Claude开始在生成内容里嵌入水印了，你需要知道什么
Aug 11, 2026，一条新闻在推上迅速传开：Claude 将在所有生成文本和文件的元数据里嵌入隐形水印。GPTZero CTO Alex Cui 随即写了一篇短文，说明 Anthropic、Google、OpenAI 这类前沿实验室到底是怎么做文本水印的，它能不能被绕过，以及接下来半年可能会怎么演变。以下是AI的编译整理。
一、主流方法：KGW 公式
对前沿实验室来说，几乎所有又快又便宜的文本水印方法都来自同一个套路，业界称为 KGW 方法。
生成阶段
- 假设模型已经生成了 n 个 token。取这 n 个 token 加上一个密钥，算出一个哈希值。
- 用这个哈希值给第 n+1 个 token 的候选概率做一次随机重加权，然后从新的分布里采样。
举个直观的例子：基于哈希值，把英文单词随机分成"绿集"和"红集"各占 50%，采样时提高绿集单词的概率。
检测阶段
- 对文本里的每一个 token，判断它属于绿集还是红集。
- 判断的方法是：用密钥加上这个 token 之前的文本，重新算一次哈希，还原出当时的绿集和红集。
- 走完全文，如果落在绿集里的 token 比例明显高于 50%，就可以判定为有水印。
二、四个常见疑问
改写一下，不就能弄乱哈希吗？
大体是的。但可以用一个统计模型来生成哈希，而不是一个确定型的硬编码函数（对应方法：SIR、Adaptive Watermark）。水印本身就是概率性的，这不是问题。
这样会不会降低文本质量？
会，但多数人感知不到。Google 在一份 20,000 段文本的人类评估里得到的结论是：多数读者几乎察觉不到差异，因为"写同一段话本来就有指数级多的方式"。DiPmark 则用了更复杂的技术，避免在均值上偏移文本分布。
短文本、或者高度确定的文本（比如"2+2=4"）是例外——水印在这种场景下会失效。
能不能反推出绿集和红集？
不能。要精确重建这些集合，需要从水印器采样指数级数量的样本。但一旦检测器公开对外，这个风险就变得现实——对应的研究方向叫 Watermark Stealing。
为什么不一次性给整句、整段做水印？
因为前沿实验室的文本是流式输出的，只能逐 token 处理。那些更鲁棒的方法，比如 SemStamp、PostMark，需要按句子或段落规划，甚至等文章写完之后回头修改——这在流式产品里目前还负担不起。
三、前沿实验室要克服的四个约束
- 必须逐 token 工作。模型流式输出给用户，无法采用先整句规划、事后回改的方案。
- 密钥一旦泄露，水印就废了。需要多密钥轮换，控制爆炸半径。
- 代码类文本不能乱改。代码里随便替换 token 会直接报错。这时水印只能选择性嵌入到允许同义替换的位置，比如变量命名——对应方法：SWEET、EWD、Invisible Entropy。
- 需要教育用户理解假阳性和假阴性。这是很难的一件事，也是 GPTZero 一直在花力气解决的问题。
四、未来六个月，局面会怎样演变
如果 Anthropic 公开检测器
他们大概率会顺手把自己的水印方案也一起开源。届时，通过对 Anthropic 检测器的反复测试，去除水印的可靠方法会很快被找到。
反过来说，像 GPTZero 这样的 AI 检测器反而占优——对抗方法一旦流行起来，就可以针对性训练。
如果他们像 Google 一样，只把检测器提供给政府
相对安全一些。但已经有论文证明：不需要任何数据，就能零样本鲁棒地去除水印，方法很朴素——让模型写得像人就行（Zhang et al. 2024，Watermarks in the Sand）。
另外从 Alex 的经验看，把检测器放到真实世界里"打实战"，长期反而会让它更强。
很多水印扛不住高强度改写
尤其是同时使用选词攻击加句法攻击，或者把人类文本片段拼贴进来（改写 AI 文本时顺手"偷"一点人类作者的语料）。他自己测过的一些免费改写工具，已经能很快绕过 Google DeepMind 的 SynthID。
但前沿实验室大概并不在乎
原因有二：一是它们预期多数用户不会主动去攻击水印；二是实验室加上欧盟监管方，大体上"够用就行"，并不追求最强。
用户大概也不在乎
多数人根本不知道水印的存在。欧盟会强制所有实验室对齐同一标准。整件事看起来更像是应付监管的例行动作，而不是前沿实验室真想曝光 LLM 使用行为。
五、真正该关心的不是水印，是 AI 检测器
Alex 的原话是：人们首要关心的，不应该是水印，而应该是 AI 检测器。
如果你在到处转发那种"不是…而是…"的内容，有没有水印其实没什么区别。