一个参数的后门

10 月 31 日，Anthropic 宣布将文本水印扩展到四个旧款 Claude 模型——Mythos 5、Opus 4.7、Opus 4.6 和 Sonnet 4.6——以赶在 EU AI Act 12 月的合规大限之前。表面看这是一次常规的合规补课，但公告里藏着一行值得所有做合规工程的人细读的说明：Opus 4.6 与 Sonnet 4.6 的水印，只在 temperature、top_p、top_k 保持默认值时才有效。开发者改动其中任意一个参数，水印即告失效。

而 Opus 4.6 恰恰是 Anthropic 目前最强的写作模型。

换句话说，这个防线的安全性等同于"大家都别碰那个旋钮"。Anthropic 的应对方式不是堵住漏洞，而是发了一条合规警告。这不是 Anthropic 一家的问题——同一周里，OpenAI 在欧盟上线 textGrain 文本水印，测试显示检出率最高 95%，但当四分之一的词被替换后骤降至 17%；Google 把 SynthID 检测器公开化，覆盖超过 1800 亿条内容，但只能识别带 SynthID 标记的部分，对其他 AI 生成的媒体无能为力。

三条新闻放在一起，指向同一个结论：**AI 内容检测作为合规基础设施，天然是脆弱的，而监管正在把它当成可靠的凭证来使用。**这个错位，才是真正的问题。

水印在词选层面是怎么工作的

先拆技术。Anthropic 的水印方案脱胎于 Google 的 SynthID-Text：在模型采样的那一刻做手脚。

大模型生成文本的本质，是每一步在词表的概率分布上"抽签"。SynthID 类水印的做法是：用加密伪随机序列对抽样过程做轻微偏置——在分布相近的候选词之间，系统性地偏向能让水印序列保持统计特征的那些词。因为偏置只发生在概率接近的词之间，人类读不出差异，不增加 token，不影响定价和响应格式，但检测器拿到文本后做统计检验，就能以极低的误报率判断"这串词的偏向模式是否匹配水印密钥"。

原理上这很优雅。问题出在注入时机。对新模型（2026 年 8 月以后发布的），Anthropic 把水印做进了模型本身，从训练层面绑定，任何采样路径都带着水印。但旧模型发布时根本没有这套机制，只能靠服务端在推理链路上"补注入"——而这条注入逻辑是针对默认采样管线校准的。temperature、top_p、top_k 任何一项变化，都会改变候选词的裁剪范围和分布形状，伪随机偏置序列与实际抽样路径的相关性被破坏，水印信号淹没在噪声里。

这就是"改一个参数就绕过"的技术根源。不是留了个后门，而是旧模型的水印只能依附于一条固定的推理路径，路径一变，水印就没有了栖身之处。

检测是一场不对称的战争

如果只是 Anthropic 的旧模型有问题，这事到此为止。但把视野拉宽，会发现这是整个技术方向的结构性困境。

攻防是不对称的。防守方（水印设计者）必须在不可感知性、鲁棒性、文本质量三者之间做权衡：偏置太强，模型变笨；偏置太弱，轻微改写就洗掉了。textGrain 的数据是最直观的注脚——95% 的理想检出率，在替换四分之一词汇这种成本极低的攻击下降到 17%。而进攻方还有更便宜的手段：换一个采样参数（本次事件）、用另一个模型转述一遍、或者干脆用开源模型生成（Kimi K3.1 Pro 四天后开放权重，没有任何人能强制开源模型嵌入水印）。

这里有一个常被忽略的经济学事实：绕过的成本趋近于零，防御的成本随鲁棒性指数上升。EU AI Act 要求生成式 AI 的合成内容带机器可读标记，这个要求隐含的假设是"标记 = 可验证的事实"。但技术现实是，水印给出的只是一份概率证据——它证明的是"这段文本与 Claude 的水印分布一致"，既可能漏报（被绕过、被改写），也可能需要配合误报率来解读。把概率证据当法律凭证用，是制度对技术性质的误读。

更微妙的是，这种机制还会制造虚假的安全感。平台若以"检测 API 返回阴性"作为放行依据，等于给精心洗稿的内容发了通行证；若以阳性为封禁依据，又会误伤被模型润色过的正常内容。水印输出的不是二值答案，而是一个需要解释的统计量——而合规系统最不擅长处理的就是需要解释的东西。

监管的真实意图与工程的正确姿势

公平地说，EU AI Act 第 50 条的透明度义务并非全无道理。它的真实意图可能不是"精准识别每一条 AI 内容"，而是提高大规模滥用的成本、留下可追责的痕迹。1800 亿条带 SynthID 标记的内容说明，水印作为"愿意合规者自愿贴标签"的机制是有效的——大厂都会遵守，就像钞票上的防伪线，防的不是造假者，而是顺手作恶的人。

理解了这个定位，工程侧的正确姿势就清晰了：

**第一，不要把水印当作合规链条上的单点。**任何依赖检测结果的系统（内容审核、合规审计、学术诚信检查），都必须为绕过场景设计二级防线。水印阴性不等于人类原创，这只是弱证据之一。

**第二，把重心从"检测内容"移向"验证来源"。**C2PA 这类内容来源标准记录的是"这段内容从哪来、经过什么处理"，验证的是发布者的身份与链条，而非内容本身的生成方式。Anthropic 同步采用的 C2PA 文件签名，长远看可能比词选水印更有制度价值——因为来源验证的攻防成本结构对防守方有利得多。

**第三，接受检测的军备竞赛属性。**水印会被绕过，绕过手法会迭代，检测会升级。这不是要抵达的终点，而是要持续维持的过程。把它写进运营预算，而不是写进"已解决"清单。

判断

我的判断是：这次"参数绕过"事件会被当作小插曲翻篇，但它预示的拐点是真实的。未来 12-24 个月，随着 EU AI Act 透明度条款全面生效和各检测 API 生态成型，行业会经历一次集体祛魅——“AI 生成检测"作为概念将让位于"内容溯源 + 平台责任"的组合。监管的重心会逐步从"识别内容是不是 AI 写的"转向"分发平台是否有合理的来源验证流程”，因为后者才是与激励相容的制度设计。

对开发者而言，眼下最实际的一条建议：如果你的产品或合规方案里已经写了"依赖水印检测"，现在就该评估当它失效时系统会怎样。别等监管机构替你做这个压力测试——他们手里的案例，可能就是某天某个改了 temperature 的 Opus 4.6。

防线的价值不在于它无懈可击，而在于所有人都清楚它挡得住什么、挡不住什么。一个改参数就失效的水印，与其说是失败，不如说是行业终于开始诚实面对技术边界的起点。