自 2026 年 8 月初起，Anthropic 开始为其模型 Claude 生成的文本嵌入一种”难以察觉的隐形水印”。然而就在功能上线后不久，一批开发者连夜造出了专门”清洗”这些标记的开放工具，一场围绕 AI 内容标识的拉锯战就此展开。

水印如何工作

据 Anthropic 介绍，这套水印并不在文本中留下可见字符，而是通过 Claude 在选词上的统计规律形成”数字指纹”——当多个同义表达都合适时，模型会偏向其中一个，从而在输出中留下机器可识别、人类却难以察觉的痕迹。由于特征附着在文字本身，即使用户复制粘贴，标记也会随之保留。

Anthropic 表示，此举是为了履行其在欧盟《人工智能法案》（AI Act）下的承诺。该法案要求模型提供方对合成文本做出机器可识别的标记，违规企业最高可能面临年度营业额 3% 的罚款。今年 7 月，Anthropic 与 OpenAI、微软、Meta 等约 190 家机构共同签署了欧盟的透明度行为准则。

反弹为何来得这么快

许多用户和专业人士担忧，即便只是用 Claude 做校对、翻译或总结，隐藏标记也会随最终内容一起传播。一些人因此取消了订阅。据美国地区搜索趋势，”AI watermark remover”（AI 水印移除工具）的搜索热度环比上涨约 60%。

开发者反应迅速。常驻巴黎的科技创业者、AI 电商工具 Memo 创始人 Guillaume Meyer 在公告后数天内就发布了开源项目”Watermarks Remover”。该工具会清除隐藏字符与元数据，再在不改变原意的前提下重写文本，从而破坏承载水印的统计性选词模式。Meyer 称初版大约花了 5 小时开发，项目在 GitHub 上已获得超过 1.4 万个 Star。他也坦言，工具无法保证百分之百去除水印。

与此同时，AI 教育者 Sabrina Ramonov 在社交平台分享了免费的浏览器端”Watermark Remover”，宣称可从文本、PDF、Word、网页、图片及数据文件中清除隐藏的 AI 标记；常驻东京的开发者 Ansh Aneja 也在公告当天做出针对 Claude 的移除工具，随后放出名为 MarkScrub 的本地开源版本。

技术局限与法律灰色地带

支撑这套水印的技术名为 SynthID，由谷歌开发，自 2023 年起便用于其 AI 生成内容的标识。苏黎世联邦理工学院研究员 Thibaud Gloaguen 指出，水印技术长期存在固有局限——”总会有办法移除水印”，比如对整段文字重新措辞。

法律层面同样模糊。欧盟要求提供方的标识系统能抵御常见修改与对抗性操作，但并未明确禁止第三方开发或尝试移除水印。不过，若用户利用这类工具将 AI 生成内容伪装成人类创作，则可能触碰 Anthropic 禁止”冒充人类”的服务条款。随着 Anthropic 计划在下一代模型发布时同步推出文本检测接口，这场”加水印”与”去水印”的博弈预计还将升级。

（本文综合 Business Insider、WIRED 等报道。）

人工智能公司 Anthropic 宣布，将为 Claude 生成的文字与图片嵌入机器可识别的标记，以符合欧盟《人工智能法案》的透明度要求。Anthropic 在新上线的 Claude 支持页面中写道：「生成的文字将携带嵌入式水印，生成的文件在支持的情况下会附带经数字签名的可溯源元数据。」这些变化对人眼不可见，但能让用户和平台更容易判断内容是否由 Claude 生成。

何时开始

欧盟《人工智能法案》第 50 条关于人工智能生成内容的透明度义务已于 2026 年 8 月 2 日生效，对已在该日期前上线的存量产品设有 4 个月合规宽限期。因此，2026 年 8 月 2 日及之后发布的 Claude 新模型将「出厂即带标记」；更早发布的存量模型仍在逐步补上标记能力。

两种标记方式

文字采用「不可感知水印」：直接编织进生成文本本身，不改变语义、质量与可读性，即便被复制粘贴到其他文档也能跟随文本走，部分编辑后也可能保留。文件则采用 C2PA 溯源元数据标准——这一标准已被 Adobe、OpenAI、谷歌等采用，适用于 Claude 处理或生成的 .svg、.png、.jpg 等格式，能标明文件曾经过 Claude 处理，并检测是否被篡改。

覆盖范围与局限

标记将面向全球所有提供 Claude 的区域生效，而不只限于欧盟，覆盖 Claude Platform（API）、Claude 主应用、Claude Code、Claude Cowork、Claude Tag，以及通过亚马逊云科技、谷歌云、微软 Foundry 调用的受支持模型。Anthropic 也提醒，水印只是「信号」而非「证据」：用 Claude 润色或翻译他人写的稿子，成品也会带上标记；而大幅改写、翻译、截图或格式转换，都可能让标记消失。检测工具仍在筹备中。

合规背景

Anthropic 以模型提供方与系统提供方双重身份，签署了欧盟《人工智能生成内容透明度行为准则》，约 190 家机构在此之前签署。违规最高可处 1500 万欧元或全球年营业额 3% 的罚款。在行业里，谷歌 DeepMind 已推出 SynthID 用于标记文本、图像与音频，OpenAI 虽有讨论但落地较慢。

来源：The Verge（作者 Jess Weatherbed）

隐形水印是怎么藏进图里的

目前给 AI 内容打标记主要有两条路：一条是 C2PA 元数据标签，相当于给文件贴「出生证明」，但元数据可以被轻易抹掉；另一条就是 SynthID 这样的隐形水印——它直接编码在图片或视频的像素中（音频则藏在波形里），肉眼完全看不出来，而且水印像素散布在整张图上，天生带一定的抗裁剪能力。

不过谷歌在原始论文中就明确说过，SynthID 并非加密级的防篡改设计，不承诺抵御针对性的对抗攻击。谷歌也没有开放公开的检测接口——想验证一张图，只能把它传给 Gemini 请求检查，而且每天限额大约 10 次。

300代压缩、截图都没弄掉它

为了模拟图片在网络上被反复转发、压缩、转存的损耗，惠特瓦姆用 Python 的 Pillow 库写了一个脚本：每一轮随机挑选压缩率和缩放参数处理图片，再把输出作为下一轮的输入，如此迭代。测试对象有两张——一张由谷歌 Nano Banana Pro 模型凭空生成，一张是真实照片经谷歌 AI 编辑，两张都带 SynthID 水印。

结果出人意料：整整 300 代压缩缩放折腾下来，两张图的画质已明显劣化，但水印全都还在，Gemini 依然能准确识别。就连把图片截屏另存成新文件，特殊像素也照样转移过去，检测照样通过。作为对比，路透社此前测试 Meta 的 Content Seal 水印时，轻微裁剪就能让它失效。

但 SynthID 的软肋同样明显：裁剪。在 300 代压缩之后再裁掉 20% 的画面，两张图的水印都检测不出来了；如果直接裁掉 50%，大约在 250 代压缩时水印就已经失守。

水印再硬，也解决不了根本问题

谷歌 DeepMind 科学家普什米特·科利（Pushmeet Kohli）表示，团队从一开始就假设这项技术会遭到攻击，做了大量工作让 SynthID 能扛住滤镜、裁剪等各类变换；网上有人声称已经破解，但团队始终无法复现。他还透露，谷歌备有更换水印方案等缓解手段，只是细节必须保密。

问题在于，水印只能标记「愿意打标」的内容。斯坦福大学与南加州大学合作的斯特林实验室（Starling Lab）研究员亚当·罗斯（Adam Rose）指出，真正的麻烦来自中心化大厂之外——任何人都可以在自己的电脑上运行开源模型，生成完全不带水印的图片。资深摄影记者迈克·卡罗纳（Mike Caronna）的判断更进一步：合成内容的供给是无限的，真实拍摄的内容才是稀缺品，行业应当转向保护和认证真实内容，以对抗所谓「骗子红利」——即假图泛滥后，连真图都会被人质疑。

现实还有另一重尴尬：水印生态四分五裂。OpenAI、Runway、英伟达各用各的水印方案，彼此互不识别；谷歌发言人对此回应称，公司了解目前体验不佳，正与合作伙伴推动一个统一、可互相验证的生态。

这篇实测的结论是：SynthID 在抗压缩、抗转存上表现扎实，值得肯定，但给 AI 内容打标签注定只是治标——当开源模型可以随时绕开水印，与其大海捞针地「找假」，不如像 C2PA 加密元数据那样去「证真」。未来，没有可验证来源的内容，恐怕都得先打个问号。

来源：Ars Technica

背景：监督委员会施压后的回应

2026年3月，Meta监督委员会（Oversight Board）要求公司”履行公开承诺，使用自有工具”来遏制欺骗性AI生成内容在平台上的传播。Meta在7月给出了回应——Content Seal，一种将不可见信号嵌入AI生成图片的水印技术，帮助用户区分深度伪造与真实内容。

但这项发布几乎被淹没在Muse图片和视频生成工具的公告中，仅作为一个不起眼的脚注出现。

功能雷同：为何不采用SynthID？

The Verge记者杰斯·韦瑟贝德（Jess Weatherbed）在详细分析后指出，Content Seal的工作原理与谷歌的SynthID高度相似。两者都是将肉眼不可见的水印嵌入AI生成图片中，且都声称水印在图片被裁剪、压缩、调整大小或截图后仍可检测。

关键问题在于：既然功能上没有本质差别，Meta为何不直接采用已经成熟的SynthID？几个事实让这个选择更加令人费解：

• Meta本身是内容来源与真实性联盟（C2PA）的指导委员会成员，一直在推广独立的Content Credentials标准。
• OpenAI已经采用了SynthID作为其图像水印方案，表明谷歌愿意向竞争对手开放技术。
• SynthID已集成到谷歌的Gemini聊天助手中，而Content Seal目前只能通过一个独立的网页检测工具使用。

Content Seal的四大局限

在当前状态下，Content Seal存在多项限制：

检测渠道单一：用户只能通过Meta正在测试的专用网页工具检测水印。Meta尚未将检测能力集成到其Meta AI聊天助手中，而谷歌已将SynthID检测内置在Gemini中。Meta发言人费斯·艾申（Faith Eischen）表示，公司正在”探索将检测功能带到用户接触AI生成内容的地方”，但未解释为何未在发布时提供。

覆盖范围有限：水印仅应用于Meta AI应用和Meta.ai网站上Muse模型生成的图片。旧版AI模型生成的内容无法被检测，视频支持也尚未上线。

使用次数受限：Meta对检测工具设置了每日使用上限。艾申表示这是为了支持”正常使用”并保护系统免受滥用，但Meta未明确何种行为构成滥用。C2PA是唯一不限制检测次数的系统。

跨平台兼容存疑：当被问及Meta是否在指导TikTok和LinkedIn等外部平台检测Content Seal时，艾申表示公司”决心与行业同行合作”，但这意味着更广泛的支持仍在推进中。缺乏跨平台兼容可能导致Muse生成的图片在Meta生态系统之外无法被有效标记。

行业困境

据路透社测试报道，Content Seal在裁剪后的图片上检测失败率高达55%。纽约州立大学布法罗分校计算机科学教授、AI图像取证专家吕思伟（Siwei Lyu）指出，基于水印的方法在水印保持完整时可能非常有效，但任何移除或削弱嵌入信号的操作——如裁剪、缩放、重度压缩或编辑——都可能降低其有效性。

这不是Meta一家的问题。谷歌的SynthID同样面临局限——它只能检测谷歌自家AI模型生成的图片，对非谷歌生态的AI内容无能为力。OpenAI也已采用C2PA内容凭证标准并引入SynthID作为图像水印方案，但同样公开承认检测工具并非万无一失。

整个行业目前面临的核心困境是：没有任何水印方案能在不牺牲图像质量的前提下，对所有编辑操作免疫。裁剪、旋转、缩放、滤镜、压缩、截屏转发——用户日常分享中的每一种操作都可能成为水印的杀手。

Content Seal仍处于早期阶段，但从起步来看，它并未展现出超越现有方案的优势。如果Meta希望用户、创作者和竞争平台信任其方案，就需要证明Content Seal不仅仅”存在”，而是能在规模化场景中可靠运作、抵御真实世界的图像篡改，并在用户接触AI内容的场景中提供有效检测。