「AI 生成的内容能不能标出来？」——在深度伪造与错误信息的语境下（本库《AI 与错误信息生态》），这是监管与公众最自然的诉求。水印（watermarking）是这个诉求最直觉的技术答案：在 AI 生成内容时嵌入人不可见、机器可验的标记，让「这是 AI 做的」可以被机器识别。Google 的 SynthID（文本、图像、音频、视频的商用水印体系）是这条路线的代表。但水印的天生宿命是一攻一防的军备：有嵌入就有攻击，有检测就有绕过。本篇讲清水印各模态的技术原理、已被证明的局限、以及它在「溯源工具箱」（水印、元数据凭证、检测器）里的真实定位——它是工具之一，不是答案本身。
技术原理：各模态的水印怎么做
文本水印：大模型逐词生成文本，文本水印（以 Kirchner & Ahmadipour 等的研究与 Google 的文本 SynthID 为代表）的思路是在生成时操纵词的选择——对每个位置的候选词按一个秘密的随机序列「偏置」：把词表分成「绿名单/红名单」，绿名单词的生成概率被轻微调高。检测时用同样的秘密序列检查文本的绿名单词占比——显著偏高即「带水印的模型生成的」。这个设计的巧妙与脆弱同样明显（下文展开）。图像水印：两条路线——生成时嵌入（图像生成模型在扩散过程直接把水印信号编进像素，SynthID for Images 的路线：对人类视觉不可见、但检测模型可读）；后处理嵌入（不可见水印叠加到图像上，如传统的频域水印）。音频水印：在频谱中嵌入人耳难辨的信号（SynthID for Audio 的路线）。视频水印：通常逐帧嵌入图像水印加时间同步信号。
局限：已被证明的四类绕过与失效
水印的安全性研究（对文本水印与图像水印的攻击分析论文群）给出了冷静的结论——四类失效方式。失效一：改写攻击（文本水印的克星）。文本水印依赖「词选择被偏置」，那么用另一个模型改写这段文本（paraphrase：同义改写）——词的选择被重排，水印信号即被洗掉；研究证明：轻微的改写就能让检测率大幅下降，而改写的质量损失对用户几乎不可感。失效二：开源模型的「无法强制」。水印要有效，前提是所有主要的生成方都部署它——但开放权重模型（本库《开放权重模型的安全辩论》）的生成端不可控：任何人可以部署无水印的开源模型，「主流厂商部署了水印」在开放生态里只覆盖了一部分供给。失效三：质量与鲁棒性的跷跷板。水印的强度（信号越强越难洗掉）与内容质量（信号越弱越不可见）是一对跷跷板——强水印损伤内容质量（文本变得别扭、图像出现伪影），弱水印容易被普通编辑洗掉（截图、压缩、裁剪、加滤镜对图像水印的破坏）；跷跷板的平衡点因攻击者的工具而异，防御方永远不知道对面用了什么工具。失效四：检测的假阳性与误伤。水印检测存在假阳性（人类写的内容被误判为 AI 生成——对文本水印，某些写作风格天然偏向「绿名单」分布）——假阳性的受害者（被误判的学生、被下架的真实摄影作品）让「以检测结果定性」变得危险；这也是为什么主流方案都把水印定位为「信号之一」而非「判决依据」。
定位：溯源工具箱里的一件工具
承认局限之后，水印的真实定位反而清晰了——它是溯源工具箱里的一件，需要与另外两件配合。工具二：内容凭证（C2PA）——加密签名的元数据链（记录内容的创建与编辑历史，本库《一篇读懂 C2PA》详解）：凭证的优势是「出身的可验证性」（密码学签名难伪造），劣势是「易剥离」（元数据在转发、截图中丢失）且「只覆盖遵循规范的生成方」——水印与凭证的互补关系：凭证难伪造但易剥离，水印易洗但难从内容本体剥离（剥离即破坏内容）；两者结合（内容内嵌水印 + 元数据凭证）的检测置信度显著高于单用。工具三：检测器——不依赖水印的 AI 内容检测（统计特征、生成痕迹）——作为无水印内容（开源模型生成、或水印被洗掉）的兜底，准确率的局限同样已知。监管的定位与此一致：各国的内容标识义务（中国的标识办法、欧盟 AI Act 的透明度义务）通常把「技术手段」表述为水印、元数据、检测的组合应用而非单一方案——监管者已经吸取了「单一技术必被绕过」的教训。给内容平台与企业的实操建议：生成端全部部署水印与凭证（能做的先做）、发布端保留与传递元数据（别在转发链里把凭证洗掉）、检测端多信号融合判定（水印+检测器+凭证的联合判断）、以及对判定的使用纪律（水印/检测结果作为「线索与信号」，不作为唯一的处罚依据——假阳性的代价由被误伤者承担）。
水印的监管义务：标识办法的合规视角
水印与内容标识从技术议题变成合规议题（中国的标识办法、欧盟 AI Act 的透明度义务），合规视角的要点值得单独梳理。中国《人工智能生成合成内容标识办法》的框架（以公开的监管方向为准）：显式标识（用户可见的提示——「本内容由 AI 生成」的文字或语音提示，在生成内容的显著位置）与隐式标识（元数据中的水印与签名——文件属性层的机器可读标记）的双轨要求；义务主体覆盖生成服务提供者（添加标识）、传播平台（核验与标注）、以及应用分发环节——标识的义务链覆盖「生成-传播-分发」全流程。欧盟 AI Act 的透明度义务：深度伪造与 AI 生成内容必须「以机器可读的方式披露为 AI 生成」（人工审核的内容与 AI 内容的可区分性），特定的合成内容（深伪图像）须显式标注。合规的实操要点：标识的技术选型（显式标识的展示方式、隐式标识的水印方案——本篇正文的工具箱选择）；标识的抗篡改（标识被删除的责任归属——平台对「删除标识后传播」的检测义务）；以及豁免的场景边界（辅助性使用、显著的人类创作成分——「AI 辅助」与「AI 生成」的界限是合规判定的常见争议点，标准的细化在持续进行）。合规视角与安全视角的汇合点：监管要求的标识，与安全需求的水印，在技术上高度重合（同一套水印与凭证体系既满足合规也服务溯源）——把合规的标识体系按「安全级」规格建设（抗篡改、可审计、全链路），一次投入，双重回报。
水印的哲学角落：内容的「出生证明」还是「审判印章」
水印的讨论结尾有一个哲学角落：水印信息的使用边界——它该是「出生证明」还是「审判印章」。「出生证明」的定位：水印只回答「这是怎么来的」（AI 生成/人类创作/混合），是中性的出身信息——用户据此自行判断如何对待这个内容（一个 AI 写的诗可以很动人，一段人写的文字可以是谣言——出身不等于价值）。「审判印章」的定位（现实中正在发生的误用）：「检测出 AI 生成」被直接用于审判内容的价值与合法性（平台下架 AI 内容、学校判零分、媒体拒稿）——出身信息被当成了质量与合法性的判决，而这超出了水印的证明能力（水印只能证明来源，不能证明内容的好坏）。误用的现实风险：假阳性受害者的累积（学生被误判作弊、摄影师的作品被误判 AI 而拒稿、真人创作者被「AI 味」指责——本篇正文的假阳性讨论在此落地为「人」的代价）；以及「人类内容」的反向焦虑（创作者被迫「证明自己是人」的举证负担——创作过程存档、过程稿的保存——溯源体系把举证责任推给了全人类）。哲学角落的结论是一个原则性提醒：水印与检测的产出应该被消费为「背景信息」（这件事是怎么来的），而不是「审判依据」（这件事应该被如何处置）——一个成熟的信息生态，是用户拿着出身信息做明智判断的生态，而不是系统拿着出身信息自动审判的生态。
小结
AI 水印收成四条：各模态的水印原理清晰（文本的词表偏置、图像音频的信号嵌入，SynthID 代表商用成熟度），但四类失效已被证明——改写攻击洗掉文本水印、开源生态无法强制、强度与质量的跷跷板、假阳性的误伤；水印的定位是溯源工具箱的一件——与内容凭证（难伪造易剥离）互补，与检测器（无水印内容的兜底）配合，监管也已按「组合应用」设计义务；工具箱的判据是组合信号，不是单一判决——水印作为线索使用，处罚需要更强的证据链；它的终极价值不在「识别每一条 AI 内容」，在抬高「未经溯源的伪造」的整体成本。水印不会终结深度伪造，但它让每一张假图、每一段假音频的制作与传播，都多了一道可能被验出的关卡——在溯源军备里，这就够格占一个编制。
参考资料
- Kirchenbauer et al. (2023). A Watermark for Large Language Models —— 文本水印词表偏置的奠基论文
- Google DeepMind SynthID 的官方技术说明（文本、图像、音频、视频的水印体系）
- 本库前篇：《一篇读懂 C2PA》《AI 与错误信息生态》《一篇读懂深度伪造》《开放权重模型的安全辩论》
读者留言
COMMENTS 暂无还没有留言，来说第一句？