Anthropic 给文本加水印，为什么激怒了这么多人

原文来源：Daring Fireball — John Gruber — Anthropic 的'水印'文本掺假计划是对写作的亵渎：所有 Claude 输出都将被统计性选词污染，而真正诚实的用户才是受害者。HN 708 分。

事情是怎么开始的

2026 年 8 月，Anthropic 宣布为了配合欧盟《AI 生成内容透明度实践准则》，所有 Claude 模型在全球范围内生成的内容——包括文本——都将被"水印化"。公告标题叫《How Claude Marks AI-Generated Content》，但通篇没有解释具体怎么运作。

Daring Fireball 的作者 John Gruber 一开始猜测，可能是往文本里藏不可见的非打印 Unicode 字符。他错了。真正方案是语义水印：模型在推理时选词（token）的选择会留下统计指纹，之后可以概率性地检测出来。

换句话说，Claude 生成的每一个超过 200 个 token（约 150 词）的文本——包括你和 Claude 的私人对话里它说的每句话——在选词时都会刻意偏向某些"绿名单"词、回避"红名单"词，而这一切是为了让 Anthropic 之后能检测出这段文本出自 Claude。

水印是怎么运作的

用 Gruber 的话说，这就像抛硬币：抛 N 次硬币，你能以一定置信度判断硬币是公平的还是偏心的。LLM 在生成每个 token 时都要做选择，语义水印技术让模型在部分 token 上根据"绿名单"和"红名单"词表做选择——稍微更可能选绿名单词，但不是说绝不选红名单词。

词表是动态生成的：同一个词这次在绿名单，下次可能就在红名单。持有密钥的人知道每个 token 生成时哪个词在哪个名单（这就是检测原理）；没有密钥的人无从判断。

文本越长，统计置信度越高。太短的文本无法达到任何置信度。而且只有 Anthropic 能检测 Claude 的水印，Claude 检测不了 Gemini 的，Gemini 也检测不了 Claude 的——每家都基于自己私有的密钥。

Gruber 的愤怒：两个根本问题

问题一：同义词从来不等价

"他抓住了机会"和"他抓住了机遇"意思相近，但不是同一句话。写作时选哪个词很重要。

Gruber 的原话：任何不以我的需求为考量的文本生成因素，都是对我的冒犯。 他希望 LLM 在每个决策点都选择最精确、最恰当的词。为了嵌水印而牺牲措辞——哪怕只是"稍微"改变选词概率——这是不可接受的。

而且这不是"你想把 AI 写的文冒充自己写的"才受影响。Claude 的校对、润色、摘要，全都会被水印污染。连私人对话里只有你自己看的回复，Claude 也会为了打标记而做统计可预测的选词，而不是最大化清晰度和精确度。

问题二：诚实的用户受害，作弊者根本拦不住

欧盟这个法规的荒谬之处在于：合规的 LLM 服务条款必须禁止用户改写输出——因为措辞本身就是标记。但想要把 AI 文本冒充自己作品的人（学生、员工），用不合规的 AI 改写工具就能轻松绕过检测。

Padolsey（水印原理互动文章的作者）说得更狠：这套方案"对普通用户和辅助性使用过于宽泛，对蓄意欺骗又过于脆弱"——把怀疑集中在诚实用户身上，对真正的欺骗者却最无力。而且水印会跟着文本穿过复制粘贴，还可能跨语言存留（有论文证明英文生成后翻译成德语，水印依然可检测）。

对 Google SynthID 的顺带嘲讽

Gruber 顺手批评了 Google 的 SynthID。Google 官方描述里举例："我最喜欢的热带水果是芒果和……"，香蕉的概率分数比飞机高，所以调概率打水印"人眼不可察觉，不影响输出质量"。

Gruber 的反击：如果模型输出"芒果和飞机"，那是愚蠢但可识别的错误；真正冒犯的是——当模型输出"芒果和香蕉"时，你永远无法确定它是觉得香蕉最合适，还是仅仅因为香蕉在绿名单上。它让每一个选词都变得可疑。

Google 在 Nature 上发表的论文声称 2000 万条响应里水印模型的用户反馈差异只有 0.01%-0.02%，统计上不显著。Gruber 的回应很犀利："人眼不可察觉"不等于"没有影响"，他们真正想说的是"只是稍微差一点，而所有人都要么太笨没发现、要么太无所谓不在乎"。他还补了一刀：Gemini 本身就被认为质量落后于 ChatGPT 和 Claude，给一个二流聊天机器人掺水印，"就像你的餐厅本来就用二流咖啡，顾客自然喝不出你换了 Folgers 速溶"。

还有人在意的细节

• Michael Lopp（Rands in Repose） 发文《RIP Claude》：写作是我的工作，Anthropic 的策略是"咄咄逼人地敌视作者"。作为和欧盟官僚程序打过交道的人，他能猜到 Anthropic 面临的威胁，但这是"迟钝、笨拙、令人警觉的开场"。
• Jeff Gamet 指出更荒诞的场景：水印会粘在文本上穿过复制粘贴。你从某篇博客复制一段引文贴到自己的文章里，如果那段引文是 Claude 生成或编辑过的，你的整篇文章都可能被标记为 AI 生成。他本人从不使用 AI 写作，但引用了 Anthropic 官网的一句话，就可能被打上 AI 标签。
• 秘密是毒药：当只有 Anthropic 持有产生和检测水印的密钥，我们所有人都只能猜——读到的文字是不是被水印了？引用的内容是不是被水印了？自己写的东西会不会被冤枉成 AI 生成的？

我的看法：这场争论的本质

技术细节之外，这场争论触及一个根本问题：谁有权决定文本的形态。

站在 Anthropic 的角度，水印是合规要求，是 AI 内容可溯源性的基石，是应对深度伪造和虚假信息的手段。站在用户角度，这是对写作工具本身的污染——不是加一行元数据，而是改变模型每一次选词的概率，让"写得好"从第一目标降级为第二目标。

公允地说，语义水印确实比隐形字符方案"先进"得多——它不往文本里塞东西，检测不依赖任何显式标记。但它的代价是让模型在"最合适的词"和"绿名单上的词"之间做出妥协，哪怕只是统计意义上的微小妥协。

诚实的用户要为一个自己根本不会去规避的检测机制付出质量代价，而真正想规避的人有无数工具（改写、翻译、重述）可用。这可能是最讽刺的部分：这个机制惩罚不了作弊者，惩罚的是每一个认真使用工具的人。

这也解释了为什么 Daring Fireball 这篇文章能拿到 708 分——它戳中了很多人的真实感受。AI 写作助手好不容易从"可用"走到"好用"，现在厂商为了合规要主动把输出变差一点。作为用户，你甚至不知道自己的文本什么时候被打上了标记，也不知道它会在什么场景下被检测、被误判。

写作是一种精确的活动。任何以非写作目的介入选词过程的机制，无论多"轻微"，都是对写作本身的侵犯。这大概是这场争论最核心的共识——技术上的争论可以吵，但这一点，写过字的人都懂。