# Claude 要给文字加水印：别再拿 AI 检测器当照妖镜了

- URL: https://davidyin.dev/writing/257-20260820-claude-text-watermark/
- 作者: David Yin
- 发布: 2026-08-20
- 标签: AI、Claude、AI水印、内容溯源、SynthID、C2PA
- 摘要: Anthropic 宣布未来的 Claude 模型会给输出加文本水印。它和你手里那个 AI 检测器，是两码事：一个是外人靠文风概率猜，一个是发信方拿密钥验签。这篇讲清机制、边界，以及官方到底没公开哪些数据。

上周有朋友发来一张截图。甲方用某个 AI 检测网站扫了他的稿子，分数飙红，直接说"AI 味重，扣一半"。他当晚把文档修订记录、草稿时间轴、甚至键盘输入回放全翻出来，想证明每个字是自己敲的，对面只回一句"系统判的，不好意思"。另一边，学生群里也在传，有人交了自己写的论文，被检测器标成 AI 生成，找导师解释，导师让他自证，同学一句"你是不是用了 AI 没承认"，比扣分更让人难受。没有标准，没有对质，只有一个百分比。

最让人堵住的，是明明自己写的，却要被一个看不见的裁判误判，又找不到更可信的裁判来推翻。稿子已经交了，尾款卡在那个百分比上，解释越多越像狡辩，群里有人问要不要干脆承认用了 AI 算了。朋友说那天下午他刷新了七八遍邮箱，等一个不会来的解释。

Anthropic 在 8 月 14 日发的那篇《How Claude's text watermark works》，给的是另一个裁判。**你手里那个检测器，跟 Anthropic 这次做的，两码事。**

## 别再把检测器当照妖镜了

先把两件事分开。

你平时见到的 Pangram 这类第三方检测工具，是站在外面猜。它们没有模型的密钥——就是模型内部的一把签名钥匙，长什么样只有模型知道。没钥匙，只能看文字表面的风格痕迹，同类的还有 GPTZero 等，原理一样。Anthropic 官方博文里专门开了个小标题来对比这件事，点名 Pangram 当对照。两者差在哪？检测器看的是文风线索——官方举的例子很直白：AI 格外偏爱 "this isn't [X], it's [Y]" 这个句式，中文里对应的就是「不是……而是……」的变体；还有 "quietly"——AI 用这个词的频率高得不像正常人，中文写作里常被点名的「悄然」「静静地」，也是同一类。这类信号可以被统计，但始终是概率猜测。

Anthropic 这次走的是另一条路：写字的这一边主动把信号埋进去。未来的 Claude 模型生成文字时，会在那一串字里留下一种痕迹，只有拿钥匙的人才能验出来。谁拿着密钥，谁就能验这段字有多大可能是 Claude 写的；第三方那种靠猜的路子，以后不好使了。猜风格和验信号，机制完全不同。把水印理解成"更准的检测器"，从起点就偏了。

一个细节把这种区别说得很透。Anthropic 点名的 "this isn't [X], it's [Y]" 和 "quietly" 这两个痕迹，恰好是中文写作课上被反复提醒要避开的毛病——前者是「不是……而是……」的套话，后者是「悄然」「静静地」这类悄悄副词。官方点名它们，是想说检测器盯的就是这种表面东西；水印恰恰反过来——不依赖这些一学就会、一改就没的习惯，去看一个更稳的内在规律。讽刺的是，写这篇时就得绕着这两个词走，算是现场演示了一遍为什么靠文风猜不靠谱。

## 图盖的是章，字留的是口音

为什么图能标，字难标？因为能下手的地方不一样。

Claude 生成 .png、.jpg、.svg 这类文件时，走的是另一套：C2PA 内容凭证。也就是在文件元数据里附上一段用密钥签名的说明，写明这个文件由 Claude 生成或处理过。画面与内容本身一个像素没动，改的是文件里那层元数据——凭证贴在边上，任何支持 C2PA 的工具都能读。

但别把"章"理解成更牢。C2PA 签名可验、生态通用，弱点是凭证附在外面，可能缺失或被剥掉；文本水印正好相反，信号嵌在字里，要去掉就得重写。区别就在这：一个把凭证贴在文件外面，一个把信号埋进字里。

文字本身没标签。Claude 用的方案，是 Google DeepMind 在 2024 年发表于 Nature 的 SynthID-Text 这一支，它属于 Aaronson 在 2022 年提出的那个家族——共享"改随机性来源"的设计原则，但不是同一套做法。更准确地说，它不往文本里塞隐藏字符，也不多生成 token——token 就是 AI 眼里拆出来的一个词，你看到的字一个都不会多——改的是生成时的采样过程。严格讲，给定密钥和上下文时，这一步选什么确实变了——否则不会有可检验的信号。

原理可以想成口音。写一句"The weather today was cold and…"，下一个词是 overcast 还是 grey，对读者来说差别不大。多个可选词并存时，用密钥和前文生成一串"假随机数"（看起来随机、实则可复现），采样偏好就由它来定。整段话是不是总在"密钥喜欢的那一边"做选择，拿去一验就知道。事实性很强的句子，比如"牛顿最有名的著作叫 Principia…"，下一个词只能是 Mathematica，没有选择空间，水印就落不住；代码能落脚的主要是注释。

翻译要分清：Claude 直接产出的译文，官方说也会带水印，因为每个词都由 Claude 选；但这不等于任何翻译链路都能完整保留。一段已带水印的文本再被翻成另一种语言，置信度能保持多少，Anthropic 没给量化数据，Google 那边也只定性说可能大幅下降——两种场景方向相反，别混为一谈。

官方还给了一个类比。想象玩大富翁，每回合走几步靠掷骰子。如果把掷骰子换成"照着 π 的小数位往后读数来决定走几步"——对玩家还是随机，但事后知道用的是 π，就能对上整场走法。换个角度说：钞票水印要你看见，AI 文字水印要你看不见。

效果怎么样？Anthropic 说内测下来，没发现水印影响可读性；还引了 DeepMind 在 Gemini 上做的对比——点赞点踩没差别，并排着看也分不出哪个带水印。至于会不会更慢更贵，官方说影响可以忽略，但这话还得等别人独立验证一遍。

## 边界一次说清

先说能验什么。用密钥只能回答一个问题：这段文字有多大可能有 Claude 参与。不能证明是人写的，也不能判断是不是别的 AI 写的，更不能区分"Claude 写的"和"Claude 重度改的"。也追不到人——水印里没有任何身份信息，还原不到具体的人、组织或某次对话，也改变不了所有权和法律责任。

现在能验的，只有持有密钥的一方。Anthropic 说很快会推出水印检测 API，但开放给谁、调用快不快、怎么接入，都还没说。这次全球一步到位，官方说是因为还没找到只对部分地区开放、别处关掉的稳妥办法。不过在 API 公开前，普通人拿不到密钥去验，能握在手里的还是过程稿、版本记录、素材来源。

SynthID 的检测结果，不是只有"有/没有"两档——Google 文档里写的是三档：有水印、没水印、不确定。这个"不确定"，正好对上开篇"只给一个百分比"的检测器——水印也不是开关式判决。官方只定性说"越长越有把握"，最短写多长、假阳率、假阴率、判定阈值、置信度校准，全都没公开。比文风检测更有机制依据，但不等于已给出可审计的准确率。

## 全改了就没了，那还标什么

看到这里，很多人会问：改两句不就没了，标它干什么？

Anthropic 的原话很坦白：轻度编辑可能仍保留水印，完全重写则会消失。紧接着的下一句更有分量：到那个程度，还能不能算 AI 写的，本身就说不清了。官方没有回避这个局限。事实性段落、代码精确输出、只做语法标点校对的轻量润色——这些地方，水印本来就稀稀拉拉，几乎没地方落。说白了，这些场景本来就不是水印的地盘。

但只讲局限会把问题看扁。水印的主战场并非单篇稿的道德审判，它要解决的是平台与内容供应链在大规模生成内容上能否提供机器可读的来源标记。Anthropic 把动机落到了欧盟 AI 法案上——要求以机器可读方式标记 AI 生成内容，约 190 家签署了同一份透明度行为准则。它抬高的是合规与溯源的底线，不等于能覆盖所有再生成链路。

这里有个常见误读，得先摆平：官方措辞是 Future Claude models will generate text that contains a watermark，指的是未来的模型。2026 年 8 月 2 日前发布的旧模型走过渡期，接下来几个月分批补齐。把时间线说成"当下全量已覆盖"，是不准确的。

## 写字的人接下来要做什么

不喊口号，只说三类人，分"现在就能做"和"要等 API 才能做"两层。

**如果你是写稿、做号的人——现在就能做**：以后要证明"这字是不是我写的"，别再把检测器分数当证据——拿过程和凭证说话。遇到"AI 味重"的质疑，先拿出过程稿、修订记录、采访素材与时间线；短文和轻度润色，水印本来就攒不够量，验不出来。和甲方约定时直接写：以可验标记与过程材料为准，不以第三方检测器分数为准。**要等 API 才能做**：官方水印验证取决于后续检测能力开放给谁、面向哪类用户，在此之前别当现成举证工具。

**如果你是在校学生——现在就能做**：别迷信检测器数字。保留写作过程——提纲、草稿、引用来源、修改批注；说清哪部分用了 AI 做什么。水印不是为学校抓人设计的，短文本与轻量改写下本来就验不准。说明可写："本文第 X 段用 Claude 做了润色/翻译，已保留原稿。" **要等 API 才能做**：学内核验取决于机构是否接入，个人短期内无法自证"这篇没水印"。

**如果你是甲方、编辑、审稿人——现在就能做**：别再用检测器分数当扣款或退稿依据。要求交付时附上过程稿与素材来源，短期内别把"能否过检测器"写进合同；后续若平台接入水印验证，再把"是否以官方信号为准"写进约定。

同一周另一件事提供了对照——另一家主流模型方在谈"不留痕"。两条路指向同一个方向：可信的 AI，既要能检验有没有 Claude 参与过，也要保障不会记住不该记的东西。

这篇适合转给那个被检测器扣过款的朋友，或群里被分数卡住的学生。

## 本文事实来源

- Anthropic：《How Claude's text watermark works》（2026-08-14，含 Future Claude models、旧模型过渡期、全球上线按区域限域说明、Pangram 对照、轻度编辑/完全重写边界、文件 C2PA 机制）
- Google DeepMind：SynthID-Text 方法论文，发表于 Nature（2024）
- C2PA（内容来源与真实性联盟）内容凭证公开标准
- 欧洲委员会数字战略网站：关于《AI 生成内容透明度行为准则》签署情况的公告（2026 年 7 月，约 190 家签署方；欧盟 AI 法案第 50 条透明度义务自 2026-08-02 起适用）
- Google DeepMind 关于 SynthID 通用经验中"较长文本更稳"的背景信息（非 Claude 官方阈值，已在正文中定性表述）