争议的。

水印实际上能证明什么？

水印只能确定 Claude 很可能在某个时候参与了内容制作。它无法区分“Claude 撰写了这个”和“Claude 重度编辑了这个”。

水印适用于翻译吗？

是的。Claude 生成的翻译带有水印，因为在这种情况下每个词都是由 Claude 选择的。

旧的 Claude 模型呢？

欧盟法律包括对 Anthropic 在 2026 年 8 月 2 日之前发布的模型的过渡期，我们正在努力为这些模型添加水印。这将在未来几个月内逐步推出。

这与 Pangram 等 AI 检测软件有何不同？

AI 检测软件使用不同的方法，因为提供它的公司没有我们的密钥。除其他事项外，这些服务会查看文本的某些方面，如 AI 措辞中经常出现的细微（和不那么细微的）“特征”。例如，AI 模型似乎喜欢“this isn’t [X], it’s [Y]”的结构，并且使用“quietly”这个词的频率比你预期的要高得多。捕捉这些模式与检查水印有根本区别。

这会改变给定输出的所有权归属，或谁对它负有法律责任吗？

不会。水印只帮助测试 Claude 是否可能产生或处理了该内容。它不说明所有权或著作权，也不改变用户根据我们条款所拥有的权利。我们仅在 Claude 参与处理内容或文件时应用水印。