Claude 的隐形水印：它能检测什么，又无法证明什么？

检测到水印，能说明什么？

Anthropic 表示，水印不包含身份识别信息，也无法追溯到某个具体的人、组织或聊天记录。 因此，检测到水印，并不意味着系统知道是谁使用了 Claude，也不代表它保存了生成该文本的提示词或完整对话。

更重要的是，水印并不能单独回答“这是谁写的”这一问题。即便检测结果显示 Claude 可能参与了文本的生成或改写，也无法证明：

• 创意或指令是谁提供的；
• 编辑和取舍由谁决定；
• 最终作品归谁所有；
• 人类是否对文本进行了大幅重写；
• 发布者或相关法律责任人是谁。

现实中的 AI 辅助创作往往要经过多个环节：有人可能让 Claude 先写草稿，再进行大量修改；也有人会把它与原创采访、资料或报道结合；还有人只把 Claude 当作润色工具。水印可以为来源分析提供线索，却无法仅凭自身把成品定性为“完全由 AI 创作”或“完全由人类创作”。

为什么是全球上线，而不是只面向欧盟

《欧盟人工智能法案》第 50 条要求相关生成式 AI 系统的提供者，为 AI 生成或操纵的内容添加可被机器读取的标记，使其能够被识别为人工生成或操纵的内容。这一要求涵盖合成文本，也涵盖音频、图像和视频。

Anthropic 选择在模型层面全球部署，而不是设置一个只对欧盟用户生效的开关。相关报道认为，这一做法部分源于在 Claude 的不同产品和部署渠道之间维持稳定区域边界的困难。 实际结果是，即使用户不在欧盟，也可能遇到带有标记的 Claude 输出。

法律规定的是结果——检测应当有效、可靠、稳健并具备互操作性——而不是某一种固定的水印方案。它没有要求所有服务商采用相同的统计方法、元数据标准或可见标签。

水印移除工具为何迅速出现

早期最受关注的项目之一，是 Guillaume Meyer 发布、采用 MIT 许可证的 watermarks-remover。该仓库将自己描述为面向多家供应商的工具，目标是清理用户拥有的文本和文件中的来源标记，包括隐藏 Unicode 字符和文件元数据，也提供基于改写的处理方式。

随后还出现了 claude-watermark-cleaner 仓库，以及声称可以清理文档和其他格式中隐藏 AI 标记的浏览器工具。

据报道，其中一个仓库在三天内获得了 8,983 个 GitHub Star。 这确实反映了公众对该话题的强烈兴趣，但并不能当作水印移除准确率的测试结果。尤其是，清除不可见 Unicode 字符或文件元数据，并不一定会影响嵌入词语选择过程中的统计信号。

为什么“已经成功移除”很难被证实

统计型文本水印不是贴在文档上的永久标签。它能否被检测，取决于模型原始词语选择模式中有多少仍然保留在后续版本里。复制、重新排版和轻度编辑，可能仍会保留足够的模式；翻译、释义、改写、大幅重写，或加入大量人类撰写的内容，则可能削弱甚至破坏信号。Anthropic 也承认，大幅重写可以移除这一信号。

这就造成了一个验证难题。在 Anthropic 没有公布检测器和完整技术细节的情况下，外部观察者无法可靠判断：某个清理工具究竟击穿了统计水印层，还是只删除了无关的元数据，或者只是把文本改动到检测结果变得不确定。因此，现阶段关于某个工具“能够对付 Claude 水印”的说法，应被视为尚未验证的主张，而不是已经确立的技术结论。

这种局限具有结构性。只要人们能够自由改写语言，依赖语言模式进行推断的信号就可能被改变。提高水印对日常复制和轻度处理的耐受性，或许可以减少漏检，但无法把一种可变的文本信号变成不可破坏、可完整追溯的证据链。

《欧盟人工智能法案》第 50 条禁止什么，又没有禁止什么

第 50 条主要要求相关 AI 系统的提供者，在输出中加入有效、可靠、稳健且可互操作的机器可读标记；在特定情形下，部署者也承担额外义务。条文关注的是确保合成内容带有标记并可被检测，而不是规定全行业必须使用某一种技术。

现有欧盟指导文件也不等于对第三方移除内容标记设立一项笼统、独立的全面禁令。指导文件认可不实质改变输入数据或其语义的标准编辑与这一框架之间的关联，同时规定了机器可读标记的实施方向。

这并不意味着在所有场景下删除标记都不会产生法律后果。合同约定、平台规则、版权问题、欺诈和误导相关法律、雇佣或学术诚信政策，以及特定行业的信息披露义务，都可能改变具体案件的判断。更稳妥的结论是：第 50 条关于提供者添加标记的义务，不应被误读为文本水印必须永久存在的技术保证，也不应被当作能够解决所有后续使用问题的普遍规则。

对用户和平台意味着什么

Claude 的水印确实可能让 AI 参与变得更容易被发现，尤其是在带标记的文本仅被复制或轻度编辑、文件来源元数据仍然完整的情况下。但它并不能确凿证明作者身份、个人身份、作品所有权或发布责任。

水印移除工具的快速扩散，反而进一步凸显了这一点。一个 GitHub 项目可能在独立测试其主张之前，就已经获得数千个 Star；而当底层检测器仍然是私有的时，关注度更不能替代验证。对出版机构、教育工作者、企业和平台而言，真正有用的问题并不是“有没有水印”这么简单，而是：现有证据是什么、内容被改动了多少、哪些来源记录仍然存在，以及具体使用场景适用哪些披露规则。