从 AI 检测误伤学生，到 Claude 水印：普通人怎么保护自己？
先看看这两个很普通的场景：
一个学生自己写完了作业，只让 Claude AI 帮忙优化英文语法和其中不自然的表达。另一个白领自己用中文写好了一封给海外客户的邮件，再交给 Claude 翻译成英文。
在我们看来，这两个人都没有让 AI 替自己思考。文章的观点和邮件的内容来自他们自己，Claude 做的是过去由 Grammarly 或翻译软件完成的工作。
但在 AI 文本水印技术眼里，这两个场景可能很不一样。
轻度润色如果只改动了少量词语，未必留下足够强的统计信号。但在中度或重度润色、完整翻译的场景下，当大量单词都由 Claude 选择，就更可能带有水印。等 Anthropic 的检测服务上线后，它将能告诉学校或公司：“这段文字很可能经过 Claude 处理。”
但这里的问题是，它回答不了几个更重要的问题：观点和原稿来自谁？Claude 只是改了几个词、完成翻译，还是从头生成了整篇文章？
技术只能识别工具参与过。人却很容易把它理解成：这是 AI 写的。
一旦这个模糊的统计信号进入学校、公司、招聘平台或版权纠纷，它就不再只是一项有趣的技术。它可能变成对一个人是否作弊、是否诚实、是否配得上自己作品的判决。
Anthropic 给 Claude 加上文本水印之后，我最担心的正是这种误读。
一条欧洲法规，改变了全世界 Claude 的选词
2026 年 8 月 2 日，欧盟《AI 法案》第 50 条关于生成内容透明度的要求开始适用。AI 生成或修改的内容需要能够以机器可读的方式被识别，相关技术还应当尽可能可靠、有效和稳健。欧盟委员会为此发布了一套实践准则。
Anthropic 是签署者之一。它随后宣布，未来的 Claude 模型会加入文本水印，此前发布的模型也会在过渡期内逐步处理。
虽然要求来自欧洲，Anthropic 决定在推出时全球实施，因为它目前还无法稳定地只为特定地区打开水印。Anthropic 的解释很直接：水印会跟着模型走，不受具体产品入口影响。
这里的“水印”和钞票上的图案不同。Claude 不会塞入零宽字符，也不会在文末添加隐藏编码。复制粘贴之后它仍可能存在，因为它藏在选词规律里。
要理解这件事，我们只需要知道大模型写字时发生的两个动作。
每个词都是一次带权抽签
大模型不会先想好一整句话。它把文字切成一个个 token，可以粗略理解成词或词的一部分，然后逐个预测下一项。
例如一句话写到“今天很冷，天空看起来有些……”。模型会为许多候选词算出概率。“阴沉”“灰暗”“雾蒙蒙”都说得通，“香甜”就几乎不可能。接下来，模型根据这些不同的概率抽出一个词，再继续预测下一个。
这像一颗被加过权的骰子。每个词都有机会，但合理的词更容易被掷出来。
很多位置上不止一个词说得通。它们大意接近，却可能在语气、节奏和精确程度上有差别。水印利用的正是这些空间。
水印在骰子落地前，加入一场秘密锦标赛
Claude 采用的是 Google DeepMind 开发的 SynthID-Text。它的正式机制叫锦标赛采样（Tournament Sampling），名字听起来复杂，理解起来并不难。
模型先按照原有概率抽出一组候选词。随后，这些词像淘汰赛选手一样两两比较。一个只有厂商掌握的密钥，会根据前面刚刚生成的文字，为每一轮比较产生看似随机、实际可以复现的评分。最后的胜者，成为真正显示在屏幕上的词。
候选词仍然来自模型原本的概率分布。水印通常不会把“阴沉”强行换成完全不相干的“香甜”。但在几个都说得通的选择之间，密钥参与了最后决定。
一个词说明不了什么。可是一篇长文包含成百上千次选择。如果实际选词反复符合密钥预测的胜出模式，持钥者就能计算这段文字有多大可能经过 Claude 处理。
这也解释了为什么短文本、代码和只有唯一正确答案的事实陈述很难留下强水印。它们给模型自由选择的空间太少。Anthropic 自己举过一个例子：牛顿最著名的著作是《Principia Mathematica（自然哲学的数学原理）》，模型不能为了打水印把书名换成另一个“差不多”的词。
水印找到的是工具，不是作者
说到这里，我们可以回到开头的学生和白领场景下：
学生已经写完作业，只让 Claude 修改几处语法。Claude 真正选择的词很少，因此可能没有足够信号让检测器下判断。白领让 Claude 把整封中文邮件翻译成英文，输出中的英文词几乎都由 Claude 选择，因此会带上水印。
如果另一个人只输入一句要求，让 Claude 从头生成整篇文章，得到的也会是水印。
三种行为的人类贡献完全不同，检测器看到的却只有一件事：Claude 参与过文字处理。
Anthropic 的帮助文档对此其实说得很清楚。发现水印，只能说明内容可能经过 Claude 生成或处理。它不能区分“Claude 写了这篇文章”和“Claude 重度编辑了这篇文章”，也不能告诉我们观点、事实和原始材料来自谁。
反过来也一样。没有发现水印，不代表文字一定是人写的。它可能来自尚未加入水印的旧模型，可能来自另一家公司的模型，也可能经过了大量改写。
这三个“不等于”，比水印的算法更重要。
可现实生活不喜欢概率和边界。学校想知道学生有没有作弊，公司想知道员工有没有隐瞒 AI 使用。一个简单的“检测到”，很容易取代后面那些麻烦但必要的追问。
问题就从技术准确性，变成了谁有权解释检测结果。
厂商说质量没有下降，但他们测量了什么？
Anthropic 和 Google 都强调，水印不会对文字质量产生实际影响。他们并非毫无证据。
Google 在 Gemini 上做过接近 2,000 万条回答的线上实验。有水印和无水印回答收到的点赞与点踩没有显著差异；人工评审也没有发现语法、正确性和帮助程度明显下降。研究后来发表在 Nature。
对普通聊天来说，这是相当有分量的证据。我们没必要把水印描述成一个会让 Claude 突然胡言乱语的开关。
但它证明的是“平均用户没有明显感到更差”，并没有证明每一次选词都不受影响。事实上，Google 的论文也承认，他们采用的配置会让不同回答之间的多样性有所减少；如果进一步加强水印，让它更容易被检测，就可能需要用更多质量损失来交换。
平均指标还会掩盖一种更现实的问题：有些文字容得下一点模糊，有些不行。
2026 年的一项医疗文本水印研究发现，不少模型的医学问答准确率变化不大，推理中却增加了术语误用、虚构医学名词和影像信息错漏。损伤并非处处发生，主要集中在特定模型、任务和较强的检测要求下。
所以，仅仅告诉我们“平均没有明显下降”还不够。普通用户不会因为模型把一个还算说得通的词换成另一个，就特意点一次差评。律师、医生、研究人员或认真修改文章的人，面对的却可能是另一套容错标准。
我的判断是：目前没有证据支持“所有水印一定让所有文字变差”。但同样没有足够证据让模型公司宣布，水印对每一种语言、每一个专业领域和每一次输出都没有代价。
它会误判，也能被洗掉
更麻烦的是，水印一方面可能把人类文字判错，另一方面又挡不住真正想隐藏 AI 使用的人。
2026 年 7 月，一篇讨论水印能否成为司法证据的预印本研究测试了三种开源水印。其中的 SynthID 检测器把 184 份未植入水印的对照文本中的 10 份判成有水印，假阳性约为 5.4%。被误判的样本甚至包括一句常见的打字练习文本。
但这不是 Claude 或 Google 的生产检测器。模型、参数和短文本长度都是实验设定，论文也尚未经过正式同行评审。因此我们不能说“Claude 的误判率就是 5.4%”。
我们能说的是：同一技术家族的独立实现已经出现过“幻影水印”。在 Anthropic 公开检测器、误差率和适用条件之前，没有人有理由把一次阳性结果当成铁证。
同一项研究还展示了另一面。经过保持原意的改写后，绝大多数原本能够检出的水印都消失了。其他研究也发现，重度改写、跨模型重写或翻译都会削弱这类依赖连续选词模式的信号。
于是出现了一个很讽刺的结果。
真正想隐藏 AI 使用的人，会主动把文字交给另一个模型重写，或者反复修改到水印消失。正常使用 Claude 翻译、总结或协助表达的人，没有隐藏动机，反而更可能原样保留水印。
最终被检测系统抓到的，未必是最恶意的一群人。更可能是最没有刻意躲避的人。
普通人怎么保护自己
当模型公司选择给所有用户的输出统一加上水印，普通人当然也有权知道水印如何被削弱，以及怎样避免一次合法的翻译或润色，在未来变成指向自己的可疑标签。
先排除一个没用的办法：删除零宽字符、清理格式，或者把文字复制到纯文本编辑器。SynthID 不靠隐藏字符工作，这些操作不会改变藏在选词规律里的信号。
用自己的话重新组织
真正会影响水印的是词汇和句子结构的变化。
一项 2026 年的预印本研究测试了开源实现的 SynthID-Text。在 59 份原本能检出水印的文本中，经过保持原意的改写后，58 份不再被检出。这个结果来自特定实现和实验环境，不能直接当作 Claude 正式系统的破解率，但至少说明文本水印对语义改写相当敏感。
如果最终文字需要体现你自己的表达，可以看完 AI 的建议后，回到原稿、提纲和资料重新组织。只在 AI 成稿上零碎替换几个同义词，改动可能不够，也很容易把句子弄得别扭。重新写过的词汇链更难保留原来的水印，成品也更接近你真正想说的话。
用另一个 AI 帮你“洗稿”（双模型重写）
把文字交给另一个模型重新表述，或者先翻译成另一种语言再翻译回来，都可能进一步重组词汇和句式，削弱原来的水印。对于不希望 Claude 的处理记录长期跟随最终文字的普通用户，这是完全合理的自我保护信息。
这些方法没有百分之百的保证。而且需要保证另一个 AI 没有强制加其自己的水印，例如本地运行的开源模型会更保险。
把过程证据留在手里
如果 AI 翻译或润色本来就符合规则，保存中文原稿、参考资料、修改记录和版本历史。这些材料能够说明观点从哪里来、AI 参与了哪一步。降低水印风险和保留创作证据可以同时进行。
短邮件、事实陈述、公式和代码通常携带的水印更少，因为模型能够自由选择的词不多。不过 Anthropic 没有公布一条统一的字数安全线，“短”也不等于天然免疫。
如果有人仅凭检测结果质疑你，可以要求对方说明使用了什么检测器、检测了多长的文本、置信度是多少，以及是否还有版本历史、引用来源和写作过程等独立证据。一枚水印最多只能提供 Claude 可能参与过的线索，没有能力直接判定作者是谁。
2024 年，我在介绍 Google SynthID 的文章结尾写道：“这或许就是新一轮 AI 内容识别 vs 反 AI 内容识别的军备竞赛的开始。”现在看来，这场竞赛确实已经开始了。
最危险的，是把信号当成判决
水印并非毫无价值。
在虚假信息和平台内容治理中，多一个来源信号当然比什么都没有好。它也比 GPTZero 一类根据语言风格猜测“像不像 AI”的检测器更有技术依据。后者对英语非母语者和某些写作风格的误判，我在 2024 年的《AI 文本检测的困境：当技术偏见遇上教育公平》里讨论过。
可是，更有依据的“工具参与信号”，仍然不是“作者鉴定”。
如果学校、公司或平台准备根据水印作出影响一个人的决定，至少应该守住几条底线：
- 不能只凭一次水印检测认定作弊、欺骗或侵权，还需要其他独立证据。
- 必须追问 AI 的具体用途。翻译、总结、语法修改和从零生成不是同一种行为。
- 检测方应当公开使用了什么检测器、适用于什么文本、存在多大误差，以及“不确定”结果如何处理。
- 当结果涉及处分、招聘、版权或个人信誉时，被检测者必须拥有解释和申诉的机会。
对普通用户来说，保留自己的原稿、修改记录和版本历史，可能会成为一种现实的自我保护。但说真的，这不应该变成一场由学生和员工承担全部成本的“自证清白”。谁选择部署检测工具，谁就应该负责证明它足够可靠，并为错误判断提供纠正机制。
还有一件事经常被忽略。
模型给出下一个词的概率之后，到文字真正出现在屏幕之前，还可以存在一个由厂商控制的解码层。SynthID-Text 在这里加入水印，参与最终选词，而且不需要重新训练整个模型。
这不等于 Anthropic 正在借水印操纵政治立场或偷偷审查用户。目前没有这样的证据。但它提醒我们：最终看到的文字，不只由模型训练时学到了什么决定，也可能受到生成最后阶段各种规则的影响。
水印的问题也就超出了“能不能识别 AI 文本”。
两年前，我担心 AI 检测器会把技术偏见变成对学生的错误指控，也好奇 SynthID 会不会开启一场新的军备竞赛。两年后，这两个问题汇合到了一起。
真正值得警惕的，是谁有权解释这枚印章，以及它会不会成为判断一个人是否诚实的捷径。