用户担忧会降低输出质量，Anthropic 公布 Claude 文本水印的工作原理

它是怎么工作的？

模型每生成一个词，通常不是面对“唯一正确答案”。比如“The weather today was cold and…”后面可以接 grey，也可以接 overcast；两者都自然，意思也差不多。普通生成会从这些合理候选中随机选一个。

Claude 的文本水印改变的是这一步随机选择的来源。它把一把密钥和前面几个词结合起来，决定这一次更可能选哪个候选。单独看一个词，什么也看不出来；把足够多次选择连起来，持有密钥的人就能检查这串结果是否持续符合那套选择规律。

这更像给随机过程换了一副可复查的骰子，而不是给最终文字盖章。骰子仍然只在合理候选之间选择，不会为了留下水印，突然把常见的 overcast 换成生僻又别扭的词。

Anthropic 特别举了 nubilous 的例子。它同样可以表示“阴沉”，但极其生僻，Claude 平常几乎不会使用。水印不会把这种词凭空塞进候选；它只在模型原本就觉得都说得通的选项之间起作用。

先亲手走一遍这个过程：候选词和模型给出的示意概率始终不变，只切换决定最终选择的随机数来源。

Claude 使用的是 Google DeepMind 2024 年发表于《Nature》的 SynthID-Text 的一个版本。这条技术路线还可以追溯到 Scott Aaronson 2022 年的提案；几代方案共享的核心都是不换词表，只换“掷骰子”的来源。生成时由许多选择留下统计偏向，检测时再用文本、密钥和同一套规则计算一致程度，不需要重新调用生成模型。

大富翁的类比可以把这件事再压实一点。正常玩法每回合掷骰子；现在改成从圆周率小数的某一位开始，依次读取数字决定步数。玩家仍然觉得每一步是随机的，棋盘、规则和游戏体验没有改变。但事后拿到完整的走步序列，再对照圆周率，就可能判断这局游戏使用的不是普通骰子。

机制说清楚以后，自然会追问：只要改变了选词，内容质量会不会跟着变？

会不会降低输出质量？

Anthropic 的内部测试没有观察到内容、创造力或可读性的实际变化。SynthID-Text 的公开论文也提供了一层独立方法证据：Google 把有水印和无水印的模型分流到接近 2,000 万条 Gemini 回复中，两组点赞率和点踩率的差异都没有统计显著性；受控的人类并排比较也没有发现质量差异。

这不意味着任何强度、任何实现的水印都天然无损。SynthID-Text 本身存在“更易检测”和“更少改变分布”之间的配置权衡。能安全落在这里的结论是：Anthropic 选择的实现声称没有实际质量影响，公开方法也证明了非失真配置可以大规模运行；Claude 的密钥、阈值和完整配置并未公开。

用户侧还有三件事可以确定：水印不产生额外 Token，所以不会因此多收费；对生成速度只有可忽略的影响；水印本身不编码用户、组织或聊天信息，无法从中恢复“是谁问的”。

既然对体验影响很小，为什么检测结果仍不能简单写成“是”或“否”？因为水印需要从大量可自由选择的词里积累证据，而不同任务留给模型的选择空间差别很大。

为什么有些文字更容易被检出？

一篇完整生成的长文里，模型会反复遇到多个同样自然的表达，水印有很多落点。翻译也是如此：目标语言的每个词几乎都要重新选择，所以 Claude 生成的翻译会携带水印。

但校对不是重新创作。如果一段文字本来由人写成，Claude 只改了几个标点和语法错误，绝大多数词并不是它选择的，水印自然可能少到无法确认。短文本也有同样问题：样本太少，统计证据来不及累积。

事实密集内容和代码又是另一种限制。“2 + 2 =”后面不能为了水印改成别的答案；函数名、语法和精确值也经常没有可替换空间。注释和叙述性文字仍可能留下信号，但真正决定程序能否运行的部分，水印通常更稀疏。

编辑会进一步稀释信号。轻微改动大概率不会立刻抹掉全部模式；把每句话完全重写则可以移除它。这里没有一个公开的固定字数或编辑比例可以画线，实际置信度还取决于文本长度、内容类型和具体改写方式。

所以“没有检出”尤其不能被理解成“没有使用 Claude”。下一步要把检测结果与结论之间的距离说清楚。

检测结果究竟能证明什么？

持有密钥的检测器能回答的是：这段文字的选词序列，与 Claude 使用该密钥生成时的规律有多一致？它输出的是概率证据，不是作者署名。

这一区别在真实审查中非常关键。一个人可能先写提纲，再让 Claude 扩写；也可能让 Claude 起草后亲自重写；还可能只让 Claude 改语法。水印即使存在，也不能区分“Claude 从零写成”和“Claude 大幅编辑过”这两种过程，更不能据此决定谁拥有作品或谁应承担法律责任。

反过来也一样：没有检出可能因为文本太短、代码和事实太密、只做过轻度校对、被后来改写，或者使用了没有相同密钥与方法的其他模型。它不是“人类原创证书”。

这也解释了水印检测与 Pangram 一类通用 AI 文本检测器的区别。通用检测器不知道 Claude 的密钥，只能从措辞、句式和其他风格特征推断；水印检测则核对生成时主动植入的统计模式。两者都可能提供线索，但证据来源并不相同。

Anthropic 还没有公开检测 API 的具体上线时间、阈值、价格或使用权限。在这些细节出现前，任何“多少字必检出”“准确率达到多少”的说法都没有材料支持。

文字可以靠统计模式，图片和文件却有一个更直接的载体：元数据。这就进入另一套技术。

文字水印和文件凭证是一回事吗？

Claude 生成或处理受支持的 PNG、JPG、SVG 等文件时，会在文件元数据里附上 C2PA Content Credential。它是一条经过加密签名、与文件绑定的来源记录，可由兼容工具验证文件曾由谁处理、声明是否被篡改。

两者的共同点是记录 Claude 的参与，不记录具体用户身份；区别是，文本水印分散在选词统计中，C2PA 凭证则是文件携带的结构化元数据。后者可以被移除，前者可以被充分改写破坏，没有任何一种机制能凭自己证明内容真实、质量可靠或权利归属。

于是，这次更新最重要的产品不是一枚“AI 制造”印章，而是一种新的来源线索。它让平台和审查者多了一项可以核验的证据，也迫使使用者学会控制结论的力度。

真正应该怎样使用检测结果？

看到阳性结果，可以说“Claude 很可能参与过这段内容”；要进一步判断参与程度、作者贡献、是否违反规则，还要结合版本历史、编辑记录、任务要求和当事人的工作过程。

看到阴性结果，只能说“当前样本没有形成足够的 Claude 水印证据”。文本长度、任务类型、编辑程度、模型版本和检测能力都可能改变结果，不能反推“完全由人写成”。

这就是文本水印真正的价值与边界：它把“你觉得这像 AI 写的”推进为一种可用密钥核验的统计判断，却没有把概率判断升级成社会裁决。

水印可以认出 Claude 可能来过，却不能替我们决定谁是作者、谁拥有作品，以及谁该为内容负责。