AI 内容水印（AI Content Watermarking）

文本水印的核心挑战是在保持文本质量的同时嵌入可检测的统计信号。一种经典方法基于词汇表分割：在每次生成 token 时，使用密钥驱动的伪随机函数将词汇表分为绿名单和红名单，然后对绿名单词汇的 logit 增加固定偏置。这种偏置使模型略微倾向于选择绿名单词汇，但人类读者无法察觉差异。

检测方法则通过统计检验（如 Z-test）计算文本中绿名单词汇的比例是否显著高于随机预期。对于长度为 N 的文本，即使只有 200 个 token，也可以高置信度地判断是否含有水印。

这种方法的鲁棒性在于：即使攻击者尝试替换同义词、改写句子或进行其他后处理，只要保留了大部分原始内容，统计信号仍可被检测到。

图像水印技术已相对成熟，Google 的 SynthID 是代表性商业方案。SynthID 在图像像素中嵌入不可见的统计模式，这种模式可通过专用检测器识别但对人眼不可见。即使图像被裁剪、压缩、调整大小或添加滤镜，水印仍可被检测到。

2026 年，主流多模态模型（GPT-4V、Gemini、Claude）都在生成内容中嵌入水印。视频和音频水印面临更大挑战，因为这些媒体的数据量更大、修改方式更多。水印技术也面临对抗性攻击：攻击者可以使用去水印工具或对抗性训练来移除或弱化水印。这形成了水印嵌入与去水印之间的持续军备竞赛。

在 2026 年 Anthropic 指控阿里巴巴蒸馏攻击事件中，水印技术是防御方案的核心组件之一。Anthropic 部署了三层防御架构：检测层（异常查询模式识别）、扰动层（输出水印与对抗性扰动）和法律层（API 条款与出口管制）。

在扰动层中，水印技术用于在模型输出中嵌入不可见信号，当攻击者使用这些输出训练学生模型时，水印会被学生模型学习，成为证明蒸馏行为的数字指纹。可验证水印（Verifiable Watermarks）技术更进一步，可通过统计检验证明某个模型确实使用了带水印数据训练。

自适应扰动系统根据查询异常评分动态调整扰动强度：正常用户输出保持原样，可疑查询添加轻微扰动，高度可疑查询被故意降质，使攻击者难以判断哪些输出是真实的。