LLM水印是什么？AI文本数字水印（watermark）的原理、方案与各公司应对

AI写的文本，怎样才能识别出来？研究表明，根据文本特征进行推测的AI检测工具，仅靠改写就能轻易绕过。因此，在AI生成文本的阶段就嵌入看不见的标记的LLM水印（LLM watermarking）受到了关注。继谷歌于2024年在Gemini中开始使用之后，Anthropic和OpenAI也在2026年开始为自家AI生成的文本嵌入水印，监管层面也开始提出要求。本文依据论文和官方信息，按截至2026年10月9日的情况，梳理LLM水印的原理、主要方案、局限以及各公司的应对。

LLM水印是什么

LLM水印是一项在LLM（大语言模型）生成的文本中嵌入人无法察觉的统计标记的技术。它并不在文本中添加符号或不可见字符，而是通过让AI选择下一个词的方式产生细微偏向来留下标记。

LLM在生成文本时，会为下一个词（准确地说是token）的候选分配概率，并从中选出一个，如此反复。LLM水印在这一选择过程中加入基于密钥的规则。知道密钥的人查看文本时，可以从统计上确认「符合规则的词多到不可能是偶然」。

与AI检测工具和C2PA的区别

识别AI文本的方法，除了LLM水印，还有以下几种。

AI检测工具：事后根据文本特征推测AI痕迹。即使没有标记也能使用，但终究只是推测。有研究显示，仅用另一个AI改写一遍，其中一款检测工具（DetectGPT）的检出率就从70.3%降到了4.6%
C2PA（内容凭证，Content Credentials）：为文件附加带签名的来源信息。适用于图片和文档文件，但无法附加在会被复制粘贴的普通文本上

Anthropic对Claude的输出也是分开使用：文本用水印，生成的文件用C2PA。关于C2PA，请参阅「C2PA是什么」。

主要方案

LLM水印有几个流派。下面介绍其中的代表。

绿名单方案

这是马里兰大学的研究人员于2023年发表的代表性方案（Kirchenbauer等，ICML 2023）。

根据前一个词和密钥，每次都把词表重新划分为「绿名单」和「红名单」
给绿名单中的词的分数略微加分，使其稍微更容易被选中
检测时，统计绿名单词的数量，并通过统计检验判断其是否多到无法用偶然解释

论文显示，在200个token的文本上检出率约为98%以上。其原理易于理解，Hugging Face的Transformers中也有实现。另一方面，由于会使选词产生偏向，可能对文本质量造成轻微影响。

不改变分布的方案

为了消除对文本质量的影响，也有研究在不改变AI原本选择概率的前提下嵌入水印。

Aaronson方案：由2022年在OpenAI从事研究的计算机科学家Scott Aaronson介绍的方案。用由密钥生成的随机数决定选词，他表示几百个token就能获得足够的标记
鲁棒方案：斯坦福大学的研究人员提出了一种即使40%至50%的词被随机改写也能检测到的方案（Kuditipudi等，2023年）
不可区分的水印：也有研究从理论上证明，在没有密钥的情况下，要区分带水印的文本和原始AI文本在计算上是困难的（Christ等，2023年）

谷歌的SynthID Text和OpenAI的textGrain也都基于这种「保持质量」的思路。

其他方案

此外还有人提出：不以词为单位，而以句子语义为单位嵌入水印以增强抗改写能力的方案（如SemStamp）、嵌入用户ID等信息的方案，以及公开密钥让任何人都能验证的方案等。

检测思路

LLM水印的检测有以下特点。

需要密钥：在大多数方案中，没有嵌入水印时所用的密钥就无法检测。因此，能检测的基本上只有嵌入水印的公司或获得密钥共享的人。
结果以概率表示：检测结果是「很可能有水印」「没有」「无法判断」之类的概率性判断。
需要一定长度：文本太短就无法进行统计判断。研究中多以200个token左右的文本进行评估；据报告，OpenAI的textGrain在误判率控制在1%的条件下，对心理学等领域的文本，200个token时检出率约为80%，400个token时约为95%。
答案固定的文本难以嵌入：像程序代码、固定格式文本、回答事实的文本这样，下一个词几乎唯一确定时，让选词产生偏向的余地很小，水印就会变弱。

弱点与攻击

研究已经揭示了LLM水印的一些弱点。

改写：用另一个AI改写后，水印会大幅减弱。OpenAI公布，把25%的词替换为同义词后，textGrain的检出率会降至17%。
翻译：已有研究表明，先让AI用另一种语言生成文本再翻译回来，水印就会消失。
表情符号攻击：还有一种已知的手法，是让AI在每个词之间插入表情符号，之后再删除表情符号，从而破坏水印。
伪造：推测水印规则、在人写的文本上伪造水印的攻击也在被研究。有研究通过对API的查询推测出水印规则，以不到50美元的成本，使伪造和去除的成功率都超过了80%。
开放模型：对于任何人都能运行的模型，嵌入水印的处理可以被直接去掉。

各公司的应对情况

继谷歌之后，Anthropic和OpenAI也在2026年开始为自家AI生成的文本嵌入水印。

OpenAI：2024年时，OpenAI以容易通过翻译等方式规避、以及非英语母语者的使用可能遭到不当怀疑为由，对引入文本水印持谨慎态度。2026年10月5日，OpenAI改变方针，发布了自研水印「textGrain」。它在欧盟的ChatGPT和Codex中导入，在API中全球用户均可选择使用。详见「textGrain是什么」。
Google：开发了SynthID Text，并于2024年宣布已在Gemini中使用。该技术已开源发布。详见「SynthID Text是什么」。
Anthropic：在Claude生成的文本中嵌入水印。2026年8月2日及以后发布的模型从发布时起即支持，更早的模型在Anthropic自家的服务中也已嵌入水印。其方案基于SynthID Text，由于没有可靠的方法按地区分别应用，因此在全球统一应用。
Meta：开源发布了用于文本水印研究的工具「TextSeal」。

OpenAI和Anthropic的检测器都仅提供给通过审核的研究人员和监管机构等，普通人无法自由使用。

监管动向

LLM水印得以推广的一大原因是监管。

欧盟：《人工智能法》第50条要求生成包括文本在内的内容的AI提供者，以机器可读的形式标识输出，使其能够被检测为AI生成。该规定自2026年8月2日起适用。不过，根据2026年对《人工智能法》的修订（数字综合法案，Digital Omnibus），仅对在该日期之前已投放市场的AI系统，就机器可识别标识义务设置了至2026年12月2日的宽限期。OpenAI、Google、Anthropic、Meta、Microsoft、Mistral等已签署说明具体方法的行为准则。
中国：自2025年9月1日起，强制要求对AI生成内容进行标识的规定已经施行。它要求在文本中添加可见标识，并在文件元数据中加入不可见的标识。添加数字水印仅为推荐做法。
日本：日本总务省和经济产业省发布的《AI事业者指南》（AI Guidelines for Business）要求开发先进AI的组织，在技术上可行时使用数字水印等手段，引入可识别AI生成内容的机制（不具有法律约束力）。

不同立场的注意事项

用户、教育工作者

文本水印检测器只向有限的机构开放，普通人几乎无法检测手头的文本。而且，没有发现水印并不能证明文本是人写的。AI检测工具的结果也只是推测，因此应避免将其作为断定学生或应聘者的文章由AI生成的依据。

开发者

如果基于开放模型构建自己的服务，可以用以下工具嵌入水印。

Hugging Face Transformers：同时支持绿名单方案和SynthID Text，生成文本时只需传入配置即可使用
vLLM：2026年9月发布的0.30.0版本内置了水印功能（Gumbel-max方案）。在启动服务器时设置方案和密钥。不过，温度设为0的生成和束搜索（beam search）不会嵌入水印
MarkLLM：可以集中试用多种方案的研究工具包

密钥一旦泄露，水印就可能被伪造，因此需要谨慎管理密钥。