NOPE 创始人解释了 AI 文本水印如何在复制过程中仍能保留，并在重写时逐渐消失

Why it matters

Text watermarking is becoming compliance infrastructure for frontier models, but its output remains probabilistic, key-gated and vulnerable to editing. Declaude shows the market forming around removing those signals.

James Padolsey (@padolsey), the founder of NOPE, 已发布一份交互式 AI 文本水印指南，解释了不可见标记可以在纯文本中隐藏在哪里、其所有者如何检测它以及为何重写可以使其消失。

时机为该教程赋予了更明确的目的。在一则8 月 12 日的公告中，Anthropic 表示新的 Claude 模型将从上线时起对 AI 生成的内容进行标记。Anthropic 表示，自 2026 年 8 月 2 日或之后在欧盟推出的 Claude 模型将在发布时支持机器可读标记，生成的文本中将嵌入水印。Anthropic 表示，对受支持模型的标记将在全球 Claude 提供的所有地方适用。Padolsey 的指南与他的工具 Declaude 一起发布，后者用于将“AI 风味文本”转换为保留意义的重写。该指南在讲解新来源机制如何工作时，也为 Declaude 的完整重组（full-recomposition）方法提供了技术论据。

Padolsey 从平台完整性和 AI 评估的角度切入这一问题。NOPE 的团队页面 列出他曾在 Meta、Stripe 和 Twitter 的任职经历，之后又作为 Collective Intelligence Project 的创始工程师工作。他的个人网站 还记载了他撰写了 "Clean Code in JavaScript" 并构建了开源评估工具。2025 年，他与妹妹 Alice Padolsey 一起创立了 NOPE，致力于衡量在人与 AI 持续对话中出现的风险，包括依赖性、谄媚性以及当系统本应引入摩擦或人工支持时却持续迁就用户的行为。

文本水印是技术栈中不同的一部分，但它契合了 Padolsey 对软件能检测到而人类无法看见的信号的更广泛执着。

标记藏在词元选择中

文本水印并不需要隐藏字符、格式或元数据。它是在语言模型选择每一个后续词元时引入的。

在生成回答的任意时点，模型通常对几种不同概率的合理续写有选择余地。该指南中描述的方法，基于John Kirchenbauer 及其合著者在 2023 年的水印论文，使用一个秘密密钥将可能的下一个词元划分为若干组。生成过程会对其中一组略微偏好，常被描述为“绿色”词元，但并不会使其他备选项变得不可能。

单次选择信息量有限。但在数百或数千个词元的累计中，被偏好的组出现的频率会高于随机概率。持有相同密钥的检测器可以在每个位置重建哪些词元被偏好，统计结果并计算累积模式是否具有统计学说服力。

这种秘密着色可以依赖于位于词元之前的词语。某个词在一种短语之后可能是绿色，而在另一种短语之后可能是红色。这就防止了读者通过固定词汇表识别水印，并允许看起来普通的散文在复制粘贴中携带该信号。

Google DeepMind 的 SynthID Text 使用了更复杂的方法，但运行原理相似：生成选择携带一个检测器可以打分的统计模式。Google 自 2024 年起就在 Gemini 应用和网页体验中对文本添加水印，随后又在 GitHub 上发布了参考实现。

产品论点始于水印失效之处

Padolsey 的指南对弱点直言不讳。水印证据随长度增长而增强，这使得短答案、引用、代码和事实列表携带可靠信号的机会更少。轻度编辑可以稀释标记，而仍保留足够的原始序列以便在更长的文档中恢复检测。

完整重写攻击的是相邻词之间的依赖关系。当模型从意义重构散文而不是编辑单个短语时，原始的词元窗口就消失了。检测器随后只能计数那些与原始密钥模式毫无关系的选择。

Declaude 表示，它将提交的文本通过其他模型处理，并用评估框架检查结果。在Padolsey 的指南中引用的测试中，使用了开源的 KGW 和 EXP 水印实现，Declaude 的完整重写路线使大约 0.5% 的原始检测器窗口保持不变，并将检测准确率从近乎确定降低到大致相当于随机。

这一结果不应被泛化到 Claude。Anthropic 未公布其生产算法、密钥结构、阈值或检测器性能。Padolsey 在文中指出了这一界限：他的测量涵盖 NOPE 能测试的开源实现，而 Anthropic 的标记仍然无法被外部评估。

这一区别很重要，因为某些水印设计比其他设计更能在同义重写后存活下来。击败一个开源实现的工具并不意味着它能抹去所有提供商的标记。Declaude 当前的主张更为狭窄且可辩护：完整重组可以瓦解那些证据依赖于原始措辞连续出现的方案。

监管正在推动水印进入生产环境

Anthropic 的部署遵循欧盟《AI Act》第 50 条，该条款要求在技术可行的情况下，生成合成文本、音频、图像或视频的系统提供者使输出可被机器识别并可检测为人工生成或被操纵。

Anthropic 表示，受支持的模型将在 Claude、Claude Code、Claude Cowork、其 API 及其云合作伙伴等所有提供这些模型的地方加入水印。生成的文件还可以根据 C2PA 标准附上签名的来源元数据。早期的 Claude 模型也正朝着相同的标记要求迁移。

检测访问仍然是一个核心限制。基于秘密密钥构建的统计水印只能由密钥持有者或提供者授权的服务进行验证。Anthropic 表示第三方检测支持即将到来。在此之前，外部人士无法独立测试 Claude 的生产水印、验证其误报率或衡量其在不同类型编辑后的表现。

被检测到的标记并不能确定作者身份

Anthropic 自己的文档指出，标记表明内容可能已被 Claude 处理。人工撰写的文本在被 Claude 校对、翻译、摘要或重格式化时也可能获得该信号。因此，被检测到的标记不能证明是谁提出了想法或撰写了初稿。

相反的结论同样不安全。Claude 生成的文本在经过大量编辑、翻译、摘录或与其他材料混合后可能失去可检测信号。非常短的段落可能永远不包含足够的证据以得出有把握的结果。

OpenAI 在 2024 年提出了相关担忧，指出其研究的文本水印方法在局部意译面前具有抵抗力，但仍然容易受到翻译和由另一模型再生的影响。OpenAI 还警告说，即便是低误报率在互联网规模下也会产生大量绝对错误，并可能不成比例地影响那些将 AI 作为写作辅助的非英语母语者。

Padolsey 的指南为创始人和产品团队提供了一个有用的技术心智模型，解释即将进入主要 AI 系统的技术。水印可以提供关于模型处理历史的证据。它们不能解决作者归属争议、替代编辑判断或在所有变换中存活。

这也正是 Declaude 背后的商业契机。随着模型提供商在监管压力下添加隐藏的来源信号，重写工具可以出售对最终文本的控制权。Padolsey 将这一张力转化为明确的技术教训，同时把决定性的 Claude 问题放在了它应在的位置：那是一个尚未公开、独立研究者无法测量的 Anthropic 系统内部问题。