Anthropic 开始给 Claude 的文字加水印 — 而 1,922 份判决说明了它治不了什么
2026 年 8 月 11 日，Anthropic 开始在 Claude 写出的文字里嵌入可追溯的标记。这个标记能扛住复制粘贴，甚至能扛住翻译，却会在重写中消失。本文用通俗语言讲清文本水印的原理、一次检测结果能证明和不能证明什么、误判冤案的历史为何重要，以及为什么已记录在案的 1,922 起幻觉事件全都能通过这项检查。
2026 年 8 月 11 日，Anthropic 开始给 Claude 写的文字加水印，三天后发布了一份通俗的 FAQ 解释其原理。触发点并不神秘：要求提供者以机器可读方式标记生成内容的欧盟《人工智能法案》第 50 条，从 8 月 2 日起开始适用。
所以一项真正可用的能力落地了。如今流通的 AI 文字中有相当一部分，在条件合适时可以被追溯回生成它的模型。
接下来这部分值得细想。就在这个标记上线的同一天，一个收录全球涉及 AI 幻觉内容判决的公开数据库停在 1,922 起。其中没有一起是水印失败。每一起都是 核实 失败——有人把模型输出直接提交、发表或据此开账单，却没有核对里面说的东西是否真的存在。水印本可以检测出全部这些案子，也一起都拦不住。本文谈的正是这道缝隙：这个标记通俗地讲是怎么工作的，一次检测结果究竟证明了什么，以及无论技术再好都证明不了什么。
速览
- 它并没有往文字里添加东西。 模型只是用一把密钥，去偏置它在若干同样合适的下一个词之间的选择。没有隐藏字符，没有元数据，没有速度或成本代价，而且对全世界所有用户一律生效。
- 命中是弱证据，未命中几乎不是证据。 Anthropic 自己说，这个标记无法区分"Claude 写了这个"和"Claude 大幅修改了这个"，在短文本、代码和纯事实段落里很弱，重写一遍就会抹掉。2024 年研究者证明，不到 50 美元就能既抹掉这些标记，也能把它们伪造到人写的文字上。
- 来源不等于核实。 标记告诉你哪个模型经手过这段文字，从不告诉你它提到的判例、引文或书籍是否存在。
图片：Jon Rawlinson, Wikimedia Commons, CC BY 2.0。一整页真实性标记。每一枚都证明有人越过了一道边境。没有一枚对这位旅行者是否说了实话发表过任何意见。
Anthropic 到底改了什么，又没改什么
先说机制，因为后面几乎所有误解都源于这一步搞错。
语言模型写作时一次吐一个词，而在大多数位置上正确答案并不唯一。"这次会议很 有成效"和"这次会议很 有用"都说得通。模型手里有一份可接受的下一个词的清单，然后用一次随机抽取来挑一个。同一个提示词问两遍会得到略有差别的答案，原因就在这里。
文本水印把这次随机抽取换成由密钥驱动的 伪 随机抽取。模型依然只在它认为同样好的词里挑，所以质量不受影响。但几百个词累积下来，每次是哪个词胜出的模式就不再像巧合了，握有密钥的一方可以把它测出来。
Anthropic 自己的说法提前堵住了两个最常见的误解："没有任何东西被添加到文本中，也没有隐藏字符。" 没有不可见的 Unicode，没有零宽空格，也没有一粘贴到纯文本编辑器就会掉下来的元数据。成本和速度也没有变化。而且它是全球统一开启的——Anthropic 表示目前还没有稳妥的办法按地区区分这一行为，所以圣保罗的用户和斯德哥尔摩的用户待遇一样。
这不是什么新科学。Scott Aaronson 在 2022 年提出了这一思路，Kirchenbauer 等人在 2023 年 ICML 上发表了可用方案，Google DeepMind 于 2024 年 10 月在 Nature 上发表了 SynthID-Text，Anthropic 的实现是它的一个版本。Google 从 2024 年起就在 Gemini 里运行它，报告称约 2,000 万次真实响应中未检测到质量差异，此后声称已为超过 100 亿条内容加了水印。
这就引出了尚 未 交付的部分。Anthropic 说检测 API "很快"就有。目前没有。定价、误报率、覆盖哪些模型，全部 尚未公布。Google 那个 2025 年 5 月宣布的公开 SynthID 检测门户，至今仍在候补名单上运行。标记存在于数十亿份文档里，而核验它的能力，对读到这里的几乎所有人而言，仍然只是一个承诺。
标记扛得住复制粘贴，扛不住重写
信号藏在 哪些词被选中 这件事里。所以凡是保留词语选择的操作都会保留标记，凡是替换词语的操作都会毁掉它。Anthropic 把上限说得很直白："逐词替换的彻底重写会" 移除它。不过有两种情况打破了这个规律，也最容易让人栽跟头。
短文本和事实性文本几乎承载不了什么。 水印需要有选择可以藏身。一两句话凑不出足以成形的决策数量，而高度事实性的内容可能根本没有选择余地——Anthropic 举的例子很到位：在"牛顿的 Principia"之后，下一个词只能是"Mathematica"，任何密钥都插不上嘴。同理，语法决定了大部分词元的代码也很弱，模型改动词语太少的校对同样如此。
翻译会带上完整的水印。 这一条反直觉。让 Claude 把一份文档译成日文，那段日文是 Claude 重新逐词生成 的，带着一贯的选择自由，所以哪怕原文是没有标记的人类文字，译文也会被完整打上标记。这看起来和 DeepMind 研究者在 Nature 中的说法正好相反——他们指出，把已带水印的文本译成另一种语言会大幅降低检测置信度。两者都对，因为场景不同：在 外部 翻译已带标记的文本会把标记冲淡，而让模型 亲自 翻译则会盖上一枚新的。
| 你对文本做的事 | 标记还在吗 |
|---|---|
| 复制粘贴到任何地方 | 在——本来就没有任何东西是粘贴能剥掉的 |
| 轻度编辑：改错字、改标题、删段落 | 在——绝大多数词语选择没动 |
| 让模型来翻译 | 在——译文是新生成的，因此被完整标记 |
| 用自己的话大幅改写 | 不在——你替换掉了承载信号的那些选择 |
| 逐词替换的彻底重写 | 不在——Anthropic 明确表示会被移除 |
| 一两句话的短摘录 | 几乎没有——可供成形的选择太少 |
| 代码，或纯事实段落 | 很弱——语法和事实没给模型留下自由 |
| 让模型校对你自己的草稿 | 几乎没有——改动的词太少 |
存活情况依据 Anthropic 于 2026 年 8 月 14 日发布的 FAQ，以及 2024 年 10 月 Nature 上 SynthID-Text 论文作者的表述。
命中是弱证据，未命中几乎不是证据
有人对一份文档跑了检测器，拿到了结果。他到底知道了什么？
如果结果是阳性，他知道的是：这段文字有一部分经过了那家厂商的模型。仅此而已。Anthropic 明确表示这个标记 无法区分"Claude 写了这个"和"Claude 大幅修改了这个"，它对文中任何一项主张是否为真只字不提，也认不出 别家 AI 写的文字，因为它只认得自己那把密钥。
如果结果是阴性，他知道的接近于零。一份干净的结果，同样会出现在大幅改写、短摘录、代码块、竞争对手的模型，以及某人笔记本上运行、根本不加任何标记的开放权重模型上。
这里的每一格都是厂商自己公布的限制。来源：Anthropic 水印 FAQ（2026 年 8 月 14 日）；Dathathri 等，Nature（2024 年 10 月）；Jovanović、Staab 与 Vechev，ICML 2024。
没人做预算的那种攻击，方向是反的
抹除是人人都会想到的风险：有人把 AI 文字洗一遍以掩盖出处。这没错。但还有第二种箭头指向相反的攻击，而真正该让你担心的是它。
伪造 指的是让 人类 写的文字带上别人的水印。没人在隐藏什么，他们是在栽赃。目标要么是随后被指控使用 AI 的个人，要么是被扣上从未产出过的内容的厂商。
在 2024 年 ICML 上，Jovanović、Staab 与 Vechev 针对最先进的方案演示了这两种攻击，成功率超过 80%，算力成本不到 50 美元。DeepMind 的作者在自己的 Nature 论文里也承认了同一点：水印 "并不提供完整的解决方案"，它的存在需要模型提供者配合，对任何人都能原样运行的开放权重模型无法强制，而且"易受窃取、伪造和抹除攻击"。最后这一句就是整个论点，还是造出这项技术的团队自己写下的。
"把 AI 揪出来"这个实验早就做过，被揪住的是不该被揪的学生
检测工具早就存在，而它是另一种技术，还留下了一串有据可查的伤害记录。水印 是模型所有者在生成时用密钥植入的。分类器 则是第三方事后根据文字本身的特征来猜的：词语选择有多可预测，词汇有多丰富。前者知道一些东西，后者只是在对文风做模式匹配。这是测量与画像的区别。
OpenAI 于 2023 年 1 月 31 日推出 AI 文本分类器，同年 7 月 20 日又 "因准确率过低" 将其下线。按它自己的数字：只抓出了 26% 的 AI 文本，却把 9% 的人类文本错误标记。
随后在 2023 年 7 月，Liang 等人在 Patterns 上发表了本该终结这一品类的结果。他们把七款检测器用在英语非母语者写的托福作文上，平均误报率高达 61.3%；其中一款把这些作文的 97.8% 判为机器所写。而当他们提示用更丰富的词汇重写同一批作文时，误报率降到了 11.6%。这些检测器从来就不是在衡量作者身份，它们衡量的是流利度，惩罚的是英语更朴素的人。
机构算了这笔账。2023 年 8 月 16 日——正好是三年前的今天——范德堡大学停用了 Turnitin 的 AI 检测器，理由是：号称 1% 的误报率乘以每年 75,000 份论文，意味着每年约 750 名学生被冤枉。
水印确实比这好得多，因为它不是在猜。但请注意什么被延续了下来。检测系统的失败形态从来不是一句干净的"不确定"，而是一个针对具体某个人的、笃定的答案。水印提高了阳性结果的准确度。考虑到伪造，它与其说消除了冤枉，不如说把制造冤枉这件事工业化了。
监管比工具先到
这一切挤在两周内发生，是因为立法者先动了手。
欧盟《人工智能法案》把义务分成两半。第 50 条第 2 款 约束提供者：造出生成式系统的一方，必须以机器可读的方式标记其输出，文本也包括在内。第 50 条第 4 款 约束使用者：发布 "就公共利益事项向公众提供信息" 的 AI 生成文本的部署者，必须予以披露。
而第二款带着一条豁免，对大多数读者来说，那正是整套制度的实际核心。若该内容 经过人工审阅或编辑把关，且有人对其承担编辑责任，此项义务不适用。请读两遍。欧洲对 AI 生成文本的答案不是一个检测器，而是一个审阅过它、并为之负责的、有名有姓的人。
标识义务按时间表如约而至，可用的检测手段没有。来源：欧盟人工智能法案及其适用日期、欧盟透明度行为准则（2026 年 7 月）、中国的标识办法与 GB 45438-2025、韩国人工智能基本法，以及 Anthropic 的公告。
余下的日程很短。欧盟透明度行为准则在 2026 年 7 月 8 日至 9 日被认定为充分，吸引了约 190 家签署方，包括 Anthropic、Google、Meta、Microsoft、Mistral 和 OpenAI。2026 年 12 月 2 日宽限期结束，标记义务扩展到 8 月 2 日之前投放市场的系统；2027 年 2 月 2 日则要求实现检测互操作性。中国的标识办法自 2025 年 9 月 1 日起施行，依据 GB 45438-2025 标准同时要求显式标识与隐式标识，第十条禁止任何人删除或伪造标识。韩国的人工智能基本法于 2026 年 1 月 22 日生效，规定了标识义务和最高 3,000 万韩元的罚款。美国则完全没有联邦层面的文本标记强制要求——这一点值得明说，因为一条被市场中相当一部分模型忽略的规则，算不上全球规则。
这里还该放上另一处缺席。华尔街日报 在 2024 年报道称，OpenAI 已经做出了一套内部描述为准确率约 99.9% 的文本水印方法。这应当被当作报道而非事实：该数字从未经过独立验证，而 OpenAI 从未上线过文本标记。它自己 2026 年 6 月 11 日那篇关于欧盟合规的文章只涉及图像来源标识，并用自己的话承认了普遍限制——"元数据可以被移除，水印会衰减。"
这些案子每一起都会通过水印检查
Damien Charlotin 维护着一个公开数据库，收录全球法官不得不处理含 AI 幻觉内容的判决。2026 年 8 月 16 日抓取时，它停在 1,922 起。轨迹是这样的：2025 年年中约 200 起，2026 年 1 月 719 起，4 月 1,227 起，6 月 9 日 1,598 起，今天 1,922 起——仅最近十周就增加了 324 起。
这条曲线上的每一个点，都会带着一枚有效的水印。来源：Damien Charlotin 的 AI 幻觉案例数据库，2026 年 8 月 16 日抓取。
原型是 2023 年 6 月 22 日纽约南区联邦地区法院判决的 Mata 诉 Avianca 案：一份引用了六个并不存在的司法判决的诉状，以及 5,000 美元的制裁。
但最该被掂量的例子属于 Anthropic 自己。2025 年 5 月，在 Concord Music 诉 Anthropic 案中，该公司自己的律师提交了一份专家声明，其中引用了一项 Claude 编造出来的研究。人工核对没有发现，代理律师向法庭致歉。如今上线文本水印的这家公司，自己就栽在了对模型输出的不加批判的引用上——用的是自家模型，发生在自家诉讼中，还经过了自家律师的审阅。那份声明如果带水印，会返回一个干净且笃定的阳性结果，然后什么也不会改变。
它也超出了法庭。德勤澳大利亚在 2025 年 10 月同意为一份 44 万澳元的政府报告部分退款，该报告含有不存在的参考文献和一段伪造的判决书引语。2025 年 5 月 18 日，芝加哥太阳时报 与 费城询问报 刊登了一份联合供稿的暑期书单，十五本书里只有五本是真的。Liang 等人在 arXiv:2404.01268 中分析了 950,965 篇论文，发现经 LLM 改动的内容在计算机科学摘要中最高达到 17.5%，而在数学和 Nature 系刊物中不超过 6.3%。
体量问题同样需要一个诚实的数字，而不是一个吓人的数字。2025 年 10 月发布的 Graphite 对 Common Crawl 的分析发现，2025 年 5 月抽样的新文章中约 51.7% 由 AI 撰写。而报道此事的 Axios 补上的那句限定语才是关键：这一比例并没有继续攀升，而是 在对半开附近趋于平稳。这不是洪水，这是新的常态。
重点来了。这份清单上没有一项是水印的失败。在每一起案子里，来源从来都不是争议点——所有人都知道有模型参与，或者一听就会接受。失败的是没有人去打开那条引注，核对那个判例、那项研究、那本书是否真的存在。
结论：来源不等于核实
不妨叫它 邮戳谬误。邮戳能证明是哪个邮局经手了这封信，却从来没有对信里的内容是否属实发表过看法。我们刚刚投入了大量工程努力，造出了一枚非常好的邮戳，而一部分公共讨论正准备把它当成事实核查员。
请同时握住三件事。阳性检测是弱证据：它确立的是一条路径，不是作者，更不是事实。阴性检测几乎不是证据。而覆盖范围在设计上就是结构性不完整的——它依赖每一家厂商自愿参与、各自持有自己的密钥，而任何人都能下载并原样运行的开放权重模型，什么也没参与。何况眼下，核验的能力甚至还不在你手上，它在候补名单和"很快"的后面。
真正经得起推敲的不是输出上的一枚标记，而是一份你可以从源头重新推导出来的记录：一段仍然存在的录音，一份可以随时跳回那个时刻的带时间戳的转写，一句归属到真正说了它的那个人的话，一条能追到你可以亲手打开的原始文件的依据。我们在谈 实时翻译时说过，可复核的笔记比流畅的输出更重要，也在谈 警方讯问转写时说过，记录必须在有人提出异议时站得住。水印时代没有改变这个论点，而是让它更锋利：一旦标记变得普遍，"有 AI 参与"这句话就不再能区分任何东西。
水印回答的是文字从哪里来。回答它是否属实的那个东西，还没有人造出来，因为那个东西不是检测器，而是一个你可以回头去查的源头。
Telli.sh 的位置： 我们做的正是那个可以回头去查的源头。Telli.sh 记录会议，生成区分发言人的带时间戳转写，并把摘要锚定在它所依据的音频上——所以笔记里的任何一行，几个月后都能追回到某人说出它的那一秒。这不是在宣称能检测 AI，这是问题的另一半：当摘要断言了什么，你可以拿它去和录音对照，而不必只信那句话。
来源
- Anthropic, "How Claude's text watermark works"（2026 年 8 月）
- Dathathri et al., "Scalable watermarking for identifying large language model outputs," Nature（2024 年 10 月）
- Kirchenbauer et al., "A Watermark for Large Language Models," ICML 2023
- Jovanović, Staab & Vechev, "Watermark Stealing in Large Language Models," ICML 2024
- Liang et al., "GPT detectors are biased against non-native English writers," Patterns（2023 年 7 月）
- Liang et al., "Mapping the Increasing Use of LLMs in Scientific Papers," arXiv:2404.01268
- Damien Charlotin, AI 幻觉案例数据库
- 欧盟人工智能法案第 50 条 — 透明度义务
- Wikimedia Commons 图片页面
