夜雨聆风大模型水印：给 AI 的文字打上隐形印记
看不见、删不掉、却能“一数便知”的技术
昆吾采薇 · 2026 年 8 月
先问你一个问题：如果我把下面两段文字摆在一起，你能一眼分辨哪段出自人手、哪段来自大模型吗？
“人工智能正在改变我们理解和创造文字的方式，它让机器的表达越来越像人类。”——这段其实可以是 AI 写的，也可以是人写的。肉眼已经很难判断。
随着大模型能力越来越强，判断“作者是谁”变得越来越困难。现有的 AI 检测器（如 GPTZero、Turnitin 等）依赖模型与人类的统计差异，误判率不低；而大模型水印的思路则完全不同：它不是猜，而是给 AI 生成的文字悄悄打上“出生证明”——就像纸币上的水印、证件上的荧光纤维，平时看不见，但用对方法一查便知。
这篇文章，我们就来拆解这项技术的原理、分类、实现方式、应用场景，以及围绕它展开的攻防博弈。
什么是大模型水印
大模型水印，指的是在模型生成文本的过程中或生成之后，嵌入一种对人类阅读几乎不可感知的统计信号或标识。只有掌握特定密钥的一方，才能以高置信度把它检测出来。
它和我们熟悉的图片水印、视频水印不完全相同：传统数字水印通常是把信息“贴”在文件的像素、帧或元数据里；而大模型水印是改变“生成文字时选择词语的概率”，让某些词出现的频率轻微偏高。这种改变太小，读者感觉不到，却会在统计上留下指纹。
一个好的大模型水印通常具备四个特点：
隐蔽性：不影响阅读体验，文本质量下降极小； 可检测性：持有密钥者能快速、可靠地识别； 鲁棒性：能抵抗改写、翻译、删减等常见编辑； 低失真：不改变文本语义，也不显著偏离原模型的输出分布。
值得注意的是，这四个目标之间存在张力。后面我们会看到，研究者正是在这些张力之间寻找平衡。
核心原理：绿名单与红名单
当前最经典、也最容易理解的水印方案，由美国马里兰大学 Kirchenbauer 等人在 2023 年提出，常被称为KGW 水印。它的思想非常巧妙：在模型每生成一个词之前，都偷偷做一次“分班考试”。
图一 KGW 水印的核心流程：用密钥把词表分成绿名单和红名单，生成时给绿名单词加一个很小的偏置。
具体步骤如下：
拿到已经生成的“前文词序列”； 用一个只有平台知道的密钥对前文做哈希，得到一个伪随机数； 根据这个随机数，把整个词表随机地分成两半：一半叫绿名单，另一半叫红名单； 在生成下一个词时，给绿名单里词的输出得分（logits）加上一个很小的偏置 δ，再照常采样。
因为划分是伪随机的，下一次遇到不同的前文，绿名单也会不同；但只要密钥相同，同一个前文对应的绿名单就一定相同。于是，所有 AI 生成的文本都会不约而同地更频繁地“选中绿名单词”。
检测时，统计者也用同样的密钥重新划分绿名单，然后数这段文本里有多少词落在绿名单。如果绿名单词的比例明显高于 50%，就可以用 z 检验算出一个置信度：比例越高、文本越长，z 分数就越大，判定为 AI 生成的把握也就越高。
图二 检测统计：含水印文本的 z 分数会明显右移，越过阈值即可高置信度判定。
偏置 δ 通常取 1～2，对文本质量的影响微乎其微；但大量采样后，这种微小的偏置会在统计上形成非常稳定的信号。这正是水印“隐蔽”又“可检测”的关键所在。
技术分类：三个维度看懂江湖门派
大模型水印并不是单一技术，而是一个不断演进的“家族”。我们可以从三个维度来理解它们。
图三 大模型水印的三个主要分类维度。
1. 按嵌入时机：生成时与生成后
生成时水印在模型解码阶段就介入，KGW、Gumbel 采样、SynthID-Text 都属于这一类。它的优点是信号强、易部署；缺点是需要控制模型的推理过程，对开源模型而言，使用者可以把它关掉。
生成后水印则是在文本已经生成之后，通过同义词替换、句式改写、插入特殊字符等方式补加标识。它更灵活，但通常更容易破坏语义或被察觉。
2. 按鲁棒性：脆弱型与鲁棒型
基础 KGW 水印对改写、翻译、删减比较敏感：只要别人把文本重新表述一遍，token 序列就会被打乱，绿名单信号就衰减了。这类属于脆弱型。
为了对抗改写，研究者提出了鲁棒型水印。例如 Google DeepMind 的 SynthID-Text 把信号嵌在 logits 分布的“纹理”中，即便文本被改写，仍能在一定程度上保留检测能力。
3. 按可检测性：可检测与不可检测
传统水印是“可检测”的：知道密钥就能检测，不知道密钥理论上很难发现。但 Christ、Gunn 和 Zamir 在 2023 年提出了更强的概念——不可检测水印：在密码学假设下，任何在多项式时间内运行的算法都无法区分有水印与无水印的输出分布。
这种方案基于密码学中的单向函数假设，是迄今最“隐蔽”的水印，但计算复杂度和部署门槛也更高。
主流实现方式与代表工作
KGW 绿名单偏置
最经典、代码实现最简单。只需在解码时给绿名单 logits 加一个 δ，再用温度采样即可。2024 年清华大学等推出的开源工具包 MarkLLM 已经把 KGW 等十多种算法统一封装，方便研究者对比。
Gumbel、Exponential 最小化采样
OpenAI 科学家 Scott Aaronson 早期研究过的一类方法。它利用伪随机数把 token 选择与“Gumbel 分布的最小值”绑定，使得检测时不需要改变模型输出分布就能验证水印。思路优雅，但部署时需要重写采样器。
SynthID-Text（Google DeepMind）
2024 年发表在《Nature》上的工作，目前已部署在 Gemini 等 Google 产品中。它不像 KGW 那样简单划分绿名单，而是把水印信号嵌入到模型输出 logits 的概率“形状”里，配合两种互补的检测函数，能在改写后仍保持较高检测率。
Google 还开源了相关实现，方便社区复现与改进。
CGZ 不可检测水印
Christ、Gunn 和 Zamir 在 2023 年提出、2024 年发表于 COLT 的理论方案。它把“不暴露分布变化”作为硬约束，借助单向函数构造出一种水印：任何不知道密钥的人，都无法用有效算法区分有水印和无水印的文本。
模型参数水印
前面说的都是“给文本打水印”。还有一类是给模型本身打水印：在模型权重或特定触发词上植入“后门式”行为，用来证明“这个模型是我的”。它解决的是模型盗用与版权归属问题，而不是单段文本溯源。
应用场景：为什么需要水印
水印看似是一项“幕后”技术，但它正在成为 AI 内容治理的基础设施。以下是几个最现实的场景。
图四 大模型水印正在内容溯源、学术诚信、合规标识等领域发挥作用。
1. AI 生成内容的检测与溯源
平台可以利用水印快速判断一段长文是否来自自家模型，而无需把原文回传到模型后台。这比传统分类器更可靠，也能降低隐私风险。
2. 学术诚信
学生用 AI 代写作业、代写论文是教育界最头疼的问题之一。水印可以作为辅助证据之一，帮助教师识别机器生成文本；但它不能单独作为“定罪”依据，仍需结合人工判断。
3. 合规与透明度
欧盟《人工智能法》（EU AI Act）第 50 条规定，生成式 AI 系统必须对 AI 生成内容进行明确标识，相关透明度义务已于 2026 年 8 月 2 日起适用。水印正是实现“机器可读标识”的重要技术路径之一。
4. 反虚假信息
在社交媒体、新闻平台，机器生成的谣言和深度伪造内容正在泛滥。水印可以帮助平台和事实核查机构快速标注机器生成内容，减缓传播速度。
5. 版权与模型防盗用
模型参数水印可以在权重中留下“指纹”，一旦有人把模型拿去蒸馏、微调或二次分发，原作者就能通过触发词或特定行为证明侵权。
反水印技术：攻防之间的博弈
有盾就有矛。水印问世的同时，去水印攻击也在快速进化。了解攻击方式，才能更好地设计鲁棒水印。
图五 不同攻击方式后残留的水印信号：改写类攻击最有效。
1. 改写、转述（最有效）
用另一个模型把原文换个说法，保留语义但替换用词和句式。由于 KGW 类水印高度依赖具体 token 序列，改写后绿名单信号会迅速衰减。专门的转述模型（如 DIPPER）可以把残留信号压到很低。
2. 翻译—回译
把文本翻译成外文再翻译回来，会彻底打乱原始 token 序列，水印信号随之大幅削弱。
3. 同形字与特殊 Unicode
用相近字符替换原文中的字词（例如把英文的“a”换成西里尔字母“а”，或插入零宽字符、窄不换行空格 U+202F）。这些改动肉眼难辨，却能让基于 token 的统计检测失灵。2025 年就有研究发现，OpenAI 的 o3、o4-mini 模型疑似用 U+202F 作为隐形标记。
4. 删减、拼接与对抗扰动
删去部分段落、把多段文本拼在一起，都会破坏连续 token 带来的统计信号；更高级的攻击者还可以在 logits 层面加入对抗扰动，专门降低检测分数。
这些攻击说明：单靠 token 级水印很难高枕无忧。鲁棒水印的设计，必须把“语义不变即可被打散”这一现实考虑进去。
挑战与未来：没有银弹
1. 质量、鲁棒性、不可检测性的“不可能三角”
想让它完全不被察觉，就很难抵抗改写；想让它极度鲁棒，就可能影响文本质量或增加算力；想保持高质量，水印强度就得收敛。三者之间的权衡，是研究者反复打磨的核心。
2. 开源模型的水印困境
如果模型权重完全公开，攻击者可以直接删除水印模块，或用无水印参数微调模型。如何在“开源”与“可追责”之间取得平衡，至今没有完美答案。
3. 跨语言、跨模态与代码
中英文、代码、诗歌、长文档的 token 分布差异很大；水印在短文本上信号弱，在多语言混合场景下表现也不稳定。这些都需要专门优化。
4. 标准化与生态
除了技术本身，行业还需要统一标准。C2PA（内容来源与真实性联盟）和欧盟的《人工智能法》都在推动“机器可读”的内容来源信息。水印、元数据、数字签名可能共同构成未来的内容信任基础设施。
展望未来，鲁棒语义水印与不可检测水印的结合，或许能在“隐蔽”和“抗攻击”之间找到一个更优的平衡点。这条路还很长，但方向已经越来越清晰。
结语
大模型水印不是万能的。它无法阻止有心之人刻意伪造，也不能替代人工审核与法律约束。但在一个 AI 内容即将井喷的时代，它提供了一种低成本、可规模化、且相对可靠的“机器可读”标识手段。
下一次，当你读到一篇流畅得不像话的文章时，不妨想想：它的字里行间，是否也藏着一串只有算法才能读懂的“隐形签名”？
主要参考
Kirchenbauer 等，《A Watermark for Large Language Models》，2023。 Aaronson，OpenAI text watermarking research notes，2022～2023。 Google DeepMind，《SynthID-Text》，Nature，2024。 Christ、Gunn 与 Zamir，《Undetectable Watermarks for Language Models》，COLT 2024。 MarkLLM：An Open-source Toolkit for LLM Watermarking，2024。 European Parliament and Council of the EU，Regulation（EU）2024/1689（EU AI Act，Art. 50），2024。
注：本文配图由真实统计/机制示意生成，部分数据为科普化示意值，具体实验结果以原论文为准。
