1949年，贝尔实验室的克劳德·香农发表了一篇名为《保密系统通信理论》的论文来探讨密码学。其理论探讨了一个后来不断被扩展的结论：任何通信系统产生的消息，都无法完全摆脱其来源的统计特征。因为每个字符都携带着发送者的概率习惯，分析足够多的字符，来源便会浮现。香农讨论的是密码学，但这个洞见的适用范围远超密码学。他说的是：只要是某个信息源产生的内容，就必然在统计层面留有可辨识的印记。这个印记不需要被故意放进去，它是信息产生机制本身的副产品。77年后，这个命题有了一个全新的具体形式。“2026年8月，Anthropic宣布将在Claude模型生成的文本中全面部署不可见统计水印，并逐步覆盖既有模型。几乎同一周，社媒上的AI圈争论此起彼伏，用AI写作、生成视频的人开始担心，觉得自己会被发现。但如果回到香农的框架，这件事其实早就注定了。AI内容能被识别，这一点没有悬念。真正的问题在后面：用什么方式识别、谁来识别、识别之后意味着什么。
习惯就是暗号
1964年，哈佛的统计学家弗雷德里克·莫斯特勒和大卫·华莱士做了一件更大胆的事。《联邦党人文集》是美国立国之初最重要的政治文献之一，由汉密尔顿、麦迪逊等人合著，其中12篇的作者归属争了100多年，汉密尔顿和麦迪逊都声称自己是作者。统计学家换了一个思路，更多的关注and、to、while这一类功能词的使用频率。这些词虽然没有实质性意义，但每个作者使用它们的频率存在稳定的个人差异。两名统计学家最终用贝叶斯方法统计了这些词在已知署名文章里的出现频率，拿概率模型去比对争议篇目。结论是压倒性的：全部12篇几乎可以确定是麦迪逊写的。这套方法后来有了一个专门名字，文体计量学。它在法庭上被用来鉴定匿名信的作者，在文学研究里被用来判断争议文本。1995年，最著名的一次实战是FBI用类似方法协助锁定嫌犯。彼时美国历史上最知名的“邮件炸弹犯”卡钦斯基，曾在寄给报纸的万字宣言里有大量个人化的措辞习惯，法庭语言学家对此将宣言和卡钦斯基私人文字做了系统比对，结论是两者“几乎可以确定出自同一作者”，这份分析成为申请搜查令的关键依据。香农的命题在这些案例里已经被反复验证，一个人选词的概率分布，在统计层面有着相当稳定的个人特征，多到无法用刻意控制来完全消除。同理，今天的大模型既然是一种语言，那么它同样有可能被追踪。
语言模型的口音
语言模型生成文字的过程，是在每一步计算下一个词的概率分布，从分布里采样一个词，接进文章，再做下一次计算。这个过程重复几百次，一段文字就出来了。每个模型的概率分布存在着系统性的差异，因为训练环境、数据、架构、对齐方式、解码参数都是不一样的。面对同一个上下文，GPT和Gemini给“改变”、“重塑”、“影响”、“颠覆”这几个词分配的概率是不同的，差异在每一次生成里都以某种系统性的方式呈现。单次选词差距微小，但经过几百次、几千次的累积，这种系统性差异会在整篇文章的统计结构里留下可辨别的轮廓。2023年，斯坦福大学米切尔等研究者发表了DetectGPT研究发现，由某个语言模型生成的文字，往往处于该模型概率函数的“局部极大值”附近。如果对这段文字做局部随机改写，改写出来的版本通常会落到更低的概率位置。利用这种曲率特征，在完全不需要预先加入任何水印的情况下，就可以判断一段文字是否更可能由某个模型生成。在一次针对特定模型生成假新闻的检测实验中，DetectGPT把命中率从此前最好方法的0.81提升到了0.95。但被动检测的天花板很快也暴露了。OpenAI在2023年1月发布了自己的AI文本检测工具，5个月后以“准确率太低”为由下线，它在自己的评估集上只能正确识别26%的AI写作，同时把9%的人类文章错误判成AI。这个工具用的是风格分类器，和水印检测完全是两种东西，但它证明了一件事：AI内容有统计特征，和“存在可靠的通用检测器”是两件不同的事。这正是国内平台在落地AI内容标识时遭遇的现实。2025年9月1日，四部门联合发布的《人工智能生成合成内容标识办法》（以下简称《标识办法》）正式施行，抖音、快手、小红书、B站、微博同日上线AI内容标识功能。但有第三方评测发现，平台的自动识别技术能力参差不齐，快手首周表现尚可，抖音的自动识别几乎失灵；到10月下旬，另一家媒体的评测又翻转了，抖音对AI生成视频的识别率最高，快手、小红书和视频号对无水印AI视频均未作出标识。各平台受限于技术和算力成本，主要依靠视频自带的AI水印或作者主动声明来识别。如果一段内容既无作者标注，又非平台自家工具生成，被动检测的准确率就大幅下降。
从被动到主动
被动检测不够用，厂商开始尝试在生成过程里主动嵌入只有自己才能识别的印记。逻辑依然是香农的框架：把秘密信息编码进信道，通过统计规律传递来源信息，不知道密钥的人无法识别，知道密钥的检测器可以高置信度验证。Google的DeepMind在2023年8月第一个把这个逻辑做成大规模部署的商业产品SynthID，最初用于模型生成的图像。嵌入方式是在图像像素层面写入一个统计信号，人眼无法察觉，但SynthID的检测算法可以识别，对裁切、压缩、加滤镜等常见操作具有一定抵抗性。随后扩展到音频、视频，2024年5月扩展到文字，部署在Gemini的对话界面里。Google的这套文本水印机制，是在模型生成每个词之前，按照一套带密钥的算法对词汇概率分布做出极微小的调整，使最终词汇选择序列在统计上符合一个隐藏规律。研究团队把具体方法叫做“竞赛采样”，通过调整词汇之间的竞争规则来编码信息。整篇文章表面完全正常，信号藏在“每次选了哪个词而没选哪个词”的统计模式里。Google在将近2000万条Gemini用户响应里对比了加水印、不加水印版本，用户满意度评分没有显著差异。2026年5月的I/O大会上，SynthID的规模被披露已超过1000亿条AI生成图像和视频被打上水印，AI生成音频的标记量相当于6万年的播放时长，Gemini用户主动发起的水印验证累计5000万次。OpenAI、英伟达等大厂也宣布加入SynthID生态，Google同时将SynthID验证能力推进到搜索和浏览器工具中。与行业的主动留痕不同，国内的政策方向则是要求AI模型必须在数据结构中主动留痕。《标识办法》第5条要求，文件的数据结构里需要写入服务提供者编码、内容编号、生成属性等元数据信息。这种选择有它的制度逻辑，元数据方案合规成本更低，验证更容易，监管部门可以用统一格式直接审查。第12条则明确写道，服务提供者在履行算法备案时应当提供标识相关材料，为防范打击违法犯罪活动提供支持，设计核心是建立一条从内容到服务商的可追溯制度通道。根据截至6月末的数据，国内已有998余款大模型完成备案，598余款在省级部门完成登记；生成式AI产品用户规模超过2.3亿人。生成级水印打击的是把AI输出原样复制粘贴的批量生产者——例如端到端的同质化内容生产者、批量自动化发布账号以及AI翻译站。元数据体系在这个场景同样具有优势，当批量自动化内容未经审核直接发布时，元数据里带着服务提供者编码，顺着备案信息以用来追溯来源，而未经充分的AI标识则可以保留采取相应监管措施的可能。
水印脆弱性
之前有个流传很广的说法是，把AI生成的内容截图，OCR重新识别成文字，水印就消失了。这对元数据那一层是成立的。但对生成级水印则不然，因为水印是通过影响哪些词被选中来编码的，语言本身就隐含了统计规律与模型指纹。截图把文字变成像素，OCR再把像素变回文字，如果OCR足够准确，还原出来的词汇序列和原来基本一样，水印没有消失。正如把一首押韵的诗打印、拍照、OCR识别回文字，押韵并不会消失。真正能消灭生成级水印的是重新生成语言，即理解AI写的一段话，不看原文，从头自己写出意思相近的表达。Google和Anthropic在都曾坦言，大幅改写、翻译、与其他文字大量混合，都可能导致水印无法检测。但“可能导致检测失败”和“容易被攻破”之间的距离，比多数人想的要近得多。2025年，WaterPark基准测试对10种水印方法做了系统评估，覆盖12种攻击类型、3个语言模型和5个数据集。结果是SynthID在未受攻击的原始文本上检测率高达99.8%，但在中等程度的改写攻击下降到49.8%。只需经过一轮AI改写工具的处理，所有被测方案的检测率都跌到了30%以下。2026年7月的一项实验性研究发现，对包括SynthID在内3种主流水印方案进行了846次改写攻击测试后，SynthID的水印移除率超过了98%，而另外两种被100%的全部移除。SynthID还在人类写作的文本上产生了5.4%的误报率，对自己80%的水印文本给出了“不确定”的检测结论。研究者的最终结论是，目前AI水印无法满足司法采纳等特殊的场景要求，更没有任何公开的文本水印方案能作为法庭上的独立证据使用使用。Anthropic这次的新技术还有一个隐患，例如它承诺将向第三方提供检测Claude水印的API，但同时使用者也可以它证实“消除水印的反馈信号”，例如通过持续的改，并调用API检查来实现AI水印的最终清理。从目前的水印效果来看，那些认真修改润色AI初稿的人，反而不太容易被检测到。水印体系真正有效打击的，是那些把AI输出原样复制粘贴、批量自动化发布的黑产者，这往往是政策最需要打击的目标。除此之外，水印还有两个能力圈限制。一是水印形成本身需要更大的语言复杂度。如果回答是确定的，比如东方明珠在哪个城市，模型只会回答上海，这种生成过程中，水印没有足够的概率空间来介入。二是检测到水印不必然证明文章出自AI。普通文章交给AI模型来校对或翻译，输出内容同样有可能形成水印，Anthropic甚至专门警告过这个逻辑漏洞，当检测器提示“这段内容经过Claude处理”，不能推断“这篇文章的思想来自AI”。
潜在的产业空白
技术层面的脆弱性，往往应对了商业上的巨大空白，围绕AI水印体系，产业层面仍然存在一批又一批的真实需求。AI水印市场在2026年的估值约6-8亿美元，年复合增长率达到25%左右。这种增长，本质上是法规执行力度和水印技术成熟速度的体现。第一个被重塑的领域是内容审核与合规。过去的AI检测依赖风格分类器，从统计推断去猜一段话是否产自于AI，水印体系成熟之后，审核逻辑从“猜风格”转向“查来源”，前者是概率推断，后者在条件满足时接近密码学意义上的来源验证，能写进合同、用于仲裁、对接监管要求。围绕水印检测API、合规报告生成、内容溯源存证的工具链，是现在最直接的机会窗口，甚至本身就存在着大量可能被应用于AI内容审计的基础设施缺口。《标识办法》要求服务提供者在算法备案时提交标识技术细节，这事实上为独立第三方的合规审计服务创造了制度性需求。如今近千款备案大模型，每一款都需要证明自己的标识方案符合强制性国家标准《网络安全技术人工智能生成合成内容标识方法》要求，目前这个需求几乎没有专门的商业产品在承接。普华永道等一些第三方机构进行过合规解读，但从解读到可交付的审计工具和自动化检测服务之间还有非常远的距离。抖音、快手、小红书、B站在执行层面遇到的技术困难同样值得关注，平台需要自动检测AI生成内容的能力，但自建成本高、准确率不够。面向内容平台的AI内容检测SaaS，是一个刚刚起泡的赛道。第二个方向是版权确权。出版、音乐、影视行业正在经历的一个核心困境，即如何在法律程序里证明一段内容是原创人类创作。当生成级水印成为主流厂商的标配，“在这段内容里检测不到任何已知AI模型的水印信号”开始具有一定的排除意义，尤其作为版权纠纷中的辅助证据，其法律价值是真实的。国内版权市场面临的需求更加直接。2025年以来，已有多起涉及AI生成内容的著作权纠纷进入司法程序，法院在判定AI辅助和AI生成的边界时缺乏技术工具。《标识办法》的元数据体系提供了一条追溯通道，但元数据在传播过程中丢失之后，版权归属的举证就变得难上加难。某种意义上，AI内容版权存证服务，是一个政策红利已经到位、技术产品还没跟上的空白。第三个方向是金融信息的质量鉴别。研报、分析师评论、企业公告、财经媒体，这些是金融机构依赖决策的客观信息，但必须承认这些内容受AI影响的程度正在快速上升。一份用大模型批量生成的研究报告，和一名分析师做了充分调研后写出的原创判断，信息含量截然不同，但外表可能一模一样。当水印检测能力具备足够可靠性，它必然会被整合进金融机构的信息质量评估体系。机构订阅的数据服务、终端产品的信息分级、算法交易对新闻信号的处理方式，都会随之调整。欧洲证券和市场管理局（ESMA）在2024年已就AI在投资服务中的透明度发出声明，美国SEC持续关注投资顾问使用AI的合规边界，我国证监会对证券研究报告的质量管理同样在收紧。目前专门针对AI生成金融内容的标识和鉴别工具，这几乎是空白。第四个方向是跨境互操作。中国的元数据体系和海外生成级水印体系在技术标准的互通上还有很长的路要走，而一家在中国合规落地的内容平台把内容分发到欧洲市场，欧洲的检测系统未必能读取中国格式的元数据，反之亦然。不同地区之间标准翻译和对接，目前没有任何商业产品在做。帮助内容企业在两套体系之间做格式转换、合规映射、双向存证的中间件服务，是一个政策落地节奏创造出来的窗口期机会。窗口期的长度取决于中欧之间标准互认谈判的进展。
技术并非关键
从香农研究通信系统的统计特性，到用词频率能破解联邦党人文集的作者之谜，从Google把token概率调制做成千亿条内容的水印基础设施，到中国用元数据登记建立从内容到服务商的追溯通道，以上所有努力始终在试图探索一个共同目标——任何信息生产过程都留有来源的印记，人类一直在想办法读取它。现在发生的事情，是规模和制度意义同时到了一个新的量级。过去的印记是被动留下的，检测它需要大量样本和复杂统计方法；现在的主动水印，让印记在设计上就是可机器验证的，同时被纳入有法律效力的合规框架。正如国内有《标识办法》，欧洲有《人工智能法案》，美国也在酝酿联邦层面立法。水印技术本身还远谈不上完美。许多基准测试和法庭证据研究都显示，一轮改写就能让大多数方案失效，很难找到稳定的公开方案能达到法庭独立证据的标准。但这不妨碍围绕水印体系的产业机会已经打开，例如合规审计工具、内容溯源存证、版权举证服务、金融信息质量鉴别、跨体系标准互操作。这些需求不需要等技术完美就已经真实存在，有机构甚至预测AI水印市场将在10亿美元后增长到25-50亿美元。但这个过程中真正困难的部分，依然和技术关系不大。当机器能以一定可靠性证明一段内容“经过AI处理”，接下来必须回答的问题仍然会出现在合同里、在版权法里、在新闻伦理里、在学术诚信里。“经过AI处理”究竟意味着什么责任，又意味着什么权利？这个问题，目前人类还没能探索出一个足具共识的答案。