如何给一段文字加水印？

Anthropic 最近宣布将开始对 Claude 生成的文字添加水印。我的第一反应可能和你一样。

给文字加水印到底意味着什么？

对于图片，很容易想象。你可以在像素中隐藏信息，附加元数据，或者在图片上放置几乎看不见的标志。纸币上有难以复制的模糊图案。库存照片中间有半透明的文字。

但文字呢？

如果我从 Claude 复制一段文字并粘贴到纯文本编辑器中，除了文字之外什么都没有了。我可以更改字体，通过 WhatsApp 发送，在博客上发布，打印出来再输入到另一台电脑。所有原始格式和元数据都消失了。

然而水印可能仍然可以检测到。

没有隐藏的短语说 MADE BY CLAUDE。没有不可见的 Unicode 字符。没有秘密账户号码藏在文档中。

那么水印在哪里呢？

事实证明，它隐藏在 Claude 写作时所做的选择中。

2026 年 8 月，Anthropic 确认未来的 Claude 模型将生成带水印的文字。大约 190 个签署方，包括大多数主要模型提供商，在 7 月签署了欧盟的AI 生成内容透明度实践准则。标记 AI 生成内容的义务于 8 月 2 日生效。Anthropic 随后在 8 月 14 日发布了技术说明，并透露 Claude 的水印是 SynthID-Text 的一个版本，这是 Google DeepMind 2024 年在《自然》杂志上发表的方法。

这个机制相当巧妙，但背后的想法并不新鲜。人们长期以来一直在尝试在文字中隐藏信息。

1、你能在文字中隐藏什么？

1990 年代的研究人员将文档视为图片。如果页面是图像，你可以在其几何结构中编码信息。将一行上下移动几微米，将两个单词之间的间隙扩大不可察觉的程度，或者非常轻微地改变字符的形状。

假设正常的单词间距表示 0，稍宽的间距表示 1。那么一页可以携带一个二进制字符串，而不需要改变一个单词。

1 0 1 1 0 1 0 0 1 ...

这些技术有着非常字面的名字，如行移位编码、字移位编码和特征编码。它们在追踪泄露文档方面效果足够好。给每个接收者一份具有不同间距模式的副本，泄露的复印件就可以识别接收者。

一旦你不再思考页面，开始思考文字，弱点就变得明显了。将文字复制到另一个文字处理器中，水印就消失了。重新排版、更改字体、通过 OCR 处理或打印并重新扫描，大部分信号就会随格式消失。

水印属于页面格式，而不是文字。

Unicode 提供了另一个隐藏场所。它包含不占用可见空间的字符，包括零宽度空格和零宽度连接符。一个不可见字符可以表示 0，另一个可以表示 1。

读者看到的是这个。

The cat sat on the mat.

检查底层代码点的软件看到的是更接近这个的东西。

The<ZWSP> cat<ZWNJ> sat<ZWSP> on the mat.

其他版本使用不同类型的空格、替代引号、大写、可选标点或在屏幕上看起来相同但具有不同 Unicode 值的字符。这些方法可以携带相当多的信息，足以用于文档标识符、客户编号、时间戳甚至短消息。

它们也非常容易被破坏。规范化 Unicode 或剥离非打印字符，水印就会消失。将文本粘贴到纯文本字段、保存为 ASCII 或通过内容管理系统处理可能就足够了。

这是对 Anthropic 公告最常见的反应之一。人们假设 Claude 插入了不可见字符，一个小规模的在线"水印移除器"行业出现了，用来剥离它们。这些工具可能会移除零宽度字符。它们不会移除 Anthropic 描述的水印。

研究人员最终将水印移入语言本身。最简单的方法是同义词替换。你同意某些词语选择代表某些位。

big      = 0        large  = 1
quick    = 0        rapid  = 1
perhaps  = 0        maybe  = 1

语法也可以携带位。

John gave Mary the book.             -> 0
The book was given to Mary by John.  -> 1

现在复制和重新格式化文字不会改变任何东西，因为水印是写作的一部分。不幸的是，写作也可能变得更差。

同义词很少是完美的替代品。"Big"和"large"并不总是听起来一样。主动句和被动句强调不同。更改足够的单词和句子结构来编码信息，你可能会改变含义、语气或者只是散文的质量。

这是语言水印永远无法完全逃脱的问题。你需要改变文字 enough 来留下信号，但不要太多以至于读者注意到机制。

然后大型语言模型出现了，已经内置了数千种选择。

2、语言模型是一个非常大的骰子袋

语言模型通常不会计划完整的段落然后填入单词。它一次生成一个令牌。一个令牌大约是一个单词或单词的一部分，尽管确切的边界取决于模型。

考虑这个未完成的句子。

The weather today was cold and

模型计算每个可能的下一个令牌的概率。数字可能看起来像这样。

overcast     30%
grey         25%
damp         20%
miserable    10%
windy         8%
...
sugary        0.00001%

确切的数字是编造的。相反，看看分布的形状。"Sugary"完全不合理。其他几个选择完全合理。读者不会关心句子是以"overcast"还是"grey"结尾，含义大致相同。

用数学术语来说，模型对下一个令牌有一个概率分布。

这意味着，给定到目前为止生成的所有内容，每个可能的下一个令牌的概率是多少？

模型从该分布中采样，将选定的令牌添加到文本中，然后再次进行整个计算。一篇一千字的文章可能涉及大约一千五百个这样的决定。

这创造了一个不寻常的机会。你不是在文字写完后添加水印，而是可以将其隐藏在用于写作的随机性中。

想象抛一枚公平的硬币几千次。你期望大约一半正面和一半反面，没有特定顺序。

现在假设我不抛硬币。我使用一个秘密加密密钥生成一个非常长的伪随机位序列，然后从该序列读取。

对你来说，似乎什么都没改变。一个好的伪随机序列看起来是随机的。正面仍然出现大约一半的时间，反面出现另一半。但我有密钥，所以只要我想，我就可以重新创建相同的序列。如果你给我一个抛硬币的记录，它比我机会允许的更匹配我的秘密序列，我就有统计证据表明它来自我的过程。

Anthropic 用一场大富翁游戏来解释这个想法。玩家不是掷骰子，而是从圆周率的数字中获取他们的移动，从展开式中的某个任意点开始。游戏看起来仍然正常。桌上的任何人都无法预测下一步，结果不会偏向任何玩家。之后，知道起始点的人可以认出游戏遵循了圆周率。从这个意义上说，游戏带有水印。

用令牌代替抛硬币或大富翁移动。模型在"large"、"substantial"、"considerable"和"significant"之间选择。一个秘密密钥影响了这些原本可接受的选择背后的随机源。

一个令牌什么也证明不了。数百或数千个与同一密钥相关的选择创建了一个不太可能偶然出现的信号。

文档中没有单一标记。模式就是标记。

3、绿色单词和红色单词

John Kirchenbauer 及其同事在 2023 年发表了最有影响力的现代 LLM 水印技术之一。它比名字暗示的更容易理解。

在每个令牌位置，使用一个秘密密钥和前面的文本将模型的词汇表伪随机地分为两组。称一组为绿色，另一组为红色。然后给绿色令牌一个小的概率提升。

回到天气句子。

overcast     30%
grey         25%
damp         20%
miserable    10%

在这个特定位置，水印可能决定"grey"和"miserable"是绿色的。它们的概率略有增加。模型不被迫选择任何一个单词，"overcast"仍然可以获胜。绿色令牌只是更有可能。

上下文在每个生成的令牌之后改变，因此为下一个位置创建不同的绿色列表，然后为之后的位置再创建一个。

检测是一个计数练习。普通文本应该恰好使用绿色令牌的次数与随机分割预测的次数大致相同。带水印的文本应该更频繁地使用它们。持有秘密密钥的检测器可以重建每个位置的绿色列表，并计算有多少生成的令牌落入其中。

通常简化的分数是这个。

这里，$N_G$ 是观察到的绿色令牌数量，$T$ 是令牌数量，$\gamma$ 是放置在绿色列表上的词汇表的预期比例。

你不需要方程来理解这个想法。抛硬币二十次，十四次正面有点有趣。抛一万次得到七千次正面，就发生了不寻常的事情。更多的观察使小偏差更容易看到。

问题是绿色列表水印改变了模型的原始分布。假设模型给最好的单词 60% 的概率，合理的替代品 30%，较差的 10%。如果水印偏向较差的单词，它会推动模型选择模型本身评价较低的选择。

你可以这样描述令牌的 logit（采样前分数）的变化。

值 $\delta$ 是给予绿色令牌的提升。更大的提升创建更强、更容易检测的水印。它也更多地干扰模型原本会写的内容。

对于销售前沿模型的公司来说，这是一个尴尬的交易。即使答案质量的小幅系统性下降也会损害产品。如果水印使 Claude 明显变差，无论监管义务如何，这都将是一个难以辩护的功能。

所以研究人员提出了一个更难的问题。模型能否保持完全相同的概率，同时随机选择仍然带有秘密相关性？

这就是 SynthID 的用武之地。

4、胜率保持不变的锦标赛

Google DeepMind 开发了 SynthID 作为一系列来源技术，并于 2024 年在《自然》杂志上发表了文本版本。Anthropic 表示 Claude 使用了这种方法的一个版本。这一系列想法可以追溯到 Scott Aaronson 2022 年的提议。

SynthID-Text 的一种机制称为锦标赛采样。这个名字听起来比基本思想更复杂。当模型需要下一个令牌时，它在几个可能的选择之间运行一个小型秘密淘汰赛。

假设模型正在完成短语"The sky was…"，并给 cloudy 50% 的概率，grey 30%，damp 20%。锦标赛采样首先使用这些概率绘制候选词。它不是将每个单词放入比赛一次。像 cloudy 这样可能的单词更有可能被绘制，并且可能出现多次。不太可能的单词仍然可以出现，只是频率较低。

cloudy    grey    cloudy    damp
grey      cloudy  damp      cloudy

候选词配对。一个秘密评分函数给每个候选词一个伪随机分数，通常是零或一。分数根据水印密钥和前面的几个令牌计算。每对中得分较高的候选词晋级。如果两者得分相同，则随机选择获胜者。获胜者再次配对，过程继续直到剩下一个令牌。

该图显示了三个级别，因此它从八个候选词开始。更一般地说，$m$ 个级别对应于这个概念锦标赛中的 $2^m$ 个候选词。每个级别使用不同的密钥评分函数。对于候选令牌 $x$ 和从上下文派生的随机值 $r_t$，这些函数可以写为

这个括号是理解算法的一种方式，不一定是它在软件中执行的方式。DeepMind 的实验通常使用 30 个级别，为每个令牌构建 $2^{30}$ 个候选词显然不切实际。发布的实现一次计算一个级别的令牌概率的等效变化。它在不构建十亿条目锦标赛的情况下获得相同的采样效果。

为什么这会留下水印？对于一个特定的上下文，密钥偏向某些候选词而不是其他词。在一段长文本中，因此选择的令牌比机会预测的得分略好。读者看到的是普通散文。持有密钥的检测器可以重建分数并寻找这种累积的统计倾向。一个获胜的令牌什么也证明不了。数百个选择可以提供证据。

还有一个明显的问题。如果评分函数偏向特定的令牌，SynthID 是否只是伪装了绿色列表创建的相同失真？

对于固定的上下文和密钥，概率确实会转移。如果 grey 在这一轮中获得更高的秘密分数，它就获得了优势。非失真声明是关于当那些伪随机分数被平均时会发生什么。一个令牌在某些上下文中受到青睐，在其他上下文中则不受青睐。每次比赛中有两个候选词时，它的平均概率返回原始模型分配的概率。Cloudy 总体上仍然是 50% 的选择，grey 是 30%，damp 是 20%。密钥影响产生哪个特定序列，而不创建对一个单词的系统性偏好。

再想想硬币。一个秘密伪随机序列可以决定单次抛掷，而正面在多次抛掷中仍然出现一半。硬币并没有获得对正面的偏好。它的特定序列获得了拥有密钥的人可以测试的模式。

DeepMind 称基本属性为单令牌非失真。它还使用重复上下文掩码，使非失真属性扩展到生成的段落。在其实验中，它将 SynthID-Text 配置为单序列非失真。这是旨在保持输出质量的版本，尽管在可检测性更重要时也可以使用更强的失真配置。

有一个细微差别。在单个响应内保持分布不一定保持所有响应间的多样性，因为输出可能与水印的伪随机过程相关。DeepMind 注意到了这种区别。Anthropic 的公开解释可以理解地在这一点上花费较少时间。

质量证据不仅仅是供应商说一切正常。DeepMind 进行了一项实时实验，向部分 Gemini 流量提供带水印的响应，覆盖近两千万个响应，并将点赞和踩的评分与未加水印的模型进行比较。它发现没有统计学上的显著差异。在一项单独的对照研究中，人类评估者无法在质量上区分两者。Anthropic 表示其内部测试同样发现对内容、创造力或可读性没有影响。

这是一个研究转化为基础设施的好例子。水印可以被密钥持有者检测到，而不会让用户因为 Claude 突然决定"nubilous"比"overcast"更好而查字典。

5、检测器如何找到模式

检测不会重新运行锦标赛或尝试重建失败的候选词。它只重新创建过程的评分端。为此，它需要文本、相同的分词器和秘密水印密钥。它不会搜索 Claude 对话数据库，也不会询问另一个语言模型这段文字听起来是否人工。

以句子"The sky was grey and heavy."为例。检测器首先将其拆分为生成期间使用的相同令牌。在 grey 占据的位置，它获取前面的令牌，将它们与秘密密钥组合，并重建该位置使用的伪随机值。由此，它可以计算 grey 在每个锦标赛级别都会获得的相同分数。

假设有三个级别，grey 获得分数 1、1 和 0。它在三个中得到两个。检测器然后移动到 and，使用新的前面的上下文重建该令牌的分数，并为 heavy、句号和段落中每个其他可用令牌重复计算。

如果文本是没有水印的情况下编写的，零和一应该以机会预期的速率出现。然而，水印采样器反复给得分较高的候选词更好的生存机会。因此，它选择的令牌应该收集略多的一。SynthID 最简单的检测分数是这些值在所有 $T$ 个令牌和所有 $m$ 个锦标赛级别上的平均值。

这是一个故意简化的例子。一段 100 个令牌的文本在三个锦标赛级别上评分，产生 300 个零和一。未加水印的文本可能产生大约 150 个一。如果观察到的文本产生 180 个，检测器会询问未加水印的段落有多大机会达到那么高的分数。实际计算更仔细地校准，但这是正在询问的统计问题。

水印并不隐藏在任何特定单词中。Grey 可能在一个上下文中获得高分，在另一个上下文中获得低分。证据在于在整个段落中累积的小额过剩。一个令牌在三个中得到两个意义不大。一个比普通文本得分更高的长序列越来越难以用机会解释。

检测器然后必须决定最终分数有多不寻常。一种方法将其与未加水印文本的预期分数进行比较。另一种使用贝叶斯模型来比较两种可能性。

第一个询问如果文本带水印，观察到的分数 $S$ 有多可能。第二个询问如果不带水印，它有多可能。将这些分布与检测器的先验假设相结合，产生一个估计，例如

在看到分数后分配给水印解释的概率。SynthID 的参考实现提供均值、加权均值、频率派和贝叶斯检测器。其贝叶斯检测器针对特定的水印密钥进行训练，可以返回不确定的结果，而不是强制每个段落进入是或否。

任何检测器仍然需要一个决策阈值。将阈值设置得高，它会做出更少的错误指控，但它也会错过更多带水印的文本。将其设置得低，它会找到更多水印，同时增加假阳性。适当的设置取决于结果是用作弱审核信号还是作为重要决策中的证据。

长度和选择自由在这里很重要，原因与生成期间很重要相同。一段长而多变的文本为检测器提供了许多小的观察结果来组合。一个简短的答案、一段引用或一段严格约束的代码可能提供太少的证据来获得自信的结果。因此，检测是对段落的统计判断，而不是对盖在每个句子上的隐藏标签的读取。

6、Anthropic 实际承诺了什么

公众反应经常超前于公告，因此边界是有用的。

Anthropic 表示水印适用于 2026 年 8 月 2 日之后推出的 Claude 模型生成的文本。旧模型受欧盟法律过渡期的覆盖，该公司表示将在接下来的几个月内努力为其添加水印。

它在全球范围内适用，而不仅仅针对欧洲用户。Anthropic 表示它还没有持久的方法来按地区限制行为，并将继续评估该决定。

水印不携带任何识别信息。它不编码你的账户、组织或对话标识符。水印或密钥中的任何内容都无法用于恢复谁提示了 Claude。信号涉及生成系统，而不是用户。

它不添加令牌，因此没有额外的令牌费用。Anthropic 还表示速度成本可以忽略不计。

计划提供检测 API，尽管在 Anthropic 发布公告时其细节仍在制定中。秘密密钥是检测的基础，因此这可能是一项服务，而不是发布供任何人下载的密钥。发布密钥会使独立检测更容易，但它也可能帮助攻击者复制或欺骗信号。

文件使用不同的机制。当 Claude 创建图像或类似文件时，Anthropic 附加一个 C2PA 内容凭证。这是文件元数据中的一个加密签名记录，表明 Claude 创建或处理了它。C2PA 是一个开放的行业标准，也被相机制造商和照片编辑软件使用。

C2PA 凭证不是本文描述的文本水印。它是附加到文件上的标签，当有人重新保存文件、转换其格式、截屏或上传到重写元数据的服务时可能会丢失。文本水印更有趣，因为它在原始容器丢失后仍然存在。

Anthropic 尚未公开其生产密钥或参数，这并不奇怪。它已经公开了足够的架构，让我们可以推理系统能做什么和不能做什么。

7、一些文本给水印更多空间

这样的水印需要选择。如果只有一个正确的延续，就没有地方隐藏信号。

问 Claude 二加二等于多少，答案必须是四。一个引导模型选择五的水印在比水印更基本的方式上失败了。Anthropic 给出了另一个例子。完成"Isaac Newton's most famous work was called Principia…"，下一个单词必须是 Mathematica。没有同样好的替代品。

现在要求 Claude 描述黎明时巴黎的氛围。模型有很多空间。几乎每个句子都可以用几种合理的方式编写。

信息论称这种不确定性为熵。对于模型的下一个令牌概率 $p_i$，它通常表示为

当 $H_t$ 接近零时，模型对下一个令牌几乎确定，水印容量很小。当熵高时，几个令牌是合理的，有更多选择可以隐藏信号。Anthropic 表示其水印不应用于实际上只有一个正确选择的地方。这在功能上是熵敏感行为，尽管该公司尚未透露其实现是否使用任何特定的已发布熵自适应算法。

这解释了为什么代码很难。

if err != nil {
    return err
}

这个 Go 代码片段几乎没有有意义的替代方案。替换一个令牌来增强水印可能会产生 bug，而不是风格变体。

散文则宽容得多。

The results suggest...
The results indicate...
The results show...
The results imply...

这四个都可能有效，每个选择都可以携带一点证据。因此，水印容量与生成过程中可接受的不确定性相关。

这是直觉而不是 Anthropic 的生产公式。它捕捉了为什么创意散文提供了大量容量，而约束代码则没有。注释、名称和格式选择提供了一些空间，但代码的可执行部分提供的空间要少得多。Anthropic 承认这一点。如果你希望检测器能够可靠地识别每个 Claude 生成的 Pull Request，这种机制会让你失望。

编辑处于一个有趣的边界上。你自己写一个句子，让 Claude 修复标点符号。Claude 可能会更改三个令牌。三个选择没有为检测器提供足够的证据。

给 Claude 一个五个单词的提示，要求写一篇两千字的文章，它会做出数千个选择。信号应该强得多。

这种区别很容易被忽视。阳性结果意味着 Claude 可能生成了检测到的令牌的实质部分。它不能告诉你谁想出了这些想法。

如果我写一篇文章，Claude 修复我的逗号，智力工作是我的，水印可能不存在。如果我给 Claude 一个提示并发布其完整响应，水印可能很强，而我的智力贡献很小。大多数实际用途介于这两个例子之间。检测器无法区分"Claude 写了这个"和"Claude 大量重写了这个"。

翻译看起来受限制，因为含义必须忠实于源文本，但 Claude 仍然选择几乎每个输出令牌。它可以改变词语选择、语域和句子结构，因此 Anthropic 表示翻译文本将携带水印。

大致的光谱如下。

创意写作         强信号
长文生成         强信号
翻译             强信号
摘要             强信号
大量重写         强信号
简短事实答案     弱信号
轻度编辑         弱信号
校对             非常弱或无
可执行代码       弱，注释中有更多信号

长度加剧了差异。十个令牌几乎不提供任何证据。两千个令牌提供数千个观察结果。

8、当文本被编辑时会发生什么？

信号分布在整个文档中。删除一个不可见字符可能会破坏旧的 Unicode 水印，但没有单个令牌单独携带此水印。

在一篇一千字的文章中更改十个单词，你已经扰乱了大约百分之一的直接令牌证据。更改一百个，你已经扰乱了大约百分之十。编辑也会影响用于评分某些后续令牌的上下文，但文档的大部分仍然提供证据。检测置信度应该逐渐减弱，而不是突然下降。

完全的释义是不同的。

取这个句子。

Claude 在检查数据集后生成了报告。

另一个模型可以将其重写为

数据在报告准备之前被分析了。

含义保留了，几乎每个令牌都改变了。水印就存在于那些令牌选择中。

对整个文档运行一个称职的释义器，它会替换与密钥相关的大部分选择。Anthropic 也这么说。轻度编辑可能不会完全移除水印，而替换基本上每个单词的重写会。

公平地说，Anthropic 指出，一旦每个单词都被替换，我们可以争论结果文本是否仍然是相同的 AI 生成文本。这是合理的，但它回避了一个更尴尬的情况：一个模型洗白另一个模型的输出。

问题是结构性的。释义器在替换表达的同时保留含义。令牌级水印存在于表达中。随着释义变得更加完整，与原始密钥的相关性接近零。

能够承受任意释义的水印需要存在于释义器保留的东西中，大概是含义。但一个改变含义来编码标记的系统比一个标记可以被移除的系统具有更差的属性。可靠的语义水印仍然是一个开放的研究问题，因为需求向相反方向拉扯。

还有另一种不太明显的攻击。

假设有人多次查询带水印的模型并分析结果，寻找在特定上下文中出现频率高于预期的单词。给定足够的样本，攻击者可能能够在不直接学习秘密密钥的情况下近似水印。

这被称为水印窃取。2024 年，苏黎世联邦理工学院的 Nikola Jovanović、Robin Staab 和 Martin Vechev 证明了这一点，针对绿色列表风格的方案。他们报告了两种攻击的平均成功率超过 80%，在测试环境中 API 查询成本低于 50 美元。

第一种攻击是清除。窃取的近似值比盲目释义更有效地引导重写远离水印。

第二种是欺骗。

欺骗创建文本，即使模型没有生成它，检测器也会将其归因于模型。有人可以伪造文档，应用近似的水印，并制造明显的证据表明某家公司的模型生成了它。后果取决于文档说了什么，其中一些并不愉快。

我们应该谨慎比较。苏黎世联邦理工学院的工作针对绿色列表家族中的分布修改方案。SynthID 的非失真、上下文敏感的构建是一个更难的目标，因为它通过输出分布的变化泄漏的信息更少。然而，没有公开证据表明 Anthropic 的生产实现能够免疫大规模水印窃取。

在不确定性得到解决之前，没有人应该将检测器结果视为重要决策中的证据。

9、检测器能证明什么？

因此，Anthropic 用可能性来描述其计划中的检测器。问题是某段文本部分由 Claude 编写的可能性有多大。该公司尚未公布其生产检测器的操作特性，包括其阈值和测量的错误率。这些数字将决定任何人应该对结果有多大信心。

还存在根本的不对称性。

对足够长的段落的阳性结果可能是有意义的。它表明文本的选择与 Claude 的秘密水印的相关性远强于机会通常产生的。

阴性结果告诉你的少得多。它与人类写作一致，但也与另一个 AI 模型、旧版 Claude 模型、彻底的释义、简短的答案、严格约束的事实文本或代码一致。未检测到水印并不意味着没有 AI 参与。

这几乎是许多组织想要的相反。学校、出版商、期刊、法院和雇主想要一台证明人类作者身份的机器。这项技术做不到。声称相反的产品将承诺水印无法提供的东西。

水印还应该与现有的 AI 文本检测器分开。Pangram 等服务寻找模型倾向于产生的风格模式。Anthropic 自己指出了诸如"这不是 X，而是 Y"结构和模型过度使用某些副词等习惯。风格检测器在没有密钥的情况下进行启发式猜测。这些系统已经对学生，特别是用第二语言写作的人提出了错误指控。

水印检测器执行密钥统计测试，具有可计算的假阳性率。它仍然会犯错误，其结果仍然需要解释，但它是不同的、更可靠的工具。

那么，如果一个决心坚定的人可以用另一个模型和释义来击败它，为什么还要麻烦呢？

最好的类比可能是门上的锁。锁不能阻止决心坚定的窃贼。它阻止随意进入，确立进入是未经授权的，并提高绕过它所需的努力。水印不会阻止复杂的影响力操作。它可能暴露随意的未公开 AI 生成，给平台一个他们目前没有的信号，让组织可以测试来源声明，而不是凭信任接受它们。

Anthropic 的一位工程师在 8 月的讨论中将其描述为不完美的、可编辑的和第一步。这似乎是正确的基调。

危险不仅仅是水印可以被移除。更大的危险是机构将部分、单向和可击败的信号视为证据，然后用它来对成绩、工作或声誉做出决定。

将签名隐藏在模型已经使用的随机性中是优雅的工程。在不使写作变差的情况下做到这一点是一项成就。

它仍然不是测谎仪。它不能告诉你某人是否进行了自己的思考。

为此，你仍然必须阅读他们写的内容并询问他们。

原文链接: How Do You Watermark a Paragraph?

汇智网翻译整理，转载请标明出处