当AI学会给自己的文字打水印：一场关于写作自由的暗战
你写一段话，AI在选词的时候悄悄做了手脚。外人看不出区别，但机器一扫就知道：这是AI写的。问题是，为了让水印”藏得足够深”，这段话可能已经不是你想说的了。
一条技术公告引发的愤怒
上周 Anthropic 发了篇长文，解释他们在 Claude 里做的文本水印方案。原理说起来不复杂：Claude 生成文本时，会在选词的概率上做微调，让某些词被选中的概率比正常值高一点点。这些偏差肉眼看不到，但统计工具一扫就出来了。
听起来挺合理对吧？欧盟《人工智能法案》要求AI生成内容得有标识，Anthropic 这算是给出了一个工程化的合规方案。
结果 Daringfireball 的 John Gruber 直接写了篇文章，标题一点面子没留：“Anthropic 的水印技术是对写作的扭曲”。
我两边都看了，说实话，我站 Gruber。不过事情确实没那么简单。
水印到底改了什么
先理一下技术原理，再聊感受。
Anthropic 用的是 steganography（隐写术）。Claude 每生成一个 token，选的不再是”最自然的那个词”，而是从一个缩小过的候选池里挑。比如”很好”和”不错”本来概率差不多，开了水印之后，系统可能会反复偏向其中一个。
单看一个词，你完全察觉不到异样。但几十个词叠加下来，统计特征就会偏离纯人类写作的自然分布。
这里有个绕不开的矛盾：水印要藏得深，文本质量就得让步。
水印越隐蔽，检测工具越容易抓到统计特征。可水印越浅，又等于没有。Anthropic 折中了一下，结果是 Claude 加了水印之后写出来的东西，跟正常输出确实有差异。
Gruber 用了 “adulteration” 这个词，翻译过来是掺假、篡改。他觉得 Anthropic 不是在内容旁边贴个标签，而是在内容里头动刀子。我看这个措辞虽然重，但不算冤枉。
两头都有理
我仔细想了想，双方说的问题都是真的。
Anthropic 那边，欧盟法规确实要求AI内容必须可识别。靠用户自觉声明？等于没有。水印的好处是全自动，用户什么都不用做，检测端自己能完成。而且他们论文里确实讨论过对文本质量的影响，不是没想过。
但 Gruber 那边说的也没错。水印不只是影响”能不能被检测”这件事，它在改变写作本身的品质。为了在选词上留下统计痕迹而偏离自然表达，你写出来的就不再是那句最合适的话了。这是在改写作行为，不是在给写作结果贴标签。
从”贴标签”到”改内容”，这中间跨越了一条重要的线。
打个可能不太恰当的比方：好比要求每个人在公共场合说话时自带一个声纹标记。你照说不误，但每句话的声纹都被调制过了，方便旁人分辨你是不是真人。这种要求，你接受吗？
更深的问题：信任到底怎么建立
这篇水印公告之所以激起这么大的反应，我觉得跟技术本身的关系没那么大，更多是因为它戳中了 AI 领域里一个已经相当脆弱的信任基础。
CNBC 上周的调查很能说明问题：18到34岁人群里，69%不信任 Sam Altman，81%不信任 Alex Karp，79%不信任 Peter Thiel。AI公司的CEO们几乎集体上了不信任榜。OpenAI 伦理负责人干了不到一年就走了。Dario Amodei 出来说，问题不是风险警告太多了，是AI公司没真正兑现过造福世界的承诺。
在这种氛围下，Anthropic 跑出来说”我们要在你的文字里嵌入不可见的水印”，公众的第一反应当然不会是”哦，技术方案挺巧妙的”。
信任不是靠更精密的监控技术建立的。
这话说出来像废话，但很多做AI政策的人确实没想清楚。想让人相信AI内容有标识，你不该偷偷改写内容本身，你该让标识机制透明、可验证、可接受。比如在输出格式里加结构化标记，就像照片的 EXIF 数据一样。在语义层面动手脚，只会让人更不放心。
三个可能的方向
如果非得解决”AI内容可识别”这个问题，除了在文字里做手脚，还有别的路可走：
-
元数据标记：API 输出里附带AI生成声明，比如JSON字段或HTTP header。客户端展示时自动带”AI生成”标识。改的是容器，不是内容。
-
用户侧检测：把检测能力交给用户和平台。浏览器插件、社交平台、邮件客户端自己决定要不要检测。生成端不用掺和。
-
制度层面：平台政策要求AI使用者主动声明，不遵守的承担后果。跟版权声明一个逻辑。
每条路都有弱点。元数据可以被删掉，用户侧工具得有人下载，制度执行要花钱。但至少，没有一条路需要改写你写出来的文字本身。
技术方案对比
| 方案 | 是否改写内容 | 可靠性 | 用户感知 | 绕过难度 |
|---|---|---|---|---|
| Anthropic文本水印 | 是 | 中等 | 无感知 | 中等 |
| 元数据标记 | 否 | 高（不依赖统计） | 依赖平台展示 | 低（可删除元数据） |
| 用户侧检测 | 否 | 依赖模型质量 | 用户主动触发 | 低 |
| 主动声明制度 | 否 | 低（依赖自觉） | 用户主动操作 | 很低 |
看完这个表你会发现，没有哪种方案是完美的。文本水印比较特殊的地方在于：它拿”改写内容”去换”隐蔽性”。这笔买卖值不值，取决于你认为”看不见的标识”比”看得见但不伤内容”的标识重要多少。
AI;DR：人们已经不想读了
跟这件事差不多同时出现的还有一个信号，我觉得值得一提。
HN 上有篇文章拿了562个赞，提出了 AI;DR 这个概念，全称”AI Didn’t Read”。说的就是：当人们知道一段内容可能由AI生成且没有经过人类编辑，他们直接不想看了。
这跟水印其实是一回事的两面。水印在解决”能不能识别AI内容”，AI;DR 反映的却是更根本的问题：就算识别出来了，谁在乎呢？
当”AI生成”四个字本身就成了质量降级的标签，费劲搞水印系统就有点滑稽了。你搞得再精密，用户看到”AI生成”直接划走。
说到底，这事关写作这件事本身
我真正担心的是另一件事：一旦文本水印被广泛采用，它可能悄悄改变”好文字”的标准。
AI模型长期在有水印约束下训练，会学出一套”能兼容水印的写法”。时间一长，这种写法会成为默认风格。然后人类写作反过来被这种风格影响。想想看，我们现在写邮件、写周报的习惯已经多少被AI交互模式改变了。
写作这回事，选词就是核心。”走”和”迈步”，”说”和”指出”，”问题”和”挑战”，每个词都在塑造语气、态度、立场。当这个过程被概率调控机制插了一脚，哪怕干扰很小，写出来的东西就不再是”本来该有的样子”了。
有人可能说，单个词差一点读者根本注意不到。确实，写作从来不是单个词的事。但好文字的效果恰恰来自成百上千个微小选择的叠加。每个选择都被偏移一点点，累积起来就不是”差不多一样”了，是”哪儿不对劲但说不上来”。你就是会觉得少点什么。
Gruber 说的”adulteration”，我理解的就是这个意思。
我的看法
我觉得 Anthropic 作为一家 AI 安全公司，出发点是好的。欧盟法规确实提出了一个现实的合规需求。但”技术上能做到”和”应该这么做”是两回事。
文本水印是典型的”用技术思维解决社会问题”。它精确、可控、好量化。但从社会接受度来看，它造成的麻烦可能比它能解决的问题还多。
如果我是 Anthropic，我会去推平台侧的元数据标准，而不是在内容本身里动手脚。前者难多了，要协调好几家公司。后者在工程上更有意思，也更像一个”聪明”的方案。但聪明和正确，很多时候不是一回事。
说真的，我是个经常用AI辅助写作的人。一想到Claude输出的每一段文字可能都带着水印，我不太舒服。不是因为隐私问题，我本来也不介意别人知道有AI参与。不舒服是因为那段文字已经不是Claude本来想写出来的样子了。有人替它做了选择，你没注意到，但结果就是变了。
这不是安全，这是篡改。