AI文本水印技术原理解析

1. 写作是一系列微小的选择

一个核心观点：模型写作的过程，是在多个都可以接受的词之间掷加权骰子。

当模型写到一句话的中间时，它并不知道"下一个词是什么"。它有一个候选列表，类似于自动补全，只是带有偏好。以下是一个真实的时刻——句子末尾只剩一个词的位置：

The results of the study were quite

一段文本包含数百个这样的微小岔路口，每个词一个。在许多岔口上，几个选项同样合理。这种松弛空间就是原材料。谁能借助骰子的落点做文章，谁就能在不改文意的前提下把一种模式藏进文本。

2. 一个密钥倚重这些选择

一个核心观点：密钥秘密地为候选列表上色，并温和地偏向某种颜色。文本读起来依然正常。

以下是经典方案（Kirchenbauer et al. 2023；Google 的 SynthID 通过更巧妙的锦标赛路线达到同样效果）。在每个岔口，密钥化的数学将候选词分成绿色和红色——这是一种任意的着色，只有密钥持有者能够复现。然后骰子稍微向绿色倾斜。

The results of the study were quite

这里有两处设计巧妙。第一，这种偏向很轻微：红色词仍然可能胜出——只是概率稍低一些。第二，着色并非词固有的属性：密钥根据前面一小段词来计算它，因此同一个候选词在一种前缀后是绿色的，在另一种前缀后是红色的：

（两条路，原理相同。Google 的 SynthID——那个真正投产的版本——用一场微小的秘密锦标赛取代了偏向：从模型自身的概率中抽出几个候选，密钥给它们打分，赛局安排使得在密钥的抽样本上，每个词的赔率恰好保持模型原本的意图。OpenAI 构建的 Aaronson 方案更进一步，连骰子掷出的结果本身都由密钥派生。数学不同，原理一样：水印存在于词与词之间的选择中。）

3. 持有密钥的人可以计数

一个核心观点：有了密钥，你可以重新为任何文本着色并直接计数。被标记的文本绿色命中的频率太高，不可能是运气。

检测并不阅读文本或评判其风格。检测器用密钥持有者的着色方案重新为词上色，然后统计有多少词命中绿色。没有标记（或者没有正确的密钥），绿色命中的概率大约是二分之一。一次硬币投掷。以下是一段看起来很普通的段落；用两个密钥分别试试：

（这个演示中的偏向被调得很强，以便你能看到效果；实际生产中的标记要温和得多，需要相应更长的文本才能奏效。在这个演示的 50/50 模型中，一篇 1500 词的文档绿色命中只有约 55%：微小的偏向通过长度才变得有说服力，这就是为什么短文本确实难以判断。）

4. 编辑对水印的影响

一个核心观点：水印存活于未被改动的措辞片段中。编辑恰好在那些片段断裂处抹除水印，其他地方不受影响。

每个词的着色都是从它前面一小段词（一个到几个，取决于具体方案）派生出来的。因此一个位置只有在其周边一小窗口的原始措辞（该词及其邻居）完整保留时，才能作为证据。

以下是第 3 步中同一段落在五种编辑深度下的表现。拖动滑块，观察高亮的片段如何收缩。高亮意味着那段措辞仍然与原文完全一致，因此检测器可以在那里计数。所有褪色的部分都是新措辞，那里只剩下硬币投掷的噪声可供计数。

fix typos · surviving windows: –%

在实际实现上（MarkLLM 的 KGW 和 EXP 方案在开放模型上，经由 declaude 全重写路线"清洗"后）：约 0.5% 的窗口存活，检测器准确率从基本确定下降到硬币投掷。已发表的文献在这一形态上达成一致。轻度或一次通过的改写会稀释水印而非删除；在 Kirchenbauer 等人的实验中，给定足够文本，检测器能够恢复，甚至人类改写在约 800 个 token（约 600 词）后也会重新变得可检测。真正消除水印的是与原文没有任何措辞片段重叠的重新创作。

这就是为什么一个从语义层面重写的工具（如 declaude 的全重写路线）才能真正抹除这类水印，而仅仅保留大部分措辞的轻度通过则不能。

一个明确的边界：这些数字来自我们可以测量的开放实现。Anthropic 的生产方案尚未公开，因此 Anthropic 外部尚无人能针对 Claude 自身的水印运行此测试。

5. 这在实践中的含义

一个核心观点：检测是私有的、概率性的，关于的是处理过程，而非 authorship。

只有密钥持有者才能检查。你的老师、编辑或你喜欢的"AI 检测器"网站无法运行此测试；真正的检测需要提供商的神秘密钥，或由提供商运行的检测服务。Google 为 SynthID 运行着一个早期访问检测门户；Anthropic 表示检测工具即将推出。

水印检查不是"AI 检测器"。像 GPTZero 这样的工具从风格推测，而且以不可靠著称。水印恰恰相反：一种刻意的、密钥门控的统计检验。不要让两者混淆。

发现水印意味着"经过处理"，而非"由……撰写"。Anthropic 自己的文档指出，人类文本只要经过 Claude 校对或翻译就会带上水印。而没有水印证明力更弱：旧模型或重度编辑会在真正的 AI 文本上产生干净结果。

短文本和低选择空间文本携带的水印很弱。证据随长度增长，而且只有一个正确延续的文本（代码、引文、事实列表）留给骰子的松弛空间太小，根本藏不住东西。

某些水印能扛过重写。基于词本身而非其邻居做密钥的方案稳健得多：保持相同含义的重写因为保留了足够的词而使大部分水印存活。（这类方案的弱点不同：到处复用的着色可以被足够多的输出反向工程。）另一些则藏在语义空间中，相同含义的重写会部分保留它们；在那个方向上，我们已知的唯一答案是大纲级别的重新生成。

Written by James Padolsey at NOPE as an accompaniment to declaude. The interactive figures are a teaching model with illustrative parameters, not any provider's actual scheme.

Sources & further reading. Kirchenbauer et al., A Watermark for Large Language Models (ICML 2023) · Dathathri et al., Scalable watermarking for identifying LLM outputs (SynthID-Text, Nature 2024) · Aaronson & Kirchner, Watermarking GPT outputs (2022) · Kirchenbauer et al., On the Reliability of Watermarks for Large Language Models (ICLR 2024) · Sadasivan et al., Can AI-Generated Text be Reliably Detected? (2023) · Zhao et al., The Mark Fades: Adaptive Evolutionary Paraphrase-based Attack (ACL Findings 2026) · Anthropic, How Claude marks AI-generated content (Help Center, Aug 2026) · Our own known-key experiments: re-composition collapses KGW/EXP detection to chance (AUC 0.99 → ≈0.5), context-free unigram marks survive (0.73–0.84); outline-level regeneration is the only answer we know for meaning-space marks.

For the specialist: the residual-evidence model behind the step-4 verdict is z ≈ f·√N·z₁ (surviving fraction f, document length N, per-token strength z₁). The figures count words; real detectors count tokens in the model's own tokenizer. Same shape.