Anthropic 說 Claude 的輸出裡有浮水印。它沒有說那是什麼技術。
多數人聽到「文字浮水印」，想的是往裡面塞東西。塞零寬空白、塞看不見的 Unicode 符號，或者更講究一點，把訊息藏成藏頭詩。這些手法都真的存在，工具也成熟。
問題是它們幾乎沒有用。用 hex editor 打開就看得到，搜尋得到，find-replace 三秒清掉。如果 Anthropic 走的是這條路，這篇文章兩百字就寫完了。
從官方描述的行為推斷，它走的是另一條。那條路不塞任何字元，你刪不掉它，因為沒有東西可以刪。
Anthropic 說了什麼，又沒說什麼
Anthropic 在 2026 年 8 月 11 日的官方說明中心確認，2026 年 8 月 2 日之後推出的 Claude 模型會在文字輸出裡嵌入機器可讀的浮水印，較舊的模型正在陸續補上。範圍涵蓋 API、Claude、Claude Code、Claude Cowork，以及透過雲端夥伴使用的情況。全球適用，不限歐盟。
官方的描述是：「When a supported Claude model generates text, it weaves an imperceptible watermark directly into the text itself.」它強調這不是 metadata，會跟著複製貼上一起走。
然後就沒有了。
**Anthropic 沒有說這是什麼技術。**沒有提演算法、沒有提論文、沒有給規格，只承諾技術文件之後會發布。The Register 的記者直接寫「it’s unclear how Anthropic will make the watermarks hard to remove」。
這一點很重要，因為中文圈已經開始流傳「Anthropic 用的是某某方案」的說法。那些說法目前都是推測。
塞字元那條路，沒有人真的在走
先把它講完。隱形字元的具體做法是塞零寬空白 U+200B、Unicode 變體選擇器、兩個連續空格、怪異的排版撇號，藏頭詩則是把訊息編進每段的第一個字。
除了容易被清掉，它還有一個致命問題：改一個字就散了。藏頭詩只要刪掉一段就毀了，零寬空白只要複製貼上到某些編輯器就掉了。
而且查不到任何一家 LLM 廠商官方承認採用它。唯一有文件的相關事件是 2025 年 4 月，教育科技公司 Rumi 發現 GPT-o3 與 o4-mini 的較長回應夾帶特殊 Unicode 字元（主要是窄式不換行空格 U+202F），並認為模式是系統性的。兩天後 Rumi 更新：OpenAI 主動聯繫並表示那不是浮水印，只是「a quirk of large-scale reinforcement learning」。再一天，現象消失了。
另一條路線叫統計式浮水印，2023 年 Kirchenbauer 等人的論文《A Watermark for Large Language Models》開啟了這個研究方向。它不塞任何字元。
一個字被選中之前發生的事
模型要寫「這個方法很＿＿」的時候，心裡有一排候選。平常照機率隨機挑一個。浮水印做的事，是先用一把密鑰把詞彙表偷偷分成兩組，然後把手往其中一組輕輕推。
單看這一句，四個詞本來就都通順，你看不出動過手腳。但整篇文章跑統計，綠組出現的比例會明顯高於隨機，那就是簽章。
偏移只發生在意思幾乎等價的候選之間。它不會為了浮水印把「有效」推成「藍色」。
論文裡的參數是這樣：詞彙表切成綠組的比例 γ 通常取 0.25，推力 δ 通常取 2.0。偵測時算一個 z 分數，門檻取 z > 4 的話，把人類寫的文字誤判成 AI 的機率是十萬分之三。論文摘要宣稱最短 25 個 token 就可能驗得出來；128 個 token 時，98.4% 的生成可以被抓到。
那 Anthropic 是不是用這個？不知道。 但官方描述的四個行為特徵（不是 metadata、隨複製貼上移動、可能撐過部分編輯、太短則訊號不足）跟統計式浮水印的行為一致，跟隱形字元不一致。隱形字元不會「撐過編輯」，也不會有「文字太短所以驗不出來」的問題。
這是行為推論，不是證實。
那寫作者真正想問的呢
只有一部分是 AI 寫的，會被抓嗎
會，而且技術上連「哪一段」都答得出來。Kirchenbauer 團隊 2024 年在 ICLR 發表的後續研究設計了一個叫 WinMax 的滑動視窗檢定，專門用來在長文件裡找出 z 分數最高的連續區段。
實測數字（論文稱為 copy-paste 攻擊，正好就是這個情境）：
| 混入比例 | 文本長度 | 偵測 AUC |
|---|---|---|
| 25%（一整段） | 600 token | 大於 0.95 |
| 10%（分散成三段） | 200 token | 小於 0.7 |
| 10%（分散成三段） | 600 token | 小於 0.85 |
兩萬字的小說裡有兩千字是 AI 寫的，就是 10%，正好落在最不利的區間。但前提是那兩千字原封不動，而且文本越長，偵測力越強。
改寫多少才洗得掉
先講一個大家想要、但學界沒有做出來的東西：「改寫 X% 對應偵測率 Y%」這種對照表不存在。 現有研究測的是改寫「手法」，不是改寫「比例」。網路上出現這種表格的話，很可能是編的。
有的是這些：
| 做了什麼 | 偵測還剩多少 |
|---|---|
| 什麼都不做 | AUC 大於 0.999 |
| 用另一個 AI 改寫 | AUC 掉 0.05 到 0.15，200 token 仍大於 0.85 |
| 人類改寫（有獎金、明確以洗掉為目標） | 平均 800 token 後仍驗得出來 |
| 翻譯成另一種語言 | AUC 掉到 0.54 到 0.67 |
第三列的實驗設計值得說清楚：十四位研究生，有金錢誘因，被明確告知任務就是把浮水印洗掉，要求維持長度與語意。結果是所有攻擊在 400 到 800 個 token 之後都還能被確定偵測。
第四列是目前已知最有效的清除手段。翻譯幾乎把訊號打到隨機猜的水準，因為簽章活在原語言的特定 token 序列裡，換一套詞彙就沒了。
論文作者自己提出的框架比「洗不洗得掉」更準確：不要問改寫能不能移除浮水印，要問攻擊把「確定偵測所需的 token 數」推高到多少。
那會影響我讀到的文字品質嗎
要分開講，因為兩種設計的代價差很多。
Kirchenbauer 那種直接改機率分布的做法，有可量測的代價，而且跟浮水印強度成正比：論文的取捨曲線顯示，推力調到很強時，困惑度會從大約 4 到 5 惡化到 13 左右。
Google DeepMind 的 SynthID-Text（2024 年 10 月發表於《Nature》）走的是另一條路。它不改分布，而是從模型原本的分布抽出八個候選，兩兩淘汰，由密鑰決定的分數決定誰晉級。當每場只有兩個競爭者時，論文可以證明輸出分布在期望上等於原始分布。
品質證據也是它最硬：Google 在 Gemini 上做了約兩千萬則真實回應的線上實驗，按讚率差 0.01%，按倒讚率差 0.02%，統計上不顯著。
所以「浮水印不影響品質」這句話講得太滿。準確的版本有兩半：設計成不扭曲分布的那種，在兩千萬則真實回饋裡測不出差異；直接加偏移的那種，代價量得出來，而且跟強度成正比。
至於文字順序，不受影響。它只換「挑哪個詞」，不改語法結構，不改段落次序。
最反直覺的一件事
Anthropic 官方文件裡有一句話，比上面所有技術細節都更該被作家記住。
偵測到標記，只代表這份內容可能經過 Claude 處理。官方明說：Claude 可能不是原作者。校對算處理，摘要算處理，潤稿也算。
反過來也成立：官方同時列出標記可能消失的情況，包括大幅編輯、改寫、翻譯、格式轉換，甚至截圖。
把這兩句放在一起，結論有點刺人：
一個全部自己寫、只把稿子丟給 AI 潤過一次的作家，稿子可能帶著標記。
一個整本用 AI 生成、之後翻譯過一輪的稿子，可能什麼都驗不到。
浮水印證明的是「經過處理」，不是「誰寫的」。 這兩件事在大眾討論裡幾乎總是被當成同一件。
這件事落在誰身上，跟直覺相反
直覺的想像是：浮水印會擋住那些一天產一百本書的內容產線。
算術不站在這邊。
訊號的強度取決於留下多少沒被動過的模型輸出。原樣使用、輕度潤飾的文字訊號最強；被大幅改寫、被翻譯過的文字訊號最弱。
那規避成本對誰比較低？
一條工業規模的產線可以多加一道翻譯，AUC 就掉到 0.54 到 0.67，接近隨機猜的水準。它也可以乾脆不用需要廠商配合的服務：這類浮水印是在生成的當下、由執行模型的那一方加進去的，自己跑開放權重模型就沒有人幫你加。SynthID 那篇論文自己把這點列為限制，並指出這套機制要整個產業一起採用才有意義。
相對地，一個把 AI 當教練、只讓它把自己寫的句子潤過一次的人，多半不會為了洗掉標記再去翻譯一輪。標記就留著了。
所以效果是不對稱的。它在誠實使用的人身上留下最清楚的痕跡，對決心規避的人幾乎不構成成本。這不代表它沒有價值：它讓「隨手生成一份東西冒充原創」變得比較麻煩，而多數濫用本來就是隨手級別的。但如果你期待它會清掉市場上的 AI 內容洪水，那個期待大概會落空。
如果你是用 AI 輔助的那個人
把上面那些換算成日常，大致是這樣：
- 只拿它校對或潤稿：稿子可能帶標記，而標記不代表 AI 是作者
- 讓它寫初稿再自己重寫：訊號被稀釋，稀釋多少取決於你留下多少原句
- 只有某幾章用它：混合比例低的時候最難偵測，但技術上找得出是哪幾段
- 寫完之後翻譯出去：幾乎清空
沒有一條要你改變寫作方式。真正要改變的只有一件事：你自己得知道稿子經過了什麼。將來被問起的時候，講得清楚的人跟講不清楚的人，處境差很多。
但這些現在都還驗不到
截至 2026 年 8 月 11 日，Anthropic 沒有公開偵測工具，沒有公開技術規格，也沒有 API。官方只說正在努力讓使用者與第三方能夠偵測。
換句話說，出版社現在驗不到，文學獎現在驗不到，你自己也驗不到。
Google 的 SynthID 是目前唯一比較開放的：演算法 2024 年 10 月開源，也整合進了 Hugging Face Transformers，但那只能驗你自己用相同密鑰產生的文字；要驗 Gemini 的輸出仍然需要 Google 的密鑰，而它的偵測入口至今採候補名單制，對象是記者與研究者。
所以真正的風險不在浮水印
Hachette 在 2026 年 3 月取消了一本小說的美國版，並把英國版庫存銷毀。那本書叫《Shy Girl》，起因是讀者察覺語調前後不一致，AI 偵測公司 Pangram 掃過全文後給出「78% 機率為 AI 生成」，《紐約時報》跟進報導。作者 Mia Ballard 否認自己使用 AI，說那些內容是外包編輯在她不知情的情況下加進去的，訴訟進行中不便多談。這是已知第一起主流出版社因為 AI 使用指控而撤回已出版書籍的案例。
抓到它的不是浮水印。Commonwealth 短篇小說獎那次爭議也不是。作家 Vauhini Vara 替《The Atlantic》把該獎十五年來的區域得獎作品全部丟進 Pangram，四篇被標記為疑似主要由 AI 寫成。結果沒有任何獎項被撤銷，Commonwealth Foundation 表示在出現可靠工具之前只能「operate on the principle of trust」。
過程裡有一個細節很能說明現況：《Granta》面對指控時的處理方式，是把可疑文本丟給 Claude 這個聊天機器人，問它覺得是不是 AI 寫的。
真正在動的，是那類 post-hoc 偵測器。它們跟統計式浮水印是完全不同的東西：浮水印需要廠商在生成當下介入，偽陽性率可以用數學控制；post-hoc 偵測器沒有任何來自生成端的證據，只能從困惑度、句長變化這些表面特徵猜，偽陽性率只能靠經驗量，而經驗值很難看。
OpenAI 自己的 AI Text Classifier 在 2023 年 7 月下架，理由是準確率太低：它只正確辨識出 26% 的 AI 文本，同時把 9% 的人類文本誤判成 AI。同年發表在《Patterns》的研究更刺眼：超過一半的非母語者托福作文被 GPT 偵測器判成 AI 生成，而美國八年級生的作文幾乎零誤判。研究者示範，把非母語作文的用詞「升級」就能降低誤判率。它量到的其實是語言複雜度。范德堡大學在 2023 年 8 月停用了 Turnitin 的 AI 偵測功能，理由就是偽陽性風險。
作家眼前的真實處境是這個：一個偽陽性率不明的偵測器可以指控你，而你沒有辦法自證清白。浮水印還排不上號。
一個給重複用語多的作者的提醒
統計式浮水印的偽陽性率雖然可以用數學控制，但論文自己記了一個具體的漏洞。
綠組是由前文的 n-gram 決定的，所以同一個 n-gram 反覆出現，就會被反覆算成綠組。論文舉的例子是「Barack Obama」這種組合：如果它恰好落在綠組，一篇大量重複這個詞組的人類文章，可能被誤判成機器生成。
對小說作者來說這不是抽象風險。有副歌的散文、詩、大量重複固定稱謂的作品、刻意用重複句式建立節奏的文體，都落在這個範圍裡。
法規那邊要求你做什麼
比多數人想的少。
歐盟 AI Act 第 50 條第 2 項要求的是模型提供者，不是作家：生成合成文字的 AI 系統提供者必須確保輸出被機器可讀地標記。這條 2026 年 8 月 2 日開始適用，也就是 Anthropic 這次動作的法源。
要求使用者揭露的是第 4 項，而它的範圍很窄：只涵蓋「為告知公眾公共利益事務而發布」的文字，而且經過人工審閱、有人承擔編輯責任的話還可以豁免。
小說不在這個範圍裡。依現行條文，歐盟沒有要求小說家揭露 AI 使用。
真正會約束你的是出版社、文學獎、平台各自的規則，那是私人契約，不是法律。而那些規則現在正在被寫，多半寫得比法律嚴。
這篇能給你的判斷
技術層面能確定的其實不多，能確定的部分是這樣：
它偏向統計簽章：需要一定長度才有信心，翻譯幾乎可以清掉它，大幅改寫會削弱但不會歸零。它能證明的是這段文字經過某個模型處理，不能證明是誰寫的。而 Anthropic 那一版，現在還沒有任何人驗得到。
比較有用的一個念頭是：這件事真正改變的東西其實很小，就是主動說明比被動被指控安全。
九段理江以《東京都同情塔》拿下 2024 年芥川獎，在得獎感言裡主動說明全書大約 5% 的文字直接來自 ChatGPT。評審給的評語是幾近完美。獎沒有被撤。
《Shy Girl》被撤了。兩件事的差別可能不在使用比例，在於誰先開口。
本文所有技術細節查證於 2026 年 8 月 11 日。Anthropic 的公告當天發布，技術文件與偵測工具都尚未出現，細節可能在數週內改變。文中引用的研究為 Kirchenbauer et al.（arXiv:2301.10226、arXiv:2306.04634）、Dathathri et al.（Nature 634, 2024）、He et al.（ACL 2024）、Liang et al.（Patterns, 2023）。