43 · Claude 文本水印：绿红列表、密钥体系与中文代价

一、背景：为什么 AI 文本需要"盖章"

2025 年起，深度伪造、AI 文本冒充真人、自动化操纵舆论成为监管焦点。欧盟《人工智能法案》(EU AI Act) 第 50 条落地，配套的 Code of Practice（实施准则）对"AI 生成内容标记"给出了硬性要求：部署方须提供至少两层机器可读标记（元数据 + 水印；纯文本场景可单层豁免），且须提供检测工具。AI 文本水印因此从"研究玩具"变成"合规刚需"。

Anthropic 是第一批在生产环境落地文本水印的实验室：2026-08-02 起，Claude 新模型在网页版、API、Claude Code、Cowork、Tag 以及 AWS / GCP / Foundry 云市场全面输出水印文本，全球生效、无 opt-out。旧模型在 EU 宽限期内（2026-12-02 前）追溯支持。Anthropic 官方对技术的全部描述只有一句"人眼不可见、不改变含义与质量、随复制粘贴传播、可能经受部分编辑"——算法、密钥、检测工具、技术文档，全部未发布。

二、材料地图

三、核心机制：绿红列表统计水印（KGW 谱系）

把水印藏进文本，本质是在"让模型自然输出"与"让文本带上可验证的统计指纹"之间做权衡。目前学界最主流的方案是 绿红列表（green/red list）采样，2023 年由 Kirchenbauer、Geiping 等人（KGW）提出，被广泛认为是 Anthropic 方案最可能的谱系。

3.1 生成端：如何把信号藏进采样

模型生成第 t 个 token 时，正常流程是计算候选词概率分布后采样。水印流程多两步：

• 划分词表：用前文 token 的哈希 + 秘密密钥做种子，把候选词表伪随机地切成两半——绿名单（约 50%）与红名单；
• 偏向绿名单：在采样时给绿名单 token 的对数几率加一个正偏置 δ，绿词更容易被选中。文本越长，绿词比例越稳定地偏离自然分布。

3.2 检测端：如何把信号捞回来

检测者（持有密钥）拿到待检文本后：

1. 用相同的哈希规则重建每一位置的绿/红划分——不需要模型，纯统计；
2. 数出文本中落在绿名单的 token 数量 |s|_G；
3. 与"无水印文本的期望值"比对：随机文本落在绿名单的期望是 50%（γ = 0.5），实际生成的带水印文本会显著高于 50%。

z 超过阈值（如 4）即判为水印文本。文本越短，统计噪声越大——这就是为什么短文本需要豁免阈值：几十个 token 的文本，绿词比例波动剧烈，误报率不可控。

3.3 为什么是"统计水印"而不是"藏密文"

与把可见标记藏进图片像素不同，文本水印不能靠冗余位——改写一个词就全丢了。绿红列表的巧妙之处在于信号分布在整个词汇选择里：每一处"本可换词但没换"的地方都在投票，攻击者要洗掉信号就得改写足够多的词，而改写越多、文本越走样。这是"不可见"与"鲁棒"的交换点。

四、官方确认 vs 研究圈解读：可信度分层

五、密钥与检测体系：最大的黑箱

统计水印的安全模型取决于密钥管理：

• 采样密钥（generation key）：模型侧持有，决定绿红划分。若泄漏，攻击者可生成"假装无水印"的文本——水印直接失效；
• 检测密钥（detection key）：检测端持有。理想设计两者分离——检测方无法伪造，生成方无法伪装。

Anthropic 未披露：是否分离、由谁持有、检测 API 是否对外开放。官方检测工具至今未发布——只有公告中承诺的 "forthcoming technical documentation"。这意味着当前阶段第三方无法独立验证任何文本是否带 Claude 水印。

可确定的是监管时间表（EU Code of Practice，非 Anthropic 承诺）：2027-02-02 前，签署方须落地"检测互操作"方案，四选一：

1. 公开检测 API；
2. 基于路标（signpost）的检测协议；
3. 加入第三方检测联盟；
4. 等效方案。

以及水印阈值要求：>200 token 的文本强制可检测水印（超短文本豁免）；200–2000 token 区间官方明示"检测可靠性打折"；检测工具原则上对监管机构、执法、媒体、事实核查员与研究者永久免费。

六、覆盖范围与阈值

七、副作用与局限：中文的代价

7.1 非英语文本：假阳性系统性更高

arXiv:2604.13776（2026-04）是目前最接近"中文副作用"的公开学术依据：非英语母语者生成的文本（尤其tokenization 差异大的语言，如中文）在水印检测下有更高的假阳性率——即"非 AI 文本被误判为 AI 文本"。机理上：非英语的 token 切分粒度不均、可用词汇分布不同，绿红划分的统计假设（均匀 50/50）不再成立。这篇论文同时给出最重的打击：翻译可以把检测降至偶然水平——把英文水印文本翻译成中文再译回，统计信号基本消失。

7.2 低熵文本：数学、代码、固定格式是水印盲区

学术定论：水印靠"在可选词之间偏置选择"工作。但数学推导、代码、JSON、地址这类低熵文本里，下一 token 几乎唯一确定——没有选择余地，偏置无处施加，信号趋近于零。这让"水印 + 事实性内容"的组合天然两难：越需要精确的文本越难水印。

7.3 攻击面：改写与重组

• 轻度编辑（标点、换行、个别同义词）：社区单一实验称 ~88% 仍可检出（单来源，未证实）；
• 完整改写（LLM 重写、摘要、翻译）：同一实验称检出率 <12%（未证实）——但符合学术预期：改写动摇了足够多的词位置；
• 逐词翻译 / 反译 / 换行拼接是社区验证过的通用清洗管线。

八、研究圈反应：源头、批评与对照

8.1 思想源头：Scott Aaronson 的 2022 提案

统计水印思想的最早公开源头是 OpenAI 客座研究员 Scott Aaronson（UT Austin，理论计算机科学家）2022 年 10 月的提案：在采样时用哈希划分词表、向特定子集偏置，使模型输出带上可验证的统计签名。KGW 论文将其形式化（绿红列表 + z 检验），Anthropic 的部署被认为是这一谱系的量产化。Aaronson 对 2026 年 Anthropic 部署的公开表态，未找到记录。

8.2 批评声音：Bill Gurley 的"法官、陪审团与检察官"

风投人 Bill Gurley 的批评流传最广：一个模型供应商自己生成、自己检测、自己执法——既当运动员又当裁判，"judge, jury, and prosecutor"。这击中水印生态的核心治理问题：检测密钥由单一厂商垄断，第三方无法独立验证，误判申诉机制缺失。与此对照，Google DeepMind 的 SynthID-Text 是公开披露方案（2000 万条生产交互实证）：它也用绿红列表思想，但额外公布了部分实现细节与评估方法——成为"透明水印"的参照物。Anthropic 目前没有任何同等披露。

8.3 安全圈：沉默

截至本次调查（2026-08-12），Matthew Green 等知名密码学/安全学者对 Claude 水印部署无公开评论。社区实践层面，GPTZero 等 AI 检测器对 Claude 文本的判断走的是分类器路线（统计建模），与水印机制无关——市面上没有任何第三方能用"水印"验证 Claude 文本。

九、未解问题清单（官方沉默的十个空格）

十、对开发者的意义

10.1 三个立即行动

• 别把水印当"防篡改"：水印证明"来源"，不证明"未被修改"。检测通过 ≠ 内容可信——改写与翻译是公开的清洗路径；
• 中文内容谨慎引用检测结果：在官方中文数据发布前，高假阳性与翻译失效两条学术结论都对你生效；
• API 集成时确认水印行为：你的产品输出是否带水印、检测工具何时开放、2027 互操作路径——都列入技术尽调清单。

10.2 一个更深的观察

对比 42 号笔记（加密推理块）：两家供应商一前一后把"内部机制"放进了黑箱——Claude 加密思考块被证明"只认证内容不认证上下文"，Claude 文本水印至今"只确认特性不披露算法"。透明度的缺失并不自动等于不安全的机制（KGW 谱系本身经过了三年学术检验），但它意味着：生态的安全论证，目前只能建立在厂商声明与学术推测上。对风险从业者，这就是教科书级的"密钥垄断 + 不可审计"案例——等待 2027-02-02 的互操作期限，是第一块多米诺。