AI痕迹追踪简史：你的机器写稿记号早被发现了

1949年，贝尔实验室的克劳德·香农（Claude Shannon）发表了一篇名为《保密系统通信理论》的论文来探讨密码学，其理论探讨了一个后来不断被扩展的结论： 他说的是：只要是某个信息源产生的内容，就必然在统计层面留有可辨识的印记。这个印记不需要被故意放进去，它是信息产生机制本身的副产品。 但如果回到香农的框架，这件事其实早就注定了。AI内容能被识别，这一点没有悬念。真正的问题在后面：用什么方式识别、谁来识别、识别之后意味着什么。 《联邦党人文集》是美国立国之初最重要的政治文献之一，由汉密尔顿、麦迪逊等人合著，其中12篇的作者归属争了100多年，汉密尔顿和麦迪逊都声称自己是作者。 它在法庭上被用来鉴定匿名信的作者，在文学研究里被用来判断争议文本。1995年，最著名的一次实战是FBI用类似方法协助锁定嫌犯。 彼时美国历史上最知名的“邮件炸弹犯”卡钦斯基，曾在寄给报纸的万字宣言里有大量个人化的措辞习惯，法庭语言学家对此将宣言和卡钦斯基私人文字做了系统比对，结论是两者“几乎可以确定出自同一作者”，这份分析成为申请搜查令的关键依据。 香农的命题在这些案例里已经被反复验证，一个人选词的概率分布，在统计层面有着相当稳定的个人特征，多到无法用刻意控制来完全消除。 语言模型生成文字的过程，是在每一步计算下一个词的概率分布，从分布里采样一个词，接进文章，再做下一次计算。这个过程重复几百次，一段文字就出来了。 面对同一个上下文，GPT和Gemini给“改变”、“重塑”、“影响”、“颠覆”这几个词分配的概率是不同的，差异在每一次生成里都以某种系统性的方式呈现。单次选词差距微小，但经过几百次、几千次的累积，这种系统性差异会在整篇文章的统计结构里留下可辨别的轮廓。 2023年，斯坦福大学米切尔等研究者发表了DetectGPT研究发现，由某个语言模型生成的文字，往往处于该模型概率函数的“局部极大值”附近。 OpenAI在2023年1月发布了自己的AI文本检测工具，5个月后以“准确率太低”为由下线，它在自己的评估集上只能正确识别26%的AI写作，同时把9%的人类文章错误判成AI。 这个工具用的是风格分类器，和水印检测完全是两种东西，但它证明了一件事：AI内容有统计特征，和“存在可靠的通用检测器”是两件不同的事。 2025年9月1日，四部门联合发布的《人工智能生成合成内容标识办法》（以下简称“《标识办法》”）正式施行，抖音、快手、小红书、B站、微博同日上线AI内容标识功能。 但有第三方评测发现，平台的自动识别技术能力参差不齐，快手首周表现尚可，抖音的自动识别几乎失灵；到10月下旬，另一家媒体的评测又翻转了，抖音对AI生成视频的识别率最高，快手、小红书和视频号对无水印AI视频均未作出标识。 逻辑依然是香农的框架：把秘密信息编码进信道，通过统计规律传递来源信息，不知道密钥的人无法识别，知道密钥的检测器可以高置信度验证。 嵌入方式是在图像像素层面写入一个统计信号，人眼无法察觉，但SynthID的检测算法可以识别，对裁切、压缩、加滤镜等常见操作具有一定抵抗性。随后扩展到音频、视频，2024年5月扩展到文字，部署在Gemini的对话界面里。 Google的这套文本水印机制，是在模型生成每个词之前，按照一套带密钥的算法对词汇概率分布做出极微小的调整，使最终词汇选择序列在统计上符合一个隐藏规律。 研究团队把具体方法叫做“竞赛采样”，通过调整词汇之间的竞争规则来编码信息。整篇文章表面完全正常，信号藏在“每次选了哪个词而没选哪个词”的统计模式里。 2026年5月的I/O大会上，SynthID的规模被披露已超过1000亿条AI生成图像和视频被打上水印，AI生成音频的标记量相当于6万年的播放时长，Gemini用户主动发起的水印验证累计5000万次。 第12条则明确写道，服务提供者在履行算法备案时应当提供标识相关材料，为防范打击违法犯罪活动提供支持，设计核心是建立一条从内容到服务商的可追溯制度通道。 生成级水印打击的是把AI输出原样复制粘贴的批量生产者——例如端到端的同质化内容生产者、批量自动化发布账号以及AI翻译站。 元数据体系在这个场景同样具有优势，当批量自动化内容未经审核直接发布时，元数据里带着服务提供者编码，顺着备案信息以用来追溯来源，而未经充分的AI标识则可以保留采取相应监管措施的可能。 这对元数据那一层是成立的。但对生成级水印则不然，因为水印是通过影响哪些词被选中来编码的，语言本身就隐含了统计规律与模型指纹。 2025年，WaterPark基准测试对10种水印方法做了系统评估，覆盖12种攻击类型、3个语言模型和5个数据集。结果是SynthID在未受攻击的原始文本上检测率高达99.8%，但在中等程度的改写攻击下降到49.8%。 2026年7月的一项实验性研究发现，对包括SynthID在内3种主流水印方案进行了846次改写攻击测试后，SynthID的水印移除率超过了98%，而另外两种被100%的全部移除。 研究者的最终结论是，目前AI水印无法满足司法采纳等特殊的场景要求，更没有任何公开的文本水印方案能作为法庭上的独立证据使用。 Anthropic这次的新技术还有一个隐患，例如它承诺将向第三方提供检测Claude水印的API，但同时使用者也可以它证实“消除水印的反馈信号”，例如通过持续的改，并调用API检查来实现AI水印的最终清理。 普通文章交给AI模型来校对或翻译，输出内容同样有可能形成水印，Anthropic甚至专门警告过这个逻辑漏洞，当检测器提示“这段内容经过Claude处理”，不能推断“这篇文章的思想来自AI”。 过去的AI检测依赖风格分类器，从统计推断去猜一段话是否产自于AI，水印体系成熟之后，审核逻辑从“猜风格”转向“查来源”，前者是概率推断，后者在条件满足时接近密码学意义上的来源验证，能写进合同、用于仲裁、对接监管要求。 围绕水印检测API、合规报告生成、内容溯源存证的工具链，是现在最直接的机会窗口，甚至本身就存在着大量可能被应用于AI内容审计的基础设施缺口。 《标识办法》要求服务提供者在算法备案时提交标识技术细节，这事实上为独立第三方的合规审计服务创造了制度性需求。 如今近千款备案大模型，每一款都需要证明自己的标识方案符合强制性国家标准《网络安全技术人工智能生成合成内容标识方法》要求，目前这个需求几乎没有专门的商业产品在承接。 普华永道等一些第三方机构进行过合规解读，但从解读到可交付的审计工具和自动化检测服务之间还有非常远的距离。 抖音、快手、小红书、B站在执行层面遇到的技术困难同样值得关注，平台需要自动检测AI生成内容的能力，但自建成本高、准确率不够。面向内容平台的AI内容检测SaaS，是一个刚刚起泡的赛道。 当生成级水印成为主流厂商的标配，“在这段内容里检测不到任何已知AI模型的水印信号”开始具有一定的排除意义，尤其作为版权纠纷中的辅助证据，其法律价值是真实的。 2025年以来，已有多起涉及AI生成内容的著作权纠纷进入司法程序，法院在判定AI辅助和AI生成的边界时缺乏技术工具。《标识办法》的元数据体系提供了一条追溯通道，但元数据在传播过程中丢失之后，版权归属的举证就变得难上加难。 研报、分析师评论、企业公告、财经媒体，这些是金融机构依赖决策的客观信息，但必须承认这些内容受AI影响的程度正在快速上升。 一份用大模型批量生成的研究报告，和一名分析师做了充分调研后写出的原创判断，信息含量截然不同，但外表可能一模一样。 欧洲证券和市场管理局（ESMA）在2024年已就AI在投资服务中的透明度发出声明，美国SEC持续关注投资顾问使用AI的合规边界，我国证监会对证券研究报告的质量管理同样在收紧。 中国的元数据体系和海外生成级水印体系在技术标准的互通上还有很长的路要走，而一家在中国合规落地的内容平台把内容分发到欧洲市场，欧洲的检测系统未必能读取中国格式的元数据，反之亦然。 帮助内容企业在两套体系之间做格式转换、合规映射、双向存证的中间件服务，是一个政策落地节奏创造出来的窗口期机会。窗口期的长度取决于中欧之间标准互认谈判的进展。 从香农研究通信系统的统计特性，到用词频率能破解联邦党人文集的作者之谜，从Google把token概率调制做成千亿条内容的水印基础设施，到中国用元数据登记建立从内容到服务商的追溯通道，以上所有努力始终在试图探索一个共同目标—— 过去的印记是被动留下的，检测它需要大量样本和复杂统计方法；现在的主动水印，让印记在设计上就是可机器验证的，同时被纳入有法律效力的合规框架。正如国内有《标识办法》，欧洲有《人工智能法案》，美国也在酝酿联邦层面立法。 水印技术本身还远谈不上完美。许多基准测试和法庭证据研究都显示，一轮改写就能让大多数方案失效，很难找到稳定的公开方案能达到法庭独立证据的标准。 但这不妨碍围绕水印体系的产业机会已经打开，例如合规审计工具、内容溯源存证、版权举证服务、金融信息质量鉴别、跨体系标准互操作。 当机器能以一定可靠性证明一段内容“经过AI处理”，接下来必须回答的问题仍然会出现在合同里、在版权法里、在新闻伦理里、在学术诚信里。