AI痕跡追蹤簡史：你的機器寫稿記號早被發現了

作者 | 林克

1949年，貝爾實驗室的克勞德·香農（Claude Shannon）發表了一篇名為《保密系統通信理論》的論文來探討密碼學，其理論探討了一個后來不斷被擴展的結論：

任何通信系統產生的消息，都無法完全擺脫其來源的統計特征。

因為每個字符都攜帶著發送者的概率習慣，分析足夠多的字符，來源便會浮現。

香農討論的是密碼學，但這個洞見的適用范圍遠超密碼學。

他說的是：只要是某個信息源產生的內容，就必然在統計層面留有可辨識的印記。這個印記不需要被故意放進去，它是信息產生機制本身的副產品。

77年后，這個命題有了一個全新的具體形式。

“2026年8月，Anthropic宣布將在Claude模型生成的文本中全面部署不可見統計水印，并逐步覆蓋既有模型。

幾乎同一周，社媒上的AI圈爭論此起彼伏，用AI寫作、生成視頻的人開始擔心，覺得自己會被發現。

但如果回到香農的框架，這件事其實早就注定了。AI內容能被識別，這一點沒有懸念。真正的問題在后面：用什么方式識別、誰來識別、識別之后意味著什么。

一. 習慣就是暗號

1964年，哈佛的統計學家弗雷德里克·莫斯特勒（Frederick Mosteller）和大衛·華萊士（David Wallace）做了一件更大膽的事。

《聯邦黨人文集》是美國立國之初最重要的政治文獻之一，由漢密爾頓、麥迪遜等人合著，其中12篇的作者歸屬爭了100多年，漢密爾頓和麥迪遜都聲稱自己是作者。

統計學家換了一個思路，更多的關注and、to、while這一類功能詞的使用頻率。

這些詞雖然沒有實質性意義，但每個作者使用它們的頻率存在穩定的個人差異。

兩名統計學家最終用貝葉斯方法統計了這些詞在已知署名文章里的出現頻率，拿概率模型去比對爭議篇目。

結論是壓倒性的：全部12篇幾乎可以確定是麥迪遜寫的。

這套方法后來有了一個專門名字，文體計量學（Stylometry）。

它在法庭上被用來鑒定匿名信的作者，在文學研究里被用來判斷爭議文本。1995年，最著名的一次實戰是FBI用類似方法協助鎖定嫌犯。

彼時美國歷史上最知名的“郵件炸彈犯”卡欽斯基，曾在寄給報紙的萬字宣言里有大量個人化的措辭習慣，法庭語言學家對此將宣言和卡欽斯基私人文字做了系統比對，結論是兩者“幾乎可以確定出自同一作者”，這份分析成為申請搜查令的關鍵依據。

香農的命題在這些案例里已經被反復驗證，一個人選詞的概率分布，在統計層面有著相當穩定的個人特征，多到無法用刻意控制來完全消除。

同理，今天的大模型既然是一種語言，那么它同樣有可能被追蹤。

二. 語言模型的口音

語言模型生成文字的過程，是在每一步計算下一個詞的概率分布，從分布里采樣一個詞，接進文章，再做下一次計算。這個過程重復幾百次，一段文字就出來了。

每個模型的概率分布存在著系統性的差異，因為訓練環境、數據、架構、對齊方式、解碼參數都是不一樣的。

面對同一個上下文，GPT和Gemini給“改變”、“重塑”、“影響”、“顛覆”這幾個詞分配的概率是不同的，差異在每一次生成里都以某種系統性的方式呈現。單次選詞差距微小，但經過幾百次、幾千次的累積，這種系統性差異會在整篇文章的統計結構里留下可辨別的輪廓。

2023年，斯坦福大學米切爾等研究者發表了DetectGPT研究發現，由某個語言模型生成的文字，往往處于該模型概率函數的“局部極大值”附近。

如果對這段文字做局部隨機改寫，改寫出來的版本通常會落到更低的概率位置。

利用這種曲率特征，在完全不需要預先加入任何水印的情況下，就可以判斷一段文字是否更可能由某個模型生成。

在一次針對特定模型生成假新聞的檢測實驗中，DetectGPT把命中率從此前最好方法的0.81提升到了0.95。

但被動檢測的天花板很快也暴露了。

OpenAI在2023年1月發布了自己的AI文本檢測工具，5個月后以“準確率太低”為由下線，它在自己的評估集上只能正確識別26%的AI寫作，同時把9%的人類文章錯誤判成AI。

這個工具用的是風格分類器，和水印檢測完全是兩種東西，但它證明了一件事：AI內容有統計特征，和“存在可靠的通用檢測器”是兩件不同的事。

這正是國內平臺在落地AI內容標識時遭遇的現實。

2025年9月1日，四部門聯合發布的《人工智能生成合成內容標識辦法》（以下簡稱“《標識辦法》”）正式施行，抖音、快手、小紅書、B站、微博同日上線AI內容標識功能。

但有第三方評測發現，平臺的自動識別技術能力參差不齊，快手首周表現尚可，抖音的自動識別幾乎失靈；到10月下旬，另一家媒體的評測又翻轉了，抖音對AI生成視頻的識別率最高，快手、小紅書和視頻號對無水印AI視頻均未作出標識。

各平臺受限于技術和算力成本，主要依靠視頻自帶的AI水印或作者主動聲明來識別。

如果一段內容既無作者標注，又非平臺自家工具生成，被動檢測的準確率就大幅下降。

三. 從被動到主動

被動檢測不夠用，廠商開始嘗試在生成過程里主動嵌入只有自己才能識別的印記。

邏輯依然是香農的框架：把秘密信息編碼進信道，通過統計規律傳遞來源信息，不知道密鑰的人無法識別，知道密鑰的檢測器可以高置信度驗證。

Google的DeepMind在2023年8月第一個把這個邏輯做成大規模部署的商業產品SynthID，最初用于模型生成的圖像。

嵌入方式是在圖像像素層面寫入一個統計信號，人眼無法察覺，但SynthID的檢測算法可以識別，對裁切、壓縮、加濾鏡等常見操作具有一定抵抗性。隨后擴展到音頻、視頻，2024年5月擴展到文字，部署在Gemini的對話界面里。

Google的這套文本水印機制，是在模型生成每個詞之前，按照一套帶密鑰的算法對詞匯概率分布做出極微小的調整，使最終詞匯選擇序列在統計上符合一個隱藏規律。

研究團隊把具體方法叫做“競賽采樣”，通過調整詞匯之間的競爭規則來編碼信息。整篇文章表面完全正常，信號藏在“每次選了哪個詞而沒選哪個詞”的統計模式里。

Google在將近2000萬條Gemini用戶響應里對比了加水印、不加水印版本，用戶滿意度評分沒有顯著差異。

2026年5月的I/O大會上，SynthID的規模被披露已超過1000億條AI生成圖像和視頻被打上水印，AI生成音頻的標記量相當于6萬年的播放時長，Gemini用戶主動發起的水印驗證累計5000萬次。

OpenAI、英偉達等大廠也宣布加入SynthID生態，Google同時將SynthID驗證能力推進到搜索和瀏覽器工具中。

與行業的主動留痕不同，國內的政策方向則是要求AI模型必須在數據結構中主動留痕。

《標識辦法》第5條要求，文件的數據結構里需要寫入服務提供者編碼、內容編號、生成屬性等元數據信息。

這種選擇有它的制度邏輯，元數據方案合規成本更低，驗證更容易，監管部門可以用統一格式直接審查。

第12條則明確寫道，服務提供者在履行算法備案時應當提供標識相關材料，為防范打擊違法犯罪活動提供支持，設計核心是建立一條從內容到服務商的可追溯制度通道。

根據截至6月末的數據，國內已有998余款大模型完成備案，598余款在省級部門完成登記；生成式AI產品用戶規模超過2.3億人。

生成級水印打擊的是把AI輸出原樣復制粘貼的批量生產者——例如端到端的同質化內容生產者、批量自動化發布賬號以及AI翻譯站。

元數據體系在這個場景同樣具有優勢，當批量自動化內容未經審核直接發布時，元數據里帶著服務提供者編碼，順著備案信息以用來追溯來源，而未經充分的AI標識則可以保留采取相應監管措施的可能。

四. 水印脆弱性

之前有個流傳很廣的說法是，把AI生成的內容截圖，OCR重新識別成文字，水印就消失了。

這對元數據那一層是成立的。但對生成級水印則不然，因為水印是通過影響哪些詞被選中來編碼的，語言本身就隱含了統計規律與模型指紋。

截圖把文字變成像素，OCR再把像素變回文字，如果OCR足夠準確，還原出來的詞匯序列和原來基本一樣，水印沒有消失。

正如把一首押韻的詩打印、拍照、OCR識別回文字，押韻并不會消失。

真正能消滅生成級水印的是重新生成語言，即理解AI寫的一段話，不看原文，從頭自己寫出意思相近的表達。

Google和Anthropic在都曾坦言，大幅改寫、翻譯、與其他文字大量混合，都可能導致水印無法檢測。

但“可能導致檢測失敗”和“容易被攻破”之間的距離，比多數人想的要近得多。

2025年，WaterPark基準測試對10種水印方法做了系統評估，覆蓋12種攻擊類型、3個語言模型和5個數據集。結果是SynthID在未受攻擊的原始文本上檢測率高達99.8%，但在中等程度的改寫攻擊下降到49.8%。

只需經過一輪AI改寫工具的處理，所有被測方案的檢測率都跌到了30%以下。

2026年7月的一項實驗性研究發現，對包括SynthID在內3種主流水印方案進行了846次改寫攻擊測試后，SynthID的水印移除率超過了98%，而另外兩種被100%的全部移除。

SynthID還在人類寫作的文本上產生了5.4%的誤報率，對自己80%的水印文本給出了“不確定”的檢測結論。

研究者的最終結論是，目前AI水印無法滿足司法采納等特殊的場景要求，更沒有任何公開的文本水印方案能作為法庭上的獨立證據使用。

Anthropic這次的新技術還有一個隱患，例如它承諾將向第三方提供檢測Claude水印的API，但同時使用者也可以它證實“消除水印的反饋信號”，例如通過持續的改，并調用API檢查來實現AI水印的最終清理。

從目前的水印效果來看，那些認真修改潤色AI初稿的人，反而不太容易被檢測到。

水印體系真正有效打擊的，是那些把AI輸出原樣復制粘貼、批量自動化發布的黑產者，這往往是政策最需要打擊的目標。

除此之外，水印還有兩個能力圈限制。

一是水印形成本身需要更大的語言復雜度。

如果回答是確定的，比如東方明珠在哪個城市，模型只會回答上海，這種生成過程中，水印沒有足夠的概率空間來介入。

二是檢測到水印不必然證明文章出自AI。

普通文章交給AI模型來校對或翻譯，輸出內容同樣有可能形成水印，Anthropic甚至專門警告過這個邏輯漏洞，當檢測器提示“這段內容經過Claude處理”，不能推斷“這篇文章的思想來自AI”。

五. 潛在的產業空白

技術層面的脆弱性，往往應對了商業上的巨大空白，圍繞AI水印體系，產業層面仍然存在一批又一批的真實需求。

AI水印市場在2026年的估值約6-8億美元，年復合增長率達到25%左右。

這種增長，本質上是法規執行力度和水印技術成熟速度的體現。

第一個被重塑的領域是內容審核與合規。

過去的AI檢測依賴風格分類器，從統計推斷去猜一段話是否產自于AI，水印體系成熟之后，審核邏輯從“猜風格”轉向“查來源”，前者是概率推斷，后者在條件滿足時接近密碼學意義上的來源驗證，能寫進合同、用于仲裁、對接監管要求。

圍繞水印檢測API、合規報告生成、內容溯源存證的工具鏈，是現在最直接的機會窗口，甚至本身就存在著大量可能被應用于AI內容審計的基礎設施缺口。

《標識辦法》要求服務提供者在算法備案時提交標識技術細節，這事實上為獨立第三方的合規審計服務創造了制度性需求。

如今近千款備案大模型，每一款都需要證明自己的標識方案符合強制性國家標準《網絡安全技術人工智能生成合成內容標識方法》要求，目前這個需求幾乎沒有專門的商業產品在承接。

普華永道等一些第三方機構進行過合規解讀，但從解讀到可交付的審計工具和自動化檢測服務之間還有非常遠的距離。

抖音、快手、小紅書、B站在執行層面遇到的技術困難同樣值得關注，平臺需要自動檢測AI生成內容的能力，但自建成本高、準確率不夠。面向內容平臺的AI內容檢測SaaS，是一個剛剛起泡的賽道。

第二個方向是版權確權。

出版、音樂、影視行業正在經歷的一個核心困境，即如何在法律程序里證明一段內容是原創人類創作。

當生成級水印成為主流廠商的標配，“在這段內容里檢測不到任何已知AI模型的水印信號”開始具有一定的排除意義，尤其作為版權糾紛中的輔助證據，其法律價值是真實的。

國內版權市場面臨的需求更加直接。

2025年以來，已有多起涉及AI生成內容的著作權糾紛進入司法程序，法院在判定AI輔助和AI生成的邊界時缺乏技術工具。《標識辦法》的元數據體系提供了一條追溯通道，但元數據在傳播過程中丟失之后，版權歸屬的舉證就變得難上加難。

某種意義上，AI內容版權存證服務，是一個政策紅利已經到位、技術產品還沒跟上的空白。

第三個方向是金融信息的質量鑒別。

研報、分析師評論、企業公告、財經媒體，這些是金融機構依賴決策的客觀信息，但必須承認這些內容受AI影響的程度正在快速上升。

一份用大模型批量生成的研究報告，和一名分析師做了充分調研后寫出的原創判斷，信息含量截然不同，但外表可能一模一樣。

當水印檢測能力具備足夠可靠性，它必然會被整合進金融機構的信息質量評估體系。

機構訂閱的數據服務、終端產品的信息分級、算法交易對新聞信號的處理方式，都會隨之調整。

歐洲證券和市場管理局（ESMA）在2024年已就AI在投資服務中的透明度發出聲明，美國SEC持續關注投資顧問使用AI的合規邊界，我國證監會對證券研究報告的質量管理同樣在收緊。

目前專門針對AI生成金融內容的標識和鑒別工具，這幾乎是空白。

第四個方向是跨境互操作。

中國的元數據體系和海外生成級水印體系在技術標準的互通上還有很長的路要走，而一家在中國合規落地的內容平臺把內容分發到歐洲市場，歐洲的檢測系統未必能讀取中國格式的元數據，反之亦然。

不同地區之間標準翻譯和對接，目前沒有任何商業產品在做。

幫助內容企業在兩套體系之間做格式轉換、合規映射、雙向存證的中間件服務，是一個政策落地節奏創造出來的窗口期機會。窗口期的長度取決于中歐之間標準互認談判的進展。

六. 技術并非關鍵

從香農研究通信系統的統計特性，到用詞頻率能破解聯邦黨人文集的作者之謎，從Google把token概率調制做成千億條內容的水印基礎設施，到中國用元數據登記建立從內容到服務商的追溯通道，以上所有努力始終在試圖探索一個共同目標——

任何信息生產過程都留有來源的印記，人類一直在想辦法讀取它。

現在發生的事情，是規模和制度意義同時到了一個新的量級。

過去的印記是被動留下的，檢測它需要大量樣本和復雜統計方法；現在的主動水印，讓印記在設計上就是可機器驗證的，同時被納入有法律效力的合規框架。正如國內有《標識辦法》，歐洲有《人工智能法案》，美國也在醞釀聯邦層面立法。

水印技術本身還遠談不上完美。許多基準測試和法庭證據研究都顯示，一輪改寫就能讓大多數方案失效，很難找到穩定的公開方案能達到法庭獨立證據的標準。

但這不妨礙圍繞水印體系的產業機會已經打開，例如合規審計工具、內容溯源存證、版權舉證服務、金融信息質量鑒別、跨體系標準互操作。

這些需求不需要等技術完美就已經真實存在，有機構甚至預測AI水印市場將在10億美元后增長到25-50億美元。

但這個過程中真正困難的部分，依然和技術關系不大。

當機器能以一定可靠性證明一段內容“經過AI處理”，接下來必須回答的問題仍然會出現在合同里、在版權法里、在新聞倫理里、在學術誠信里。

“經過AI處理”究竟意味著什么責任，又意味著什么權利？

這個問題，目前人類還沒能探索出一個足具共識的答案。