数据时效：2026-08 Claude 写的一段话，你逐字读下去一切正常。没有隐藏字符，没有看不见的空格，复制到别处也不会冒出一个多余的符号。可在这段话内部，有几十个字被悄悄偏了一点方向，偏的幅度小到不影响任何一个正常词。
这套水印能确定的，是“这段话被 Claude 处理过”。它给不出“这是不是 AI 原创”，也给不出“是谁写的”，它只给一个概率。
从 2026 年 8 月 2 日起，这一点偏已经长进新发布 Claude 模型的每一段输出，全球生效，不只欧洲。把它逼出来的是欧盟《人工智能法案》第 50 条，专门管“AI 生成的内容要能被人识别”。这条从 8 月 2 日开始有强制力；配套的《AI 生成内容透明度行为准则》6 月 10 日定稿，到 7 月底约 190 家机构签字，Google、Meta、微软、OpenAI、Anthropic 都在。罚则顶格是 1500 万欧元或全球年营业额的 3%。
这套机制铺向全球，跟这家公司多自觉关系不大。欧盟的规则写在欧盟，可内容没有国界，一段文字没法只在欧盟带水印，别的地方就不带。Anthropic 自己说，没有可靠的办法按地区把水印关掉，干脆全球都开。规则写在一处市场，产品跟着全世界变，这类影响被叫做“布鲁塞尔效应”。
在这套东西铺开前，判断一段文字是不是 AI 写的，基本靠“检测器”。检测器是个统计模型，拿大量真人和 AI 的文本喂出来，再给陌生文本打分。它只能从“这像不像”出发，既给不出确定答案，误伤和漏判又都常见。水印走另一条路，不靠猜。生成的时候，一个记号就已经埋进去了。
那它到底怎么做到“看不见却能跟着复制走”？Anthropic 说参考了 Google DeepMind 2024 年发在《自然》上的 SynthID-Text。一句话讲就是，把“这里可以选哪个词”变成“这里被悄悄示意该选哪个词”。
大模型写字是一个词一个词往外吐。很多地方，两个说法都成立，读者都读得通。“天气阴沉的下午”换成“云层很厚的下午”，没有谁更好。这种地方模型本来就随机挑一个。水印就在这种“随便选都行”的位置动手。它捏着一把只有自己知道的密钥，再看着前面已经写出的上下文，算出当前该把哪个词轻轻推一下。力度特别小，小到只在模型自己都拿不准时才起作用；遇到“2 加 2 等于几”这种只有一个正确说法的地方，推不动，也不该推。它不影响质量，不影响可读性，也不多耗算力。
那怎么验证？还是那把密钥。谁拿着它，谁就能写一个打分函数，量一量这段话里“被推过的词”冒出了多少，高出基线多少，折成一个概率。靠的是统计，肉眼看不出任何记号。它不记录你、你的公司或者你们聊了什么，追溯不回单个的人。可验证的前提，是先拿到那把密钥。没有密钥的人，读不出这段文字里藏着多少个“被推过的词”。所以它能帮到谁，取决于密钥交给谁、什么时候交。Anthropic 说以后会给第三方开一个检测接口，可具体怎么开、什么时候开，还在路上。
文字之外还管文件。SVG、PNG、JPG 这类图片，Claude 会在里面附一段数字签名元数据，用的是一个叫 C2PA 的开放标准，全称是内容来源与真实性联盟。这段信息说明“这个文件被 Claude 处理过”，也能看出文件有没有被人动过。它跟文字水印走的是两条路。前面是藏在字缝里的统计，这一层是贴在文件外包装上的标签。
水印最实在的好处，是它能跟着内容走。文字复制出去，那几十个字的偏还在；图片转存，C2PA 标签跟着元数据走。它给读者一个能反复核验的入口，比一句“我觉得这像 AI”实在得多。对愿意配合的人和机构，它比检测器可靠。
普通读者最先碰到它的地方，是检测工具。有的写作平台已经接入了检测工具，读者点一下“扫描 AI 文本”，能看到一篇文章被判为“纯人写”“人机协作”“纯 AI 生成”的大概比例，前提是文章超过一百个词。这种检测器自己也说了，AI 被拿来查资料、找信息、做来源，它看不出来；它只能估文本本身是不是 AI 写的。一个作者用 Claude 帮自己润色过的稿子，也会被算进“AI 生成”那一档。
这里有一处最容易踩坑的不对称。测出了水印，只说明这段文字被 Claude 碰过，说明不了它是 AI 原创；没测出水印，也不等于就是人写的。我写稿，也大量用 AI 帮我修。功能一上线，我脑子里先冒出来的是，我改过的稿子，会不会也被人当成 AI 写的？
Anthropic 自己在说明里列了一大串它扛不住的事。一段话被改写、翻译，或者跟别的文字混在一起，水印就可能变得测不出来。段落太短，留下的字太少，信号不够强。旧模型没这个功能，早期生成的内容没有。文件转一次格式、重新存一遍、或者被人截了屏，C2PA 标签可能就没了。代码和那种“只有一个正确回答”的内容，本身就几乎没有水印。
欧盟的行为准则自己也发话了，要求到 2027 年 2 月 2 日前，把检测工具做到能互相通用；Anthropic 还承诺不做剥离自家水印的工具。条文把“技术可行”四个字写在前面，等于承认这套东西有边界。
两种机制的软肋不一样。C2PA 是被“顺手搞丢”，转格式、重存、截屏都能清掉，谁都能不小心做到；文字水印是被“故意毁掉”，改写、翻译、混排都得专门去绕。真要问哪个更可能被社会当成通用标准，我倾向 C2PA，理由在于它好引用。文件签名是白纸黑字的元数据，检查方看一眼就能引用，可追溯、可复现，也不怕人换个近义词。文字水印是概率，藏在遣词造句里，而它要防的改写和翻译，恰恰是文字创作里每天都在发生的事。
这份准则约束的是签了字的那 190 家机构。自己部署开源、开权重模型的用户不在其内，也未必有同样的埋点。用开源的、或者用别的没签字的模型生成文字，洗掉水印或者干脆没有水印，都能办到。想绕的人总能绕过去，而且成本在往下掉。
学术圈早把这层纸捅破过。2024 年，苏黎世联邦理工的一个团队发了篇论文，说只要花不到 50 美元，去查一个带水印模型的公开接口，就能把水印规则反推出来，再一边删掉真水印，一边给人类文字浇上假水印，平均成功率超过八成。这类研究叫水印窃取。还有一类攻击，专门挑那种“可改可不改”的词逐个重写。这些都是拿公开方案做的实验，未必直接命中 Claude 自己的实现，但它们说的是同一件事。水印面对存心要绕的人，是相当脆的。
这套东西一上线，社交平台上冒出不少批评。有人说是监控，也有人担心私下的想法也在留痕。Anthropic 对外说没看到退订上升，又写了篇博文解释，强调它不改变用户对自己内容的所有权。争议没停，但这套机制已经在跑了。
所以我不太把它看成“AI 溯源终于有解了”，也不把它看成“隐私被侵犯了”。真正要紧的，是拿到那个概率的人怎么用。一个冷冰冰的概率，比一句“我觉得像”更容易让人下结论；学术、新闻、招聘这些地方，偏偏最容易把它当成判决来执行。这套东西最后会被用成什么样，我也没有把握。
数据时效 2026-08。涉及法规生效日、签署方数量、罚则、攻击研究等，截至 2026 年 8 月末；版本与合规进展会持续变化。
Anthropic官方说明 How Claude marks AI-generated content、欧盟《AI 生成内容透明度行为准则》、ETH Zurich《Watermark Stealing in Large Language Models》(ICML 2024)。正文其余事实均经联网核验。