Anthropic 在 2026 年 8 月 14 日公布了 Claude 文本水印的工作方式。未来的 Claude 模型会在生成文本时留下读者无法直接察觉、但检测器可以统计识别的信号。Anthropic 表示，这项变化主要是为了配合欧盟《人工智能法案》关于 AI 生成内容透明度的要求，并计划在全球逐步推出。
这件事的技术重点不在于给文章加一个肉眼可见的标记，而在于改变模型选择下一个词时使用的随机性。对开发者来说，更重要的问题也不是“能不能一眼识别 AI”，而是：这种信号究竟证明了什么、不能证明什么，以及它应该如何进入内容审核和工程流程。
水印不是隐藏字符串，而是统计信号
大语言模型生成文本时，会根据上下文计算候选 token 的概率，再从中选择下一个 token。很多时候，候选词之间并没有明显的质量差异。
例如，在“今天天气有些……”后面，模型可能选择“阴沉”“灰暗”或“多云”。这些词在当前语境中都说得通，读者通常不会关心模型为什么选择其中一个。Anthropic 的做法，是在这类低风险选择上留下可检测的统计模式。
这个过程可以简化为三步：
- 模型照常计算下一步的候选词；
- 使用一个检测器和模型共享的密钥，根据前文决定随机选择的方式；
- 在足够长的文本中，检查一连串词语是否呈现出符合该密钥的选择模式。
关键点是，水印并不要求模型永远偏爱某个固定词。它不是把所有“灰暗”替换成“阴沉”，也不是在文本里插入不可见字符。相同的上下文下，模型依然可能选不同的词；只是随机性不再完全来自普通的随机数生成器，而是受到前文和密钥共同影响。
这类方法的检测结果更接近“这段文字由 Claude 参与生成的概率有多高”，而不是一个绝对的真假标签。Anthropic 明确表示，水印不能证明文字一定由 Claude 独立写成，也不能告诉检测者是哪位用户、哪个组织或哪次对话产生了这段内容。
为什么读者看不出来
传统意义上的水印往往是可见的，例如图片角落的标识、文档中的背景字样或文件里的元数据。Claude 的文本水印采用的是另一种思路：尽量只使用那些对内容质量影响很小的选择空间。
Anthropic 表示，带水印和不带水印的回答对读者来说应当没有可感知的差别，不会额外加入隐藏字符，也不会产生更多 token，因此不应该增加模型调用成本。该公司还引用 SynthID-Text 的研究和内部测试称，水印对文本的内容、创造性和可读性没有明显影响。
这背后的工程取舍很清楚：如果水印明显改变文字风格，用户很容易发现；如果水印依赖隐藏字符，又容易在复制、清洗和格式转换时丢失。把信号放在模型原本就要做的概率选择里，更适合在自然文本中长期保留。
它不是万能的 AI 检测器
短文本的统计信号很弱
检测水印需要足够多的词语选择。只有一句话、几行摘要或一段简短代码，通常没有足够的统计信息来得出高置信度结论。文本越长，检测器拥有的样本越多，判断 Claude 是否参与生成的概率才越稳定。
这意味着“检测不到水印”不能直接等价于“不是 AI 生成”。它可能只是文本太短，也可能是内容本来就没有多少可供模型自由选择的词。
轻度润色和重写会得到不同结果
如果 Claude 只是检查拼写、调整标点或轻微润色一篇人类已经写好的文章，水印只可能出现在 Claude 实际改动的少数词语中。可供检测的信号太少，结果可能不明显。
如果内容被彻底重写，原有的水印也可能大幅减弱甚至消失。但这时文本是否还应该被描述为“Claude 生成”，本身就变成了一个需要定义的产品和治理问题。水印可以提供证据，但不能替代对生成流程的记录。
代码比自然语言更难留下水印
代码中的很多选择不是“几个词都可以”，而是必须满足语法、类型、API 和运行时约束。把变量名、关键字或函数调用随意换掉，程序就可能无法运行。因此，水印不能在所有代码 token 上都施加影响。
不过，代码注释、文档字符串和某些不影响行为的命名选择，仍然存在一定的自由空间。Anthropic 的判断是，代码主体不会因为水印而发生实质变化，少量注释或任意选择可能带有信号。
对代码审核来说，这个结论很重要：不能因为某个检测器没有发现水印，就判断代码一定由人手写；也不能因为注释有统计信号，就把整个仓库当成机器生成。真正可靠的工程证据仍然包括提交历史、评审记录、构建产物和依赖变更。
SynthID-Text 和检测密钥意味着什么
Anthropic 表示，Claude 使用的是 Google DeepMind 在 2024 年发表的 SynthID-Text 方法的一个版本。它属于一类共同思路：不改变文本的语义，而是改变模型在多个合理候选之间进行选择时使用的随机性。
这里的密钥是检测体系的核心。没有正确的密钥，外部观察者很难仅凭肉眼发现这种模式；拥有密钥的检测器则可以计算文本与该模式的匹配概率。因此，水印系统的安全性不仅取决于模型算法，也取决于密钥的保存、访问权限和检测服务的治理。
开发者需要留意两个边界：
- 水印密钥不应被当作用户身份密钥。它只能帮助判断某种模型是否可能参与了生成，不能从文本中恢复个人、组织或对话信息；
- 检测服务不应把概率分数包装成确定性结论。审核系统需要保留“未知”“证据不足”和“可能经过编辑”等状态。
Anthropic 还表示，正在研究提供水印检测 API 的方式。对企业来说，API 的价值不只是自动化检测，更在于可以把来源概率接入发布审批、教育场景审核或媒体内容标注。但在真正接入之前，团队应该先明确误判成本、人工复核流程和日志保留范围。
对开发团队的三个启示
1. 内容来源应该记录在流水线里
水印是内容层面的信号，提交记录和调用日志则是流程层面的证据。一个真正需要回答“这段内容从哪里来”的系统，最好同时记录：使用的模型、生成或修改时间、人工编辑范围、最终审批人和发布版本。
这不意味着要永久保存所有用户提示词。更稳妥的做法是根据隐私和合规要求设计最小化日志，例如只保留模型版本、任务类型、内容哈希、编辑事件和审批结果，并限制谁可以查看原始内容。
2. 不要把 AI 检测分数当作唯一的决策依据
水印检测适合提供一个额外信号，而不适合单独决定封禁账号、判定学术违规或否定作者署名。短文本、翻译、轻度编辑和跨模型改写都会影响检测结果。
如果产品需要自动审核，可以把检测分数分成多个区间：高置信度时进入人工复核，中间区间要求补充来源证据，低置信度则不做强结论。对于高风险场景，应保留人工申诉和复查路径。
3. 代码场景要优先建设可追溯性
对于源代码，水印的作用有限。团队更应该建设可追溯的工程链路：让代码修改通过 Git 提交进入评审，让 CI 记录构建来源，让依赖和发布产物可以回溯到具体提交。
如果使用 Claude 或其他 AI 工具辅助编程，可以在内部工具层记录“建议生成”“人工修改”“测试通过”和“合并发布”等事件，而不是试图从最终代码反推出作者身份。这样即使代码经过大量重构，仍然有可审计的过程证据。
文本水印和 C2PA 不是一回事
Anthropic 还说明，当 Claude 生成 PNG、JPG 或 SVG 等文件时，会在文件元数据中附加基于 C2PA 的加密签名凭证，说明文件曾由 Claude 生成或处理。
这和文本水印需要区分：文本水印是隐藏在词语选择里的统计模式；C2PA 凭证是文件中的一段可验证元数据。前者可能因重写而减弱，后者可能因截图、重新导出或清除元数据而丢失。两者都属于 provenance（来源证明）的一部分，但都不是不可伪造、不可删除的“内容身份证”。
对需要长期保存内容来源的系统来说，可以把两类信号结合起来：文件用 C2PA 记录生成和编辑链路，文本用水印提供额外的统计证据，业务系统再用签名日志和版本历史补足中间过程。
写在最后
Claude 文本水印的价值，不是让互联网突然拥有一个完美的 AI 测谎仪，而是让“模型是否参与过文本生成”多了一种可验证的统计线索。它不改变正常读者看到的文字，也不承诺识别所有 AI 内容，更不能代替对创作流程的记录。
对开发者来说，最值得借鉴的设计原则是：把来源判断当作概率问题，把水印当作辅助证据，把版本记录和人工审批当作主流程。未来模型生成的文本、图片和代码会越来越多，真正可维护的内容系统，需要同时处理质量、隐私、来源和误判成本。