01≈
生成式水印
生成时主动改变像素、声谱、视频帧或词语选择，让内容携带统计上可识别的隐藏信号。
- 验证依据
- 嵌入规则或密钥
- 典型问题
- 信号是否仍然存在
AI CONTENT · PROVENANCE · WATERMARK
AI 水印：给生成内容留下可验证的来路
真正的水印不是事后“闻一闻 AI 味”，而是在生成过程或来源链中预先埋入可验证信号。它能增加追溯线索，却不是永不磨损的数字 DNA。
+
来源凭证
+
上下文证据
≠ 单凭文风定罪
00 · 引言
别只问“像不像 AI”，先问“能否证明从哪来”
一张图片可以被重绘，一段录音可以被转码，一篇文章可以被润色。内容越容易复制和改写，仅凭肉眼或文风猜测来源就越不可靠。
“AI 水印”想解决的不是审美问题，而是来源与责任问题：某段内容是否由支持水印的模型生成？它在传播中经历过哪些编辑？验证者拿到的信号有多强，又有哪些部分已经丢失？
生成工具
产生内容与来源信号
本文的核心区分
水印是预先嵌入的信号，检测器是事后做出的概率判断，内容凭证是带签名的来源履历。三者可以互补，但不能互相冒充。
01 · 概念拆分
先分清三件经常被叫作“AI 水印”的东西
媒体报道和产品界面常把不同技术混称为“AI 检测”。判断一项能力是否可靠，第一步是看它到底在验证什么。
02?
AI 检测器
事后观察困惑度、句式、词汇分布或分类模型输出，估计文本“像不像”某类生成内容。
- 验证依据
- 风格与分布特征
- 典型问题
- 它有多像训练样本
03✓
内容凭证
把创作工具、编辑动作、时间和签名写入可验证清单。C2PA 等规范属于这一来源证明路线。
- 验证依据
- 数字签名与声明链
- 典型问题
- 谁声明了哪些过程
| 方法 | 需要生成方配合 | 能否直接证明来源 | 常见弱点 |
|---|---|---|---|
| 生成式水印 | 需要 | 证明“匹配某嵌入规则” | 改写、裁剪、转码会削弱信号 |
| AI 检测器 | 不需要 | 不能，只给出推断 | 分布漂移、短文本与误判 |
| 内容凭证 | 需要工具或流程签名 | 可验证签名声明 | 凭证可被移除，签名者也可能声明错误 |
02 · 图像、音频与视频
把信号藏进“人不敏感、机器可统计”的位置
多媒体内容有大量连续数值：像素亮度、颜色通道、频率成分、时间序列。水印系统可以在不明显影响观看和聆听的前提下，对这些数值做微小、分散的调整。
图像
在像素空间或频域中分散嵌入信号。好的设计会同时考虑压缩、缩放、裁剪、截图和滤镜后的可检测性。
音频
利用人耳掩蔽效应或频谱结构嵌入模式，但降噪、重采样、变速和背景音乐都可能改变信号。
视频
需要在空间与时间两个维度维持一致性，还要面对转码、抽帧、局部剪辑和录屏等传播操作。
来源凭证
不必把全部证据藏进内容本身，而是用签名清单记录创作与编辑链。它更像“数字履历”，不是内容分类器。
不可感知性尽量不影响原内容
↔
可检测性验证时信号足够明显
↔
鲁棒性常见编辑后仍能保留
三者通常需要权衡：信号太弱容易丢失，太强又可能影响质量；对所有变换都鲁棒，也可能增加误识别或被攻击者定位的风险。
03 · 文本概率水印
文字没有像素，水印就藏在“下一个词怎么选”里
语言模型每一步都会给候选 token 分配概率。经典文本水印方案根据前文和秘密规则，把候选词表伪随机分成“绿色集合”和其他集合，再给绿色候选增加很小的概率偏置。
读取上下文
模型根据已经生成的 token 预测下一步。
划分候选
验证规则把一部分候选标成“绿色”。
轻微偏置
不是强制选词，只是稍微提高绿色候选概率。
统计验证
长文本中绿色 token 若显著偏多，就形成检测信号。
实验 01 · 教学模拟
观察微小偏置如何累积成统计信号
下面假设候选中一半被标绿。普通生成随机命中；带水印生成更偏向绿色。真实系统会使用更复杂的上下文规则、采样策略和阈值。
绿色 token0 / 24
示意 z-score0.00
注意：这只是概率教学动画，不是任何真实产品的检测器；“绿色”也不会在真实文本中显示出来。
简化统计量
z =（观察到的绿色数 − 随机期望数）÷ 标准差
z 值越大，只表示“这段 token 序列与某套水印规则越匹配”。它不自动证明作者身份，也不适用于未采用该规则的模型。
04 · 风格检测
检测器常看的四项指标，到底在量什么
这些指标描述的是文本风格和统计规律。它们可以帮助研究者比较文本，却都不是 AI 的专属指纹。规范公文、教材、语言学习者作文或经过编辑的文章，都可能呈现相似特征。
01
困惑度
predictability衡量一段文字对某个语言模型来说有多难预测。下一个词越符合模型预期，困惑度越低；罕见转折、专有表达或不常见组合通常会让它升高。
困惑度 ≈ exp（平均“猜错程度”）
依赖具体计算模型；同一段文字换一个模型，结果可能不同。低困惑度不等于 AI 生成。
02
句长方差
rhythm先统计每句话有多少词或字，再观察这些长度围绕平均值波动多大。长短句交替时方差较高，句子整齐时方差较低。
方差 = 各句长度与平均值之差的平方，再取平均
它只刻画节奏的一部分。更广义的“突发性”还包括信息密度、段落结构和表达变化。
03
功能词频率
style markers“的、了、在、和、但、因为、如果、这、那”等词主要承担语法和连接作用。主题含义不强，却会暴露作者或文体的使用习惯。
功能词频率 = 功能词数量 ÷ 总词数
文体计量会利用这类稳定习惯，但编辑、领域、语言水平和写作任务都会改变它们。
04
词汇多样性
vocabulary描述一段文字用了多少不同的词。最直观的是类型—词次比：不同词数除以总词数，越接近 1，表面上重复越少。
TTR = 不同词数 ÷ 总词数
简单 TTR 会随文本变长而自然下降。正式分析常用 MATTR、MTLD 等对长度更稳健的指标。
统计特征 ≠ 来源证明
这些指标适合回答“文本在某个维度上是什么风格”，不适合单独回答“究竟是谁写的”。如果把指标当成目标，作者还会主动改句长、替换词语来“刷分”，这正是古德哈特定律常见的陷阱。
05 · 互动实验
给一段文字做“风格体检”
修改下方文字，观察句子数、句长方差、功能词频率和简单 TTR 如何变化。实验在浏览器本地运行，不会上传输入内容。
实验 02 · 本地计算
文本风格体检
🔒 计算仅在当前页面完成。中文分词优先使用浏览器的 Intl.Segmenter，不同浏览器结果可能略有差异。
这里展示的是描述性统计，不会给出“人类 / AI”结论。
06 · 能力边界
水印为什么会变弱，检测器为什么会误判
任何验证信号都存在威胁模型：它假设攻击者能做什么、内容会经历什么处理、验证端掌握什么信息。脱离这些前提谈“准确率”，意义很有限。
同义替换与重写
文本 token 被大量替换后，概率水印的统计偏置可能下降；风格检测分数也会随编辑策略改变。
跨语言重建
翻译通常重新选择词语与句法，原语言中的 token 水印难以原样保留。
证据长度不足
删去大量段落会减少统计样本；短文本本来就更难区分随机波动与真实信号。
多人、多模型拼接
一部分由模型生成、一部分人工编辑时，单一标签无法描述整篇内容的复杂来源。
截图、压缩与录屏
多媒体传播会改变底层数值。鲁棒水印可能保留，但普通元数据和脆弱信号容易丢失。
凭证不再随文件传播
内容凭证可能在平台转存时被移除；没有凭证只能说明“未发现凭证”，不能反推内容一定虚假。
从弱到强的来源证据
- 弱“读起来很像 AI”主观印象，容易受偏见影响
- 风格检测器分数依赖模型、语言、领域与长度
- 与已知水印规则匹配需要生成方采用并保留信号
- 强签名凭证 + 平台记录 + 上下文核验多条独立证据相互印证
07 · 实际工作流
需要判断来源时，按证据强弱逐层核验
一套稳健流程不从检测器分数开始，而从可验证来源开始，并把“没有发现证据”和“证明不存在”严格区分。
先检查来源凭证
查看文件是否携带可验证的 Content Credentials / C2PA 声明，确认签名主体、编辑链和凭证状态。
再使用对应平台的水印验证
只有验证器与生成时的嵌入方案匹配，结果才有意义。不要拿 A 平台的检测规则判断 B 平台内容。
核对原始文件与传播上下文
保存原文件、上传记录、版本历史、发布时间和作者说明。截图与转发件往往已经丢掉关键元数据。
把通用检测器当弱信号
记录工具名称、版本、语言、文本长度和阈值。多个相似工具并不一定是独立证据，它们可能共享训练偏差。
重大结论必须人工复核
涉及学术诚信、招聘、司法、版权或纪律处分时，应允许申诉，并结合草稿、引用、过程记录等证据。
推荐结论写法
“在当前文件中发现了与某方案匹配的来源信号，置信程度为……”
而不是
“系统判定这一定是 AI 写的。”
08 · 负责任使用
水印是治理基础设施，不是自动裁判
说明验证的对象
清楚写明验证的是签名、特定水印，还是风格概率，不用模糊的“AI 率”掩盖差异。
风险越高，证据越强
内容推荐可以使用弱信号辅助排序；处分个人则需要更高证据门槛和独立复核。
允许补充过程证据
保留草稿、版本历史、引用来源和编辑记录，让被判断者有机会解释异常分数。
别把追溯变成监控
来源系统应尽量少收集个人信息，明确保存期限、访问权限和滥用防护。
可信的目标不是让每段内容都带着无法擦除的标签，而是让重要场景拥有足够、可解释、可复核的来源证据。
09 · 参考资料
继续阅读
以下资料用于核对本文的技术框架与边界。外部规范和产品能力会更新，使用前应再次确认其当前说明。
参考文章什么他妈的叫他妈的人味关于困惑度、突发性、词汇分布与检测边界的中文摘要
论文A Watermark for Large Language ModelsKirchenbauer 等，文本概率水印的代表性方案
论文Scalable watermarking for identifying large language model outputsSynthID-Text 的大规模部署与评估
官方介绍Google DeepMind · SynthID文本与视频水印的产品化思路
开放规范C2PA Specifications内容来源与真实性基础设施
公共项目Content Credentials查看内容凭证如何向普通用户呈现
AI 水印真正改变的，不是我们猜测内容的方式，而是我们保存证据的方式。
从“看起来像”走向“能够验证”，才是可信内容基础设施的起点。