你让 Claude 写一段话，屏幕上不会多出“AI 生成”几个字，也不会突然插入奇怪符号。所谓文本水印，更像藏在用词习惯里的暗号：单看一句话很自然，统计足够长的文本，某些选择却会比随机情况更常出现。它试图回答一个日益现实的问题：一段文字是否可能来自特定模型。
据 Sebastian Raschka 转述，Anthropic 已宣布将为 Claude 模型生成的文本输出添加水印。不过，“宣布将添加”不等于所有 Claude 输出现在都已带水印。现有材料也没有给出 Anthropic 的完整技术方案、检测效果或上线范围。下面能拆解的，是文本水印的一般原理，以及一个受 SynthID-Text 启发的教育性实现，不能把它当成 Claude 的真实代码。
指纹藏在模型的下一次选词里
语言模型写字时，并不是先想好整段再输出。它每一步都会从一批候选 Token 中挑选下一个。Token 是模型处理文字的基本片段，可以是一个字、一个词，也可以只是词的一部分。这个选择过程叫 Token 采样。
普通采样会根据各候选项的概率做决定。水印则在这里轻轻推一下：在不明显改变意思的前提下，让模型稍微偏向某一组候选 Token。
可以把它想成编辑在两个都通顺的说法之间做选择。“这很重要”和“这十分关键”意思接近；水印机制可能按照一套隐藏规则，略微提高其中一种表达被选中的机会。一次选择看不出什么，但几十次、几百次选择叠在一起，就可能形成稳定的统计模式。
S2 作者把自己实现的简化方案描述为 SynthID-Text-style。SynthID-Text 是 Google DeepMind 提出的一类生成文本水印方法，通过改变采样过程植入统计信号。该项目借它说明类似机制，但作者明确表示，自己的代码只是便于理解的教育版本，部分组件被简化或换了实现，并非原始 SynthID-Text 的精确复现，更不是 Claude 的实际方案。
检测器不是在找一句暗号
既然水印不是可见标签，检测器要找的也不是固定词句。它会检查特定 Token 模式出现得是否显著高于随机水平，再据此给出水印置信度。
这里的“置信度”很关键。文本水印属于内容溯源工具，提供的是概率性线索，不是作者身份的铁证。检测结果较强，只能说明文字呈现出符合某种水印规则的统计特征；它本身不能证明是谁写了文章，也不能自动解释文字经历过哪些编辑。
这也解释了水印为什么通常需要一定长度。短文本里的选择次数太少，统计规律不容易与偶然波动区分。现有供稿没有披露 Claude 水印需要多长文本，也没有提供误报率或漏报率，因此不能进一步判断实际检测门槛。
为什么改几遍就可能变淡
这种指纹依附于措辞分布，而不是焊在文字上的标签。大幅改写、重新生成、翻译或多轮编辑，都会替换原来的 Token，水印信号也会随之削弱。
例如，一段带有统计模式的英文被翻译成中文，原先的候选词选择已经不复存在。即使意思基本没变，检测器依赖的模式也可能遭到破坏。人工重写多个句子，或者让另一个模型重新表述，也有类似效果。
这不是某个实现偶然留下的小漏洞，而是这种思路的基本张力：水印越不影响正常表达，它施加的偏向通常就越细微；而越细微的统计信号，也越容易在后续编辑中被冲淡。现有材料没有提供针对具体攻击方式的测试数字，无法判断 Claude 计划采用的方案能承受多大程度的改写。
它值得关注，但别把演示当成答案
我们此前在 8 月 12 日的报道中讨论过 Claude 文本水印的覆盖范围、政策背景和检测边界。这次进一步看采样过程，可以理解它为何既有吸引力，也有天然限制：平台不必破坏阅读体验，就可能为生成内容留下来源线索；但这条线索依赖统计检测，并不会永久附着在语义上。
Raschka 的材料强调，理解模型如何采样，有助于看清水印在哪里介入，以及它为何会失效。S2 的开源项目则把这种直觉变成了可阅读的简化实现。它们适合解释机制，却不足以证明 Anthropic 最终采用哪套算法。
局限与未知
- 两份材料都不是 Anthropic 的一手技术说明，无法确认 Claude 水印的具体算法、密钥设计或检测流程。
- 材料没有提供检测准确率、误报率、对抗改写后的鲁棒性，也没有可交叉核验的效果数字。
- Anthropic 宣布将添加水印，不代表该功能已经覆盖 Claude 的全部模型、产品和输出。