8 月 14 日，Anthropic 发布说明文《How Claude's text watermark works》，首次系统披露 Claude 文字水印的实现方式：未来的 Claude 模型生成的文本，将携带一个读者无法察觉、但持有密钥者可以检出的统计水印。推动这次变化的不是产品路线图，而是监管时间表——8 月 2 日起，欧盟《AI 法案》的 AI 内容标记义务正式生效，Anthropic 与 Google、Meta、微软、OpenAI、Mistral 等主要厂商已在 7 月签署同一份《AI 生成内容透明度行为准则》。
时间线比技术细节更值得记录。欧盟要求面向其市场的生成式 AI 提供商标记 AI 生成内容，义务自 2026 年 8 月 2 日起适用；为给企业明确的合规路径，独立专家起草了《AI 生成内容透明度行为准则》，经欧盟委员会与 AI 理事会评估认可。截至 7 月底，约 190 家机构签署：第一部分（AI 系统提供方）82 家，包括 Anthropic、Google、Meta、微软、OpenAI、Mistral、Cohere、Aleph Alpha、Black Forest Labs、Synthesia；第二部分（部署方）152 家，包括盖蒂图片社、联想、汉莎航空。9 月，欧盟将启动两个任务组，汇总实施反馈、推进标准演进。
这组事实里最有分量的是竞争格局：在市场机制还没选出统一方案之前，相互竞争的头部厂商在数周之内被同一份文件推向同类技术行为。互联网行业的标准通常诞生于巨头之间的缠斗或妥协，这一次，它先于竞争出现。
Anthropic 的落地有两个细节。其一，水印全球生效，而非仅限欧盟用户——官方解释是目前还没有可靠手段按地区限定，后续会再评估分区方案。其二，8 月 2 日之前发布的旧模型享有过渡期，水印将在未来数月陆续补齐。图片与文件走另一条技术路线：Claude 生成的 .png、.jpg、.svg 等文件会在元数据中附加 C2PA 内容凭证——一段加密签名的备注，记录该文件曾由 Claude 参与生成或处理，与相机厂商、修图软件使用的开放行业标准同源。
水印的原理，比"给文字做记号"这个直觉更优雅。大语言模型逐词生成文本，每当多个候选词几乎同样合适——"今天天气又冷又__"，接"阴沉"还是"灰暗"，句意几乎不变——模型就靠一个随机数定夺。水印做的事情，是替换这个随机数的来源：改用密钥加上前文，共同决定选词。文字依然显得随机，但整段文本会留下只有持钥者能够验证的统计规律。
Anthropic 用大富翁打比方：把骰子换成圆周率数列上的连续数字，玩家感受不到任何差别，游戏结果不受影响，但事后回看全部步数，可以判断这局棋用的是不是圆周率。水印同理——阅读体验不变，事后可验证。
技术血统清晰：这是 Google DeepMind 2024 年发表于《自然》的 SynthID-Text 方案的一个版本，思想谱系可追溯到 Scott Aaronson 2022 年的提案。Anthropic 的承诺清单也写得克制：不添加任何字符，没有隐藏标记，不产生额外 token，速度与价格不受影响，不含可追溯到用户、组织或某次对话的信息。质量方面，DeepMind 曾把带水印的模型接入一部分真实 Gemini 流量做对照，用户点赞与点踩的比例没有统计上的显著差异；人工并排盲评同样分辨不出差别。
更有信息量的是那份"做不到"清单：短文本检出不可靠，文本越长置信度越高；事实密集的段落留痕稀疏——"牛顿最著名的著作叫《自然哲学的数学原理》"，下一个词几乎别无选择，水印无从下手；代码要求精确，除注释等自由表述外基本不带水印；请 Claude 轻度校对人类写的文字，改动太少，可能无法检出；轻度编辑难以彻底抹除水印，逐词重写则可以。它无法区分"Claude 写的"与"Claude 深度改写的"，也不能证明一段文字出自人类或另一个 AI。这与 Pangram 一类外部 AI 检测工具走的是完全不同的路径——后者没有密钥，依据是 AI 文风的"口头禅"，比如对"这不是 X，而是 Y"句式的偏爱，以及出格频繁的"悄悄地"。
判断一：这首先是治理新闻，其次才是技术新闻。水印算法本身并不新——Aaronson 的提案距今四年，SynthID 论文发表也已两年。有新闻价值的是落地方式：一部区域性法规，借助行为准则这种柔性工具，让全球头部厂商在数周内接受了同类约束，甚至促使 Anthropic 把本可只对欧盟生效的标记推向全球用户。《AI 法案》常被批评监管过重、流程缓慢，但这一次它做成了市场没做成的事：为 AI 生成内容立起一个跨厂商、可验证的统一落款规范。
判断二：水印的价值，必须建立在承认它脆弱的前提上。学术评测并不好看：2026 年 7 月的一篇实证研究在 846 次改写实验中发现，被检出带水印的文本经同义改写后，KGW 与 Unigram 两类方案 100% 失去水印，SynthID 家族达 98.3%；攻击之前的漏检率本就高达 70%–83%，SynthID 还把 5.4% 的改写后人类文本误判为 AI 生成。更早的一项鲁棒性研究同样报告，轻度改写、复制粘贴拼接与回译都足以让 SynthID 的检出率大幅下滑。我的主张是：把水印当防伪封条属于误用，它给不出法庭级别的证据；它真正覆盖的是不作恶的中间地带——平台筛查内容农场、出版方事后审计、机构自证清白。夸大它，最终损耗的是它本可积累的信任。
判断三：钥匙在谁手里，比锁的形状更重要。检出 Claude 的水印需要 Anthropic 的密钥，而官方对"即将推出的检测 API"仅表示细节仍在研究中。这里存在结构性的不对称：卖字的人，同时是唯一能验字的人。检测 API 的最终形态——向谁开放、返回概率还是结论、被误判者有无申诉通道——将决定这套水印成为公共信任设施，还是又一堵平台围墙。9 月欧盟的两个任务组，加上那份尚未成形的 API 条款，比 8 月 14 日这篇说明文更值得持续盯住。
我的立场：支持留痕，反对神化。水印让机器生成的文字第一次有了统一的落款，这一点值得肯定；但落款本身只是墨迹，它的意义取决于谁有权阅读、以什么方式阅读。对普通用户，这一切近乎透明：察觉不到变化，没有额外代价，水印不含个人身份信息，也不改变输出的归属与法律责任。真正的博弈发生在平台、监管者与检测权力之间——它才刚刚开局。卖字的人，同时是唯一能验字的人；这句话值得贴在每一个检测 API 的发布页上。