【深度分析】Claude 文字浮水印：透明度，還是私有驗證壟斷？
Anthropic 這篇文表面上是一份技術說明，骨子裡其實是一份「我們如何把歐盟法規變成私有產品」的施工進度報告。浮水印本身不是新聞——真正的關鍵藏在一句被輕輕帶過的話裡：偵測需要一把鑰匙，而這把鑰匙只有 Anthropic 有。歐盟要的是「讓大眾知道內容是不是 AI 生成的」，實作出來的卻是「只有我知道」。這篇值得讀，因為它可能是目前為止最清楚的示範：一條透明度法規，以經被執行成一家公司的獨家詮釋權。
原文摘要
未來版本的 Claude 模型，生成的文字會帶有浮水印。這是一種判斷「文字是否可能由 Claude 參與撰寫」的方法；Anthropic 與其他幾家主要 AI 供應商一起導入這項變更，目的是遵守歐盟 AI 法案（EU AI Act）。
這篇文章整理了 Anthropic 收到的一些關於浮水印的問題，包括他們採用的浮水印方法如何運作、是否影響 Claude 的輸出品質，以及為什麼要做這項變更。重點摘要如下：
- 他們使用的浮水印方法，不會對 Claude 輸出的品質或內容產生任何實際影響；
- 帶浮水印的文字與不帶浮水印的文字，讀者無法分辨差異；
- 不會在文字中附加任何東西，也沒有隱藏字元；
- 浮水印不需要額外的 token，也不會更貴；
- 浮水印不帶任何可識別身分的資訊，無法追溯到特定個人、組織或對話；
- 浮水印不是 Claude 專屬。自 8 月 2 日起，歐盟要求服務其市場的 AI 供應商標記 AI 生成內容。其他主要模型開發商也簽署了同一份行為準則（Code of Practice），並將各自導入自己的浮水印。
什麼是浮水印？
像 Claude 這類大型語言模型，一次生成一個字。每次模型決定下一個字時，會在一份候選清單中做選擇，最終根據前面的文字挑出最合理、最可能的那個字。以「The weather today was cold and…」為例，下一個字幾乎不可能是「sugary（甜膩的）」，但很可能是「overcast（陰天）」或「grey（灰暗）」。在多數情況下，讀者並不太在意模型最後選了後兩者的哪一個——句子的意思大致相同。在這種情況下，選擇是由一個隨機數決定的。
浮水印就是利用這類「低風險選擇」——在一段生成文字中會出現很多次——在 Claude 的回應裡留下一個模式。這個模式對讀者來說無法察覺，但對任何持有「編碼它的鑰匙」的人來說是可以偵測的。使用浮水印時，選字仍然是隨機的，但隨機性的來源不同了。浮水印不再用任意的隨機數產生器來挑下一個字，而是用「鑰匙」加上前面幾個字來決定模型該選哪個字。也就是說，Claude 選的字仍然是隨機的，但現在可以檢查一連串的字，看它是否符合「Claude 使用那把鑰匙時會做出的選擇」。如果符合，就能算出一個「這段文字由 Claude 生成」的機率。
重要的是，這不代表模型現在會永遠偏向 overcast 或 grey。就像沒有浮水印的文字一樣，這句可能選 overcast、下句選 grey，取決於前面的字。而且浮水印方法不會逼 Claude 選一個它本來就不會考慮的字（例如，它不會讓 Claude 選「nubilous」這種字——這是一個冷僻1的、與 overcast 或 grey 同義的詞，Claude 在正常情況下幾乎不可能使用）。
浮水印如何影響 Claude 的輸出？
浮水印不影響 Claude 的輸出品質。對讀者來說，帶浮水印的回應與不帶浮水印的回應無法區分（就這點而言，AI 浮水印和它們在紙鈔、其他實體物件、以及部分數位文件上的同名物大不相同——那些是肉眼可見的）。
在內部測試中，他們沒有觀察到浮水印對 Claude 文字的內容、創意程度或可讀性有任何影響。在介紹這項技術的 SynthID-Text 論文中，Google DeepMind 將一個使用浮水印的模型部署到一部分 Gemini 流量上，比較了讚與倒讚的評分，結果發現與無浮水印的模型沒有統計顯著差異。在一項對照研究中，人類評分員並排比較浮水印與非浮水印的回答，也看不出品質差異。
一個有用的類比是想像你在玩大富翁（Monopoly）之類的遊戲。每一回合，每位玩家根據骰子擲出的點數，在棋盤上隨機移動若干格。假設我們不用骰子來產生隨機性，而是改用一本記載圓周率 π 小數位數的書2。我們從一個隨機挑選的位數開始（比如小數點後第 1,012,845 位，剛好是 6），從那之後每位玩家就用序列中的下一個數字，當作下一次「擲骰」。
就所有實際目的而言，這些移動仍然是隨機的：對玩家——或對遊戲結果——來說，隨機性是來自 π 還是來自每次擲骰，沒有任何差別。但如果我們能在遊戲結束後看到所有移動的序列（而且我們知道 π 的值），就能判斷這是不是一場「很可能用 π 來決定移動」的遊戲。使用 π 的那場遊戲，某種意義上就是「被浮水印」了。
Claude 生成的文字也是如此。浮水印不改變讀者的意義或體驗，但如果你事後想檢查這段文字是否可能由 Claude 生成，浮水印讓你能夠做到。
你們用哪種具體的浮水印方法？
Claude 的文字浮水印，是 Google DeepMind 在 2024 年一篇 Nature 論文發表的 SynthID-Text 方法的一個版本。它屬於一類方法，這類方法可追溯到 Scott Aaronson 在 2022 年的提議，全都共享上述同一個設計原則——浮水印只改變「挑選字詞時使用的隨機性來源」。
浮水印的有效性有侷限。使用他們的鑰匙，只能回答一個問題：「這段文字有多少可能性部分由 Claude 撰寫？」它不能確認文字是否由人類撰寫，也無法判斷文字是否由另一個 AI 撰寫（即使另一個 AI 也用浮水印，它會有不同的鑰匙；它甚至可能使用完全不同的浮水印方法）。偵測浮水印在樣本很小的時候效果也不好，因為可選的字比較少、可用的資訊也較少。隨著段落變長，對「Claude 參與其中」的信心也會增加。
浮水印在事實性段落上會比較稀疏，因為那些地方能做的選擇很少——任何改變都可能降低文字準確度。例如「Isaac Newton’s most famous work was called Principia…」這句，下一個字到底是什麼很重要（「Mathematica」是唯一正確答案），所以浮水印沒有可作用的空間。校對也是同樣的情況。如果你拿一篇文字給 Claude，要求它只改文法與標點、其他都不動，浮水印只能寄生在少數幾處修正上，而這些修正可能少到不足以被偵測。
那 Claude 校對或編輯人類文字的情況呢？
浮水印只套用在 Claude 選的字上。當 Claude 校對人類寫的文字時，回傳的內容通常只被輕微編輯；因為幾乎所有字都是原作者的，浮水印幾乎沒有（甚至完全沒有）可以依附的東西。取決於文字長度和 Claude 編輯的幅度，那些改動可能不足以讓 Claude 的參與被偵測到。Claude 寫得越多，它要做的決定就越多，浮水印的空間也越大。
那程式碼呢？
如前述，AI 浮水印利用的是「選哪個字都一樣好」的決定。當需要精確輸出時——也就是沒有選擇空間、一旦換字就會出錯或讓程式壞掉——就不套用浮水印。
例如，當模型寫完「2 + 2 =」之後，下一個 token 有非常明確的最佳選擇（如果模型在算加法，沒有其他答案跟「4」一樣好；如果它在談 George Orwell 的《一九八四》，也沒有答案跟「5」一樣好）。浮水印的「推一把」在這裡不會被套用。基於同樣原因，程式碼——在很多情況下必須精確——通常比其他形式的文字帶有更少的浮水印。
話雖如此，在程式碼中那些字詞選擇是任意的領域（例如程式碼註解），浮水印仍可使用。但按定義，它對實際產出的程式碼影響可忽略。
這對使用者代表什麼？
這會讓模型變慢或變貴嗎？不會。浮水印對模型速度的影響可忽略，而且因為它不產生額外 token，模型的服務成本與使用價格不變。
浮水印能追溯到我或我的組織嗎？不能。浮水印套用在 Claude 及其輸出上，不涉及任何個別使用者的身分。浮水印或它的鑰匙裡沒有任何東西，能讓任何人還原出關於使用者、其組織或與 Claude 對話的任何資訊。
為什麼要幫 Claude 的輸出加浮水印？
他們導入浮水印是為了遵守歐盟 AI 法案。Anthropic 與其他幾家主要 AI 模型供應商、以及總共約 190 個簽署方，在 2026 年 7 月簽署了歐盟的《AI 生成內容透明度行為準則》。這要求 AI 系統供應商使用「標記」AI 生成文字的方法。他們在發布時就全球套用浮水印，是因為目前還沒有可靠的方式能按地區限縮範圍。不過他們會持續評估不同做法，有更新時會再分享。
其他問題
我怎麼檢查一段文字是否由 Claude 撰寫？他們即將推出一個浮水印偵測 API，目前正在敲定實作的細節。
那圖片和其他檔案呢？當 Claude 產出支援類型的檔案（例如 .png、.jpg 或 .svg）時，會在檔案的 metadata 附加一個內容憑證（content credential）——一個小型、經過密碼學簽署的註記，說明該檔案是由 Claude 製作或處理的。這是一個開放的產業標準，叫做 C2PA——跟相機製造商和照片編輯軟體記錄圖片來源所用的標準相同。任何支援 C2PA 的工具都能讀取它；他們也會提供自己的工具，讓你把檔案丟進去檢查。
這個 metadata 標籤與浮水印非常不同。檔案本身沒有任何改變——它不是嵌入、也不是隱藏的。與文字一樣，憑證只說明 Claude 參與了檔案的產出，不包含任何可識別身分的資訊。
難道不能透過編輯文字來繞過浮水印嗎？某種程度上可以。輕微編輯大概不會完全移除浮水印；但整段重寫、把每個字都換掉，就會。後者的情況，當然，這段文字還能不能稱作「AI 生成」就有爭議了。
浮水印到底證明了什麼？浮水印只能判定「Claude 很可能在某個時間點參與了內容」。它無法區分「Claude 寫的」和「Claude 大幅編輯過的」。
浮水印適用於翻譯嗎？適用。Claude 產出的翻譯帶有浮水印，因為在這種情況下每個字都是 Claude 選的。
那舊版的 Claude 模型呢？歐盟法律對 2026 年 8 月 2 日之前推出的 Anthropic 模型設有過渡期，他們也正在為這些模型加上浮水印，會在未來幾個月逐步推出。
這跟 Pangram 這類 AI 偵測軟體有何不同？AI 偵測軟體用的是不同的方法，因為提供這些服務的公司沒有他們的鑰匙。除此之外，那些服務會看文字的某些特徵，例如 AI 用語中常見的細微（和不那麼細微的）「破綻」。例如，AI 模型似乎偏愛「this isn’t [X], it’s [Y]」這種句型，而且使用「quietly」這個字的頻率高得超乎預期。辨識這些模式，跟檢查浮水印在根本上是不同的。
這會改變誰擁有某段輸出、或誰對它負法律責任嗎？不會。浮水印只協助檢測 Claude 是否可能產出或處理了內容。它不涉及所有權或著作權，也不改變使用者在服務條款下的權利。他們只在 Claude 參與處理內容或檔案時套用浮水印。
城武觀點
先把這篇文最關鍵的一句話抓出來：「這個模式對讀者來說無法察覺，但對任何持有編碼它的鑰匙的人來說是可以偵測的。」請停在這句話上——整篇文章的誠實，都濃縮在這裡。
Anthropic 花了三千字跟你解釋浮水印多麼無害、多麼不影響品質、多麼不能追溯你的身分。但它輕輕帶過的那個東西，才是整件事的核心：鑰匙。浮水印的偵測能力，完全綁在一把只有 Anthropic 持有的鑰匙上。你讀到的浮水印文字，你自己不能驗證。記者、學者、學校老師、平台審查員，統統不能驗證。全世界能驗證「這段文字是不是 Claude 寫的」的，只有一家公司。
然後對照一下同一篇文章裡，圖片和檔案的處理方式：C2PA，開放的產業標準，任何支援的工具都能讀，相機廠商和照片編輯軟體都在用。文字走私有鑰匙，圖片走開放標準。為什麼？因為文字是 LLM 的命脈，是每一家模型公司的核心商品。圖片可以開放，文字不行——文字的「驗證權」太值錢，不能放出去。
這就把歐盟的意圖整個翻過來了。歐盟 AI 法案要的是「讓大眾知道內容是否 AI 生成」——重點在大眾、在知道。實作出來的東西，是「什麼算 AI 生成」的詮釋權被收進一家私人公司的保險箱。大眾還是不知道，大眾只能等。等什麼？等 Anthropic 開 API。
而這篇文自己承認了這件事的下一步：「我們即將推出一個浮水印偵測 API。」請注意這個措辭——不是「我們將公開鑰匙」，不是「我們將釋出開源偵測工具」，是「我們即將推出一個 API」。偵測能力從一個法規義務，變成一個待價而沽的產品。C2PA 的讀取工具是免費公開的；文字浮水印的偵測是「即將推出」的。
所以我的立場很簡單：這不是遵守法規，這是把法規的成本，轉成一份私有的收費產品。監管要求你透明，你回報的方式是建一個只有你能營運的驗證閘門，然後站在閘門前面賣門票。我賭三個月內，這個偵測 API 會出現付費 tier——個人免費、企業商用要錢，或是按呼叫計價。因為如果偵測真的是為了「公眾透明」，鑰匙早該公開了。鑰匙不公開，只有一個理由：驗證本身要拿來賣。
（自嘲先說在前面：我這篇文章就是用 LLM 輔助寫的。按照這套邏輯，有一天會不會連「城武這篇文章是不是 AI 寫的」這種問題，都得花錢去問 Anthropic 的 API，而我這個作者本人反而沒有資格免費驗證自己的文字？這就是私有驗證壟斷最刺的地方——被標記的人，是唯一沒有鑰匙的人。）
追問一句就好：誰來驗證驗證者？Anthropic 不是不透明，它是把「透明」從新定義成「我幫你驗證」。一條透明度法規，最後落地的形式是「你透明，他收費，鑰匙在他口袋裡」。這不是透明的勝利，是詮釋權的收編。
關於浮水印還有另一個戰場——從寫作工藝的角度，這套東西對文字的傷害可能比 Anthropic 願意承認的更深，Daring Fireball 的批判把這一面講得很清楚，值得一起讀。
城武的未解檔案——歐盟要的是「讓大家知道」，Anthropic 交出來的是「只有我知道，想知道就來買我的 API」。
- 原文：How Claude’s text watermark works（Anthropic, 2026-08-14）