Claude 文本水印拆解：锦标赛采样与中国合规

本文基于 Sebastian Raschka 于 2026 年 8 月 22 日发布的博客与视频讲座 How Claude Watermarks AI-Generated Text 展开。Raschka 是《Build a Large Language Model From Scratch》一书作者，这次他用 50 多张幻灯片和 48 分钟视频，把 Anthropic 8 月 14 日公告里那篇「几乎没有一张图」的水印说明重画了一遍。我们在这个基础上补两件他没展开的事：一个技术上的常见误读，一个中国合规上被忽略的边界。

先把一个流传甚广的误读挡在门外：不是绿名单，是锦标赛采样

国内很多转述稿把 Claude 的水印说成「给一半词表加权、生成时偏向绿名单」——这是 Kirchenbauer 等人 2023 年那篇 A Watermark for Large Language Models 的做法：把词表随机分成绿名单和红名单，采样时在绿名单 logits 上加一个偏置 δ，检测时数被采样文本里绿名单 token 的占比，跑一个 z 检验。逻辑简单，实现门槛低，是学界一年多来的默认参考实现。

但 Raschka 明确指出 Claude 用的不是这套。它走的是 Google DeepMind 2024 年发在 Nature 上的 SynthID-Text 那条路线——锦标赛采样（tournament sampling）。机制不同、失真曲线不同、可检测性也不同，把两者混为一谈会得出错误的合规判断。

简单还原一下锦标赛采样。模型算出下一 token 的概率分布后，先按分布抽一批候选（比如 8 个 token），然后启用一组由密钥派生的随机水印函数 g1、g2、g3……每个函数为每个候选 token 打一位二进制签名，1 或 0。这批候选在多轮两两 PK 中赛跑：g1 打分最高的进入下一轮，再用 g2 淘汰一半，直到剩最后一个胜者。这个胜者就是被输出的 token。

关键之处在于：因为候选本身是按模型正常概率抽出来的，被水印函数「拽」的只是同一批高概率候选之间的排序，不是压低正确答案的概率。这跟绿红名单方案有一个根本区别——绿名单会持续向被随机划为「绿」的那半词表倾斜，输出统计上一定有偏；锦标赛采样只在已经可选的高概率候选里做偏好选择，token 分布的一阶矩理论上没被扰动。这也是 Anthropic 和 Google 都强调「不损失质量」的技术依据，不是营销话术。

图说：Sebastian Raschka 视频讲座第 3 页幻灯片，展示 Anthropic 8 月 14 日公告《How Claude's text watermark works》。图片来源：Sebastian Raschka / magazine.sebastianraschka.com

检测环节的一个反直觉：不需要跑 LLM，也不需要调 Anthropic 的 API

很多人以为「Anthropic 加的水印，得把文本送回 Anthropic 去检」。Raschka 在讲检测部分时特意停下来强调：不需要。检测端手里只要有那批水印函数和密钥种子生成器，就够了。拿到疑似 AI 文本后，按 tokenizer 切成 token，用同一批 g 函数给每个 token 打分，看平均分是否显著高于随机基线。超过阈值判为水印文本，低于则判否。

这个性质有两面。好的一面是：检测方（比如学校、出版机构、搜索引擎）如果能拿到密钥授权，可以本地部署检测器，不用把可疑内容外发，隐私合规友好。差的一面是：一旦密钥泄露，任何人都能一次性绕过水印——不是「更容易」，是「等价于没有」。密钥安全等级从此和 CA 根证书一个量级，而 Anthropic 目前公开的授权路径还没有明说。

Raschka 的一句预言，也是这套水印的物理天花板

讲到「去水印」时，Raschka 讲了一段很诚实的话：水印只被应用在模型有多个高概率候选的 token 位置上，也就是「哪些位置被打了水印」这件事本身就是隐藏信息。你可以粗暴地把所有 token 挨个改一遍，但这会损伤文本质量；你可以只挑一部分改，但你不知道你改的是不是恰好那些被打了水印的位置。

所以他的预言是：**未来常见工作流会变成 Claude 生成 → 本地小模型逐段轻度改写 → 交付。**不需要多么高级的对抗攻击，一个跑在本机上的开源 8B 模型做同义改写、语序调整，就能把水印稀释到检测阈值以下，同时输出仍然可读。这就是为什么 Anthropic 自己在公告里把水印定位为「a way of determining the likelihood」——概率工具，不是判定工具。

落到中文语境还要额外加一个失效场景：翻译。把 Claude 的英文输出机翻或人工翻译成中文，源侧 tokenization 完全打乱，水印函数序列彻底对不上。跨语言场景下的鲁棒性，SynthID-Text 论文里承认是弱项，这个短板在中国场景下会被放大——因为大量 Claude 生成的英文内容在中国传播时都要经过翻译这一步。