“These limitations contribute to our decision to provide initial detector access only to approved researchers and expert organizations.” ——OpenAI，2026年10月5日博客公告（来源：https://openai.com/index/eu-text-provenance/）

“A missing watermark does not prove human authorship.” ——OpenAI，技术报告 textGrain：熵校准语言模型文本水印（与宾夕法尼亚大学、耶鲁大学联合研究）

2026年10月5日，一个技术上颇为低调、影响上却意义深远的公告从OpenAI发出：在欧盟区，ChatGPT和Codex生成的每一段文字，都将被打上一枚肉眼看不见的隐形水印。

这不是什么新产品发布，也不是商业差异化竞争的噱头。这是法规落地——是一个拥有12亿周活跃用户的平台，在监管压力下走出的第一步。

两个月前，2026年8月2日，《欧盟AI法案》（EU AI Act）透明度条款正式生效。法案要求所有在欧盟运营的AI公司，必须对AI生成的内容进行”以其他系统可识别的方式进行标记”。这条规定，一夜之间将OpenAI、Anthropic、Google、Meta、Microsoft全部置于法律义务之下。

现在，OpenAI给出了自己的技术答案：textGrain——一套与宾夕法尼亚大学和耶鲁大学研究人员联合开发的隐形水印技术，将语言模型的选词偏好作为隐写信道（steganographic channel），在AI生成的每段文字中悄悄植入一个统计指纹。

这个决定的意义，远超一个合规动作的范畴。它是AI内容治理领域一场更大较量的起始点。

第一章：textGrain，一种看不见的统计指纹

让我们先弄清楚textGrain到底是什么，以及它不是什么。

它不是在文章末尾添加”本文由AI生成”的免责声明，也不是改变任何可见的文字内容，更不是在文件元数据里藏一串编码。

textGrain是一种更隐秘、也更精妙的技术：通过微调语言模型的选词偏好，在文字本身的统计分布中植入一个隐形指纹。

根据OpenAI与宾夕法尼亚大学、耶鲁大学研究人员联合发布的技术报告，这个过程可以这样理解：

语言模型在生成每一个词时，都会给出一个”候选词排名列表”——哪些词更可能出现在这里。正常情况下，模型会根据语义和上下文概率选择排名靠前的词。而textGrain的做法是：引入一个秘密密钥（secret key），用这个密钥对候选词列表进行重新排序，让模型在统计意义上”微微偏向”某些词的选择——偏向幅度极小，单次完全察觉不到，但积累数百次这样的细微偏差，就形成了一个只有持有密钥的检测系统才能识别的统计指纹。

技术报告给出了一个具体示例：用秘密密钥对”下一个词预测”的结果进行排序，来完成一个句子。将数百个这样的”排序决策”叠加在一起，检测器就能在不访问模型的前提下，仅凭文本本身识别AI生成的内容。

这个指纹有一个关键特性：它随着文字本身传播。当你复制粘贴AI生成的内容到邮件、社交媒体、论文或任何地方，水印依然完整地附着在那些词汇的统计选择模式里。不需要文件元数据，不需要网络连接，不需要任何可见标记——指纹就藏在词与词之间的概率分布里。

OpenAI声称，开启水印功能后，模型的实际输出质量”没有出现有意义的变化”。也就是说，用户感受不到任何差异，但每段生成的文字都已经悄悄携带了证明其AI来源的统计DNA。

检测端的运作方式同样值得了解：检测器不需要访问模型，只需要文本本身和对应的密钥，就能通过统计分析判断这段文字是否由OpenAI的系统生成。整个过程是单向且不可逆的——就像哈希函数一样，你可以用密钥验证，但无法反向推导出原始的生成过程。

这套架构的技术名称——textGrain，字面上是”文本纹理”的意思——恰如其分。水印就像木材纹理一样，是材质本身的一部分，而不是刻在表面的标记。

第二章：谁能用，谁不能用——这个公告的四个关键边界

理解OpenAI这次公告的意义，需要仔细审视它划定的四条边界。这四条边界，揭示了OpenAI在合规和商业之间精心拿捏的策略逻辑。

边界一：地理限制——欧盟先行，全球观望

水印功能首先仅在欧盟部署——具体对象是欧盟区所有ChatGPT和Codex用户，覆盖所有套餐（包括免费用户），将在数周内分批推出。这个地理限定直接反映了法规驱动的本质：欧盟AI法案要求欧盟区域内遵守，OpenAI就先从欧盟开始。

与此形成鲜明对比的是，Anthropic在两个月前宣布的Claude水印是全球范围部署——无论用户在欧洲、美国还是亚洲，所有Claude的文字输出都会被打水印。这是两家公司在监管合规策略上的明显差异：Anthropic选择全球一刀切，OpenAI选择先满足法规最低要求，再根据市场反应决定是否全球推广。

这种差异背后是不同的商业考量。OpenAI的全球用户群中，非欧盟用户占绝大多数，如果强制全球打水印，可能在竞争激烈的企业市场上给对手留下”不打水印”的差异化空间。谨慎是OpenAI这次选择的核心逻辑。

边界二：API开发者的自愿选择——默认关闭

对于全球的API开发者，今天起可以对部分模型选择性开启水印功能——但默认关闭。这对企业客户来说是一个重要信号：OpenAI并不打算强制给所有API输出打水印，至少在这个阶段不会。

这为企业留下了选择空间。那些担心水印影响内容可信度的企业，或者担心水印反过来暴露自己大规模使用AI的客户，暂时还可以选择不开启。在内容营销、新闻媒体、法律文件等对”作者身份”敏感的场景里，这个选择权至关重要。

边界三：检测器不向公众开放——只有审批机构能用

这是最关键的边界之一：目前，textGrain的文本检测器仅向经OpenAI审批的研究人员和专家机构开放，不对普通用户或普通开发者开放。

这意味着：即使ChatGPT在你的对话框里生成了一段带有水印的文字，你——作为普通用户——没有任何工具去验证这段文字是否带有水印。水印的存在，从某种意义上说，目前是服务于监管机构和研究人员的，而不是服务于普通读者的内容鉴别需求。

OpenAI给出的理由是需要”评估可靠性和负责任使用的边界”——隐含的担忧是，如果检测器公开可用，有人可能会用它来系统性地测试哪些改写方式能绕过检测，从而反过来规避水印系统。这是一个安全考量，但也是一个让水印的实际价值大打折扣的决定。

边界四：全球默认——明确不做

OpenAI在公告中直接表示，此次不打算将文字水印作为全球默认功能。这与其多年前的内部决策逻辑一脉相承——据《华尔街日报》2024年报道，OpenAI已开发出文字水印技术但选择不发布，部分原因就是”如果只有我们打水印，用户会流向不打水印的竞争对手”。

法规把欧盟范围内的主要AI公司拉到了同一起跑线，这个顾虑才在欧盟消散。但在全球范围内，这个竞争逻辑依然存在——如果中国模型、开源模型不打水印，强制全球推出可能损害OpenAI在非欧盟市场的竞争力。

第三章：水印的阿喀琉斯之踵——92%降到66%究竟意味着什么

OpenAI在发布公告时展现了一种值得称赞的透明度——它把textGrain最致命的局限性直接写进了正文里：

只需替换文中约10%的词汇（例如用同义词替换），就能让检测成功率从92%降至66%。

我们把这个数字放到现实场景中理解：

一篇500词的文章，替换其中约50个词——这不是彻底重写，甚至不是大幅度修改，只是把”使用”换成”运用”，把”展示”换成”呈现”，把”重要”换成”关键”，把”方式”换成”途径”……一旦完成这个简单操作，检测率就从92%跌至66%。

这意味着什么？对于一个想要绕过水印系统的人来说，这个门槛低得令人不安。任何一个稍有写作能力的人，甚至是另一个AI系统（比如让GPT改写另一个GPT的输出），都可以轻松完成这样的改写。

OpenAI的技术报告还额外指出了三类检测困难的特殊场景：

短文本：一句话、一段话的简短回复，统计指纹不够稳定，检测可靠性下降。这意味着最常见的AI使用场景——快速的问答、简短的建议——恰恰是最难被检测的场景。

数学答案：数学表达式的选词空间极其有限（数字、符号、少数关键词），无法植入有效的统计偏差。在STEM教育领域，这是一个明显的盲区。

翻译内容：文本从一种语言翻译成另一种语言后，原语言中的词汇统计模式被完全破坏。如果用ChatGPT生成中文内容，再翻译成英文发布，水印大概率消失。

这些局限性的叠加，勾勒出textGrain当前能力的真实边界：它在长文本、直接引用、未经任何后处理的AI输出上效果相对可靠；但面对任何程度的人工润色或AI二次处理，检测能力就快速衰减。

面对这些局限性，OpenAI给出了一个在认识论上相当精准的回应：

水印的目的，不是证明一段文字一定是AI写的，而是当水印存在时提供一个”正向信号”。

公司的表述是：”没有检测到水印，不代表这是人类写的。”——这段内容可能来自另一家公司的AI，也可能来自被大量编辑的AI内容，也可能就是人类写的。水印只能告诉你”这里有AI的痕迹”，而无法告诉你”这里没有AI的痕迹就一定是人类创作”。

这是一种务实的承认：在AI内容的真相认证领域，没有绝对的确定性，只有概率和统计推断。

第四章：Anthropic先发，引发反弹——两种不同的监管合规哲学

时间线上有一个重要的先例值得详细梳理：2026年8月11日，就在EU AI Act透明度条款生效9天后，Anthropic宣布在全球范围为Claude的所有文字输出加水印。

Anthropic的方案在技术实现上稍有不同：除文字水印外，对于文件类输出，Anthropic还采用了C2PA开放标准（内容凭证与声明，Content Provenance and Authenticity），这是一个由Adobe、BBC、Microsoft等主导的行业标准，专门用于数字内容的来源认证。Anthropic承诺，2026年8月2日之后发布的所有模型将自动具备水印能力，同时也将为旧版模型补充支持。

根据Anthropic的支持页面描述，这套水印的传播机制与OpenAI的设计逻辑相同：”因为水印是文本本身的一部分，当用户复制粘贴时，水印会随文字一起传播，并在一定程度的编辑后依然保留。水印是在模型层面应用的，这意味着无论从哪个Claude产品或界面生成的文字，都会有这个水印。”

Anthropic的方案覆盖了Claude平台API、Claude应用、Claude Code、Claude Cowork和Claude Tag等所有产品线。

但Anthropic的全球推出立刻引发了强烈的用户反弹。部分Claude的重度用户——尤其是创意写作者、内容创作者和知识工作者——在论坛上表达了愤怒。Substack的CEO Chris Best甚至专门创造了一个词语——”Claudefishing”（Claude钓鱼），来描述那些用AI大量生成内容却不注明来源的行为，同时Substack与Pangram合作推出了检测AI生成通讯内容的工具。

用户反弹的核心论点集中在几个方向：

“工具”还是”合著者”之争：”我提供了完整的背景和上下文，我给出了所有指令，我做出了所有关键判断，Claude只是我使用的一个生产工具。凭什么我用Word打出来的文章不被称为’Microsoft生成的’，用Claude辅助的文章就要被贴上’AI生成’的标签？”

职业风险问题：一些用户指出，他们的工作合同明确要求”独立撰写”，如果他们的文章被AI水印检测器识别，可能会带来职业上的实际损失——尽管他们对文章做了大量的深度修改和润色。

创作权归属问题：这触及了一个更深层的哲学困境：当人类与AI深度协作时，内容的”作者”到底是谁？在什么比例的人类贡献之下，内容可以被合理地称为”AI生成”？如果一个记者用ChatGPT整理了采访录音，自己写了分析和结论，最终文章还算”AI生成”吗？

这场争论没有简单的答案，但它揭示了水印政策所面对的真实用户群体的复杂性：AI的使用场景远非”人类vs机器”的二元对立，而是一个连续谱，从”完全AI生成”到”AI辅助润色”到”仅用AI改变格式”，用户的使用方式千差万别，统一的”AI生成”标签是否公平，确实值得商榷。

OpenAI的欧盟限定方案，在一定程度上是在观察Anthropic的先例并吸取教训——通过”只在法规强制要求的范围内部署，全球API可选而非默认”的策略，把商业风险降到最低，同时满足最紧迫的监管合规需求。

值得一提的是，AI音乐平台Suno也在2026年8月宣布将对平台上生成的音乐打水印标记，同样是回应法律挑战的举措。这说明AI内容水印的推进，已经超出了文字领域，开始在音乐、图像、视频等多媒体内容上同步展开。

第五章：AI内容认证正在成为数字基础设施——为什么这比看起来更重要

把textGrain放在更宏观的视角下看，它代表的是一个更深层、更长期的行业趋势：AI生成内容的溯源与认证体系，正在成为数字信息社会的基础设施层。

考虑以下真实且日益普遍的场景：

学术诚信的灰色地带：一篇博士论文，理论框架是研究者的独立思考，数据分析是人工完成的，但文字润色是GPT辅助的——这算学术不端吗？学校的AI检测系统该如何定性？OpenAI自己也承认，短文本和经过编辑的内容很难被可靠检测，这意味着最常见的”AI辅助润色”场景恰恰是水印系统最薄弱的地方。

新闻内容真实性：一家媒体的报道，记者进行了原创采访，但新闻稿的初稿是用AI根据采访录音生成的，记者做了大量修改——这篇报道的”AI含量”是多少？读者有没有权利知道？在当前textGrain检测率因改写而显著下降的情况下，这个问题没有技术上的可靠答案。

法律文件的可信度问题：一份合同，条款框架是律师设计的，具体措辞是GPT生成的，律师做了审查和修改——当这份合同在法庭上被质疑时，AI水印检测结果会不会成为证据？成为什么性质的证据？各地司法体系对AI生成法律文件的态度还在迅速演变中，水印技术能否在法律认定上发挥实质作用，还完全未知。

信息战与选举影响：虚假新闻和政治宣传如果由AI大批量生成，水印系统能否提供可靠的溯源证据？当检测率在简单改写下降至66%，这个系统能在大规模信息操纵面前扮演什么角色？2026年美国中期选举临近，这个问题的政治敏感度已经显而易见。

这些问题的共同指向是：textGrain这样的技术，是人类社会试图在AI内容泛滥的时代重建”内容真实性”认知基础设施的第一批工程实验。技术局限性是真实存在的，但这不意味着这条路是错的——相反，正因为局限性如此明显，才需要更多的技术迭代、制度设计和公众讨论。

更深层的问题是：在一个AI内容随处可见的世界里，”AI生成”这个标签本身的意义是什么？如果最好的作家也在使用AI辅助，如果最权威的报道也有AI参与，”AI内容”和”人类内容”的边界是否已经在实践中模糊到无法厘清？

Anthropic、Google、Meta、Microsoft和OpenAI全部承诺遵守欧盟的AI生成内容透明度实践守则，这意味着整个行业已经在制度层面接受了一个前提：AI内容是可以、也应该被识别的。但从技术可靠性到用户接受度，从法律效力到商业可行性，这个前提的落地面临重重挑战。

第六章：两个对立视角的碰撞

支持者的视角：欧盟的立法者和AI安全研究者会说，textGrain代表了一个正确的方向，即使技术还不完善。首先需要建立规范，技术可以随后迭代改进。检测率从92%降到66%的下滑是现实的局限，但这并不意味着水印系统毫无价值——在大多数未经处理的AI内容场景中，92%的检测率已经足够在统计意义上建立有效的内容认证。随着技术进步，检测率会提高，绕过水印的成本也会增加。法规作为催化剂，将推动整个行业在这个方向上加速投入。Black Forest Labs（专注图像生成AI）、Synthesia（AI视频生成）等公司也在同步部署AI内容水印，整个内容认证生态正在快速成形。

批评者的视角：技术上的局限性不是”将来会修复的小问题”，而是揭示了一个根本性的困境：任何基于统计指纹的水印系统，都天然面对”改写攻击”的脆弱性。只要AI内容和人类内容之间的统计分布足够相似——而这正是好的语言模型的目标——水印的统计指纹就越来越难以维持。最终，高质量AI生成的内容和经过轻度润色的AI内容，可能从技术上难以与人类写作区分。在这种情况下，强制打水印既不公平（对使用AI辅助写作的人类创作者），也不有效（对真正想隐藏AI生成内容的人）。更根本的问题是：这套系统的”审批机构”才能访问检测器，普通公众完全无法自主验证——这是一个中心化的信任体系，而不是真正开放的透明系统。

这两种视角的张力，将在接下来数年内持续塑造AI内容监管的走向。水印技术本身会快速迭代，但关于”谁有权认证内容真实性”的权力问题，可能比技术本身更难解决。

尾声：一把看不见的钥匙，和它还未解答的问题

2026年10月5日，OpenAI宣布为欧盟区ChatGPT用户的文字打上隐形水印。在这个公告的背后，是《欧盟AI法案》的第一个重大合规截止日期，是Anthropic的先发之痛与用户反弹的前车之鉴，是整个行业正在悄悄构建的AI内容认证基础设施，以及一个充满不确定性的技术系统——92%的检测率，在10%的改写之下，坠落至66%。

OpenAI在技术报告中承认，”这是一个开始，而非终点”。他们把检测器仅向经审批的研究机构开放，是在说：我们知道这个系统还不完善，我们需要在受控环境下验证它，再决定如何负责任地推广。

但在这个开放式的结尾里，有一件事已经确定：欧盟AI法案透明度条款的落地，意味着AI内容的隐形印记从此不再只是一个技术实验，而是一项法律义务。从ChatGPT到Claude到Suno的音乐，一个关于AI内容如何被标记、追踪和认证的新基础设施，正在法规的推动下快速成形。

这场关于AI内容真实性的较量——带着隐形的密钥和统计的指纹——已经正式开始了。

延伸阅读：隐形水印的技术竞争格局

在textGrain之前，AI内容水印领域其实已经有多种技术路线并行发展。简单梳理一下这个技术生态，有助于理解OpenAI和Anthropic的选择背后的技术取舍：

统计偏好型水印（textGrain属于此类）：通过修改模型的词语选择概率分布植入指纹。优点是对用户完全透明、不影响输出质量；缺点是容易被改写攻击破坏。

元数据嵌入型水印：将AI生成的证明信息写入文件元数据（如PDF的XMP元数据）。优点是可以携带丰富的来源信息；缺点是一旦文件格式改变或内容被复制粘贴，元数据通常丢失。Anthropic对文件输出采用的C2PA标准属于这一类。

内容哈希型溯源：对生成内容计算哈希值并存档，配合API调用记录实现事后溯源。优点是准确度高；缺点是需要中心化的存档系统，且对隐私有较大影响。

频域隐写型水印：在图像、音频等媒体的频域中嵌入不可见信息（常见于图像和音频AI内容）。对文本不适用，但在多媒体AI内容认证中使用广泛。

OpenAI选择textGrain而不是元数据方式，核心原因就是可传播性——水印需要随着复制粘贴传播，而文件元数据做不到这一点。这个设计决策直接决定了textGrain对”内容被截取后分享”场景的覆盖能力，这也是最常见的AI内容传播方式。

这个技术格局还在快速演进。随着大型语言模型性能的持续提升，未来的水印技术将面临一个越来越困难的挑战：当AI生成的文本与人类写作在统计特征上越来越接近，基于统计偏差的水印可植入空间就越来越小。如何在”模型性能提升”和”水印可靠性”之间保持平衡，是这个领域接下来几年最核心的技术难题之一。

核心事实速览

项目 详情
公告日期 2026年10月5日
技术名称 textGrain（熵校准语言模型文本水印）
合作机构 宾夕法尼亚大学、耶鲁大学
触发法规 《欧盟AI法案》透明度条款，2026年8月2日生效
覆盖范围 欧盟全体ChatGPT/Codex用户（数周内推出）；全球API开发者可选择性开启，默认关闭
检测率 未改写约92%；替换约10%词汇后约66%
检测器可用性 仅限经OpenAI审批的研究机构和专家组织
Anthropic先例 2026年8月11日全球推出Claude文字水印，同时采用C2PA标准用于文件输出
承诺方 Anthropic、Black Forest Labs、Google、Meta、Microsoft、OpenAI、Synthesia均承诺遵守欧盟AI内容溯源实践守则

参考资料

  1. TechCrunch《OpenAI will start watermarking ChatGPT’s text in the EU》，2026年10月5日（记者：Aditya Mehta）：https://techcrunch.com/2026/10/05/openai-will-start-watermarking-chatgpts-text-in-the-eu/
  2. OpenAI官方博客《EU text provenance》，2026年10月5日：https://openai.com/index/eu-text-provenance/
  3. OpenAI技术报告《textGrain: Entropy Calibrated Watermarking for Language Model Text》（与宾夕法尼亚大学、耶鲁大学联合）：https://cdn.openai.com/pdf/e9508624-d767-41b6-a26d-e34ca798ada6/textgrain-entropy-calibrated-watermarking-for-language-model-text.pdf
  4. TechCrunch《Anthropic says it will watermark text generated by its AI models》，2026年8月11日（记者：Ivan Mehta）：https://techcrunch.com/2026/08/11/anthropic-says-it-will-watermark-text-generated-by-its-ai-models/
  5. TechCrunch《Some Claude users are mad that Anthropic’s new watermarks will catch them cheating at their jobs/classes》，2026年8月12日：https://techcrunch.com/2026/08/12/some-claude-users-are-mad-that-anthropics-new-watermarks-will-catch-them-cheating-at-their-jobs-classes/
  6. 欧盟委员会《Guidelines on AI Transparency Obligations under the EU AI Act》：https://digital-strategy.ec.europa.eu/en/policies/guidelines-ai-transparency-obligations
  7. 欧盟委员会《Strong backing for code of practice on transparency of AI-generated content》：https://digital-strategy.ec.europa.eu/en/news/strong-backing-code-practice-transparency-ai-generated-content
  8. The Wall Street Journal《OpenAI Built a Tool to Detect ChatGPT Cheating. It Decided Not to Launch It》，2024年：https://www.wsj.com/tech/ai/openai-tool-chatgpt-cheating-writing-135b755a