AI文本水印是什么？｜pcpass

如果你最近用 Claude 写过东西，它的输出可能已经带上了隐形水印。8 月 11 日 Anthropic 宣布，Claude 生成的全部文本默认加水印。技术上没法按地区开关，所以全球生效；旧模型几个月内补齐，过渡期到 12 月 2 日。

公告发布几小时之后，在 GitHub 上就出现了绕过的方法。一个叫做 watermarks-remover 的项目，五天内就达到了 1.1 万 Star，目前总共有大约 1.9 万。它的 README 写得非常坦白，分三层：先删除不可见 Unicode 字符、异域空格等；再用不带水印的模型重新生成原文；最后清除 C2PA、EXIF、XMP 中的元数据。

消息传到国内高校之后，学生的反应很有趣。没有人去问水印的加密算法，大家问的是同样的问题：「我的摘要用 AI 翻译过，会不会被标出来？」「绪论那两段让 AI 润色了，要紧吗？」「整篇自己写的，就参考文献格式用了工具，算不算？」问法不同，担心的是一样的事情，就是这篇稿子里有没有留下可以被认出来的痕迹。

要回答清楚，就得把两套机制分开看。一套是模型厂商的水印，一套是学校指定的 AIGC 检测。它们查的对象、依据的数据、谁能验证，全都不一样。混在一起谈，只会越谈越慌。

水印是怎么加进去的

先破除一个常见的误解：它不是往文章里添加内容。整段文本没有多余的字符，也没有隐藏的字符，额外的 token 开销为零，生成速度几乎没有什么变化。它影响的是模型选词的偏好。

模型每写一个词，其实都是在做选择。描写天气的时候，它可以从 overcast 和 grey 里挑一个，两个都合理。水印系统用一把密钥加上前面的文本，来决定这一次选哪个。单看一个词，没有异常。但是同样的喜好会在长文中重复出现，并逐渐积累成一个统计标记。拿着密钥的人反向扫一遍，就可以判断这段文字是不是按照这套偏好写的。

关键在于，检测也要用同一把密钥，而密钥在厂商自己手里。所以各家只能验自家的输出：Anthropic 验不了 Google 的文本，第三方也验不了 Claude 的文本。这条技术事实看着枯燥，它却直接决定了学校检测的性质。

为什么改几个词去不掉

水印是散开的，散布在全文大量的选词当中，并不是集中在某几处。所以改变几个词语、移动标点符号等不能破坏统计证据。只有完全重写才能消除它，也就是换词复述。

它也有够不着的地方。事实性唯一答案没有选择空间，2+2 只能等于 4，嵌不进去；代码基本不嵌，顶多在注释里嵌一点。翻译会带上水印。还有一个反直觉的规律是：文本越短、模型分布熵越低，检测就越不可靠。记住这句，后面那组实验数据才看得懂。

图像和音频是另一条路子。它们走 C2PA 元数据，做法是在 PNG、JPEG、PDF、DOCX 文件上外挂签名，格式一转、截个图就掉了。文本水印织在内容内部，属于内嵌层——这两者不在一个层面上。新华网记者做过实测：把 AI 生成的图片裁掉标识发到社交平台，没有被检出。「去水印」早就成了一门灰产生意。

关键澄清：学校查的 AIGC 检测，不查水印

这是全篇最该记住的一句话。

高校使用的 AIGC 检测，不管是知网、维普还是格子达，查的都是统计特征疑似度，也就是句式规整程度、词汇分布、困惑度这些指标，对象是文本本身。厂商水印不在它的检查范围里。

由此可以得到两个令人欣慰的结论。第一，用没用带水印的模型，和会不会被 AIGC 检测命中，是两个互相独立的事情。第二，即使你的稿件出自 Claude，学校那套系统也无法读出水印，因为它根本就没有那把密钥。

再看一组实验数据，出自果壳 7 月的测试。用的是大约 50 词元的短文本，加上定制版 SynthID 检测器。30 段带水印的文本中，可以明确检出的只有 6 段，24 段进入不确定区间；184 次纯人类文本测试中误判 10 次，误报率 5.4%。原文自己加了警告，说明这是短文本和开源配置的结果，并不代表厂商的实际水平。但是方向是清楚的：短文本漏检多，误报也不低。

误判的事情已经超出了实验室。北京互联网法院有判例：一篇真人短文被误判为 AI 生成而遭到平台限流，法院最终认定平台违约。检测结果不能算作铁证，这一点得到了司法上的支持。

高校这边的实际红线

把注意力从水印拉回到真正要面对的东西上。

同学发来的截图大多是学院的通知PDF，不是Anthropic的英文公告。南京财经大学通知中智能生成内容的比例原则上不能大于40%。还有几所学院同年将红线写在了15%或者20%上，并且也有低于10%的。武汉大学等要求全员送检；有的学校先设警戒线，超过后再签承诺书修改。交稿前只认本校通知上的数字。

科学网有一期讨论把使用边界写开了，即伪造实验数据、P 图式实验图、用模型输出顶替自己的实验设计，这些都是硬伤。只盯着“AI文本”四个字，在答辩的时候被问到数据来源以及方法是否是本人完成的，反而更容易漏掉。对交稿的同学来说，水印口号不如先核对通知红线和报告高亮段。

那到底该怎么做

让 AI 处在辅助的位置上。查资料、理思路可以使用，正文的论证、数据、实验自己写。手写的部分越具体，检测就越无从下手。

定稿前，按照学校规定的那套系统自测一次。重点看报告中段落级的标注，也就是高度疑似、中度疑似这些分级，而不是只看总分。改动后用同一口径复测，不同系统的分数不能互相换算。

如果学校通知中同时存在查重和 AIGC 两项要求，它们会被当作两张报告分开处理，顺序上一般是先降重再降 AI。这套顺序怎么排、复测什么时候做，论文双查怎么一次过里有完整的过程记录。

这件事的走向

治理思路由原来的惩罚变为信用分层，使造假这件事变得不划算。C2PA 相关市场目前 16.3 亿美元，预计几年后涨到 51.2 亿；国内数字水印市场约 52.8 亿元。平台侧也在变，小红书承诺主动标识不影响流量，抖音把声明入口往前挪——带标识的成本正在下降。

对论文作者来说，结论就是：水印标记的是内容来源，学校检测看的是文本特征，两者各自独立。与其研究如何去掉水印，不如把精力放在使文章经得起检验上。想先看清自己的稿子有没有问题，可以用站内自测；至于自测分数能不能当结论，大学生论文联合比对库那篇讲过口径为什么不能平移，检测报告的分级怎么读可以一起对照。

方法笔记

这篇的长文在本站。步骤和检查项集中在 论文查重与 AIGC 自查笔记，按主题查找见 笔记站指南目录。检测和改写仍在本站。