Claude 水印上線不到 4 小時就被破解：AI 文字來源究竟能追到哪裡？

Anthropic 為 Claude 生成文字加入機器可讀的不可見水印後，這項技術很快便迎來現實世界的壓力測試：不到 4 小時，開發者 Guillaume Meyer 就公開了開源的繞過方案。這場快速發生的攻防，凸顯統計式文字水印的核心矛盾——它可以協助日常偵測，卻難以在內容遭到充分改寫後，繼續充當不可推翻的來源證明。

8 月 2 日後，Claude 有哪些變化？

Anthropic 表示，2026 年 8 月 2 日起推出的受支援 Claude 模型，會從上線開始為生成內容加入機器可讀標記；只要是支援相關功能的 Claude 服務，標記便會在全球提供服務的範圍內適用。生成文字會帶有肉眼不可見的水印；在支援的檔案類型中，則可能附加數位簽署的來源驗證中繼資料。

Anthropic 表示，這項改動是為了配合《歐盟人工智慧法案》（EU AI Act）的透明度要求。法案要求，在技術上可行的情況下，提供者應採用能以機器讀取、並偵測內容是否由人工智慧系統生成或操弄的技術方案。

全球推行後，公開的破解嘗試幾乎立即出現。《WIRED》報導，Anthropic 確認政策後 4 小時內，Meyer 已發布水印移除覆寫工具。該專案後來吸引超過 100 名貢獻者，相關宣傳內容在 X 上獲收藏超過 2 萬次。不過，現有報導並未提供可靠的 GitHub 星數、下載量或實際使用者總數。

這些工具如何對準水印？

Claude 的文字水印並不是一串藏在文章裡的不可見字元，可以直接搜尋後刪除。Anthropic 將它描述為模型在選擇單字或 token 時留下的統計模式。掌握相應偵測方法的驗證器，會判斷一段文字的詞語排列，是否在統計上符合 Claude 的生成過程。

Meyer 的方法是利用沒有嵌入同類水印的語言模型產生多個改寫版本，替換同義詞、調整句子結構，同時盡量維持原意。這類修改直接針對水印所依賴的用詞模式。

報導提到的其他瀏覽器工具，則處理生成內容的不同層面，例如移除不可見或外觀相似的 Unicode 字元、重新排列句子，以及替換同義詞。壓縮文字，或先翻譯成另一種語言再翻回原文，也可能打亂統計模式。

但這些方法不能一概視為「刪除 Claude 文字水印」。Anthropic 明確表示，文字水印不是隱藏字元，也不是額外加入的文字中繼資料；檔案的數位簽署來源資訊，與文字水印是不同機制。

Claude 的水印能證明什麼？不能證明什麼？

Anthropic 表示，Claude 的方案採用了 Google DeepMind SynthID-Text 方法的某個版本。在不太影響結果的下一個詞選擇中，Claude 會使用由秘密金鑰驅動、且與前文相關的隨機性。驗證器之後可以估算，整段文字在統計上是否符合這些選詞結果。

這個標記的設計目標是：讀者無法察覺、不新增字元、不使用額外 token，並且不對內容的意義、品質、創意、可讀性或成本造成實際影響。Anthropic 也表示，水印不包含個人識別資訊，無法追溯到特定的人、組織或對話。

因此，它比較像「可能的模型參與訊號」，而不是個人指紋。Anthropic 將偵測結果定位為：Claude 參與撰寫某段文字的可能性。它無法證明誰是作者，無法證明一段文字絕對不是人類撰寫，也無法辨識其他模型的輸出；對太短的文字，偵測也不可靠。

這個差異在校對、輕度編輯、摘要或翻譯等情境尤其重要。Anthropic 指出，如果 Claude 只修改了少量內容，水印可能只存在於 Claude 實際選出的少數詞語中，留下的訊號不足以可靠偵測。

為什麼開發者反對把偵測結果當成作者證據？

根據報導，Meyer 並非反對內容來源標示本身，而是區分「內容歸因」與可能被拿來指控個人的不可見水印。他擔心，單一機率訊號無法分辨大量 AI 創作，與僅使用 AI 校對、編輯、摘要或翻譯之間的差別。

這正是更廣泛的內容來源問題：偵測器或許能判斷一段文字在統計上符合 Claude 參與的情況，卻無法告訴我們 Claude 寫了最終文本的多少比例、使用者改動了多少內容，也無法判斷原始想法是誰提出的。

當文字經過大幅改寫、翻譯、濃縮或重新組織後，「AI 生成」與「人類創作、AI 輔助」之間的界線會變得更加模糊。現有證據也沒有顯示，水印會改變 Claude 輸出的所有權或使用者的實質權利。Anthropic 將系統描述為估算 Claude 可能參與，而不是提出所有權主張。

為什麼改寫會削弱統計式水印？

統計水印依賴的是分布在大量用詞選擇中的模式。若文章大致保持原貌，這個模式可能會在複製貼上時隨文字一同保留，也可能撐過部分編輯；但大幅度改寫、翻譯或重新措辭，足以改變原有詞語分布，讓訊號變得無法偵測。

《Nature》引述的研究人員同樣對文字水印能否有效阻止有意規避的人改寫 AI 輸出抱持懷疑，尤其是使用另一個語言模型重新改寫的情況。他們擔心，水印可能被移除，但內容大意仍大致保留。

這不代表水印完全沒有用。對於篇幅足夠、且仍接近模型原始輸出的文字，水印可以提供機器可讀的線索，協助平台或機構進行例行檢查。但若把它當成不變來源的鐵證，可靠性就會下降，尤其是在人工大幅修訂內容之後。

《歐盟人工智慧法案》要求了什麼？又沒有證明什麼？

相關歐盟規範的主要義務落在提供者身上：提供者必須納入支援機器可讀標示與偵測的技術方案，以辨識輸出是否由人工智慧生成或操弄；法規同時以「技術上可行」作為重要前提。法規列舉水印等技術作為可能方法，但並未保證任何單一方案都能在所有情境下有效。

目前提供的資料，沒有證實歐盟法律普遍禁止獨立第三方製作或使用移除水印的工具，也沒有解釋 Anthropic 為何無法一開始只對歐盟使用者啟用這項功能。Anthropic 的公開做法是：只要是受支援的 Claude 模型，就在其全球服務範圍內套用標記。

這形成了一項實際上的折衷方案：水印可以提升透明度，讓下游系統更容易檢查仍相對完整的 AI 文字；但根據目前證據，它無法保證內容在經過有意改寫後仍可追溯，也不能單靠陽性偵測結果解決作者身分、創作意圖或責任歸屬問題。

結論：水印是線索，不是完整的內容履歷

Claude 的水印政策同時展現了 AI 文字溯源的價值與脆弱性。水印可以作為「Claude 可能參與某段文字」的機率訊號，但它不是隱藏中繼資料、個人識別碼，也不是證明 Claude 撰寫最終版本的 निर्ण定性證據。

Meyer 的改寫工具在 4 小時內出現，說明《歐盟人工智慧法案》的機器可讀標示要求，更適合被理解為透明度措施，而不是一條無法斬斷的內容來源鏈。