OpenAI 给文本加水印，默认只在法律要求的地方

这则公告发布于 2026 年 10 月 5 日，背景是《人工智能法》（欧盟第 2024/1689 号条例）第 50 条：自 2026 年 8 月 2 日起，该条款要求生成式 AI 提供者以机器可读的格式标注合成内容。OpenAI 在其 Developer Community 上写道，将在 ChatGPT 和 Codex 生成的文本中嵌入隐形水印，“未来几周内”面向所有套餐的符合条件用户推出——而且仅限欧盟。API 的做法则正好相反：全球客户现在就可以为部分模型开启该功能，但它默认关闭，用公司的话说，“上线时不会成为全球默认设置”。此前水印主要用于图片和视频；文本的处境更为不利，因为只要改写或翻译就足以削弱信号，有时甚至能将其抹去。

这项技术名为 textGrain，它不会添加隐藏字符、不可见空格或奇怪的标点：据帮助中心和技术报告介绍，它在模型生成时以统计方式改变词元的选择。这份日期为 10 月 5 日的报告共有九位署名作者——五位来自 OpenAI（Arzav Jain、Florent Joly、Mike Lam、Qingquan Song，以及通讯作者 Weijie Su），四位学者来自宾夕法尼亚大学（Xiang Li、Qi Long）和耶鲁大学（Garrett Wen、Xiaohong Chen）。该方法对词表分块应用最优传输，并引入一个“预算”，限制为获得信号可以牺牲多少采样随机性：这是事先声明的取舍，而不是事后才发现的副作用。验证一段文本只需要文本本身和密钥，但报告也指出，理论上的误报率是在理想化假设下成立的，而在生产环境中使用固定密钥需要进行实证校准检验（第 3.2 节）。

这些数字说明了信号有多脆弱，但阅读时要先说明一点：我没能在 OpenAI 的原始帖子中核实它们，只能通过转述这些数字的媒体来核对。根据 9to5Mac 和 ActuIA 引用的 OpenAI 数据，在 400 个词元的段落中，水印的检出率约为 92%；把 10% 的词替换为同义词，检出率降到 66%，替换 25% 时降到 17%。ActuIA 补充说，这些测量采用 1% 的误报率阈值；在 200 个词元的段落中约为 80%，在数学内容上约为 60%；在欧盟 24 种官方语言中，检出率从罗马尼亚语的 42.2% 到西班牙语的 69.0% 不等。意大利语的数据我没有找到。OpenAI 直言不讳地说明了局限——短文本、用词自由度低的领域、翻译和大幅改写都会降低可检测性——并明确表示，水印不能识别用户，不衡量人的贡献，不确定权属，也不说明文本是否准确。公告中写道：“The absence of a detected watermark does not prove human authorship”，也就是说，没有检测到水印，并不能证明文本出自人手。

检测器起初只向“经批准的研究人员和专业机构”开放，目前已接受申请；ActuIA 提到首批合作方包括康奈尔大学、苏黎世联邦理工学院和斯洛伐克研究所 KInIT。公司恰恰用这些技术局限来解释为何不公开：“These limitations contribute to our decision to provide initial detector access only to approved researchers and expert organizations.” 它还表示打算将 textGrain 开源，但没有说明时间。我们不知道哪些 API 模型被纳入，不知道在欧盟的启用日期，也不知道检测器的准入标准；目前也还没有对其有效性的独立评估。

让我放不下的是这个选择的地理分布。同一段文本，由同一个模型写出，如果写作者身处欧盟就带有信号，换个地方就没有：内容的来源成了司法管辖区的函数，而不是内容本身的属性。对于一项只在某个地域适用的义务，这是一种正当的解读，而且在 API 上，全世界只要愿意都可以开启。但收到一段没有水印文本的人，依然什么也无从得知——罗马尼亚语的检出率只有 42%（ActuIA 数据，误报率阈值 1%），四分之一的词换成同义词后信号就跌到 17%，即便手握密钥的人，所知道的也会比“水印”这个词让人期待的要少。

— Olya