AI文字浮水印怎麼運作｜為什麼Claude先做、ChatGPT還沒做

大家好，我是株式會社TIMEWELL的濱本。

最近常聽到「Claude開始加squash了」。用語音輸入的話，「浮水印」很容易被聽成別的詞。他們說的其實是電子浮水印。螢幕上什麼都沒有。把回覆複製到別的地方，機器卻還讀得到一條訊號。2026年8月起，Claude的新模型開始做這件事¹。

老實說，我一開始也以為只是把圖片那種淡淡的標誌，疊到文章上。不是。文字浮水印不是蓋章。它是在模型選下一個詞的時候，讓骰子帶一點看不見的偏差。今天想講的是：這個偏差怎麼做出來、為什麼現在突然被做成產品，以及ChatGPT、Grok為什麼還沒在文字上推出同一套東西。

新聞是Claude，日曆是布魯塞爾

Anthropic的說明寫得很直白。2026年8月2日以後在歐盟推出的Claude新模型，上線當天就要做機器可讀標記。生成文字帶嵌入式浮水印，支援的檔案帶數位簽署的來源中繼資料。範圍不只Claude網頁，還包括API、Claude Code、Claude Cowork，以及AWS、Google Cloud、Microsoft Foundry。也不是只對歐洲使用者開。Claude有提供的地方都算¹。

舊模型有過渡期。2026年8月2日之前就已上市的生成式AI，機器可讀標記可以做到2026年12月2日。Anthropic也寫了，舊模型的補做正在進行¹。

為什麼是這個日期？歐盟AI法（規則2024/1689）第50條。第50條第2項要求，會合成語音、圖像、影片或文字的AI系統提供者，必須用機器可讀的形式標記輸出，讓人能偵測它是人工生成或遭到改動。2026年8月2日開始適用²。

重點是：條文沒有寫「一定要加浮水印」。它是技術中立的。前言第133點舉的例子包括浮水印、中繼資料識別碼、用來證明來源的密碼技術、日誌、指紋。法律要的是「在技術上可行的限度內，有效、可互通、穩健、可靠」²。不是要你做出攻不破的鎖。

2026年6月10日，歐盟執委會與AI辦公室公布「AI生成內容透明度行為守則」最終版。7月底大約190個組織簽署。第1部（提供者）點名的例子有Aleph Alpha、Anthropic、Cohere、Google、Meta、Microsoft、Mistral、OpenAI。xAI沒有出現在2026年8月12日更新的正式名單³。簽署是自願的。不簽，第50條還是在。

罰則也要分開看。整部AI法的上限是3,500萬歐元或全球年營業額的7%。第50條這類義務落在第99條的中段：1,500萬歐元或3%，取較高者⁴。不管怎樣，原本還停在論文裡的浮水印，在2026年夏天被抬成出貨項目。原因就在這裡。

看不見的印記，藏在下一個詞的選法裡

要分辨AI文字，認真算大概只有三條路。Google DeepMind的SynthID-Text論文把這件事寫得很清楚⁵。

第一條是檢索。服務端把生成過的文字全存下來，之後拿來比對。原理上很穩，但前提是留下所有使用者的對話，隱私成本很高。第二條是事後偵測。用統計或分類器猜「這有多像AI」。DetectGPT這一路就是。生成端不用改，代價是不穩定，而且多次被指出會把非英語母語者的文章誤判成AI。模型愈強，跟人類的差距愈小，這條路就愈辛苦。

第三條是浮水印。在生成的當下把訊號嵌進去。你得改生成過程，但偵測可以用統計講清楚。有些設計甚至不用交出模型本體，只要有密鑰和斷詞器，第三方就能驗證。

2023年Kirchenbauer等人的論文，幾乎定下後來大家都在用的詞彙。LLM選下一個權杖（token，詞的碎片）時，會給整個詞彙打分數。用前一個權杖和密鑰的雜湊當亂數種子，把詞彙隨機切成綠名單和紅名單。綠名單那邊的分數稍微墊高，再擲骰子。偵測端用同一把鑰匙重現名單，數綠的有幾個。沒有浮水印，綠色大概一半。有浮水印，綠色會明顯變多。這個差可以寫成z統計量。你拿到的不是「80%像AI」，而是「這是巧合的機率低於百萬分之一」⁶。

換個比喻。文字浮水印不是在信紙上印淡淡的商標。它比較像賭場的骰子被做了一點手腳。擲一次看不出來。擲幾十次，六點就多得不對勁。偵測器只是在數那一點偏差。

也因為這樣，下一個詞幾乎已定的位置，埋不進去。「Barack」後面幾乎一定是「Obama」。硬改成別的，句子就壞了。浮水印靠的是模型的「猶豫」。猶豫愈少，訊號愈弱。論文把這個限制寫成spike entropy（尖峰熵）⁶。程式碼、一串專有名詞、很短的招呼語之所以弱，就是這個原因。

Google DeepMind的SynthID-Text用差不多的亂數來源，改的是抽樣方式。錦標賽。從詞彙裡一再抽出候選人，用秘密的計分函數比下去，留下贏家，再比下一層。活到最後的詞，秘密分數往往比較高。偵測端看的是平均。預設30層。Gemini線上流量大約2,000萬則回應，按讚率只差0.01%，延遲增加0.57%。這篇論文真正要證明的，是可以大規模上線、又不怎麼傷品質⁵。

柏克萊的Mark My Words則用三個軸打所有方法：品質、要多少權杖才偵測得到、改寫之後還在不在。實務常用的溫度範圍裡，Kirchenbauer這型最硬，大約50到60個權杖、英文約40個詞就能偵測。換成程式碼，正確率下降，偵測也不穩。用GPT-3.5改寫，即使是他們測過最好的方法，也有六成以上機率把浮水印拿掉⁷。

Anthropic實際用哪套演算法，寫這篇的時候還沒公開。綠名單、錦標賽，還是別的，說明頁只說「織進文字本身」「不改意思和品質」「複製後可能還在」¹。2023年以後研究共用的骨架是一樣的。不是把特殊字元藏起來，而是讓選詞的統計帶訊號。

檔案是另一層。Claude輸出的SVG、PNG、JPG可以帶C2PA這種產業標準的簽署中繼資料¹。那不是文字浮水印，是在檔案信封上寫來源。截圖常常就掉了。歐洲行為守則會推「嵌入浮水印加簽署中繼資料」兩層，就是因為兩邊各自會在不同地方壞掉。

ChatGPT和Grok還沒在文字上做，不是同一件事

很容易讀成道德劇。Claude做對了，別人偷懶。我不這麼看。公開資料裡看到的是不同的約束，不是不同的品格。

OpenAI在2024年5月的官方部落格就寫了，文字浮水印方法已經有了。8月的補充很直。局部改寫擋得住。翻譯、用另一個生成模型重寫、在每個詞中間插入特殊字元再刪掉，這類整體改動就弱。對有心的人來說太好拆。同一段也寫了另一個風險：以英語為第二語言、把AI當寫作輔助的人，可能被這枚印記汙名化⁸。當時他們先做圖像和音訊。那些比較容易拿去騙人。

2026年8月的說明頁，文字這塊沒有真的往前走。圖像是C2PA中繼資料加SynthID浮水印。音訊是SynthID。文字只寫「目標是擴到所有模態，包括文字」⁹。他們簽了行為守則³。簽約，跟把文字浮水印送進ChatGPT，是兩件事。第50條是技術中立的，文字也可以用別的機器可讀方式標記。OpenAI打算用哪一種滿足第50條第2項，說明頁看不出來。至少不能寫成「沒做文字浮水印就違法」。

Google在2024年就把SynthID-Text放進Gemini，還發了論文⁵。文字浮水印的正式上線，並不是Claude世界第一。大規模上線又把數字公開的，Google比較早。2026年8月會吵起來，比較像是：日本知識工作者也天天開著的對話介面，開始在回覆本文裡蓋印了。體感不一樣。

Grok這邊，公開說明還薄。歐盟執委會2026年8月12日更新的簽署名單，第1部沒有xAI³。也還沒看到像Anthropic那樣、清楚說「文字裡有嵌入浮水印」的官方說明。後面我就不猜了。沒簽約，不代表沒有義務。只要在歐盟提供生成式AI，第50條就還在。守則是比較好示範符合的路，不是免責。xAI是用別的方式標記、是在用舊模型的過渡期，還是之後才會出，公開資料切不開。

我自己的判斷是：慢的主因不是「科學還沒做完」，而是「文字比像素更難說謊」。圖像浮水印可以散在很多像素裡。文字能選的下一個詞本來就少，改寫一次統計就垮。OpenAI在2024年寫下的擔心，跟後來的論文方向一致。Jovanović、Staab、Vechev證明，對公開API查有限次數就能逼近秘密的浮水印規則，成本不到50美元，清除成功率可以拉到八成以上¹⁰。Zhang等人則證明，在自然的假設下，強意義的浮水印根本做不到¹¹。

所以我不會選英雄。先出貨的那家，對上了法規日曆，也把限制寫在功能旁邊。還沒出貨的那家，可能是看過它怎麼壞，才在找比較不那麼蠢的標記方式。兩種說法，以目前的證據都站得住。

浮水印會消失的地方

Anthropic自己先把限制寫出來，這點我欣賞。偵測到，不代表Claude是原文作者。校對、翻譯、摘要、轉檔，都可能留下印。沒偵測到，也不代表不是AI。舊模型、大幅編輯、翻譯、跟別的文字混在一起、太短、檔案中繼資料被剝掉。這些都會變成「沒印」¹。

跟研究對過之後，現場會失效的地方其實很具體。短文。程式碼。一串專有名詞。結構化的JSON。下定決心的改寫。在本機跑開源權重模型的輸出。後面這一種，原則上沒有辦法強迫加上提供者的浮水印。SynthID-Text論文自己也承認⁵。

反過來說，有用的地方也有。讓隨手複製貼上貴一點。平台端做大規模自動分流。業者事後找回自己模型的輸出。還有，作為「機器可讀標記」的具體作法。Mark My Words對威脅模型很老實：想少寫作業的學生，通常沒動機再翻譯、換模型重寫、再夾特殊字元⁷。不是保險庫。是減速丘。

浮水印竊取論文麻煩的地方，是清除和假冒會一起到來。攻擊者若把仇恨言論貼上「那家公司的浮水印」再放出去，責任會被錯扣到提供者頭上¹⁰。浮水印不是身分核對。我比較常把它想成安全帶。它阻止不了車禍。沒有它，傷一定更重。

日文、繁體中文也不該直接套英文的權杖數字。斷詞單位不一樣。一個助詞就能把片段切開。「50到60個權杖就能偵測」是英文實驗的結果。在Claude的偵測器公開之前，現場比較誠實的粒度是：長文比較留得住，兩行的即時訊息大概留不住。

現場該有的預期是「安全帶」

若是我來寫內部規範，第一句會是：不要讓偵測器單獨決定人事、學術或法務結論。履歷、論文、新聞稿、給客戶的信。命中或沒命中都不夠。短文會漏。只是校對也可能中。這兩件事廠商自己都寫了¹。

該握住的是兩層。文字裡的統計印記，加上檔案上的簽署中繼資料（C2PA）。歐洲行為守則推的也是這種疊法。圖像或簡報要送出公司時，先問截圖或另存新檔會不會把信封撕掉。文字則把哪個模型、什麼時候、哪段提示記在公司自己的日誌。浮水印是備援。不是主紀錄。

靠「讀起來像不像AI」來判斷的時代，其實已經過了。模型愈好，跟人類的差距愈小。事後偵測器誤判、傷害非母語寫作者的歷史也已經發生過。所以提供者改成在生成時蓋印。這個方向我認為對。把印記讀太滿，下一場事故就是：把帶浮水印的文章當成「不好的文章」。OpenAI在2024年怕的，正是這件事⁸。

我個人覺得，2026年下半年的焦點不會是「誰先加浮水印」，而是「偵測結果能給誰用、用在哪裡」的共識。大學、徵才、新聞、平台。假陽性的成本每個房間都不一樣。執委會寫了，行為守則的工作小組會從2026年9月開始跑³。台灣和日本的公司最好帶著實務語言進去，而不是只帶一份翻譯過的FAQ。

比浮水印更先要做的，是公司怎麼對待模型輸出、哪個人類還要負責。TIMEWELL的WARP做的就是這段：模型怎麼選、提示怎麼寫，以及輸出的來源怎麼留、內部規則怎麼定、按下送出的人有沒有讀得懂。如果已經覺得「買一個偵測器就結束」這句話太薄，歡迎從個別諮詢開始談。

看不見的印記會變成普通的基礎設施。變成基礎設施之後，真正值錢的不是擁有那枚印，而是知道怎麼讀它。

參考文獻

Footnotes

1. Anthropic, How Claude marks AI-generated content（Claude Help Center） ↩ ↩² ↩³ ↩⁴ ↩⁵ ↩⁶ ↩⁷

2. Regulation (EU) 2024/1689, Article 50 / Recital 133 ↩ ↩²

3. European Commission, Strong backing for the Code of Practice on Transparency of AI-generated Content（2026-07-31公布，2026-08-12更新） ↩ ↩² ↩³ ↩⁴

4. Regulation (EU) 2024/1689, Article 99 ↩

5. Dathathri, S. et al. (2024). Scalable watermarking for identifying large language model outputs. Nature 634, 818–823. DOI: 10.1038/s41586-024-08025-4 ↩ ↩² ↩³ ↩⁴

6. Kirchenbauer, J. et al. (2023). A Watermark for Large Language Models. ICML 2023. arXiv:2301.10226 ↩ ↩²

7. Piet, J. et al. (2025). Mark My Words: Analyzing and Evaluating Language Model Watermarks. IEEE SaTML 2025. arXiv:2312.00273 ↩ ↩²

8. OpenAI, Understanding the source of what we see and hear online（2024-05-07，2024-08-04更新） ↩ ↩²

9. OpenAI Help, Provenance signals (Content Credentials, SynthID) in OpenAI-generated content ↩

10. Jovanović, N., Staab, R., & Vechev, M. (2024). Watermark Stealing in Large Language Models. ICML 2024. arXiv:2402.19361 ↩ ↩²

11. Zhang, H. et al. (2024). Watermarks in the Sand: Impossibility of Strong Watermarking for Generative Models. ICML 2024. arXiv:2311.04378 ↩