在合成式 AI 图像泛滥的背景下，参考图功能可视为苹果给出的应对方案：看到照片的人能据此判断画面是否反映了真实场景。其工作原理是借助苹果的 Private Cloud Compute（私有云计算）将照片的若干特征信息上传，据此生成一份加密签名。签名并不只显示在拍摄所用设备上——用户可以把带签名的照片分享给他人，对方同样能凭借签名在日后完成认证。

需要指出的是，参考图功能将不会在中国市场与欧盟地区提供。苹果方面同时说明，对于其自家的图像生成功能（包括 Image Playgrounds，以及新增的 Extend、Spatial Reframe 等 Apple Intelligence 编辑工具），所生成的图片会嵌入 SynthID 水印标记，以便区分 AI 合成内容。

对普通用户而言，这意味着未来分享原图时，接收方多了一层判断「这张照片是否经过 AI 篡改」的依据；而「数字底片」的留存，也让篡改行为变得可追溯、可比对。

可见水印不再是必选项

此前，谷歌在 Gemini 与 Flow 生成的图像、视频和音乐上默认叠加可见水印，目的是让用户一眼识别人工智能产物。新设置允许用户在需要时将其关闭。对于希望把生成内容用于正式场景、又不愿被明显标识的用户，这一调整降低了使用门槛。

不过，可见水印的退场并不意味着内容彻底「匿名」。谷歌实验室、Gemini 与 AI Studio 副总裁乔什·伍德沃德（Josh Woodward）表示，关闭可见水印后，系统仍会在图像、视频和音乐中嵌入不可见的 SynthID 水印以及 C2PA 元数据。也就是说，内容是否由人工智能生成，仍可通过向 Gemini 或谷歌搜索询问来核验。

同行早已不用可见水印

在去除可见标识这件事上，谷歌并非先行者。OpenAI 与 Meta 的生成工具原本就不叠加可见水印，而是依赖 SynthID、C2PA 等机制来标示内容来源；Meta 还推出了自家的 Content Seal 标准。就在本周，Anthropic 也宣布将为人工智能生成的文本与图像打上隐形水印。

可见水印的取舍，折射出行业在「可追溯」与「可用性」之间的权衡。过于显眼的标识虽然方便辨识，却也容易被用户手动抹除；而将溯源信息沉入不可见的元数据，则能在不打扰观感的前提下保留查证线索。

并非所有地区都能关闭

谷歌计划把这一水印开关同步推广到搜索功能中。不过，在那些以法规强制要求可见水印的国家和地区，该开关不会上线。换言之，可见水印的「可关闭」范围，仍将受各地监管框架的约束。

来源：The Verge（作者 Emma Roth）

隐形水印是怎么藏进图里的

目前给 AI 内容打标记主要有两条路：一条是 C2PA 元数据标签，相当于给文件贴「出生证明」，但元数据可以被轻易抹掉；另一条就是 SynthID 这样的隐形水印——它直接编码在图片或视频的像素中（音频则藏在波形里），肉眼完全看不出来，而且水印像素散布在整张图上，天生带一定的抗裁剪能力。

不过谷歌在原始论文中就明确说过，SynthID 并非加密级的防篡改设计，不承诺抵御针对性的对抗攻击。谷歌也没有开放公开的检测接口——想验证一张图，只能把它传给 Gemini 请求检查，而且每天限额大约 10 次。

300代压缩、截图都没弄掉它

为了模拟图片在网络上被反复转发、压缩、转存的损耗，惠特瓦姆用 Python 的 Pillow 库写了一个脚本：每一轮随机挑选压缩率和缩放参数处理图片，再把输出作为下一轮的输入，如此迭代。测试对象有两张——一张由谷歌 Nano Banana Pro 模型凭空生成，一张是真实照片经谷歌 AI 编辑，两张都带 SynthID 水印。

结果出人意料：整整 300 代压缩缩放折腾下来，两张图的画质已明显劣化，但水印全都还在，Gemini 依然能准确识别。就连把图片截屏另存成新文件，特殊像素也照样转移过去，检测照样通过。作为对比，路透社此前测试 Meta 的 Content Seal 水印时，轻微裁剪就能让它失效。

但 SynthID 的软肋同样明显：裁剪。在 300 代压缩之后再裁掉 20% 的画面，两张图的水印都检测不出来了；如果直接裁掉 50%，大约在 250 代压缩时水印就已经失守。

水印再硬，也解决不了根本问题

谷歌 DeepMind 科学家普什米特·科利（Pushmeet Kohli）表示，团队从一开始就假设这项技术会遭到攻击，做了大量工作让 SynthID 能扛住滤镜、裁剪等各类变换；网上有人声称已经破解，但团队始终无法复现。他还透露，谷歌备有更换水印方案等缓解手段，只是细节必须保密。

问题在于，水印只能标记「愿意打标」的内容。斯坦福大学与南加州大学合作的斯特林实验室（Starling Lab）研究员亚当·罗斯（Adam Rose）指出，真正的麻烦来自中心化大厂之外——任何人都可以在自己的电脑上运行开源模型，生成完全不带水印的图片。资深摄影记者迈克·卡罗纳（Mike Caronna）的判断更进一步：合成内容的供给是无限的，真实拍摄的内容才是稀缺品，行业应当转向保护和认证真实内容，以对抗所谓「骗子红利」——即假图泛滥后，连真图都会被人质疑。

现实还有另一重尴尬：水印生态四分五裂。OpenAI、Runway、英伟达各用各的水印方案，彼此互不识别；谷歌发言人对此回应称，公司了解目前体验不佳，正与合作伙伴推动一个统一、可互相验证的生态。

这篇实测的结论是：SynthID 在抗压缩、抗转存上表现扎实，值得肯定，但给 AI 内容打标签注定只是治标——当开源模型可以随时绕开水印，与其大海捞针地「找假」，不如像 C2PA 加密元数据那样去「证真」。未来，没有可验证来源的内容，恐怕都得先打个问号。

来源：Ars Technica

背景：监督委员会施压后的回应

2026年3月，Meta监督委员会（Oversight Board）要求公司”履行公开承诺，使用自有工具”来遏制欺骗性AI生成内容在平台上的传播。Meta在7月给出了回应——Content Seal，一种将不可见信号嵌入AI生成图片的水印技术，帮助用户区分深度伪造与真实内容。

但这项发布几乎被淹没在Muse图片和视频生成工具的公告中，仅作为一个不起眼的脚注出现。

功能雷同：为何不采用SynthID？

The Verge记者杰斯·韦瑟贝德（Jess Weatherbed）在详细分析后指出，Content Seal的工作原理与谷歌的SynthID高度相似。两者都是将肉眼不可见的水印嵌入AI生成图片中，且都声称水印在图片被裁剪、压缩、调整大小或截图后仍可检测。

关键问题在于：既然功能上没有本质差别，Meta为何不直接采用已经成熟的SynthID？几个事实让这个选择更加令人费解：

• Meta本身是内容来源与真实性联盟（C2PA）的指导委员会成员，一直在推广独立的Content Credentials标准。
• OpenAI已经采用了SynthID作为其图像水印方案，表明谷歌愿意向竞争对手开放技术。
• SynthID已集成到谷歌的Gemini聊天助手中，而Content Seal目前只能通过一个独立的网页检测工具使用。

Content Seal的四大局限

在当前状态下，Content Seal存在多项限制：

检测渠道单一：用户只能通过Meta正在测试的专用网页工具检测水印。Meta尚未将检测能力集成到其Meta AI聊天助手中，而谷歌已将SynthID检测内置在Gemini中。Meta发言人费斯·艾申（Faith Eischen）表示，公司正在”探索将检测功能带到用户接触AI生成内容的地方”，但未解释为何未在发布时提供。

覆盖范围有限：水印仅应用于Meta AI应用和Meta.ai网站上Muse模型生成的图片。旧版AI模型生成的内容无法被检测，视频支持也尚未上线。

使用次数受限：Meta对检测工具设置了每日使用上限。艾申表示这是为了支持”正常使用”并保护系统免受滥用，但Meta未明确何种行为构成滥用。C2PA是唯一不限制检测次数的系统。

跨平台兼容存疑：当被问及Meta是否在指导TikTok和LinkedIn等外部平台检测Content Seal时，艾申表示公司”决心与行业同行合作”，但这意味着更广泛的支持仍在推进中。缺乏跨平台兼容可能导致Muse生成的图片在Meta生态系统之外无法被有效标记。

行业困境

据路透社测试报道，Content Seal在裁剪后的图片上检测失败率高达55%。纽约州立大学布法罗分校计算机科学教授、AI图像取证专家吕思伟（Siwei Lyu）指出，基于水印的方法在水印保持完整时可能非常有效，但任何移除或削弱嵌入信号的操作——如裁剪、缩放、重度压缩或编辑——都可能降低其有效性。

这不是Meta一家的问题。谷歌的SynthID同样面临局限——它只能检测谷歌自家AI模型生成的图片，对非谷歌生态的AI内容无能为力。OpenAI也已采用C2PA内容凭证标准并引入SynthID作为图像水印方案，但同样公开承认检测工具并非万无一失。

整个行业目前面临的核心困境是：没有任何水印方案能在不牺牲图像质量的前提下，对所有编辑操作免疫。裁剪、旋转、缩放、滤镜、压缩、截屏转发——用户日常分享中的每一种操作都可能成为水印的杀手。

Content Seal仍处于早期阶段，但从起步来看，它并未展现出超越现有方案的优势。如果Meta希望用户、创作者和竞争平台信任其方案，就需要证明Content Seal不仅仅”存在”，而是能在规模化场景中可靠运作、抵御真实世界的图像篡改，并在用户接触AI内容的场景中提供有效检测。