这篇文章被判 70% 像 AI，Claude 水印却不看文风
这篇文章的初稿写完后，我收到一份判断：AI 撰写概率约 60%–70%。
理由很具体：结构太规整，技术细节来自公开资料，没有第一人称实践，语气也缺少起伏。评估最后建议，如果要绝对确认，可以检查文章里有没有 Claude 水印。
这个建议恰好把两种检测混在了一起。60%–70% 是读完文风后的猜测；水印则是生成模型主动留下、检测器按规则读取的信号。文章写得像不像 AI，对后者没有影响。
Claude 的水印大概率藏在许多次 token 选择的统计偏差里，检测器无须分析文风。
“肉眼不可见”不等于零宽字符
8 月 10 日更新的 Anthropic 支持页 说，支持水印的新 Claude 模型会把标记直接放进文本。复制到邮件、文档或者网页里，水印会跟着过去，改动一部分文字后也可能继续存在。
看到“肉眼不可见”，第一反应很容易是去找零宽空格。既然只是几个藏在字缝里的 Unicode 字符，找出来删掉，正文一个字都不用改。
官方列出的限制对不上这种猜法：太短的文字没有足够信号，重度改写、翻译和混入其他文字会让检测失效，而且水印在模型层加入，覆盖 Claude、API、Claude Code 以及云厂商托管的模型。
欧盟的 AI 生成内容透明度准则 也把 200 token 作为自由文本必须加水印的界线，极短文本可以例外。检测显然需要积累样本；一个特殊字符用不着等这么久。
零宽字符还能被纯文本化、格式清洗和 Unicode 规范化一次删光。相比之下，分散在整段文字里的统计信号更符合官方描述：删掉几处，剩余信号还在；把每句话重新生成一遍，原来的规律才会被冲掉。
Anthropic 尚未公布技术细节，因此下面只能反推技术路径，不能把某篇论文直接当成 Claude 的实现。
每次选下一个 token，都轻轻偏一票
Kirchenbauer 等人在论文 《A Watermark for Large Language Models》 中给出了这类水印最直观的原型。
大模型按 token 逐步生成文字。它每次计算下一批候选的概率，选中一个，再带着新上下文继续下一轮。
假设提示词是“周末我打算去”，模型给“爬山”“看展”“加班”和“月球”都算出一个概率。“月球”在语法上说得通，概率却会非常低。
水印系统拿前文和一把秘密密钥做哈希，把这一轮的候选 token 临时分成两组。为了方便理解，可以叫它们绿名单和红名单。系统给绿名单里的候选加一点分，但不禁止红名单。假如“看展”和“月球”被分到绿色，“看展”被选中的机会会上升；“月球”原本太离谱，加完分通常还是轮不到它。
模型选完后，上下文发生变化，下一轮会重新划分名单。同一个词这次是绿色，下次可能就是红色。固定的“Claude 爱用词清单”并不存在，单独替换几个高频词也没有用。
这点偏移还要服从内容。当“法国的首都是”后面几乎只能接“巴黎”，或者代码语法只允许某个符号时，系统不能为了水印硬换答案。适合藏信号的，是多个说法都合理的地方。论文把这种选择空间叫作高熵；选择越少，能藏进去的信号越弱。
Claude 未必使用红绿名单的原版算法。Google 已投入生产的 SynthID-Text 改用 tournament sampling，还能配置成平均不改变原始 token 分布。具体方案可以不同，共同点是在采样阶段控制 token 的选择，再从整段结果里读取统计规律。
检测器在数一段统计偏差
以红绿名单方案为例，检测器会用同一套 tokenizer 切分待检测文字，再根据密钥、前文和算法版本，重建每一步的名单。它无须猜作者的文风，只要数实际 token 命中了多少次绿色。
为便于计算，假设每轮有一半候选属于绿色。普通文字写到 100 个 token，绿色命中数应该在 50 附近上下波动；加过水印的生成过程持续偏向绿色，可能命中 65 次或 70 次。一次多选到绿色说明不了什么，连续一百次都偏向同一侧，偶然撞上的概率就会降到很低。
这也解释了官方列出的几个现象。短句只有十几个 token，正常波动和水印偏移混在一起，检测器没有把握。复制粘贴没有改变 token 序列，统计结果自然不变。改掉几个词会破坏它们附近的计算，但未修改的长片段仍能提供信号。翻译或彻底重写等于重新采样整段 token，原来的偏差会大幅消失。
检测结果只能给出置信度，无法像校验文件哈希那样作绝对判断。文本太短、内容太固定、分数落在灰区时，检测器还可能选择沉默。
命中水印，也不能给作者定罪
Claude 对文件还有另一套标记。SVG、PNG、JPG 等支持的文件会附上 C2PA 签名元数据，用来记录文件经过 Claude 处理，并检查签名之后是否被篡改。这类元数据比文本统计信号更明确，但重新保存、转格式或截图都可能把它剥掉。自由文本没有稳定的元数据容器，才需要把信号铺进 token 里。
Anthropic 对检测结果的定义是“内容可能被 Claude 处理过”。一个学生自己写完作业，只让 Claude 修改语法，输出仍可能带水印；另一个学生让没有水印的模型代写全文，检测结果反而可能是阴性。学校如果把水印命中直接当成代写证据，会同时冤枉前者、放过后者。
所以那份评估里“用水印绝对确认”的建议并不成立。检测到标记，只能增加“Claude 处理过”的可信度；没有标记，也可能是旧模型生成、篇幅太短、被改写过，或者来自没有水印的其他模型。
文风检测器从成品猜过程，可以覆盖没有主动加水印的模型，代价是容易把“写得规整”错认成“由 AI 撰写”。水印只识别参与了这套机制的模型，范围更窄，证据却更可解释。两者都回答不了作者是谁。
回到开头的 60%–70%：它描述的是这篇文章给人的感觉，没有读到任何水印。Claude 水印检测器在意的，是那些散落在 token 选择里的统计偏差。