以后用 AI 写文章，再也骗不了人了？AI怎么给自己加“水印”？

前几天，网络上对某 AI 大模型公司的声讨又攀上了一个小高峰。起因是这家公司决定从 2026 年 8 月 2 日起，“在欧盟地区发布的大模型将支持机器可识别的标识方式”。其中重要的改变，是为自家模型生成的文本加上水印。

现在欧盟用户在使用该模型生成文本时，文本里就已经嵌入了可以识别的内容——而且用户看不到它。

海量文本 难以识别AI制图

这些文本水印不会因为普通的复制粘贴而消失，把文字截屏做文字识别、重新抄录一遍，甚至是读出来让 AI 听写，水印也很有可能继续存在。甚至经过一定程度的编辑后，水印也可能继续存在。

听起来有点神奇。图片和视频的水印通常附着在文件或像素信息中，但是给文本加水印……一段可以随意编辑的文字，怎么就能判断是 AI 生成的呢？

这其实是个统计学问题。

统计学（再次）大显身手

虽然目前该公司还没有公开水印算法和检测准确率，也没有发布检测器，但已经可以根据它描述的特征来做出大概判断。

看看该公司的水印特征：文本越长，可以用来做判断的依据就越充分；少量编辑会损失部分信号；全面重写会破坏信号；以及最终的检测也不是给出板上钉钉的结论，而是给出可能性。这些特征，与当前主流的生成式统计水印高度吻合。

而生成式统计水印，又是基于大语言模型的内容生成机制的。模型并不是先“想”好一整段话，再把它逐字写出来；而是每生成一个词元（token），就会根据前文计算下一批候选词元的概率，然后从中作出选择。

生成式水印就是在这个选择的过程中介入的。系统使用一串被叫做“密钥”的数字和前面若干词元的上下文，给候选词元分组或打分，再在不明显损害文本质量的前提下，略微改变下一步的选择，可能会换个词元。这也就给概率叠加了个小调整。

AI 制图

单看一个词，难以分辨这种调整。但在几百个词元上，这些调整会累积成一种可以识别的统计异常。

这种原理也就决定了文本水印的特性。文本太短时，水印信号可能不足；翻译或深度改写则会削弱甚至消除它。这就像抛十次硬币，出现七次正面不算奇怪；抛一千次却出现七百次正面，就明显有问题。文本越长越没有经过修改，统计信号才越可能稳定下来。

最经典的公开方案之一，是 Kirchenbauer 等人在 2023 年发表的“green-list”水印。系统在每一步生成前随机划出一组“绿色词元”，轻微提高它们被选中的机会；检测时再统计绿色词元是否显著多于自然情况下的分布预期，并给出相应的统计量。

Google DeepMind 的 SynthID Text 也属于这种思路，但生成方式更复杂。它根据最近的上下文和水印密钥产生伪随机评分，从语言模型原有分布中抽取多个候选词元，再选出这些候选中评分较高的。

还有一类“无偏水印”，追求的是不改变模型原有输出的边际概率分布。它借助秘密随机数与最终词元之间的关联留下信号，再用枢轴统计量完成检测。

可以看出，这种水印还是受到些限制的。它要求生成内容的模型主动嵌入水印，对 AI 生成内容的判断也未必准确。

所以，这项技术更像一项刚开始铺设的基础设施，还不能给所有文字自动“验明正身”。

为什么要给文字加水印？

除了满足欧盟的合规要求外，给 AI 生成的文字保留来源线索本身就有意义。

文字太容易转换形态了。一次复制粘贴，AI 生成的文字能变成论坛帖子、商品评论、学生作业、工作简报等等等等。普通文件元数据容易在格式转换时丢失，至于网页上“由 AI 生成”的标记，早就被用户习惯性忽略了。而嵌进措辞选择中的统计水印，至少有机会跟着文本继续传播。

对模型提供者来说，这条线索可以用于滥用调查和平台合作，但至少它目前只能追踪到模型，而不是使用这个模型的人——除非产品另有设计。

对内容发布者来说，水印最常见的用途就是筛查。出版机构、学校等等如果有了检测权限，就可以依据水印来决定是否需要做进一步检查。

AI 制图

而对于内容接收者来说，知道文字来源可以调整自己的“信任阈值”。一段健康建议看起来可能完全相同，但读者应该采取的态度却不相同——毕竟现在大语言模型的幻觉问题还挺严重。虽然水印不能证明建议是否正确，但可以给读者提个醒。

广义的内容接收者还包括接收文本的平台、搜索引擎、以及把海量网络文字收入训练集的 AI 模型企业。对他们来说，水印不是答案，而是一项可能影响决策的变量。

生成式统计水印技术提供了有用的分工：AI 企业让文字来源有迹可循，发布者决定应该如何使用，读者则可以知道这条信息意味着什么。

检出水印就说明内容不靠谱吗？

生成式统计水印的确可以提供一种比“读起来像 AI”更直接的判断证据，但它的限制也不少。

首先，水印需要模型具备相应能力，而且主动生成。其次，它是概率判断，而不是定论。这两点是由它的原理决定的，也很容易理解。

而即使存在水印信号，也不能证明文字说的是真的，不能评价文字质量，不能判断作者是否欺瞒或违规——而这些，却往往是我们在阅读一段文字时更关注的东西。

一个带水印的模型完全可能生成错误事实或片面的解释。一篇结构清楚、事实经过核验的人机协作文章可能有水印；一篇完全由人写成却错误百出的文章也可能没有水印。来源和质量是两个不同的判断维度，把“AI 生成”直接翻译成“低质量”，既会错过优质的人机协作成果，也会给“纯手搓内容”加上错误滤镜。

反过来，没有检出水印，也不能证明没有 AI 参与。模型可能从未加过水印，检测者可能没有相应密钥，文本可能太短或太确定，也可能经过翻译、重写，甚至遭到有意清除。

水印也不能判断作者在某篇文字内容上所做的认知努力，不能判断内容的真实、准确、及时和充分程度。今天已经很少会有“百分之百人写”和“百分之百机器写”的区别了，更多的是混合工作。

作者可能自己完成采访，设计文章结构，写好初稿后再让 AI 改写几个段落；也可能直接采用 AI 初稿，再补进少量个人经历。可能有人从 AI 提供的十个版本中挑选一句，但为这个选择考虑了很久；也有人只是把整篇 AI 初稿过一遍清洗工具，机械地换掉一堆词。

水印并不能作为确定性的证据。它也许只是能增加一点内容的来源透明度而已，不能证明作者有没有真正思考。

沉淀在文字里的思考

2024 年 10 月，硅谷投资人、作家保罗·格雷厄姆写了一篇博客文章，名叫《会写或不会写》。他认为，AI 消除了过去迫使人们学习写作的压力。写作很难，因为写一篇好文章，需要强迫作者自己想清楚——写作即思考。如果把写作交给机器，社会可能分成会写与不会写的人，并进一步成为他所说的“会思考”和“不会思考”的人。

AI 制图

当然这个观点可能有些偏颇，但却抓住了一个重点：想法不是先在头脑中完整形成，然后再被抄录出来，而是在试着写下、调整、重排、删除的过程中才真正逐渐成形。

经典的写作认知过程理论把写作描述成目标驱动、不断往返的计划、表达和审阅过程，写作者会在过程中改变目标，重新组织材料，并根据自己刚写出的内容继续思考。物理学家理查德·费曼也曾在访谈时表示：“写笔记不是思考过程的体现，它们本身就是思考。”

《纽约时报》最近有篇专栏提出，完全不要让 AI 代写，哪怕是普通邮件或会议记录也不要。这篇专栏认为，日常写作锻炼的正是重要写作会用到的能力。大概像是某种肌肉练习，只不过发生在大脑里。

检查错别字与让模型代替自己形成观点，并不是同一种认知活动。真正的问题不是文字是否通过 AI 来生成，而是 AI 工具在流程中替代了什么：它替代的是机械操作，还是本应由人完成的学习、思考过程？

AI 技术是否削弱思考，不只取决于有没有使用 AI，还取决于任务的目的、人与工具的分工，以及最后对内容呈现的决策权。

如果目标是学习一个概念、形成自己的观点，那么先由人提出问题、写下初步解释，再让 AI 质疑和反馈，通常比直接问 AI 要答案更能保留核心认知过程。如果文字将影响公共利益或他人权利，那么更不能交给一个无法承担后果只会诚恳认错的 AI 系统。

这种区分可能比追求“百分之百纯手搓文章”更有意义。AI 正在成为写作环境的一部分，作者不必完全拒绝 AI，但依然需要保留自己的判断。

水印不能解决的问题

文本水印大概还会继续发展。除了满足欧盟的合规要求之外，可能各个国家也会逐渐出台类似的政策。也许一段时间之后， AI 生成内容的文本水印会成为信息基础设施的一部分。

它让 AI 文字的来源识别不必停留在文风猜测，也可能为平台治理、内容披露、模型训练和模型来源研究提供更可靠的基础。

但水印只能留下生成过程的统计痕迹。它不能验证事实，不能判断文字质量，不能计算人的努力，也无法衡量一个想法的产生有多艰难。它无法追溯生成过程中的判断和思考。

而且，水印也并非完全不可移除。在这个公司给大模型加上水印后不久，开源项目 watermarks-remover 就在 GitHub 上获得了大量关注，它尝试从多个层面清理 AI 溯源标记：清理文本中隐形的 Unicode 字符、调用非源头模型对文本进行大面积释义重写以破坏统计特征、剥离文件中的 C2PA 与 EXIF 元数据等。需要说明的是，针对统计型水印的重写属于“尽力而为”，不能保证骗过厂商未来的官方检测器，且重写过程本身也会改变文本的措辞与风格。

总之，这种魔高一尺道高一丈的循环，可能短时间内不会结束。而我们在看到一段文字时，我们不妨也给自己“加载”几个问题：

这段文字可能从哪里来？

这段文字中描述的事实或证据可靠、全面吗？

它对于我要做出的判断，质量是否达标？

谁对它做过实质的审查？

文本水印最多只能帮助回答第一个问题的一部分。后三个问题，依然只能由我们自己回答。

参考文献

[1] Anthropic. (n.d.). How Claude Marks AI-Generated Content. Anthropic Support. https://support.claude.com/en/articles/16266773-how-claude-marks-ai-generated-content

[2] antares. (2026). 如何鉴别一句话是不是 AI 写的？有人给 AI 文字加了"水印". 科普中国. https://mp.weixin.qq.com/s/zusIUaJ0CRdtgHaup892pQ

[3] Kirchenbauer, J., Geiping, J., Wen, Y., Katz, J., Miers, I., & Goldstein, T. (2023). A Watermark for Large Language Models. In Proceedings of the 40th International Conference on Machine Learning (pp. 17061–17084). PMLR. https://proceedings.mlr.press/v202/kirchenbauer23a.html

[4] Dathathri, S., See, A., Ghaisas, S., Huang, P.-S., McAdam, R., Welbl, J., Bachani, V., Kaskasoli, A., Stanforth, R., Matejovicova, T., Hayes, J., Vyas, N., Al Merey, M., Brown-Cohen, J., Bunel, R., Balle, B., Cemgil, T., Ahmed, Z., Stacpoole, K., Shumailov, I., Baetu, C., Gowal, S., Hassabis, D., & Kohli, P. (2024). Scalable watermarking for identifying large language model outputs. Nature. https://www.nature.com/articles/s41586-024-08025-4

[5] Hu, Z., Chen, L., Wu, X., Wu, Y., Zhang, H., & Huang, H. (2024). Unbiased Watermark for Large Language Models. In Proceedings of the Twelfth International Conference on Learning Representations. https://proceedings.iclr.cc/paper_files/paper/2024/hash/c5b00c5bdcc6fe35907dbcca03d27652-Abstract-Conference.html

[6] Li, X., Ruan, F., Wang, H., Long, Q., & Su, W. J. (2024). A Statistical Framework of Watermarks for Large Language Models: Pivot, Detection Efficiency and Optimal Rules. arXiv preprint arXiv:2404.01245. https://arxiv.org/abs/2404.01245

[7] Graham, P. (2024, October). Writes and Write-Nots. Paul Graham's Blog. https://paulgraham.com/writes.html

[8] Flower, L., & Hayes, J. R. (1981). A cognitive process theory of writing. College Composition and Communication, 32(4), 365–387. https://doi.org/10.58680/ccc198115885

[9] Feynman, R. P. (1966, March 4). Oral history interview 5020-1 [Interview by C. Weiner]. American Institute of Physics, Niels Bohr Library & Archives. https://www.aip.org/history-programs/niels-bohr-library/oral-histories/5020-1

[10] [Column]. (2026, August 4). The New York Times. https://www.nytimes.com/2026/08/04/opinion/artificial-intelligence-ai-writing.html

来源：返朴

编辑：辣条

转载内容仅代表作者观点

不代表中科院物理所立场

如需转载请联系原公众号