Anthropic 为 Claude 加了个「水印」，但问题不在水印本身

目录

• 「Get fucked」——两句话引发的连锁反应
• 水印不是你想的那种水印：修改 token 的随机数来源
• 「grey」和「overcast」——每个词的选择都被污染了
• 合规与信任：一边是法律，一边是承诺
• 国内对照：要求水印的两个世界
• 水印检测的钥匙在谁手里，比水印本身更重要

昨晚，Anthropic 发了一篇博客，标题叫《How Claude's Text Watermark Works》。今天，Daring Fireball 的 John Gruber 写了八千字回应它，结尾用了两个词：Get fucked。

这不是普通的「又有人骂 AI 公司了」。Gruber 在标题里用了一个重的词——「perversion of writing」。他不是在说技术不好用，他是在说这个技术从根本上玷污了写作这件事本身。

而这篇文章，某种意义上，是 Anthropic 的 Claude 第一次在全世界范围内改变它吐出来的每一个字——不是因为用户需要，不是因为体验更好，而是因为欧洲的一条法律。

「Get fucked」——两句话引发的连锁反应

事情要从 8 月初说起。Anthropic 宣布，所有 Claude 模型（全球范围内）将开始为它们生成的文本添加「水印」，以遵守欧盟的《AI 生成内容透明度行为准则》。这个水印不是可见的——不在文本里添加隐藏字符，不在文件头里塞元数据。它是一种语义水印，通过对模型在推理时的 token 选择施加微妙的偏好，留下一种只有持有密钥的人才能检测到的概率指纹。

Gruber 最初猜测他们会在文本里嵌入不可见的 Unicode 字符。结果发现，Anthropic 的方案比他猜的更激进——他们不是往文本里加东西，而是直接在词的选择过程里动手脚。

「我以为他们说的『不影响质量』是真的。」Gruber 写道，「我错在相信了 Anthropic 的描述。」

8 月 16 日，Anthropic 发了一篇真正解释技术原理的博客。Gruber 的回应文章在 HN 上拿到了 719 分，评论区 835 条。这不是一个技术问题在引发讨论——这是一个关于 「文字到底值不值得被认真对待」 的哲学问题，在技术圈里炸开了。

水印不是你想的那种水印：修改 token 的随机数来源

理解争议之前，先搞清楚这个水印到底是什么。

LLM 生成文本时，每生成一个 token，模型会在候选词里选一个。比如「今天天气很冷，天空……」后面可能是「灰的」也可能是「阴沉的」——两个词都合理，模型通过一个随机数发生器来决定选哪个。

Anthropic 的水印做的就是：把随机数发生器的种子，换成一个密钥。

一个密钥 + 前面的几个词，共同决定这一轮「骰子」怎么扔。输出仍然是随机的，但如果你有密钥，回头看整个文本的词序列，就能判断出这些词是否「大概率是 Claude 用这个密钥选出来的」。

Anthropic 用了一个很妙的比喻：想象你在玩大富翁，每次掷骰子，不是真的用骰子，而是用圆周率小数点后的数字，从某个随机位置开始依次取数。玩家完全感觉不到区别——移动仍然是随机的，游戏结果也是随机的——但如果你知道那串数字是圆周率，你就能看出这局游戏「被标记了」。

Claude 的水印也是这个逻辑。它不会让模型选一个它本来不会考虑的奇怪词（比如「阴沉的」不会变成「nubilous」——一个几乎没人用的冷僻同义词），它只是在两个同样合理的词之间，稍微偏向了其中一个。

「grey」和「overcast」——每个词的选择都被污染了

Anthropic 的官方博客写了一个例子来解释为什么「这样做不影响质量」：

以「The weather today was cold and…」这句话为例。下一个词极不可能是「sugary」，但很可能是「overcast」或「grey」。在大多数情况下，读者不会太在意这两个词中的哪一个——句子的意思基本相同。

Gruber 的回应是：「认为 grey 和 overcast 的选择无关紧要，正是这个水印方案玷污写作的核心原因。」

这不是一个极端的反对意见。你想想看——如果 grey 和 overcast 真的「无所谓」，那为什么写作的人会花时间选这个词而不是那个？为什么一个作者会在一段话里反复推敲那句只是「感觉不对」的句子？

因为写作中，很多「词的选择」本身就是信号。选「grey」还是「overcast」可能确实不影响读者理解天气状况——但它传达了作者想要的情绪：grey 更冷、更死寂，overcast 更动态、暗示着即将到来的变化。两个词在词典里可能是同义词，但在文本里不是。

而水印做的事，就是在这个边界上施加一个不可见的偏好。幅度不大——Google 的 SynthID 论文说，他们分析了约 2000 万条带水印和不带水印的 Gemini 回复，用户的点赞/点踩率差异在 0.01% 以内，统计上不显著。

但 Gruber 的回应一针见血：「用户不点踩，不代表文本没有变差。它只代表变差的程度还没到用户愿意点一下按钮的程度。」

更关键的是，这个水印不是只用在「有人想隐藏 AI 身份」的场景里——它被应用在所有 Claude 的输出上，包括你和 Claude 之间的私人对话，那篇永远不会被第二个人看到的聊天。在那段对话里，Claude 本来可以选最精确的词来表达你的意思，但现在它被要求分出一部分「注意力」去满足水印的需求。

合规与信任：一边是法律，一边是承诺

Anthropic 为什么要这么做？答案很直接：欧盟 AI 法案 Article 50(2)。

2026 年 7 月，Anthropic 和约 190 个签署方一起，签了欧盟的《AI 生成内容透明度行为准则》，要求 AI 提供商用「机器可读的方式」标记 AI 生成的内容。Anthropic 选择了全球统一部署，因为「暂时没有可靠的方式只在欧盟区域做这件事」。

这个选择引发了一个有趣的问题：一家估值 2 万亿美元的公司（FT 刚报道 Anthropic 距离 IPO 还有几周，估值可能排进全球前十），真的「技术上做不到」只在欧盟部署水印吗？

还是说，全球统一部署是一个更「合规安全」的工程选择——反正法律只要求你加，没说你在别的区域不能加？

James Padolsey——declaude.org 的创造者——在博客里给出了一个更克制的分析。他认为，Anthropic 选择了「比法律要求更宽的实现范围」。法律明确规定了「辅助性编辑」和「助残用途」的豁免，但 Anthropic 的模型级别实现完全不区分这些场景。结果是一个「足够宽以牵连普通用户，又足够脆弱到可以被有动机的人绕过」的水印方案。

他总结得很精辟：「这份水印不是让欺骗者更难欺骗，而是让诚实的人更容易被怀疑。」

国内对照：要求水印的两个世界

聊到 AI 内容标记，国内其实也有类似的要求。

中国的《生成式人工智能服务管理暂行办法》同样要求 AI 生成的内容进行标识。但方式上有一个微妙的差异：中国的要求偏向显式标识——用户应当知道这是 AI 生成的内容，而不是让机器在后台悄悄标记。用户看到的是一行提示、一个角标、一个浮窗，而不是一个只有持有密钥的检测器才能读出的概率指纹。

这不是说哪个更好。两种模式反映的是不同的信任假设：

• 欧盟的模式假设：需要事后检测——有人做错了事，需要工具去追溯。
• 中国的模式假设：需要事前告知——用户在看的时候，就有权利知道。

而 Anthropic 的全球部署，实际上把欧盟的模式强加给了所有人——包括那些法律体系选择了「事前告知」模式的地区。这不是一个技术问题，这是一个主权问题。

水印检测的钥匙在谁手里，比水印本身更重要

在这场争论中，有一个问题被大多数讨论忽略了：谁能检测这个水印？

Anthropic 说他们会提供一个检测 API。但密钥只掌握在 Anthropic 手里。这意味着，你无法自己判断一段文本「是不是 Claude 写的」——你只能等 Anthropic 告诉你。

这引出了一个更棘手的问题：如果有一天，Anthropic 开始向学校、雇主、政府机构提供这个 API，会发生什么？一个学生用 Claude 校对了一篇论文的语法，然后被标记为「疑似 AI 生成」，因为水印算法把她修改的那 10% 的内容——连同她自己的 90%——一起标记了？Anthropic 说「水印不会附着在轻量校对上」，但这句话和「不影响质量」一样，取决于一个你无法验证的技术前提。

Gruber 在文章最后引了一个问题，我觉得是整件事最好的注脚：

如果另一个主要市场通过法律，禁止 AI 秘密标记生成的文本呢？

到时候，Anthropic 要怎么办？给每个地区部署不同的模型版本？还是，像现在一样，告诉那个市场「我们暂时没有可靠的方式只在您的区域不做这件事」？

水印的争议，表面上是一个技术问题、一个合规问题。但绕了一圈，它回到了一个更古老的问题上：当一台机器替我们选择词语时，我们到底还信不信它选出来的每一个词？