hero

John Gruber 這篇是他對 Anthropic 浮水印政策迄今最猛烈的一次開罵，髒話連篇、火力全開，但重點不在情緒。他把一件事講透了：Anthropic 要做的不是「加個浮水印」，而是在你讀的、引用的、甚至自己寫的每個字裡，藏進一把只有它自己看得見的祕密鑰匙。他從「我原本真的相信 Anthropic 說的不會改變意義」一路拆到「其實每個字詞選擇都在被偷偷操弄」，最後停在一個他自己只寫了一半的句子：Secrets are the poison here。這篇值得讀，是因為 Gruber 罵對了一半——而他沒罵完的那一半，才是真正要命的地方。這件事以經不只是關乎文字品質，而是關乎我們還能不能相信眼前這段文字。

原文摘要

這週稍早我寫到，Anthropic 宣布全球所有 Claude 模型即將開始為它們產出的所有內容（包括文字）加上「浮水印」，以符合歐盟的一項法規。當時我們只能猜測這到底會怎麼運作，因為 Anthropic 連一個模糊的說明都沒給——儘管那篇公告的標題荒唐又侮辱人地叫作「Claude 如何標記 AI 生成內容」。

我最初的猜測是，他們可能會在文字裡藏進看不見、不列印的 Unicode 字元。純粹瞎猜。結果他們要做的不是這個。他們要做的是一種隱寫術（steganography）：在推論當下，藉由字詞（或其他 token 輸出）的選擇留下指紋，之後有機會用機率的方式偵測出來。

我一開始猜「看不見的字元」，不是因為我想不到語意字詞選擇的技術，而是因為我是個傻瓜，居然相信了 Anthropic 字面上的說法。他們原本的支援文件宣稱：「當受支援的 Claude 模型生成文字時，它會把一個無法察覺的浮水印直接織進文字本身。你看不到它，它也不會改變 Claude 回應的意義、品質或可讀性。」

他們說「無法察覺」「不會改變意義、品質或可讀性」。這是他們自己說的話。不是「幾乎無法察覺」，不是「稍微改變意義、品質或可讀性」。這對我是說得通的，因為那正是我對任何自己使用的工具所想要——不，所要求——的。一個工具如果為了在文字裡埋藏暗示來源的線索，而犧牲一丁點的清晰、連貫、意義或品質，那都是不可接受的。這是我會、也將繼續要求的事。而 Anthropic（原本的）支援文件毫不含糊地宣稱，他們的系統正是如此。所以如果那是真的，除了在文字裡藏看不見的字元之外，我看不出還有什麼別的可能。

我的錯誤，就是相信 Anthropic 說他們的系統不會摻雜、不會敗壞模型生成文字的語意。而事實是，那正是他們打算做的事。我竟然會相信一份標題叫「Claude 如何標記 AI 生成內容」、卻完全沒解釋 Claude 到底如何（或將如何）標記 AI 生成內容的文件裡的任何一個字，我真是該去檢查一下腦袋了。

它實際上會怎麼運作

昨天，在另一個跟原本那篇「Claude 如何標記 AI 生成內容」完全不同的網站上，Anthropic 發表了〈Claude 的文字浮水印如何運作〉，這篇終於用一般人看得懂的方式解釋了它會怎麼運作。我稍後會回頭評論 Anthropic 這份新的、高度委婉且略帶誤導的說明。

這個主題有一堆研究，我在下面也放了一些連結。但關於這項技術背後的通盤概念，最好的說明是 James Padolsey 的一篇互動式文章〈AI 文字浮水印如何運作〉。那是一篇極其清晰的文章，互動元件漂亮地展示了核心概念。A+ 的品質。如果你對這件事有任何一點興趣，我敢說你非得讀——並且實際玩一玩——Padolsey 那篇文章不可。

不過，以下是我對外行人版的高階摘要。如果你丟一枚硬幣 N 次，並記錄結果，你可以有一定程度的把握判斷這枚硬幣是公平的、還是有偏的。LLM 在它們最常見的化身裡是非確定性的。對同一個模型問同一個問題，你常常會得到至少有點不同的答案。意思也許相同，但措辭不同。在生成下一個 token 的每個決策點，模型都在做選擇。這些語意浮水印技術，會在某些 token 上、根據可以稱為「綠名單」和「紅名單」的字詞表，做出不同的選擇。在每個決策點，它們選綠名單字詞的機率會稍微高於紅名單。這不代表它們永遠不會選紅名單的字，只是選的機率比沒有摻雜標記技術時來得低。（就像一枚被動手腳、51 對 49 的硬幣，平均每 100 次裡還是會有 49 次落在「錯」的那一面。）

字詞或片語是在每個「下一個 token」的生成點、即時且確定性地被分進綠名單和紅名單。所以某個字有時會在綠名單上，有時會在紅名單上。持有祕密鑰匙的人可以判斷某個字在每個 token 生成點會落在哪個名單（浮水印就是這樣被偵測出來的）；沒有鑰匙的人做不到。這意味著永遠不會有一份「Claude 偏好或避開的字詞」清單。

拿丟硬幣來說，N 越大——丟的次數越多——你就越能確定這枚硬幣是公平還是有偏。語意浮水印也是一樣。文字裡的字越多，判斷這段文字是否由某個特定 AI 模型生成的分析就越準。丟的次數太少，你對硬幣的公允性完全得不到任何信心；字（或 token）太少，你也完全無法判斷一段文字到底是不是 AI 生成的。

給你一段文字、要檢查它是否帶有某個特定浮水印系統的跡象時，如果被標記為「綠」的字比預期多、被標記為「紅」的字比預期少，這段文字就可以被判定——帶有一定程度的信心——為由套用該特定祕密鑰匙浮水印系統的 AI 所生成，或至少經它修改過。判定的信心程度顯然會隨文字長度、以及綠紅名單字詞的隨機權重而有顯著差異。但只有 Anthropic 能判斷一段文字是否看似由 Claude 生成，而且 Anthropic 也只能偵測由 Claude 所套用的浮水印。Claude 偵測不到（比方說）Gemini 產生的隱藏浮水印訊號，Gemini 也偵測不到 Claude 產生的，因為每一套實作都建立在只有 LLM 供應商自己持有的祕密鑰匙之上。

對技術前提的反對

我對這件事的根本問題之一在於：沒有任何兩個同義詞帶有完全相同的意義。「He leaped at the chance」和「He jumped at the opportunity」是非常相似的句子，表達大致相同的意思，但它們並不一樣。我們寫作時選的每一個字都很重要。我要我用的任何 LLM 在每一個決策點都選出最好、最精確的字。我接受的一個明顯限制是時間和運算。在「快速執行推論、每個 token 有一定成本」的限制內，我要最好的字。這個限制跟人類寫作是一致的。我當然可以花更多時間寫出一篇更好的專欄。我寫作時，對每個字和標點符號該投入多少心思是有感覺的。當直覺告訴我該多斟酌時，我會在某些段落、某些句子、甚至個別字詞上多花時間。

換句話說，這些是必要的取捨。速度、成本、品質——這些因素全都符合我的利益。理想上我要完美的文字、即時的生成速度、零成本。這些都不可能。運算不是免費的（而且頂尖模型的雲端 LLM 推論其實很貴）。推論不是即時的。而偉大的寫作，無論是天然還是人工，都只能逼近完美。

除了我的需求之外，還有任何東西應該被納入「為我生成文字」的考量——這個想法本身就是明目張膽的冒犯。

這不只是關於你可能生成、然後冒充自己原創的文字。這甚至不只是關於 LLM 幫你潤飾手寫內容。Anthropic 說的是，所有新的 Claude 模型都會摻雜它們生成、長度超過 200 tokens（約 150 個字）的每一段文字，包括所有呈現給使用者閱讀的內容。所以，即便是在一個使用者與 Claude 的私人對話裡——除了使用者本人之外永遠不會有別人讀到——Claude 也會開始為了「以統計上可預測的方式標記自己的輸出」而做字詞選擇，而不是為了最大化清晰與精確。

即便是今天所謂的「前沿」模型，也已經明顯缺乏清晰度。Claude、ChatGPT、Grok 等等，是「比大多數人類更好的寫作者」，產出的散文比中位數的人類好。但是——廢話。大多數人本來就是糟糕的寫作者。「一般人」其實頗蠢，而且還有一半的人比這更蠢。也有很多聰明、有趣的人是差勁的寫作者。所以 LLM 再怎麼令人驚豔，門檻都很低。這些模型產出的、我見過最好的文字，都還比不上我願意為了樂趣而閱讀的任何東西。而現在 Anthropic 說他們要故意把它弄得更糟，而且是為了對我一點好處都沒有的目的？就算只是糟一點點？

去你的。

對歐盟法規的反對

講到反對，促使這一切的歐盟法規——〈AI 生成內容透明化行為守則〉——是官僚繁文、保姆國家式的白日夢垃圾。以下是 Ben Thompson 在本週一篇 Stratechery 付費文章的摘要：

  • 該法規適用於超過 200 tokens 的文字。
  • 供應商必須在服務條款中要求使用者不得移除浮水印。
  • 解決方案必須對「常見的處理方式」夠穩健，例如截圖、掃描加 OCR、複製貼上、翻譯等等。

照字面理解，符合規定的 LLM 服務條款必須禁止使用者改寫符合此法規的模型輸出，因為字詞選擇就是那些標記。但企圖把這個荒謬、不切實際、助長獵巫的法規強加給全世界的，不是歐盟——是 Anthropic。

遵守這項規定——尤其是針對文字——只會給誠實的使用者製造麻煩。不誠實的使用者（學生、員工、隨便誰）想冒充 AI 文字是自己寫的，只要透過不合規的 AI 改寫工具就能輕鬆繞過偵測。

James Padolsey——就是我上面連結那篇互動式說明浮水印原理文章的作者——在一篇題為〈Anthropic 的弱浮水印，迎合的是一部弱法律〉的文章裡解釋了這件事：

催生這部法律的同一種思維，當年也可以套用在計算機身上——只要計算機的輸出會透過某種人工痕跡自我揭露。謝天謝地，用腦子算出來的和用計算機算出來的結果，從來沒有被差別對待。拼字檢查器也是一樣。讓「協助」只有在工具夠強、足以寫出完整句子之後才變得可疑，這不是一條有原則的界線。這是對「困難本身」課徵的道德溢價。

Anthropic 卻選擇了一個全面、模型層級的實作，看起來比法律的最低要求還更廣。這或許是方便的合規工程，但它丟棄了法律明確想要保留的區別。結果是一個夠廣、足以牽連無害且輔助性使用的訊號，卻又脆弱到一個有心人只要大幅重寫就能移除。它冒的風險，是把懷疑集中在普通、輔助性的使用者身上，而面對刻意的欺騙時反而最無力。

Padolsey 也是 Declaude 的創造者，那是一個令人愉快地簡單的網頁應用程式，讓你「貼進帶有 AI 味的文字，拿回同樣內容的樸素散文」。Declaude 最初的用途，是洗掉文字裡那股 Claude 過度諂媚的人格臭味（不管文字是 Claude 還是其他 LLM 生成的），但如果 Anthropic 執意要開始摻雜 Claude 生成的所有文字，Declaude 也會成為一個「複製貼上、多一步」就能消除那些標記的工具。Declaude 本身已經很有趣也很實用，但它正好示範了這部歐盟法規套在散文上有多麼欠缺考慮、多麼徒勞。

Google SynthID

Google 有一個浮水印系統叫 SynthID，套用在 AI 生成的圖片、影片、音訊和文字上。這篇文章我只關心文字。多媒體的嵌入浮水印可以是檔案內的 metadata，真的不會影響觀看或聆聽時的體驗品質。但文字，我們談的是實際被選出來的那些字。以下是 Google DeepMind 自己對 SynthID 的說明中「AI 生成文字」一節：

我們已把 SynthID 擴展到為 Gemini app 和網頁體驗所生成的文字加上浮水印與識別。大型語言模型一次生成一個字（token）。每個字會被指派一個機率分數，代表它接下來被生成的可能性。所以對於「我最喜歡的熱帶水果是芒果和……」這個句子，「香蕉」這個字的機率分數會高於「飛機」。SynthID 會調整這些機率分數來產生浮水印。這對人眼來說不可察覺，也不會影響輸出的品質。

在一個群組聊天裡，我一個朋友引用了上面這段，我回他說：如果一個聊天機器人寫出「我最喜歡的熱帶水果是芒果和飛機」，我很確定我會他媽的注意到。另一個朋友接著回了一張圖——一顆鳳梨雕成的飛機，停在熱帶沙灘上。過了幾天，那張圖還是讓我笑到不行。

但 Google 這段荒謬的說明，恰恰戳破了他們自己「不可察覺」的說法，也顯示出這些生成文字指紋方案背後的人，對寫作這門手藝有多麼輕視。香蕉的機率分數當然比飛機高，因為飛機根本不是水果。但鳳梨呢？這個句子應該接「芒果和香蕉」還是「芒果和鳳梨」？這是個好問題。而一個 LLM 為什麼應該選香蕉而不是鳳梨（或椰子、芭樂、木瓜……）——唯一可接受的答案，是它判斷香蕉最符合這段文字想表達的意義、語氣與情感。而不是因為香蕉在浮水印的「綠」名單上、鳳梨在「紅」名單上，即便鳳梨其實更貼切。Google 這段自以為俏皮的 SynthID 運作說明，其實正好捕捉了這個方案如何敗壞它所生成的文字。

他們的意思是你不會注意到，因為就算它為了指紋目的只選香蕉而不選鳳梨——反正兩者都是熱帶水果，誰在乎。但說這差異「對人眼不可察覺」完全是胡說。香蕉和鳳梨之間的語意差異，對人眼來說，就跟它們的味道對舌頭來說一樣明顯。

如果它真的產出「芒果和飛機」，那會蠢得驚人，但不會讓人生氣，因為我們全都認得出哪裡不對勁。讓人生氣的是：有了 SynthID 這種系統之後，指紋決策是由一把祕密鑰匙驅動的，我們完全不知道它寫成「芒果和香蕉」，是因為香蕉被判定為最佳的下一個 token，還是因為香蕉在「綠」字桶裡。它讓每一個字詞選擇都變成了疑問。

這裡有一篇發表在《Nature》上的論文，Google 的 SynthID 團隊在把它投入 Gemini（前身 Bard）生產環境後，發表了他們的工作：

我們分析了約 2,000 萬筆有浮水印與無浮水印的回應，並計算了讚（thumbs-up）與倒讚（thumbs-down）的比率（兩者皆以收到的讚/倒讚回饋總數的佔比計算）。我們發現兩個模型的讚比率相差 0.01%（有浮水印的模型較高）；倒讚比率相差 0.02%（有浮水印的模型較低）。我們發現這兩項差異在統計上都不顯著，且遠落在 95% 信賴區間之內。

從這個實驗我們得出結論：在各種真實聊天機器人互動中，由人類判斷的回應品質與效用差異是可以忽略的。隨後，非扭曲性的 SynthID-Text 已被投入生產，目前正在為 Gemini 和 Gemini Advanced 的回應加上浮水印。據我們所知，這項評估是大型生產系統中第一個此類系統性的浮水印調查。

對此我想說：

  • Gemini/Bard 的讚/倒讚按鈕，不是評估品質影響的好實驗。如果一個聊天機器人跟我說「我最喜歡的熱帶水果是芒果和香蕉」而不是「芒果和鳳梨」，我不會因為它選了什麼水果而給倒讚。如果它說「飛機」，我會給倒讚——對，但那只是稻草人論證。（那篇 Nature 論文甚至用「我最喜歡的熱帶水果是……」當例子，但論文裡考慮的四個下一個 token，依機率分布排序是芒果、荔枝、木瓜、榴槤。沒有飛機。而且很方便的是，論文範例裡浮水印「競賽」的贏家剛好就是芒果——也就是如果沒有浮水印，本來就會被選為最佳的那個。）
  • 「由人類判斷的回應品質與效用差異」「可以忽略」，並不等於「不可察覺」。他們真正的意思是：只是稍微變糟，而每個人要不是太蠢而沒注意到，就是太不在乎而不想管。
  • 大家普遍認為 Gemini 在品質上落後於 ChatGPT 和 Claude。也許他們把 SynthID-text 投入生產，正是諸多原因之一。我個人也同意 Gemini 的散文比較差。也許 SynthID 跟我（以及大眾共識）認為 Gemini 是二流聊天機器人這件事毫無關係——但若是這樣，也許正因為 Gemini 本來就是二流，所以當 Google 開始在結果裡混入 SynthID 驅動的 token 時，那個差異才會「可以忽略」。如果你餐廳裡原本的咖啡就是二流的，那客人沒發現你把正牌咖啡換成了即溶咖啡粉的機率，會高得多。

Anthropic

現在，終於回到 Anthropic 昨天發表的〈Claude 的文字浮水印如何運作〉。我有幾點意見。Anthropic 先給出總結：

  • 我們使用的浮水印方法，對 Claude 輸出的品質或內容沒有任何實際影響；
  • 有浮水印和無浮水印的文字，讀者將無法區分；

Gruber 的翻譯：「特定的字不重要，而且我們不認為有人會仔細讀任何東西。」

  • 不會在文字裡加入任何東西，也沒有隱藏字元；

這件事一開頭就該講清楚。

  • 浮水印不會是 Claude 專屬。自 8 月 2 日起，歐盟要求服務其市場的 AI 供應商標記 AI 生成內容。其他主要模型開發商也已簽署同一份行為守則，並將實作各自的浮水印。

沒有任何其他 AI 供應商表示，他們會在歐盟以外的地方套用這種會摻雜所有生成文字的標記。

Anthropic 接著舉例：「以『今天的天氣很冷而且……』這個句子為例。下一個字非常不可能是『甜膩的』。但很可能是『陰沉』或『灰暗』。在多數情況下，模型最後選哪一個字，對讀者來說不太重要——兩種選法的句子意義大致相同。在這種情況下，選擇就交給一個亂數來決定。」

「灰暗 vs 陰沉」「對讀者不太重要」——這個論點，正是我主張「這整個計畫是對寫作與閱讀意義的一種變態褻瀆」的核心。它在某些方面越是細微，就越變態，因為它是偷偷摸摸的。

Anthropic 也談到內部測試：「在內部測試中，我們沒有看到浮水印對 Claude 文字的內容、創造力程度或可讀性有任何影響。在引入這項技術的 SynthID-Text 論文裡，Google DeepMind 是透過把使用浮水印的模型服務於一部分 Gemini 流量、並比較讚與倒讚評分來測試這個影響。他們發現與無浮水印模型之間沒有統計上顯著的差異。而在一個對照研究中，人類評分者並排比較有浮水印與無浮水印的答案時，也看不出品質差異。」

關於這份讚/倒讚資料在評估 SynthID 式字詞偏差浮水印是否讓文字變差上完全沒用，我上面的論點已經說過了。照定義，它必然讓文字變差——除非底層 LLM 的評分是錯的——因為浮水印演算法的本質，就是要求它有時候提高選出較差字詞的機率、並降低選出模型最佳選擇的機率。問題只在於變差多少。Google 數讚的資料能顯示的，只是它還沒有糟到讓 Gemini 使用者按下倒讚按鈕而已。

Anthropic 又說：「浮水印不會改變閱讀者的意義或體驗，但如果你事後想檢查這段文字是否可能由 Claude 生成，浮水印讓你能夠這麼做。」

不，它不能。因為整個方案綁死在只有 AI 供應商持有的祕密鑰匙上，它只允許 Anthropic——而不是「你」——去檢查任何東西。

關於潤稿，Anthropic 說：「當 Claude 為人類寫的文字潤稿時，它回傳的通常只經過輕微編輯；因為幾乎所有字都是那個人的，浮水印幾乎沒有（如果有的話）可依附的地方。取決於文字長度和 Claude 編輯的程度，那些改動可能不足以讓 Claude 的參與被偵測到。Claude 寫得越多，它要做的決策就越多，浮水印的空間也就越大。」

Gruber 的翻譯：再也沒有人能用 Claude 潤飾自己的文章了，除非他們願意冒著整篇被標記為「由 Claude 生成」的風險。

Anthropic 還舉了算式的例子：「一旦模型寫了『2 + 2 =』，下一個 token 就有一個非常明確的最佳選擇（如果模型是在完成算式，沒有比『4』一樣好的答案；如果它談的是 George Orwell 的《一九八四》，也沒有比『5』一樣好的答案）。浮水印的『輕推』在這裡不會被套用。基於同樣的理由，程式碼——在很多情況下必須精確——通常比其他形式的文字更少浮水印。」「話雖如此，在程式碼中特定字詞或術語之間存在任意選擇的地方，浮水印仍然可以用，例如程式碼裡的註解。但照定義，它對實際產出的程式碼只會有可忽略的影響。」

Gruber 的翻譯：「我們重視程式碼的精確性；我們不重視散文的精確性。」

而且在為一個以「特定的字不重要」為前提的文字摻雜方案辯護的脈絡裡，居然還讚許地引用 George Orwell 的《一九八四》——這實在諷刺到極點。我是說，他媽的到底在搞什麼？那可是 Orwell 啊！

最後，關於他們為什麼這麼做。Anthropic 說：「我們實作浮水印是為了遵守歐盟 AI 法案。Anthropic 與其他幾家主要 AI 模型供應商、以及總共約 190 個簽署方，在 2026 年 7 月簽署了歐盟的〈AI 生成內容透明化行為守則〉。這要求 AI 系統供應商使用『標記』AI 生成文字的方法。我們在全球推出時就套用浮水印，是因為我們還沒有持久的方法能按地區限縮它。」

說這句話的公司，是《金融時報》剛剛報導、距離 IPO 只剩幾週、目標估值 2 兆美元的公司——這會讓它成為全球市值最高的 10 家公司之一，以今天而言排第 7，夾在台積電（2.2 兆）和博通（1.9 兆）之間。

這讓我們只能相信，以下兩者必居其一：

  • 一家市值跟 Amazon 和台積電相當的科技公司，竟然沒有技術能力只把一項歐盟區域性法律侷限在歐盟境內執行。這完全合理，一點都不值得擔憂。
  • Anthropic 已經超出他們的能力範圍，對自家技術棧的控制力少得驚人，而他們即將到來的 IPO，日後很可能只會被記為全球 AI 狂潮這個躁狂泡沫裡的又一個新高水位。

另外，如果有另一個主要全球市場反過來規定「AI 祕密為生成文字加浮水印」是違法的，那會發生什麼事？

OpenAI

來自 OpenAI 一份題為〈OpenAI 生成內容中的來源訊號（Content Credentials、SynthID）〉的支援文件：「依循我們在歐盟執委會〈AI 生成內容透明化行為守則〉下的承諾，我們的目標是把來源訊號擴展到包括文字在內的所有模態，好讓客戶與開發者在標準和工具持續成熟的同時，有明確的方式履行他們自己的透明化義務。」

這句簡短聲明裡有大量迴旋空間，它完全可以解讀成：OpenAI 模型只有在使用者或開發者要求時，才會用指紋標記摻雜文字；或者只有在歐盟境內才是強制的。如果我是 OpenAI，我會在這件事上重拳出擊，公開宣稱 ChatGPT 永遠不會為它生成的文字加浮水印——除非你要求它這麼做；而如果你想要那種在你背後偷偷運作、不告訴你它怎麼運作、用你看不見的方式標記你的文字的工具，那就去用 Claude 吧。

延伸閱讀

ArXiv 上有三篇論文：

  • 〈大型語言模型的浮水印〉，最後修訂於 2024 年 5 月。
  • 〈沙中之水印：生成模型強浮水印的不可能性〉，最後修訂於 2025 年 5 月。
  • 〈透過雙重語意嵌入為大型語言模型做穩健文字浮水印〉，最後修訂於 2026 年 6 月。

我得承認，雖然對於親手使用那些會在產出或碰觸的文字裡留下浮水印的工具這個想法，我深感冒犯，但背後的數學確實迷人。

Michael Lopp 在 Rands in Repose 寫了一篇〈RIP Claude〉：「作為一個過去曾跟歐盟法規纏鬥過的人類，我非常清楚那個勞心費力的官僚流程是什麼。我可以猜測 Anthropic 正面臨什麼威脅。然而，這是他們浮水印策略中一記失聰、笨拙且令人警覺的開場砲。[…] 我的寫作就是我的工作，而 Anthropic 目前的策略，是激進地敵視寫作者。」

Jeff Gamet 寫了〈Anthropic 的 Claude 浮水印，無異於一顆 AI 毒藥丸〉：

說清楚：浮水印被嵌入幾乎所有 Claude 碰觸過的文字。除了 Claude 生成的文字，它也套用在它處理過的內容上，例如潤稿和摘要。我預期我們會看到太多不實的指控——內容其實是人寫的、只是經 AI 潤稿，卻被指控為用 Claude 寫文件。

浮水印還會跟著文件一起穿越複製貼上。想像一下，你從一篇部落格文章或一封 email 複製一段文字，結果你寫的東西被標記為「可能是 AI 生成」。事實上，這篇文章就很可能發生這種事。我個人完全不靠 AI 工具寫所有內容，但我這篇文章最上面引用的那段話，是直接從 Anthropic 官網複製的。這是否意味著我在這裡寫的內容會被顯示為 AI 生成？如果他們用自己的模型生成或編輯過我引用的那段話，那答案非常可能是「會」。

我上面引用的其中一篇 ArXiv 論文宣稱，這種浮水印甚至在一段原本以英文生成的文章被翻譯成德文之後，仍然會留存。

祕密，才是這裡的毒藥。當只有 Anthropic 握有既產生浮水印、又執行機率偵測的祕密鑰匙時，我們全都只能 wonder——只能猜測。猜我們正在讀的東西是不是被祕密加了浮水印，猜我們正在引用的東西是不是被祕密加了浮水印，猜我們自己寫的東西會不會基於我們不知道、也看不見的祕密，而被不公正地指控為 AI 生成。用「有毒」這個詞，再精確不過了。

或者我該說「有毒的」？還是「飛機」？

註：這個「技術上無能」的詮釋，正是知名怪才 Jim Cramer 所站的那一邊。

城武觀點

Gruber 整篇罵的是「寫作被汙染」——字詞選擇被一把祕密鑰匙偷偷操弄，同義詞被強行當成可互換。這些他都說對了，也都說完了。但我想往下挖一層：他真正點到、卻沒發展的，是最後那句「Secrets are the poison here」。

問題不在浮水印會讓文字變差多少，而在於它把「這篇文章是不是人寫的」從一個可以自己判斷的問題，變成一個只有平台能回答的問題。浮水印對你不可見、對 Anthropic 可見；你讀的文章、你引用的段落、甚至你自己寫的稿子——只要經過 Claude 潤過一次——都可能被祕密標記，而你永遠無法校準「到底有沒有被標記」。這不是品質問題，這是知識論危機：當你無法判斷一個工具對你的輸出動了什麼手腳，而這個「無法判斷」是被設計進去的，你對它的信任就再也沒有地基。

這正是 Gruber 停下來的地方。他說「我們全都只能 wonder」。但 wonder 本身是症狀，不是結論。當作者身分的判定權被平台壟斷，「懷疑」就從一種個人情緒，變成了一種制度。想想看：今天你想證明某段文字是你親手寫的，你有什麼工具？沒有。你只能祈禱 Anthropic 願意、而且有動機出來替你背書。而「證明你是人寫的」這種能力一旦稀缺，就會有價格。

所以我賭的是這個：十年後，「證明這是你寫的」會變成一門生意——鑑定服務、認證標章、甚至是「人寫保證」的公證。而這門生意的原料——那些祕密鑰匙——在誰手上？Anthropic。它現在免費把浮水印塞進你的文字裡，將來就能收費把「清白的證明」賣回給你。Gruber 只看到文字被摻雜，沒看到的是：摻雜只是第一步，壟斷判定權才是終局。

Anthropic 的技術說明講得很漂亮——「不會改變意義」「不可察覺」「讀者無法區分」。但一份只解釋「怎麼做」、不回答「誰能看、誰不能看」的說明，本身就已經洩露了答案：看得見的那一方，才有資格從新定義什麼叫「寫作」。

（順帶一提：這篇文章本身就是用 LLM 寫的，封面圖也是 AI 生成的。如果 Anthropic 的浮水印明天就上線，我正在敲的這些字，每一個字詞選擇都可能被偷偷標記，而我跟你一樣，永遠不會知道。我批評的不是「AI 寫作」，我批評的是「有人在我不知情時，把我的寫作變成了他的證據」。）

城武的未解檔案——十年後，「證明這段字是你寫的」會變成一門生意，而第一把鑰匙，現在正免費塞進你寫的每一句話裡。