自 2026 年 8 月 2 日起，Claude 每一段生成文本都带上了隐形、机器可读的水印，生成的图像等文件还附带 C2PA 标准数字签名溯源元数据，全球生效、不可关闭。表面看这是合规功能，实质上是一则信号：AI 内容溯源正从「经验安全」跨入「可证安全」时代。
Claude 到底改了什么
Anthropic 的新版 Claude 模型（2026 年 8 月 2 日起发布）把水印直接嵌进生成文本：通过轻微偏置 token 选择，让水印在足够多的内容上可被机器检测，但人眼不可见、复制后依然保留。对于 SVG、PNG、JPG 等支持的文件类型，Claude 会附加符合 C2PA 开放标准的签名溯源元数据（Google、Adobe 同款体系），任何人都能验证文件是否经过 Claude 处理、之后有没有被篡改。
两个关键点：其一，这项政策全球生效且不可关闭，不只针对欧盟用户；其二，这不是 Anthropic 的一时兴起——它对应的是欧盟《人工智能法案》第 50 条对 AI 生成内容的透明性要求，Anthropic 也已签署欧盟行为准则。旧版模型将在过渡期内陆续补齐。溯源从「锦上添花」变成了「出厂默认」。
「隐形」背后的 77 年理论弧线
水印属于信息隐藏，其理论历史比多数 AI 公司都长：Shannon 在 1949 年提出设想，Cachin 在 1998 年给出信息论意义的安全定义，2002 年 Hopper 与 Blum 建立计算安全框架，2004 年又发展出公钥隐写。
瓶颈在于：所有可证构造都要求能精确采样载体分布，而自然文本做不到，理论因此沉寂了二十年。2018 年生成式模型打破僵局——学会了分布的模型本身就是显式采样器，由此催生了生成式可证安全隐写（中科大团队率先提出）：把消息加密成密文，用密文驱动采样，再逆采样恢复。
此后研究在极短时间内密集推进：基于椭圆曲线的公钥隐写（IEEE TIFS 2024）、去掉「收发双方同一模型」约束的无盒提取（IEEE TMM 2026）、借助推测采样把载荷率较黑盒方案提升 20 倍以上的灰盒方案（ACM CCS 2026），以及消除子词歧义、解决可靠提取的 SyncPool（IEEE TDSC）。
从信息隐藏到「可证无损」水印
关键桥梁是：如果嵌入水印不改变模型的采样分布，水印就在数学上「可证无损」。隐写需要大容量，而水印可以把容量换成鲁棒性——这恰恰是产业落地需要的。
这已经是现实而非理论：中科大的无损文本水印即插即用、无需改模型参数，支持单比特鲁棒鉴别与多比特模型归因，已在星火、安全 GPT 等平台上服务超过 1.3 万名开发者。「无偏水印」的同一思路也在国际扩散——ICLR 2024 的无偏构造、TMLR 2024 的鲁棒变体、ACL 2025 的多通道 MCmark。图像领域，Gaussian Shading（CVPR 2024）把水印映射进与正常生成不可区分的高斯潜变量，后续又用篡改定位（ICCV 2025）与语义绑定（ICML 2026）对抗伪造。前沿甚至延伸到模型水印——为模型本身提供可证无损的黑盒归属证明（IEEE TDSC 2026），其根基是 Goldwasser 团队的可证明不可检测后门（FOCS 2022）。
为什么这是结构变化，而非一个功能
对照加密的演进史：早期我们靠「够用就好」的密码学，当风险高到一定程度，可证构造就成了默认。AI 内容正处在同样的拐点。产业「工程化快跑」的水印时代撞上了天花板——改写擦除、伪造、子词歧义等攻击都证明经验安全不够用；而需求侧已变成监管：世界经济论坛把生成式水印列入 2025 十大新兴技术，欧盟更把透明性写进了法律。
由此，溯源正成为整个 AI 内容经济的信任层——就像签名之于软件、证书之于 TLS。无论你用哪家模型，这都会变成桌位筹码而非差异化卖点。攻防两侧的约束是对称的：防守方不愿为打水印牺牲质量，攻击方也无法在擦水印时压低质量而不等于重新生成内容。溯源本质是代价博弈，而「无损」让博弈双方的数学都成立。关于水印如何被攻破，可参见AI 文本水印攻防：为何被攻破。
现在该做什么
- 平台方：尽早把 C2PA 校验接入内容管线，别等溯源核查从功能开关变成合规门槛。
- AI 厂商：把溯源当成默认输出属性，优先选可证无损方案——它们能通过经验水印过不了的质量审查。
- 开发者：把水印当作信号之一而非唯一依据，配合请求日志与内容指纹一起用。
- 采购方：在招标与采购中把溯源保证写进条款——监管环境下它已是合规要件，而非营销卖点。
这是 AI 内容治理背后的推理层——「可证优先」的同一逻辑，预计会继续向图像、音频与模型发布流程蔓延。
