Claude 水印推出僅數小時即被破解：AI 文字來源追蹤有幾可靠？

Claude 的文字水印，可能是 AI 內容來源追蹤的一次重要嘗試，但它同時亦很快暴露出現實限制：只要文字被大幅改寫、翻譯或重新組織，原本藏在用字選擇中的統計訊號就可能被削弱，甚至無法偵測。

8 月 2 日之後發生了甚麼？

Anthropic 表示，2026 年 8 月 2 日或之後推出、並獲支援的 Claude 模型，會在生成內容時加入機器可讀標記。就文字而言，系統會加入人眼看不見的水印；至於部分支援的檔案，則會附加數碼簽署的來源追蹤 metadata。這些標記會在 Claude 有提供服務的地方適用，包括全球不同地區及不同產品介面。

Anthropic 引入這項安排，原因是要履行《歐盟人工智能法案》（EU AI Act）相關的透明度要求。法案要求，在技術上可行的情況下，AI 系統供應商要採用技術方案，讓 AI 生成或操控的輸出可以用機器讀取及偵測。

不過，全球推出水印後，公開的繞過方法幾乎立即出現。《Wired》報道，開發者 Guillaume Meyer 在 Anthropic 確認安排後四小時內，便發布了開源的水印移除工具。項目其後吸引超過 100 名貢獻者，相關推廣內容在 X 被收藏超過 20,000 次。現有報道並沒有提供可信的工具使用人數、GitHub 星數或下載總數。

這種水印究竟藏在哪裏？

Claude 的文字水印並不是一串可以直接刪除的隱形字元。Anthropic 的說法是，水印以統計模式形式存在於模型選擇文字或 token 的方式之中。當模型在多個意思相近、而且都適合上下文的字詞之間作低風險選擇時，系統會利用由秘密金鑰驅動的隨機性，配合前文作出選擇；持有相應偵測方法的驗證器，便可評估一段文字是否在統計上符合 Claude 的生成模式。

換句話說，水印不是「看不見的文字」，而是大量用字選擇累積出來的痕跡。Anthropic 表示，這個標記不會增加字元或額外 token，亦不應對內容的意思、質素、創意、可讀性或成本造成實際影響。

Meyer 的方法據報利用沒有水印的語言模型，生成多個保留原意的改寫版本，透過更換同義詞及重新編排措辭，直接針對原有的用字模式下手。

報道提到的其他瀏覽器工具，則集中處理不同層面，例如移除隱形或相似 Unicode 字元、調換句子次序及替換同義詞。把文字壓縮，或者先翻譯成另一種語言再翻譯回來，也可能打亂統計模式。

但要分清楚：這些方法不等於「刪走 Claude 文字中的隱形字元」。Anthropic 明確表示，核心文字水印不是隱藏字元資料，也不是附加在文字上的 metadata。

偵測到水印，是否等於證明由 Claude 寫成？

答案是否定的。

Anthropic 表示，這套水印技術建基於 Google DeepMind 的 SynthID-Text 方法變體。驗證器能夠估算一段文字在統計上是否符合 Claude 的選字模式，結果反映的是「Claude 曾參與寫作」的可能性，而不是一枚可以指向特定作者的個人指紋。

水印不包含任何身份資料，亦不能追溯至某一位使用者、機構或特定對話。它不能證明誰是作者，不能證明某段文字一定不是人類寫成，也不能辨認其他模型的輸出；對於篇幅太短的文字，偵測亦不可靠。

這個分別在校對、輕度編輯、摘要及翻譯等情境尤其重要。Anthropic 指出，如果 Claude 只協助修改一小部分文字，水印可能只保留在 Claude 實際選出的少量字詞上，訊號未必足夠強，難以作出可靠判斷。

Meyer 據報亦不是反對內容來源標示本身，而是反對把一個不可見的機率訊號，直接當成對某人的不利證據。他關注的是：偵測系統未必能分辨「大量由 AI 撰寫」和「人類自行寫作、只用 Claude 校對或潤色」之間的差異。

大幅改寫為何會令水印失效？

統計式水印依賴的是分布在大量字詞選擇中的模式。若文字大致保持原貌，水印可能會隨着複製貼上而保留，亦可能捱得過部分編輯。

但如果內容經過大幅度意譯、翻譯、濃縮或重寫，足夠多的原有用字被替換，統計模式便可能不再清晰。自然期刊引述的研究人員同樣質疑，文字水印能否有效阻止有心人利用另一個語言模型重寫 AI 內容；在意思大致不變的情況下，訊號可能已經被移除。

這不代表水印完全沒有用。對於篇幅足夠、而且仍然接近原始生成版本的文字，它可以作為日常審查中的機器可讀線索，協助平台或其他系統作進一步檢查。

問題在於，水印較像「可能曾經涉及 Claude」的提示，而不是一條完整、不可篡改的來源鏈。當人類大幅重寫內容後，水印消失在技術上可能是預期之內；但此時，最終稿件究竟仍應稱為「AI 生成」，還是「人類主導、曾獲 AI 協助」，界線就變得難以劃清。

水印會否影響擁有權或使用者權利？

現有資料沒有顯示，水印會改變 Claude 輸出的擁有權或使用者的實質權利。Anthropic 將這套系統定位為估算 Claude 可能參與寫作的工具，而不是對內容提出擁有權主張。

因此，「偵測到 Claude 水印」與「Anthropic 擁有這段文字」是兩回事；前者只涉及來源判斷，不能從中推導出作者身份、創作意圖或法律責任。

為甚麼 Anthropic 不只在歐盟啟用？

雖然 Anthropic 表示，推出水印的主要法律背景是《歐盟人工智能法案》，公司採取的做法卻是在支援 Claude 的服務中全球適用標記，而不只是歐盟使用者。

現有來源沒有交代 Anthropic 為何未能在初期按地區限制功能，因此不能據此斷言存在某個特定技術障礙。較確定的是，公司的公開安排是全球化執行，而非只針對歐盟市場。

《歐盟人工智能法案》是否禁止移除水印？

相關歐盟要求的重點，是要求 AI 系統供應商加入技術方案，讓輸出可以用機器讀取及偵測是否由 AI 生成或操控。法規列出水印等技術作為可能方案，但同時以「技術上可行」為前提，並沒有保證任何單一方法在所有情況下都有效。

就目前提供的資料而言，未能證明歐盟法律一般性禁止獨立第三方製作或使用移除水印的工具。法律責任主要落在相關供應商身上，要求他們實施可偵測的標記；現有證據沒有顯示同時存在一項針對所有第三方移除工具的全面禁令。

這形成一個現實妥協：水印可以改善透明度，亦令下游系統更容易檢查仍然相對完整的 AI 文字；但面對有動機的改寫者，它無法保證來源永遠可追蹤，更不能單靠一次陽性偵測結果，解決作者身份、原創意念或責任歸屬問題。

總結：水印是線索，不是定案

Claude 的水印推出及其後四小時內出現的開源繞過方法，正好展示 AI 文字來源追蹤的兩面。

一方面，統計式水印可以在文字大致未被改動時，提供「Claude 可能參與寫作」的機器可讀訊號；另一方面，它不是隱藏 metadata，不是個人識別碼，也不是證明 Claude 撰寫最終版本的確鑿證據。

因此，《歐盟人工智能法案》的機器可讀標記要求，較適合理解為一項透明度措施，而不是能夠防止改寫、並建立萬無一失來源鏈的技術方案。