从 2026 年 8 月起，欧盟《人工智能法案》将开始对新系统产生更直接的约束。根据来源摘要，法案第 50 条要求 AI 提供者让输出内容“可被检测为人工生成”。这意味着大语言模型可能需要在文本中嵌入某种可检测信号，也就是通常所说的文本水印。
问题在于：文本不是图片。图片水印通常依赖像素层面的冗余信息，裁剪、压缩或编辑会降低质量，但不一定能在不破坏图像的情况下完全抹除水印。文本则可以被重新措辞、翻译、摘要、纠错，甚至只需更换一部分词语，就可能改变隐藏信号，同时保留原本的意思。
开发者 Sean Goedecke 的分析给出了一个直接结论：文本水印很难成为稳定、可靠、长期有效的 AI 生成证明。它更像一场不断升级的攻防，而不是一次性解决内容来源问题的技术方案。
这不是图片水印，而是文本隐写
文本水印通常不会在文章中插入肉眼可见的标记。更可能的做法是让模型在多个含义相近的候选词之间，按照某种秘密规则偏向选择其中一组。例如，模型可能更频繁地使用某些词、某些句式或某种标点组合。单独看一段文字，读者很难发现异常；检测器则可以通过统计分布判断文本是否可能来自带水印的模型。
这类方法本质上接近文本隐写：信息隐藏在词语选择和生成概率中，而不是显示为一个明确的标签。
但自然语言有一个关键特征：同一个意思通常有许多表达方式。用户可以要求模型改写，也可以使用翻译工具、语法检查器、摘要工具或人工编辑。只要改写过程没有保留原始词语选择，检测器依赖的统计特征就可能被削弱。
因此，文本水印面临一个基本矛盾：
- 水印越明显，越容易被检测，也越容易被针对性修改。
- 水印越隐蔽，越不影响文本质量，但检测结果越不稳定。
- 水印越依赖具体模型和语言，跨模型、跨语言和跨编辑流程的效果越差。
一个最小实验：改写如何破坏词语信号
下面的 Python 示例不是生产级水印实现，而是一个可运行的概念实验。它模拟一种非常简单的“词语偏好”信号，然后对文本进行规范化和同义改写，观察原有信号如何变化。
运行前无需安装第三方依赖：
from collections import Counter
import re
# 假设这是某个检测器关注的词语集合。
# 真实系统可能使用更复杂的统计特征，这里只用于演示原理。
WATERMARK_WORDS = {"可靠", "稳定", "明确", "因此"}
text = "因此，这是一种可靠而稳定的方案，结论也很明确。"
def score(sentence: str) -> float:
words = re.findall(r"[\u4e00-\u9fff]+", sentence)
if not words:
return 0.0
hits = sum(1 for word in words if word in WATERMARK_WORDS)
return hits / len(words)
def rewrite(sentence: str) -> str:
replacements = {
"因此": "所以",
"可靠": "可信",
"稳定": "不容易波动",
"明确": "清楚",
}
for old, new in replacements.items():
sentence = sentence.replace(old, new)
return sentence
rewritten = rewrite(text)
print("改写:", rewritten)
print("原文信号分数:", round(score(text), 3))
print("改写后分数:", round(score(rewritten), 3))
这个实验非常简化，但它说明了文本水印的脆弱点：如果检测器依赖特定词语、句式或标点分布，改写就可能让文本失去这些特征。更强的水印算法可以扩大特征范围，或者使用更复杂的统计模型，但这会带来新的代价：检测器需要更多文本，误报和漏报更难控制，水印也可能影响生成质量。
为什么“可检测”不等于“可证明”
即使检测器在实验环境中表现良好，“这段文本可被检测为 AI 生成”也不等于“这段文本一定由 AI 生成”。统计检测通常只能给出概率或置信度，而不是不可否认的来源证明。
真实环境中的文本会经过多次处理：
- 人类修改模型初稿；
- 编辑统一术语和语气；
- 翻译成另一种语言；
- 从长文压缩成摘要；
- 经过搜索引擎、办公软件或内容平台重新排版；
- 由另一个模型再次改写。
这些操作可能让原始水印消失，也可能让人类写作偶然呈现出类似的统计模式。于是检测器需要在两类错误之间做权衡：把人写的内容误判为 AI，或者把经过改写的 AI 内容判成人类创作。
这也是文本水印与数字签名的根本区别。数字签名可以验证某个固定文件是否由特定密钥签署，并且修改内容通常会使签名失效。文本水印却需要在内容允许变化的情况下继续识别来源，这两个目标天然冲突。
更现实的工程选择
这并不意味着 AI 来源标记没有价值，而是应该明确它能解决什么问题，不能解决什么问题。
对于需要强来源证明的场景，服务端记录、审计日志、请求标识、模型版本和时间戳通常比单独依赖文本水印更有用。平台可以保存生成请求的哈希、用户授权信息和输出版本，并在内容流转时携带结构化元数据。它们同样可能被删除，但至少可以明确验证边界，而不是把一个概率检测器包装成绝对证据。
可以采用类似下面的元数据记录方式：
{
"content_id": "out_20260818_00042",
"provider": "example-llm",
"model": "model-version-1",
"generated_at": "2026-08-18T10:30:00Z",
"request_hash": "sha256:...",
"provenance": "provider-recorded",
"verification": "checks-original-output-only"
}
这个结构明确表达了验证范围：它只能证明服务商记录过某个原始输出，不能证明网络上当前版本的每一个字都没有被修改，也不能仅凭文本本身证明作者身份。
采用前应检查的边界
如果团队需要部署文本水印或 AI 内容检测，可以先回答几个问题：
- 检测对象是原始模型输出，还是经过编辑后的公开文本？
- 文本长度不足时，检测器是否会拒绝判断，而不是强行给出结论？
- 改写、翻译、摘要和拼写修正会怎样影响检测结果？
- 是否有独立的来源日志来支持检测结论？
- 错误判断会不会影响求职、教育、出版或合规处罚？
- 用户能否知道检测结果只是概率判断，而非事实裁决？
比较稳妥的做法，是把文本水印当作弱信号，把服务端溯源、透明披露和人工复核作为更重要的证据来源。文本水印可以增加追踪难度，但很难单独承担“证明这段文字由 AI 生成”的责任。真正可持续的方案，需要接受文本会被修改这一事实，并围绕可验证的生成记录设计系统。