LLM浮水印是什麼？AI文字數位浮水印（watermark）的原理、方式與各公司因應

AI寫的文字，要怎麼辨識出來？研究顯示，依文字特徵推測的AI偵測工具，光靠改寫就能輕易繞過。因此，在AI生成文字的階段就嵌入看不見之記號的LLM浮水印（LLM watermarking）受到矚目。繼Google於2024年在Gemini中開始使用後，Anthropic和OpenAI也在2026年開始為自家AI生成的文字加入浮水印，法規層面也開始提出要求。本文依據論文與官方資訊，以截至2026年10月9日的情況，整理LLM浮水印的原理、主要方式、限制，以及各公司的因應。

LLM浮水印是什麼

LLM浮水印是一項在LLM（大型語言模型）生成的文字中，嵌入人無法察覺之統計記號的技術。它不是在文字中加入符號或不可見字元，而是讓AI選擇下一個詞的方式產生細微偏向，藉此留下記號。

LLM在生成文字時，會為下一個詞（精確來說是token）的候選分配機率，並從中選出一個，如此反覆進行。LLM浮水印會在這個選擇過程中加入以秘密金鑰為基礎的規則。知道金鑰的人查看文字時，可以從統計上確認「符合規則的詞多到不可能是巧合」。

與AI偵測工具和C2PA的差異

辨識AI文字的方法，除了LLM浮水印之外，還有以下幾種。

AI偵測工具：事後依文字特徵推測AI痕跡。即使沒有記號也能使用，但終究只是推測。有研究顯示，只要用另一個AI改寫一遍，其中一款偵測工具（DetectGPT）的檢出率就從70.3%降到4.6%
C2PA（內容憑證，Content Credentials）：為檔案附加附帶簽章的來源資訊。適用於圖片和文件檔案，但無法附加在會被複製貼上的一般文字上

Anthropic對Claude的輸出也分開使用：文字用浮水印，生成的檔案用C2PA。關於C2PA，請參閱「C2PA是什麼」。

主要方式

LLM浮水印有幾個流派。以下介紹其中的代表。

綠名單方式

這是馬里蘭大學研究人員於2023年發表的代表性方式（Kirchenbauer等人，ICML 2023）。

根據前一個詞和金鑰，每次都把詞彙重新分為「綠名單」和「紅名單」
為綠名單中的詞稍微加分，讓它們稍微更容易被選中
檢測時，計算綠名單詞的數量，並以統計檢定判斷是否多到無法用巧合解釋

論文顯示，在200個token的文字上檢出率約為98%以上。原理淺顯易懂，Hugging Face的Transformers中也有實作。另一方面，由於會讓選詞產生偏向，可能對文字品質造成輕微影響。

不改變分布的方式

為了消除對文字品質的影響，也有研究在不改變AI原本選擇機率的前提下嵌入浮水印。

Aaronson方式：由2022年在OpenAI從事研究的電腦科學家Scott Aaronson介紹的方式。以金鑰產生的亂數決定選詞，他表示數百個token就能得到足夠的記號
強健的方式：史丹佛大學的研究人員提出一種即使40%至50%的詞被隨機改寫也能檢測的方式（Kuditipudi等人，2023年）
無法區分的浮水印：也有研究從理論上證明，在沒有金鑰的情況下，要區分帶浮水印的文字與原始AI文字在計算上是困難的（Christ等人，2023年）

Google的SynthID Text和OpenAI的textGrain，也都以這種「維持品質」的思路為基礎。

其他方式

另外也有人提出：不以詞為單位，而是以句子語意為單位嵌入浮水印以強化抗改寫能力的方式（例如SemStamp）、嵌入使用者ID等資訊的方式，以及公開金鑰讓任何人都能驗證的方式等。

檢測的概念

LLM浮水印的檢測有以下特點。

需要金鑰：在大多數方式中，沒有嵌入浮水印時所用的秘密金鑰就無法檢測。因此，能檢測的基本上只有嵌入浮水印的公司，或獲得金鑰分享的人。
結果以機率表示：檢測結果是「很可能有浮水印」「沒有」「無法判斷」之類的機率性判斷。
需要一定長度：文字太短就無法做統計判斷。研究中多以200個token左右的文字進行評估；據報告，OpenAI的textGrain在誤判率壓在1%的條件下，對心理學等領域的文字，200個token時檢出率約80%，400個token時約95%。
答案固定的文字難以嵌入：像程式碼、制式文字、回答事實的文字這類下一個詞幾乎只有一種可能的情況，讓選詞產生偏向的空間很小，浮水印就會變弱。

弱點與攻擊

研究已揭示LLM浮水印的一些弱點。

改寫：用另一個AI改寫後，浮水印會大幅減弱。OpenAI公布，將25%的詞替換為同義詞後，textGrain的檢出率會降到17%。
翻譯：已有研究顯示，先讓AI用另一種語言生成文字再翻譯，浮水印就會消失。
表情符號攻擊：還有一種已知手法，是指示AI在每個詞之間插入表情符號，之後再刪除表情符號，藉此破壞浮水印。
偽造：推測浮水印的規則、在人寫的文字上偽造浮水印的攻擊也正被研究。有研究透過對API的查詢推測出浮水印規則，以不到50美元的成本，讓偽造和移除的成功率都超過80%。
開放模型：對於任何人都能執行的模型，嵌入浮水印的處理可以直接被拿掉。

各公司的因應情況

繼Google之後，Anthropic和OpenAI也在2026年開始為自家AI生成的文字加入浮水印。

OpenAI：2024年時，OpenAI以容易透過翻譯等方式規避，以及可能讓非英語母語者的使用遭到不當懷疑為由，對導入文字浮水印抱持謹慎態度。2026年10月5日，OpenAI改變方針，發表了自家的浮水印「textGrain」。它在歐盟的ChatGPT和Codex中導入，在API中則全球皆可選擇使用。詳見「textGrain是什麼」。
Google：開發了SynthID Text，並於2024年宣布已在Gemini中使用。該技術已開源發布。詳見「SynthID Text是什麼」。
Anthropic：在Claude生成的文字中加入浮水印。2026年8月2日以後發布的模型從發布時起即支援，更早的模型在Anthropic自家的服務中也已加入浮水印。其方式以SynthID Text為基礎，由於沒有可靠的方法依地區分別套用，因此在全球統一套用。
Meta：開源發布了用於文字浮水印研究的工具「TextSeal」。

OpenAI和Anthropic的偵測器都僅提供給通過審查的研究人員和監管機關等，一般大眾無法自由使用。

法規動向

LLM浮水印得以普及的一大原因是法規。

歐盟：《人工智慧法》第50條要求生成包含文字在內之內容的AI提供者，以機器可讀的形式標示輸出，使其能被檢測為AI生成。這項規定自2026年8月2日起適用。不過，依據2026年對《人工智慧法》的修正（數位綜合法案，Digital Omnibus），僅針對在該日期之前已上市的AI系統，就機器可辨識標示義務設置了至2026年12月2日的寬限期。OpenAI、Google、Anthropic、Meta、Microsoft、Mistral等已簽署說明具體做法的行為準則。
中國：自2025年9月1日起，強制要求標示AI生成內容的規定已經施行。它要求在文字中加上可見的標示，並在檔案的中繼資料中加入不可見的標示。加入數位浮水印則僅為建議做法。
日本：日本總務省與經濟產業省的《AI事業者指引》（AI Guidelines for Business）要求開發先進AI的組織，在技術上可行時使用數位浮水印等手段，導入可辨識AI生成內容的機制（不具法律約束力）。

不同立場的注意事項

使用者、教育工作者

文字浮水印的偵測器只對有限的機構開放，一般人幾乎無法檢查手邊的文字。而且，沒有發現浮水印並不能證明文字是人寫的。AI偵測工具的結果也只是推測，因此應避免將其當作斷定學生或應徵者的文章由AI生成的依據。

開發人員

若以開放模型打造自家服務，可以用以下工具加入浮水印。

Hugging Face Transformers：同時支援綠名單方式和SynthID Text，生成文字時只要傳入設定即可使用
vLLM：2026年9月發布的0.30.0版本內建了浮水印功能（Gumbel-max方式）。在啟動伺服器時設定方式和金鑰。不過，溫度設為0的生成和束搜尋（beam search）不會加入浮水印
MarkLLM：可集中試用多種方式的研究用工具包

金鑰一旦外洩，浮水印就可能遭到偽造，因此需要謹慎管理金鑰。