文本AI水印始终可以轻易去除
欧盟AI法案要求LLM输出必须可被检测为AI生成，但文本水印技术面临根本性挑战。与图像不同，文本是高度压缩的媒介，任何修改都可能被人类察觉。文章分析了SynthID和Unicode同形字两种水印方案的工作原理，并指出它们都存在致命缺陷：通过同形字替换或让未加水印的LLM改写文本，即可轻松去除水印。此外，欧盟要求的互操作性可能导致水印方案公开化，进一步削弱安全性。C2PA数字签名无法替代文本水印，因为它只适用于文件格式而非普通文本。最终，技术用户可随意剥离水印，非技术用户也将有大量工具可用。
背景速读
- 欧盟《人工智能法案》（AI Act）将于2026年8月生效，要求AI输出内容必须"可被检测为人工生成"，即强制加水印。这是全球最具影响力的AI监管法规之一。
- 文本水印远比图片/视频水印难做：图片有大量人眼不可见的噪声空间可藏信息，文本则是高度压缩的媒介，任何改动都会被察觉。
- Google的SynthID是目前唯一公开的文本水印方案。它利用大模型生成文本时"选词"的随机过程，通过一种数学评分方法在词汇选择上留下可检测的指纹，检测成本极低。
- OpenAI和Anthropic据推测在使用Unicode同形字符（homoglyph）水印——比如把普通空格偷偷换成肉眼无法区分的特殊Unicode空格字符形成特定模式——已有证据显示Claude Code曾用此方法标记某些用户的请求。
- 核心矛盾：无论哪种水印，技术上都很容易被移除。同形字符水印只需批量替换回标准字符即可清除；SynthID水印只需让另一个没有水印的模型（包括本地小模型）重新表述（paraphrase）文本，措辞一改指纹就没了。
- 欧盟还要求水印方案"互操作"（即公开技术细节），但这与文本水印依赖的"模糊安全"原则相悖——公开后更容易被针对性破解。C2PA数字签名元数据无法替代水印，因为它只适用于文件格式，不适用于聊天工具直接输出的纯文本。