為什麼 Claude 寫的文章會留下指紋？
圖片我們大概懂原理，但文字到底要怎麼做呢？
前言
讀者 您好，8 月 10 日 Anthropic 在帮助中心悄悄上傳了一份文件。內容是：2026 年 8 月 2 日之後推出的 Claude 模型，會在生成的文字中嵌入機器可讀的標記。肉眼看不見，複製貼上之後標記會跟著走，而且據說能抵擋部分編輯操作。
如果是圖片的話，大家應該馬上就能理解。Google DeepMind 的 SynthID 會在生成的圖片中嵌入隱形浮水印，這件事早已廣為人知。但文字要怎麼藏一個看不見的東西呢？是在字與字之間塞入特殊字元嗎？
不是的。先說結論吧。文字在物理上根本沒有可以藏東西的空白空間。 所以這項技術不是把標記貼在文章上，而是把模型選詞的方式本身微微扭轉了一下。浮水印不是附在文章上的，而是文章本身。今天我們來拆解這個結構如何運作，以及為什麼從原理到限制，一切都由此推導而出。
圖片有地方可以藏，文字沒有
先來看看為什麼圖片浮水印在直覺上那麼好理解。
數位圖片是數百萬個像素的數值陣列。而人眼無法察覺這些數值的微小差異。某個像素的紅色值是 137 還是 138，我們根本分辨不出來。音訊也是同理。人耳有聽不太到的頻率區間，大聲音後面也會掩蓋住小聲音。
這種感官上的鈍感，就是空白空間。它是可以承載資訊的空白區域。SynthID 系列的圖片浮水印就是在這個空白空間中植入訊號。把原圖和嵌入浮水印的版本並排放在一起，人眼察覺不到差異，但專用偵測器能讀出那些微細的圖案。甚至可以在已經生成好的圖片上事後疊加。
文字沒有這個空白空間。
句子不是像素陣列，而是詞元1的排列。而且每個詞元都承載意義。「今天天氣很好」這句話，只要稍微改一個字，就可能變成錯別字或改變意思。把 137 改成 138 那種無害的微調，在原理上根本不可能。倒是有辦法塞入不可見的 Unicode 字元，但那與其說是浮水印，不如說只是隱藏字元。複製到另一個編輯器貼上之後，大部分都會消失，而且找出來刪掉也太容易了。
所以文字浮水印必須採取完全不同的路徑。不是在寫完的文章裡植入訊號，而是在寫作的過程中介入。
於是我們改變了抽選詞彙的方式
這裡是今天的核心。
語言模型不是一次性寫出整篇文章的。它是一個詞元一個詞元地抽選。每一刻都要對整個詞彙表（通常超過 10 萬個）計算機率分佈，然後從中抽選一個。還有一個重要的事實：在大多數位置上，正確答案不只一個。
想想「這個問題的根源不在技術，而在 ___」這樣的句子。這裡填「制度」、「結構」、「設計」、「慣例」中的任何一個，句子都完全通順。用「因此」代替「所以」，用「這個地方」代替「這個環節」，讀者也完全感覺不到差異。這種選哪個都無所謂的多餘空間，在每個詞元位置上都存在。資訊理論稱之為熵2。
文字浮水印就是把這多餘空間當作通訊頻道來用。不是用像素的空白空間，而是用選擇的空白空間。
Google DeepMind 在 2024 年 10 月於 Nature 上發表的 SynthID-Text 論文，最清楚地展示了這個結構。方式如下。
| 前一個詞元 + 密鑰 → 雜湊 → 隨機數種子 → 評分函數 g1 · g2 · g3 | ||||||||
| 8 個候選 | 制度 | 結構 | 設計 | 慣例 | 方式 | 體系 | 框架 | 原理 |
| 以 g1 淘汰 | 結構 | 設計 | 方式 | 原理 | ||||
| 以 g2 淘汰 | 設計 | 原理 | ||||||
| 以 g3 淘汰 | 設計 | |||||||
| 橘色方格是實際輸出的詞元。論文預設為 30 層，這裡簡化為 3 層。 | ||||||||
首先，把密鑰和前面幾個詞元一起輸入雜湊函數，生成隨機數種子。用這個種子為詞彙表中的所有詞元生成多個輸出 0 或 1 的評分函數。然後從模型原本的機率分佈中抽選出多個候選詞元，進行淘汰賽。兩兩配對，評分函數分數高的晉級，下一層用另一個評分函數再比，最後倖存的詞元就是實際輸出。論文的預設設定是 30 層。
關鍵在這裡。因為候選詞元本來就是從模型真正的機率分佈中抽選出來的，所以最終產出的品質幾乎不受影響。 但在知道密鑰的人眼中，會發生一件奇怪的事：輸出的詞元全部集中在該密鑰生成的評分表中分數較高的那一側。
偵測在這裡就變得簡單了。不需要模型，也不需要原文。用同一把密鑰對觀察到的文字重新跑評分函數，算出平均分數，再計算「如果是人寫的文章，偶然達到這個分數的機率」。這就是一個統計檢定。人寫的文章只會落在偶然水準，而嵌入浮水印的文章則會在統計上顯著偏離。
成本也幾乎可以忽略。同一篇論文測得淘汰賽取樣的延遲增加僅為 0.57%。這就是這個方案能實際部署到服務中的原因。事實上 Google 已經把它用在了 Gemini 上。
Anthropic 是否精確使用了這個方式，目前還不清楚。因為公司沒有公開實現細節。 不過「嵌入在文字本身中」、「複製貼上會跟著走」、「能抵擋部分編輯」、「不影響品質」這四項描述，與這類技術的特徵完全吻合。這類技術的原型是 2023 年 Kirchenbauer 研究團隊提出的綠名單・紅名單方案，淘汰賽取樣則是它的改良版。
限制也全部從同一個原理中推導出來
理解了這個結構，Anthropic 文件中列出的限制清單就都能用一句話解釋了。這不是公司出於謹慎而加的免責聲明，而是原理上必然如此的事情。
能存活於複製貼上的原因，是標記不是檔案屬性，而是選詞本身。搬移文字時，標記也跟著搬移。根本沒有像中繼資料那樣會脫落的獨立部分。
能抵擋部分編輯的原因，是訊號被稀釋分散在數百次選擇之中。改幾個句子，統計值會降低但不會歸零。
在短文中失效的原因也一樣。這是統計檢定，需要樣本。SynthID-Text 的實測數據顯示，在 50 個詞元的長度下，以 1% 誤判率為基準，偵測成功率會降到 0.3 附近。也就是說，十句左右的文章很難做出判定。
在改寫3和翻譯上會崩潰的原因特別有趣。人或另一個模型重新寫句子時，詞元選擇會變成一個與該密鑰無關的過程重新抽選。訊號不是被擦除，而是被覆蓋了。
而且文件中還有一個沒寫出來的限制。我認為這是最重要的一點。浮水印能承載的資訊量，受限于生成熵。 在只有一個選項的位置上，什麼都植不進去。候選全一樣的話，就沒有開淘汰賽的必要了。
所以像短程式碼片段、格式化的表格輸出、引用文、計算結果這類答案幾乎固定的文字，標記幾乎不會附著上去。很諷刺吧。在 AI 著作權爭議最激烈的領域，這項技術反而最弱。
韓國其實從 1 月起就有標示義務了
這裡把視線轉回國內。如果只把這次發布當作歐洲規制的話題來讀，就漏掉了一半。
《人工智慧發展與建立信任基礎等基本法》及其施行細則於 2026 年 1 月 22 日生效。第 31 條要求生成式 AI 事業者標示產出內容係由 AI 生成。這裡有兩條分支：一般產出內容可以選擇人眼可辨識的標示或浮水印・中繼資料等機器可讀方式；深度偽造則只允許人眼可明確辨識的視覺標示。文字也在適用範圍內。
問題有兩個。第一，義務主體是人工智慧事業者，而非個人使用者。第二，即使想選擇機器可讀方式，實際上也沒有可用的標準技術。 因此政府設定了至少一年的輔導期，最高 3,000 萬韓元的罰鍰處分實際上被推到了 2027 年之後。
Anthropic 這次的舉措正好填上了這個空白。模型層級就附帶標記，對使用 Claude 來打造產品的國內事業者而言，意味著機器可讀標示會自動隨附。「缺乏標準」這個理由少了一個。
不過這裡也產生了一個棘手的問題。我們法律要求的是「標示 AI 生成這一事實」，但這個浮水印所說明的恰恰不是那件事。正如公司自己所說 即使 Claude 不是原始作者，標記也會附上。 經過校對、翻譯、摘要、格式轉換的句子，全部都會被標記為「Claude 處理過」。 與歐洲方面將簡單語法校對等輔助功能排除在標示義務之外的做法相比，技術的標示範圍比法律更廣。
也就是說，這個標記不是著作權的證明，而是人工智慧與使用者接觸的痕跡。一旦把這兩者混為一談，誤解就開始了。
Oswald 的視角
比技術本身更讓我久久無法釋懷的，是另一個問題：偵測密鑰由誰持有。
這個浮水印沒有密鑰就讀不了。但密鑰一旦公開，任何人都能反向去除浮水印。因為知道哪些詞元分數高，只要把那些詞元換掉就行了。但如果不公開，「這篇文章是不是 AI 寫的」這個判定權就集中在模型公司一家手中。
歐盟實施細則要求讓第三方也能進行偵測，但這兩者在原理上是矛盾的。現實的解法可能是由公司營運的偵測服務，但那就意味著要送測的文字得傳到那家公司的伺服器上。招聘主管要把應徵者的自傳、學校要把學生的作業上傳到模型公司的伺服器才能取得判定結果。為了透明性而設的機制，反而製造了新的資料集中。
在規劃 GTM 策略時，我反覆遇到一個模式：企業評估 AI 工具時，總是先做效能比較表，但真正影響簽約決定的，往往是表上沒有的項目。這次也是同樣的結構。如果用 Claude API 打造文件處理產品的公司，就必須關注客戶放入自己的稿件後，產出內容中帶有可偵測訊號這個項目。這是需要修改條款和告知文案的事項。
不過，实效性要冷靜看待。想去除的人重寫一次就行了，或者改用不做浮水印的模型就完事了。最終，標記附著的還是守規則的那一方。所以我認為這個舉措不是用來抓濫用的機制，而是為一般內容加上出處層次的基礎設施。
結語
總結如下。
第一，圖片有人眼察覺不到的空白空間，所以可以藏訊號，但文字沒有這個空白空間。 所以文字浮水印不是把標記貼在文章上，而是扭轉選詞的方式。
第二，所有特性都從這個原理中推導出來。複製貼上能存活，短文和答案固定的文字不會附著，重寫就會消失。
第三，剩下的真正問題不在技術，而在偵測權的歸屬。密鑰公開就會被去除，隱藏就會讓判定權集中在一方。至少，Claude 已經表示會在剪貼簿和中繼資料中留下這個記錄。
現在就能做的事其實意外地簡單。把你們組織中經過 AI 處理後對外輸出的文字列出來。新聞稿、產品詳情頁、客服話術、合約草稿。把其中「即使附上 AI 處理標記也不會有問題」的和「不行的」分開，接下來要整理的政策輪廓就大致浮現了。
如果你們在實務上用 AI 製作或修飾文件並對外發布，那產出內容上如果附上「AI 處理過」的標記，最棘手的文件會是哪一種？歡迎在留言區分享。案例累積夠的話，下一期我會畫一張各文件類型的標示風險地圖。
💬 附上標記後最棘手的文件是哪一種？歡迎留言分享，下一期會納入參考。 📨 如果身邊有負責內容、法務或開發的同事，請把這篇文章轉給他們。
參考資料 & 延伸閱讀
核心來源
- Anthropic, “How Claude marks AI-generated content”, Claude Help Center, 2026 年 8 月 10 日。 查看文件 ··· 本文的起點。篇幅不長，建議直接讀原文。特別是「Limitations」一節，能看出公司沒有承諾什麼。
- Sumanth Dathathri et al., “Scalable watermarking for identifying large language model outputs”, Nature, Vol. 634, 2024 年 10 月 24 日, pp. 818–823. 查看論文 ··· 本文機制說明的依據。只看 Fig. 2 的淘汰賽圖就能掌握原理。順帶一提，引用這篇論文的 631 卷 755 頁的二次資料有好幾篇，但那是其他論文的書目資訊。
- John Kirchenbauer et al., “A Watermark for Large Language Models”, ICML, 2023. 查看論文 ··· 這類技術的原型。綠名單・紅名單是最簡單的形態，要理解概念反而看這篇比較容易。
- 《人工智慧發展與建立信任基礎等基本法》第 31 條及同法施行細則，2026 年 1 月 22 日生效。 查看法規 ··· 國內標示義務的依據條文。深度偽造與一般產出內容的標示方式如何區分是核心。
- European Commission, “Transparency obligations under Article 50 of the AI Act”, 2026. 查看官方 FAQ ··· 可以從一手資料確認第 50 條的適用時間點（2026 年 8 月 2 日）及實施細則的定位。
背景知識
- Coalition for Content Provenance and Authenticity, C2PA Specification. 查看規範 ··· 檔案層級標記的標準。即使只瀏覽簽名結構，也能看出「拆掉就完了」的原因。
- Nikola Jovanović, Robin Staab, Martin Vechev, “Watermark Stealing in Large Language Models”, ICML, 2024. 查看論文 ··· 探討反向推估浮水印並去除或偽造的攻擊。如果想從技術層面深入了解本文提到的「偵測密鑰」問題，從這篇開始。
