因为一枚看不见的AI水印，Anthropic又成了大反派

作者｜周松

原创首发｜蓝字计划

GitHub，不愧是世界上最接近乌托邦的地方。

这几天，一个名叫watermarks-remover的开源项目，突然在GitHub上火了。上线没多久，Star数便一路飙升至13800+。

图源：GitHub官网

这玩意干嘛的？

顾名思义，watermarks-remover，即水印移除器：把AI生成内容里的各种水印，统统帮你收拾干净。

Claude的、Google的、OpenAI的，文本的、图片的，甚至是PDF里的各种AI元数据，通通都能洗。

一时间，大家忙着下载代码、研究用法，讨论怎么把它塞进自己的Agent里。一个帮AI内容“毁尸灭迹”的工具，一时间撑起了开源社区热度的半边天。

而这场狂欢，正是因一个小小的AI水印工具而起。

8月16日，Anthropic宣布给Claude生成的图文加入AI水印。只要内容经过Claude，就可能留下一道肉眼看不见、机器却能认出来的痕迹。

图源：Anthropic官方账号

简单来说，给所有使用Claude生成的内容，暗搓搓加了一个隐藏的刺青。

这显然是一个触及了几乎所有AI使用者底线的功能，不然也不会在功能发布三天后，就有一个现象级的水印清洗工具出现，这速度连盗版电影都得甘拜下风。

但也许，也有人会说：加一个小小的AI水印，怎么了？这就搅动了整个AI圈？

Claude，往内容里加了“老鼠屎”

实际上，Anthropic给Claude加的AI水印，并没有大家想象中“留一道痕迹”那么简单。

它要解决的，是一个已经快把互联网逼疯的问题：AI生成的内容越来越多，人们却越来越分不清，眼前的文章、图片和视频，到底是人做的，还是AI做的。

过去，大家还能凭感觉判断。

文章分点太工整，像AI；措辞太平滑、太客套，像AI；标点和空格用得太规范，也像AI。

图源：海外网络公开资料

可AI越来越会模仿人，人类也开始反过来模仿“不像AI的人”。

现在甚至有人专门做了一个名叫Error-Prone的Skill，作用就是让AI故意写差一点：往邮件和帖子里塞进错别字、漏标点和不那么规整的句子，免得内容干净得一眼AI。

就像某个AI圈大号，每次在文章里留有错字，都会被粉丝戏称是“手搓认证”。

以前，人们用工具给文章纠错；现在，为了证明自己是人，人类开始让AI帮忙犯错。

当事情荒唐到这个地步，靠人眼鉴AI，显然已经不太靠谱了。

监管也在催促大公司赶紧想办法。

大约半个月前，有消息称，包括OpenAI、Google、Meta、Microsoft在内的190多家AI公司，签署了欧盟《AI生成内容透明度行为准则》，承诺推进AI生成内容的标记与检测。

图源：欧盟官网

简单来说，AI生成或者修改过的内容，需要留下机器能够识别的标记。

这其中，自然包括Anthropic的Claude。

并且，Claude还是第一个响应号召的，“衷心”表得真是迅速。

当然，Anthropic这么积极，心里肯定有自己的小算盘。

Anthropic一直把“AI安全”挂在嘴边。如今整个行业都在研究怎么给AI内容标记身份，谁先拿出一套能用的技术，谁就更有机会在未来的规则里掌握话语权。

这时，就不得不提A社这次推出的，采用了谷歌DeepMind的SynthID-Text方案的AI水印了。

图源：Nature官网中的SynthID-Text方案

它的厉害之处在于：水印生成的底层逻辑，涉及了语言大模型的生成机制。

AI生成文字，其实就是个接龙游戏。当你问Claude一个问题时，它并不是像人一样，先在脑子里想好一整段话再写出来，而是在每一步预测：“下一个最可能出现的词是什么？”

比如，“这家公司的增长速度非常XX”。

模型脑子里其实已经有了一堆候选答案：快、迅速、惊人、明显。这些词意思都差不多，也都能用。

正常情况下，Claude可能根据概率随机挑一个。

加入SynthID-Text后，Claude会在这个过程中，悄悄调整某些词被选中的概率，又不影响正常阅读。

单独看一个词，没有任何异常。但当这些微小调整累计到足够长的文本里，就会形成一种特殊的统计规律。

这套规律，就是Claude的文本水印。

据Anthropic自己说，这套技术不会额外消耗Token，也不会往文本里塞进隐藏字符，生成质量同样不会受到影响。

图源：Anthropic官网

只是很难甩掉而已。

文字之外，Claude生成的SVG、PNG、JPG等受支持文件，照样会被加入带有数字签名的“出处元数据”。

Anthropic为此专门写了一篇长长的官方博客，里里外外都在强调这套技术有多隐蔽、多难绕过：复制粘贴能带走，轻度编辑也抹不掉，而且会直接应用到全球Claude用户身上。

图源：网友发文截图

自豪之情，可谓是溢于言表啊。

只可惜Anthropic还没得意几天，GitHub那边就有人递来了“破解方案”。也就是，最开始提到的watermarks-remover。

GitHub给Claude“扒皮”了

watermarks-remover最狠的地方，是把文本、文件和图像全都覆盖了，对着Claude的水印来了一套一条龙清洗。

图源：GitHub官网

一些简单的隐藏字符，如Unicode字符、宽空格、tag字符、bidi控制符，watermarks-remover可以直接清理，并且是完全无损的。

文件水印也不难处理。

watermarks-remover可以把PNG、JPG、PDF、DOCX、HTML等主流格式里的C2PA、EXIF、XMP元数据全部剥离出来。

甚至，它还内置了一个专门对付图像像素水印的重型工具：CtrlRegen。

图源：GitHub官网

这套工具的处理方式更加暴力，甚至有点极端：直接重新生成一张新的图片。

就像一栋楼被人偷偷刻上了标记，与其拿刀一点点刮掉，不如按照原来的设计图重新盖一栋。

CtrlRegen会保留原图的主要内容和视觉效果，再通过受控生成的方式重建像素，让原本附着在图片上的水印失去作用。

对于尺寸较大的图片，它还会自动切分成多个区域分别处理，最后再进行平滑拼接。

而藏在Token上的规律水印，就更简单粗暴了：直接重写。

核心逻辑，就是调用另一个模型充当清洗机器，把原文从头到尾改写一遍，顺便打乱藏在Token选择里的统计规律。

不过，这种处理也是有代价的。

水印被清理掉了，原文里好看的句子、表达节奏和个人语气，也可能被另一个模型一并洗掉。

花钱用顶级模型写出一篇好东西，最后为了躲水印，再让另一个模型重写一遍。折腾到最后，文章可能还不如自己手搓。

洗完之后，watermarks-remover甚至还搭了一套检测流程，专门验证水印到底有没有清理成功。

它接入了清华大学团队开源的MarkLLM和MarkDiffusion框架，把它们当作测试工具，对处理前后的内容进行比较。

不过，或许watermarks-remover确实太强，太狠，Claude选择了逃避可耻但有用的办法：不肯帮用户运行它。

有网友尝试让Claude直接调用这个工具，结果Claude说什么都不肯干。

图源：网友发文截图

哪怕用户反复强调，内容是自己写的，水印也是自己不想要的，Claude依旧选择拒绝。

颇有一点反客为主的感觉了。

Claude显然已经在底层限制里写清楚了：可以帮你生成，也可以帮你检测，但不能亲手拆掉自己留下的标记。

当然，绕过Claude自己运行watermarks-remover，也没有想象中那么轻松。

CtrlRegen一次要拉下来约10GB模型，16GB内存更稳。GPU虽然不是硬门槛，但没有GPU，处理速度基本就得做好久等的心理准备。

好在，只要第一套破解方案已经出现，后面的工具只会越来越多，使用门槛也只会越来越低。Anthropic可以继续升级水印，开源社区也可以继续研究新的清洗方法。

就是原本用来给AI内容“验明正身”的水印，始终会变成一场没有终点的攻防战。

说到底，大家为什么非要洗掉这枚水印？Anthropic又为什么一定要把它留下？

这背后的矛盾，可能比水印本身更加尖锐。

爱用AI，但也怕被当成AI

说到底，这场水印大战，注定很难有赢家。

因为大家真正想要的东西，本身就是矛盾的。

我们恐惧网上所有东西都是AI产生的，害怕被一篇文章、一张图片或者一段视频骗得团团转。所以，大家希望AI生成的内容留下痕迹，至少别让机器冒充人。

可轮到自己的作品被盖上“AI生成”的章，又担心十几个小时的劳动被一笔抹掉。

偏偏，现在大家又离不开AI。

查资料、改稿子、做翻译、画图片，AI已经渗进了内容生产的每一个环节。想知道它有没有参与很合理，但只凭一枚水印，很难说清它到底参与了多少。

其实，AI水印这玩意，早就出现过了。

2024年，OpenAI就曾开发出一种文本水印技术。只是这套技术虽然检测效果不错，也扛得住局部改写，最后还是因为担心用户反感，没有正式推向市场。

图源：OpenAI官网

可OpenAI没撞上的墙，Claude上赶着去撞了。

不仅用了，还直接全球铺开。不管你在哪儿、不管你付没付费，只要用Claude，生成内容就默认带水印。

而真正膈应人的或许是：你用了AI，就被默认“你的成分有问题”；至于你到底用了多少、怎么用的，没人在乎。

图源：网友发文截图

你花十个小时查资料、想选题、搭框架，最后让Claude帮你顺两句话；另一个人把整篇文章丢给Claude，从头到尾一键生成。在水印面前，两者可能是一个待遇。

这真的公平吗？

所以，大多数人其实倒不反对AI内容留下来源。

问题在于，水印只能告诉别人Claude来过，却很容易被理解成“这东西就是Claude写的”。

它可以是一张身份证，但不该成为判断一份作品有没有价值的案底。

而且，这张“身份证”上到底写什么、谁有资格查、谁来解释、查错了又该找谁申诉，似乎都还没有标准答案。

图源：网友发文截图

或许，只有等AI生产的东西已经完全等同于人，AI水印的争议才会真正平息。

可真到了那一天，还有没有AI水印，已经不重要了。

参考资料：

[1]爱范儿：你用AI写的文字，以后藏不住了

[2]新智元：刚刚，Claude水印一夜变废纸！刚刚，Anthropic给Claude装了隐形卧底！全球生效

[3]AI科技评论：Anthropic技术栈里的「五宗罪」由何而来？

[4]量子位：Claude骂声中启动「隐形水印」：新模型全量嵌入，标记所有文字；Claude隐形水印被光速破解，GitHub一天狂揽2.6k星

[5]机器之心：「AI生成的内容全部加水印」OpenAI、Anthropic、Google都签了；Claude水印已被破解，斩获11k Star！但会被拒绝安装

[6]APPSO：Claude的文字水印，成功把人类套路了；Claude给所有AI文字加了水印，全球用户彻底怒了！