五小時寫出來的水印，和五小時被拆掉的水印

8月中旬，Anthropic 宣布部分 Claude 模型生成的文本將帶有一種「不可感知的水印」。這種水印看不見、摸不著，藏的地方也很特別：不在檔案的元數據裡，而在模型的選字方式本身。換句話說，水印就是文風。你複製、貼上、轉寄，它都跟著走。

幾天後，巴黎創業者 Guillaume Meyer 用大約五個小時寫出了一個名為 Watermarks Remover 的開源工具，做法是清除隱藏字元與元數據，再在不改變文意的前提下改寫整段文字，破壞那組統計性的選詞模式。這個專案在 GitHub 上很快累積超過一萬四千個 Star。同一段時間，東京開發者 Ansh Aneja 也在 Anthropic 公告當天推出了針對 Claude 的移除工具，後續的開源版本 MarkScrub 據他自稱一天內從零用戶成長到八千五百人。Google Trends 上「AI watermark remover」的搜尋熱度環比上漲了六成。

一個水印從發布到被拆解，中間只隔了一個週末。這場貓鼠遊戲值得從設計的角度看，因為水印本質上是一種介面：它試圖在文本與讀者之間，插入一層關於來源的說明。

水印藏在哪裡，決定了它有多脆弱

先看這個水印的材質。圖片領域的水印，不管是 Google 的 SynthID 還是 OpenAI 在圖像中嵌入的 C2PA 元數據，多半依附在像素或檔案結構裡，肉眼不可見，但位置固定。文本做不到這一點。文字是由離散的字元組成的，沒有連續的色階可以藏資訊，於是 Anthropic 選擇了一條更聰明也更危險的路：讓水印成為統計模式的副產品。模型在每一個詞的選擇上略微偏向某些候選，長文本累積下來，就形成一種可被偵測的指紋。

這個設計的優點很實際。它跟著內容走，而不是跟著檔案走，剪貼不會掉。但它的弱點也同樣清楚：任何足夠徹底的改寫都會破壞指紋。蘇黎世聯邦理工學院研究員 Thibaud Gloaguen 對 Business Insider 說得直白：「總會有辦法移除水印。」他舉的例子正是對整篇文本重新措辭。

這就像把簽名繡進布料的花紋裡。你剪一塊下來，花紋還在；但你把衣服拆了重織，簽名就消失了。水印的耐久度，取決於它依附的層次有多深。選詞模式這個層次，恰好落在「很容易被刻意破壞、又很容易被無意觸發」的尷尬地帶。

一刀切的歸屬標籤，和被誤傷的校對者

Meyer 對 Business Insider 說了一句話，把爭議的核心講得很清楚：「我完全支持內容歸屬標注，但我反對這種水印技術，這兩者之間存在非常重要的區別。」他的理由是，水印技術把作者身份當成了一件非黑即白的事情。

這個批評指向的是介面的解析度問題。一份文本從純人工、AI 輔助校對、AI 翻譯、AI 摘要到 AI 全文生成，中間是一條連續的光譜。但水印只有「有」和「無」兩種狀態。用戶只是讓 Claude 改了兩個錯字，整份文件可能就被打上了 AI 的標記。Business Insider 報導，有用戶因此取消了 Claude 的訂閱。

Anthropic 的回應也值得注意。該公司在部落格文章中表示，這種水印的目的並非判定內容的作者身份。這是一個誠實但微妙的定位：水印說的是「這段文字經過 Claude」，而不是「這段文字是 AI 寫的」。問題在於，大多數讀者不會去讀那篇部落格，他們只會看到標記本身。一個介面一旦被放出來，它實際傳達的意義就由接收者決定，而非設計者。

這與我們先前在AI 湧入美國國會立法流程一文裡觀察到的課題相鄰：當 AI 深度介入高精度的書寫場景，文本的「乾淨度」和「來源可追溯性」開始互相拉扯，而目前的技術方案還給不出足夠細的顆粒度。

移除工具的設計，其實是對水印設計的複述

有意思的是，這批去水印工具的設計邏輯，幾乎是水印邏輯的鏡像。Meyer 的工具分兩步：先清掉隱藏字元和元數據，這是處理「看得見的藏匿處」；再用改寫破壞統計模式，這是處理「看不見的指紋」。Sabrina Ramonov 的瀏覽器端工具宣稱能處理文本、PDF、Word、圖片與數據文件，覆蓋面更廣，但原理不出這兩類。

換句話說，去水印工具沒有發明任何新東西。它只是把水印的構造方式反著走一遍。這也解釋了為什麼第一版只要五個小時：當一個防護機制的原理是公開的統計模式，攻破它的成本永遠不會太高。工具能否徹底移除水印，Meyer 自己也承認沒有保證。

法律層面目前是灰色地帶。歐盟《人工智慧法案》要求 AI 生成內容可被識別，Anthropic 表示引入水印正是為了履行這一承諾。但移除水印是否違法，現行框架沒有明確答案。這種不確定，反過來降低了開發者的心理門檻。

標籤的價值，取決於它的解析度

回到設計本身。水印作為一種介面，它的失敗之處不在技術，而在語意。一個只有開與關的標記，承載不了「誰寫的、寫了多少、改了什麼」這些讀者真正想知道的事。同樣的功能，一個好的設計會給出光譜，比如區分「AI 生成」與「AI 輔助」，比如讓標記可以在人工深度改寫後合理降級。把連續的現實壓進二位的開關，反彈是必然的，五小時寫出來的移除工具只是反彈裡最具體的一筆。

水印與去水印這場接力還會繼續。真正值得觀察的指標，是下一輪方案會不會提高解析度：從「有沒有 AI」走向「AI 參與了多少」。在那之前，這個介面上的信任，大概會繼續停在非黑即白。