如果你在 O'Reilly 直播培训平台上担任讲师，就必须随时准备应对突发状况。作为一名开发者，我想我们都能理解这种情形：一个演示程序（就是你已经在自己的机器上测试过上千次的那个）在向现场观众演示时，偏偏自己决定出岔子。我们都有过这样的经历。当然，这个等式里最大的变量是任何课程中的现场问答环节，因为我们积极鼓励课程参与者提出他们心中的任何问题。
在 Anthropic 宣布将在其最新模型的所有文本输出中加入 AI 水印之后不久，我在一门与 Claude 智能体（Claude Agents）完全无关的课程问答环节中被问题淹没了。几乎所有在问答框中提问的人都想更多地了解 AI 水印是如何工作的，以及它将如何影响他们。
鉴于这种兴趣，我借此机会帮助解释水印对你意味着什么。
Anthropic 官方宣布了什么？
我不想替任何人说话，所以我直接逐字引用 Anthropic 在 2026 年 8 月公告中的原话：
“未来的 Claude 模型将生成包含水印的文本。这是一种判断 Claude 是否参与撰写文本的可能性的方法，我们与其他几家主要 AI 提供商一道实施这一变更，以遵守欧盟《人工智能法案》（EU AI Act）。”
同一份公告中还有另一段引述：
“水印不会只针对 Claude。自 8 月 2 日起，欧盟要求在其市场提供服务的 AI 提供商标记 AI 生成的内容。其他主要模型开发商已签署同一份《实践准则》（Code of Practice），并将实施各自的水印。”
在撰写本文时，在所有生成的输出中都包含 AI 文本水印的 Claude 模型列表如下：
Claude Mythos 5.1
Claude Fable 5.1
Claude Fable 5
Claude Opus 5.5
Claude Opus 5
Claude Opus 4.8
Claude Sonnet 5.5
Claude Sonnet 5
Claude Haiku 5.5
无论你使用 Claude Desktop、Claude Code 还是 API 都无关紧要，因为 Claude 的所有输出都将包含 AI 水印。因此，你使用 Claude 编写的任何代码、电子邮件、博客、文章、通讯或白皮书都将包含水印，任何拥有 AI 水印检测器的人都能轻易判断该内容是否为 AI 生成。
密码学与隐写术有什么区别？
现在让我们谈谈两个相关的术语，它们适用于我们在 AI 水印方面所处理的问题：密码学（cryptography）与隐写术（steganography）。密码学是你每天都会遇到的东西，比如当你访问使用 HTTPS 而非 HTTP 的网站时。你的网络浏览器会自动处理加密和解密，但它所做的只是让你发送或接收的任何内容在没有解密密钥的情况下变得无法理解。因此，你可以（例如）安全地输入信用卡信息来订阅 O'Reilly 服务，因为我们（像互联网上所有其他主要网站一样）在网站上使用 HTTPS，以确保任何外部人员都无法获取你的信用卡信息。所以，如果不法分子拦截了你通过 HTTPS 连接发送的内容，其内容将是加密的、毫无意义的。
隐写术则完全不同，它正是 Claude AI 水印技术所使用的方法。隐写术关乎把某样东西藏在正确的地方，供知道去哪里寻找的人发现。隐写术不是密码学，因为消息的一切都摆在明面上。但是，你必须更深入地观察消息本身，才能找到被隐藏或模糊的内容。最常见的例子是大面额纸币（比如 100 美元钞票）。如果你把钞票对着光举起，就会看到一条“安全线”以及本杰明·富兰克林头像的水印。
那么，从技术上讲，AI 水印究竟是如何工作的？
Claude AI 水印使用一种基于 Google DeepMind 开源项目 SynthID-Text 的隐写术。SynthID-Text 是一种隐写术形式，因为信号（你要寻找的信息）隐藏在看似普通的段落的用词选择之中。因此，你可以把 AI 生成的代码复制/粘贴到你最喜欢的代码编辑器中，或者把 AI 生成的段落放进 Word 文档、电子邮件或 Slack 消息中，AI 水印都会随之而来。
据 Anthropic 称，水印只改变了模型在近义词汇之间进行选择时所使用的随机性来源，因此文本中没有任何添加。AI 生成的文本中没有插入隐藏字符，也没有消耗额外的 token。此外，水印不携带任何关于你的信息。这仅仅意味着 AI 水印检测器可以判断文本是否为 AI 生成，但无法确定使用了谁的 Claude 账户来生成该文本。
SynthID-Text 使用一种称为“锦标赛采样”（tournament sampling）的技术。在每个位置，模型抽取若干候选 token，并让它们通过本质上是一个淘汰赛的流程。每一轮的胜者由一个伪随机分数（g 值）决定，该分数来自将前几个 token 与一个密钥一起哈希。在一段有数百个词的文本中，文本最终会略微偏向具有高 g 值的 token，形成一种只有密钥持有者才能看到的模式，而你通过阅读永远无法察觉。
“略微偏向”是这里的关键短语。例如，在“big”和“large”这两个词之间的选择不会改变大多数句子的含义，因此将这一选择推向两者之一，不会以任何你能注意到的方式改变你的文本。Google 在大约 2000 万条 Gemini 回复上测试了这一点，点赞率相差 0.01%（带水印的模型略占优势）。
还有谁在对 AI 生成内容加水印？
如前所述，Anthropic 对其内容加 AI 水印的决定是由 2026 年生效的欧盟法律法规所强制的。Anthropic 并不是唯一遵守该规定的公司，根据欧盟委员会网站，已有数百家公司同意遵守要求 AI 水印的法规。
例如，OpenAI 最近宣布支持对 AI 生成的输出加水印。以下是其公告中的一段引述：
“在未来几周内，我们将为欧盟境内符合条件的 ChatGPT 和 Codex 文本输出添加不可见水印。”
OpenAI 的文本水印技术名为“textGrain”，其灵感来自在一粒米上书写文字的艺术。现在，你可能会问自己：“需要多少 AI 文本才能放置水印本身？”好消息是，OpenAI 公布了他们自己的 AI 文本水印检测测试统计数据。他们的 AI 文本水印检测器对包含 400 个 token 的段落具有 95% 的准确率。这让你了解到，只需几段文字就足以嵌入水印。
然而，由于欧盟的强制规定适用于 AI 生成内容（不仅仅是文本），OpenAI 更进一步，发布了一个网站，让任何人都能知道他们的模型是否生成了非文本媒体，例如图像和音频。我自己试过这个网站，它能在几秒钟内正确识别出水印。
规定 AI 水印的法规并不只是欧盟的事。加利福尼亚州的 SB-942《人工智能透明度法案》（California AI Transparency Act）也要求对 AI 生成内容加水印。这些法规结合起来，不仅适用于 AI 生成的文本，也适用于图像、音频和视频。
Google 的模型输出也包含 AI 水印
Google 多年前就遵守了欧盟《人工智能法案》，因此其模型自 2024 年起就包含 SynthID 文本水印。不过，他们效仿 OpenAI，发布了一个公共网站 SynthID.com，让任何人都能检查任何非文本媒体（如图像、音频和视频）是否包含 SynthID AI 水印。Google 的 AI 水印检测器允许你检查来自多个 AI 提供商的水印，例如 OpenAI、Nvidia、Kakao，当然还有 Google 自己。
为所有 AI 生成内容加水印未必是坏事
在我最近的经历中，我曾为一家正在进行风险投资支持融资轮的公司担任顾问。在融资公开宣布后，公司某些人开始接到“CEO”的联系，对方以某种编造的情况为由，要求他们从个人账户进行银行转账。实际上，这是一群骗子利用 LinkedIn 找到公司员工姓名，然后冒充 CEO，让员工把钱汇入骗子的银行账户。我们大多数人都足够懂技术，明白这是一个由不法分子驱动的明显骗局。骗子暴露了自己，因为他们使用的电子邮件域名并不属于这家初创公司，所以在这个案例中，欺诈企图很容易被检测到。
然而，如今的技术只需少量的人声样本就能轻松实现语音克隆。那么，如果攻击者决定利用 AI 克隆 CEO 的声音，进行更复杂的“鱼叉式网络钓鱼”（spear phishing）攻击呢？如果假 CEO 开始给人打电话（而不是发邮件）呢？这可能导致更糟糕的情况：员工以为自己是在与 CEO 互动（并服从其指令），并感到有义务去做可能带来严重财务后果的事情。
这对你意味着什么
所有主要的大语言模型都在其 AI 生成内容中加入水印，而且由于近期的法规，这一趋势不会消失。如今，不法分子可以利用 AI 对公众发动严重攻击，因此对任何 AI 生成内容（文本、图像、音频或视频）加 AI 水印，是判断真实性的非常有用的工具。
如果你想亲自观看 AI 水印如何被应用和检测的现场演示，请务必参加 O'Reilly 的课程《理解 AI 文本水印》（Understanding AI Text Watermarking）。