欧盟用户的 AI 文本开始带隐形水印：换掉四分之一同义词，检出率从九成掉到一成七

一个做跨境独立站的朋友，上周遇到一件尴尬事。她给欧洲客户交付一批英文产品页，流程跟以前一样：先让模型起草，再由她逐段改写成品牌自己的语气。客户验收时没有挑文案的毛病，反而问了一个问题——这些段落能不能提供机器可验证的来源标记。她当时愣住了，因为她从来没想过这个问题需要回答。

从本周起，这个问题开始有官方答案了。面向欧盟地区的 ChatGPT 与 Codex 用户，文本输出会在未来几周内带上一种看不见的水印；全球范围的接口客户则多了一个开关，默认关闭。这不是某家公司的小功能更新，而是第一份面向真实监管、同时公布了完整失败率的主流 watermarking 方案。它最值得看的地方不是多有效，而是官方自己把失效条件写得比谁都清楚。

加上的不是零宽字符，是选词时的偏向

很多人的第一反应是「是不是在字里行间插了隐形符号」。不是。这个方案不动字符，改的是模型挑词时的倾向。

语言模型生成每一个词的时候，其实都在若干个同等合理的候选之间选一个。这个方案的做法是用一把密钥给候选词排序，把选择往特定方向轻轻推一下。读者看到的是一段正常的文字，但推了上百次之后，这些细微倾向累积成一种统计图案。拿着同一把密钥的检测器，只看文本本身就能判断这段内容是否来自对应系统。

理解这个机制很重要，因为它直接决定了后面所有失效场景。既然信号是「选词的倾向」，那么任何重写选词的动作都在削弱它；既然需要累积，那么太短的段落天生不够用；既然依赖同义词空间，那么压根没有多少同义词可选的领域（比如数学推导）几乎用不了。这三点不是缺陷列表，是机制的必然推论。

三组官方数字，把能力边界画死了

发布方公布的数据相当坦率，值得逐条看：

• 长度决定上限：在误报率控制在百分之一的目标下，两百 token 的段落检出约八成，四百 token 的段落约九成五。换算成中文语境，大致是一段两三百字的内容比三五十字的小段要可靠得多。
• 改写是致命的：四百 token 段落里替换百分之十的同义词，检出率从约九成二掉到六成六；替换百分之二十五，直接掉到一成七。
• 领域差异极大：数学类内容检出明显更差，因为那里几乎没有改写空间留给生活方式来选择。

这三条组合起来，得到一个不太舒服但必须接受的结论：这套机制只能挡住完全不做编辑的直接搬运，挡不住任何经过认真润色的稿件。 官方自己也写明了：水印不衡量人的贡献度，不确立所有权或责任归属，不识别使用者身份，也不验证内容准确性；反过来，没检出水印也证明不了什么。

为什么替换百分之二十五就够了

这里面有个反直觉的地方。百分之二十五听起来不算多——每四个词换一个，意思基本没变，人读起来还是同一段话。但对统计检测来说，这几乎是毁灭性的。

原因在于这类检测本质上是在数「偏离随机选择的次数」。它需要一个足够长的、未经扰动的样本，才能让信号从噪声里浮出来。当你替换掉四分之一的词，你不是在砍掉百分之二十五的信号，而是在整个序列里均匀插入了大量不符合约定的选择。检测器面对的不再是「带图案的信号加一点噪声」，而是一段方向被打散的内容。这跟信噪比下降百分之二十五完全是两回事。

同理也能解释为什么翻译几乎必然让它失效：翻译不是逐词替换，是把整段话重新表达一遍，原序列的图案在第一步就断了。

对出海与多语种内容岗位的实际影响

如果你的工作流里本来就有「AI 起草、人工重写」这道工序，短期不必紧张。真正需要调整的，是下面三类情况：

第一类是直接交付模型的原始输出。 比如批量生成的商品描述、多语言 FAQ、程序生成的技术说明。这些内容过去可以原样交付，现在在部分地区会携带可检测标记，而你可能并不希望它被检测出来。

第二类是你要证明「这稿子是人写的」的场景。 这个问题变得更难了，因为这套机制被明确设计为不服务于这个目的。检测结果为阴性什么都证明不了，官方也不会向公众开放检测工具。任何声称能替你「验明正身」的第三方服务，都缺少可核对的依据。

第三类是你接别人的稿子做二次加工。 如果上游交来的是未经编辑的生成稿，而你的下游在欧洲或其他有类似要求的市场，那么「先让它编辑再交付」不再是风格选项，而是流程要求。

提示词该怎么改：四条具体做法

既然机制已经清楚，应对可以写进提示词里，而不是事后补救。

改「生成后编辑」为「生成时约束」。 不要在拿到结果后再去做同义词替换，而是在第一轮生成时就把要求说死：给出目标语气、禁用词表、句式偏好、段落长度。第一轮就接近终稿，需要后期改动的量越小，你要动的地方越少。

把可控变量写在提示词最前面。 专有名词、术语、产品型号、度量单位这类没有同义词空间的词，用明确清单给出来。它们既是质量锚点，也顺带把「必须精确的部分」和「可以自由表达的部分」切开了。

要求输出「带个人标记的表达」。 与其让模型写出中规中矩的通用句子，不如要求它使用具体的个人经历、具体的数字、具体的场景细节。这些内容本身无法复制，也让后续必须保留的部分变多，反而减少了你需要大改的比例。

用两轮结构替代一轮加编辑。 第一轮让它产出结构和要点，第二轮由你注入全部具体事实、案例和判断，再让它在这些材料基础上成文。这样绝大部分措辞是你提供的，模型只负责组织，从源头就减少了「别人的选词习惯」被带进来的面积。

一个必须讲清楚的误区：别急着去「洗」

看到「替换四分之一词检出率就掉到一成七」这种数字，第一反应往往是去找办法降低被检出的概率。这个方向建议直接放弃，理由有三个。

其一，代价远大于收益。为了让内容躲过检测而做的同义泛替换，会实打实地损害准确度、语气一致性和专业度。你为了一个未必会被检查的属性，牺牲了一定会被看到的品质。

其二，边界会移动。这类技术目前的失效条件是已知的，但它会迭代，而且其他厂商也在做类似方案。你把流程建立在一处已知的薄弱点上，等于把自己的可靠性押在对方的迭代速度上。

其三，也是最关键的——合规压力正在从「能不能检出」转向「有没有声明」。 欧盟人工智能法案的透明度条款已经在八月生效，现有服务商的合规期限是十二月初。监管要的是机器可读的标记，不是完美的测谎仪。也就是说，接下来被追问的不会是「这是不是 AI 写的」，而是「你有没有按规矩标出来」。

未来三个月会发生什么

可以预期的连锁反应有三步。第一步，为了满足同样的透明度要求，其他主流厂商会陆续拿出自己的文本来源方案，格式未必统一。第二步，平台侧会出现「来源声明」字段，成为内容交付物的一部分，就像现在的图片元信息。第三步，B 端的采购合同和验收标准会开始写进相关条款。

对个体创作者来说，这意味着「AI 辅助」这件事会从隐藏项变成申报项。与其在写作阶段绕，不如在交付物里把协作方式写成一行标准说明，这在半年后会比任何技术规避都管用。

现在就可以做的三件事

把协作流程写成一行标准表述。 一句固定的、放在交付物里的话，说明哪部分由 AI 起草、哪部分由你改写审定。这个成本几乎为零，但在被问到时的价值远大于临时解释。

重做一遍你的起草提示词。 参照前面四条，让第一轮输出就更接近终稿，把后期改动量压下来。这件事顺带提升的是质量，不只是属性。

清点手上正在直接交付的原始生成内容。 尤其是批量生产的商品文案、多语言页面、自动报告。给它们排个优先级，从最有商业权重的一批开始人工介入，不用一次做完，但要有清单。

真正需要记住的一句话是：这套机制不是来抓你的，它是来给「内容的机器可读性」定一个起点的。你唯一要为它做的调整，是把原本隐含的流程写清楚。