看不见的印记上了更多老模型：Claude 水印扩围，但有一张表还没打勾

先说结论：水印扩围了，但别急着把它当成“AI 检测器”

2026 年 11 月 3 日起，Anthropic 把不可见文本水印扩展到了更多老款 Claude 模型。按该公司 10 月 28 日至 30 日发给 API 客户的邮件口径，这次新增的四个模型是 Claude Mythos 5、Claude Opus 4.7、Claude Opus 4.6 和 Claude Sonnet 4.6；新模型早已自带同样的水印，Claude Opus 5.5 就是其中之一。消息本身不算爆炸性，但它标志着一件事：模型输出的“出身标记”正在从新模型的默认配置，变成覆盖现役主力模型的基建。

不过，本文要先给读者泼一盆必要的冷水。笔者 11 月 3 日亲读 Anthropic 官方支持页《How Claude marks AI-generated content》时发现，官方表格与邮件口径并不完全一致：Mythos 5、Opus 4.7 和 Sonnet 4.6 的文本水印栏已经打勾，Opus 4.6 的文本水印栏却仍是空白，只有文件类 Content Credentials 一栏打勾。也就是说，截至本文核查时，真正能按官方表确认落地的，是四个名字里的三个，Opus 4.6 应当记为“尚未在官方表里落地”，而不是已经落地。这个出入很重要，因为后面所有关于合规的推论，都建立在“到底哪几个模型真的带标”之上。

另外一个需要先讲清的口径问题：11 月 3 日这个日期本身来自客户邮件，经 The Decoder 报道后被多家媒体转引，Anthropic 的官方支持页并不写具体日期，只写“正在为 2026 年 8 月 2 日之前发布的模型补加标记”，并在 11 月 3 日更新了表格。把日期说成“邮件口径的 11 月 3 日”，把模型清单说成“以 11 月 3 日官方表为准”，是本文处理这条新闻最诚实的方式。

这次到底变了什么：三个打勾，一个空白

先把官方表翻译成一张人话清单。Anthropic 的支持页把标记分成三栏：第一方产品里的文本水印、云合作伙伴产品里的文本水印、文件里的 Content Credentials。2026 年 11 月 3 日更新后的表格显示，Mythos 5 和 Opus 4.7 在第一方和云合作伙伴两栏都打勾，Sonnet 4.6 两栏也打勾但带一个脚注，Opus 4.6 两栏都是空白。脚注里还写了一句关键的话：亚马逊 Bedrock 侧的部署将在 11 月 10 日前完成。换句话说，即便在已经打勾的模型上，云端落地的节奏也不是同一天齐步走，Bedrock 用户要晚几天。

Sonnet 4.6 的脚注值得单独拎出来。官方表注明：当开发者把 temperature、top_p 或 top_k 设为非默认值时，Sonnet 4.6 的输出“可能无法可靠地带有文本水印”。邮件口径里对 Opus 4.6 也有类似的默认参数条件，但既然官方表上 Opus 4.6 根本还没打勾，讨论它的参数条件就为时过早。真正需要立刻自查的，是正在生产环境用 Sonnet 4.6、并且调过采样参数的团队：你们以为的“带标输出”，可能因为一行配置就没标上，而你还不知道。

覆盖面方面，Anthropic 的说法一直很明确：水印加在模型层，而不是某个产品层。这意味着同一模型无论跑在 Claude 平台 API、Claude 应用、Claude Code、Claude Cowork 还是 Claude Tag 里，输出都带标；云合作伙伴渠道的 AWS、Google Cloud 和微软 Foundry 也在覆盖范围里，只是落地时间有先后。对开发者来说，这比“某个产品开了个开关”要彻底得多——你换个调用入口，躲不掉这个标记。

水印是怎么打上去的：不是藏字符，是改选词

理解这项技术的第一步，是忘掉“水印”这个词带来的画面感。Anthropic 用的是一套源自谷歌 DeepMind SynthID-Text 的方法：模型在生成文本时，常常要在几个同样合理的词之间选一个，正常情况下由随机性决定；加水印后，密钥和前文会轻微地左右这个选择。攒够足够长的文本后，这些微小的倾向就构成一个统计模式，持有密钥的检测方可以检验出来。

由此直接推出四个官方承诺。第一，肉眼看不见，文本里没有多出来的字符，也没有隐藏字符。第二，不额外花 token，也不加价。第三，不改变文本的含义、质量和可读性——这是 Anthropic 的原话，实际效果仍需独立评测验证，但至少机制上它不是在文本里塞东西。第四，不携带任何能指向具体个人、组织或某次对话的身份信息。最后一点经常被误读：水印能指向“这是 Claude 处理过的文本”，但不能指向“这是谁让 Claude 写的”。

还有一个经常被忽略的传播特性：因为水印长在词的选择里，而不是附在文件元数据上，复制粘贴不会把它弄丢，轻度编辑后“可能”还留着。但 Anthropic 自己也承认限度：把每个词都换掉的彻底重写会把它洗掉，短文本、重度编辑、改写和混合文本都会让检测变难。所以它的正确定位是“长文本的出身信号”，不是“任何一段话的测谎仪”。

谁能查、查出来能证明什么：检测口子只开给少数人

这是整条新闻里最容易产生误解的部分。Anthropic 的文本水印检测目前处于私有预览阶段，开放对象是监管机构、执法机关、媒体、事实核查机构、独立研究者、教育机构、欧盟民间社会团体，以及因欧盟《人工智能法案》有合规义务的企业。普通 API 客户、订阅用户没有自助检测入口，也不能拿自己的文章去官方通道验一下。

这个安排决定了水印的实际用途。它首先是给第三方核查准备的合规基建，不是给用户准备的“AI 率检测”工具。一个媒体机构怀疑某篇投稿是不是 Claude 批量生成的，可以走这个通道；一个普通读者、一个招聘方、一个老师，拿不到同样的工具。把水印理解成“以后所有 AI 文本都能被查出来”，是错的；准确的说法是“以后更多 Claude 文本在授权核查面前留下了可验的痕迹”。

证明力同样要打折。Anthropic 的官方措辞是：检测到标记，只能说明内容“可能由 Claude 生成或处理过”。Claude 经常被用来校对、翻译、摘要和转换文件，一段文字带标，完全可能只是 Claude 润色过的人类原文；反过来，没检测到标记，也不能证明是人类写的——模型在标记启用前生成的文本、被重度改写的文本、采样参数偏离默认值的 Sonnet 4.6 输出，都可能不带标。把“带标”等同于“AI 全文代笔”，把“没标”等同于“人类原创”，都是对这项技术的误用。

为什么是现在：欧盟《人工智能法案》的时间表

这次扩围的直接推力，是欧盟《人工智能法案》第 50 条的透明度义务。该义务自 2026 年 8 月 2 日起适用，要求生成式 AI 提供方以机器可读的方式标记合成内容；对 8 月 2 日之前已经上市的系统，过渡期截止到 2026 年 12 月 2 日。Anthropic 的路线是：8 月 2 日之后发布的新模型自带水印，老模型分批补上。11 月 3 日这一批，正好卡在过渡期截止前一个月。

值得注意的是，Anthropic 选择全球统一加标，而不是只给欧盟用户加标，理由是目前还没有可靠的办法按地区切分。这个选择让一次合规动作变成了全球默认配置：美国、亚洲的用户输出同样带标。它的另一面是，各家厂商的标记方案正在趋同为“默认开、不可关”的基建——OpenAI 的 textGrain 同样是欧盟默认开、检测只给认证研究者，本站 10 月已有专篇讨论过那次发布。两家的做法放在一起看，趋势就很清楚了：出身标记不再是可选项，而是模型厂商交给监管和核查方的标准件。

但也别把合规叙事推得太远。标记解决的是“能不能验”，不是“验了一定准”，更不是“验了就能追责到人”。欧盟的法条要求的是机器可读的标记，而检测的覆盖率、误报率、跨厂商互认，目前都没有公开的独立评测。把水印写进合规材料时，应当写“厂商提供的标记机制”，而不是“已验证的 AI 检测能力”。

给 vibe 开发者的四条实操建议

第一，盘点你真正在用的模型。如果你和你的用户在用 Mythos 5、Opus 4.7 或 Sonnet 4.6 生成对外文本，从 11 月 3 日起，这些文本在授权核查面前就是“可验”的。产品文档、帮助中心、对外声明里关于“AI 生成内容”的说法，应当与这个事实一致；不要再写“我们的 AI 输出无法被识别”这类话。

第二，立刻检查 Sonnet 4.6 的采样参数。如果你的服务为了控制风格、长度或确定性，把 temperature、top_p 或 top_k 设成了非默认值，按官方脚注，你的输出可能没有可靠水印。合规上依赖水印的团队，要么把这三个参数改回默认，要么在合规材料里如实写明“部分输出可能无标”，二选一，不能假装两者兼得。

第三，处理好“AI 辅助”和“AI 生成”的文案边界。你的产品如果用 Claude 做校对、翻译和摘要，用户内容带标是正常现象，不是污点。更稳妥的做法，是在产品里区分“AI 起草”和“AI 润色”两种状态，并且在用户导出内容时保留这个区分——这比事后向核查方解释要省事得多。

第四，别把水印当成内容审核的替代品。水印查不出来改写过的内容，也查不出来别的模型写的内容，更拦不住抄袭和虚假信息。它只回答“这段长文本是不是 Claude 处理过的”这一个问题。内容真实性、版权、事实核查，仍然需要原来的那套流程。

还缺什么：三张没有答案的牌

第一张是 Opus 4.6 的时间表。邮件说四个模型，官方表只落地三个，Opus 4.6 的文本水印栏空白，也没有新的日期承诺。它是被推迟了，还是参数条件导致官方暂不打勾，目前没有公开说法。依赖 Opus 4.6 的团队，应当把它当作“未落地”来做计划。

第二张是检测的独立评测。官方说水印不影响质量、不增加成本，但这些是厂商自述；水印在多长文本上才可靠、经过几轮改写后还剩多少信号、不同语言和代码场景下的表现如何，都还没有公开的第三方数据。在这些数据出现之前，任何把水印写进合同承诺的做法都应当谨慎。

第三张是跨厂商的互认。Anthropic 的标记只能由 Anthropic 的检测通道验证，OpenAI、谷歌各有各的方案。一个内容平台如果要同时核查多家模型的输出，需要接多套私有检测通道，或者等行业出现统一的核查层。短期内，出身标记的碎片化，恰恰是它最大的使用成本。

一句话总结这条新闻：Claude 的不可见水印正在从“新模型的标配”变成“现役模型的标配”，但 11 月 3 日这个节点上，官方表只确认了三个模型，Opus 4.6 还在表外；检测口子只开给授权核查方，证明力也有限。对开发者而言，正确的反应不是恐慌，也不是无视，而是把模型清单、采样参数和对外文案三处对齐——合规基建的价值，恰恰体现在这些枯燥的对齐工作里。

同一段话，四种命运：把检测限度讲得更具体一点

为了让“水印能证明什么”不再停留在抽象层面，不妨设想同一段产品说明的四种命运。第一种， Claude 直接起草、用户原样发布：长文本、未做大改，授权检测大概率能检出标记，这是水印最擅长的场景。第二种，Claude 起草后，用户逐句改写、调整结构、替换案例：标记信号会被大幅削弱，检测结果可能从“检出”变成“无法确认”，这不是检测失灵，而是机制本身的边界。第三种，用户自己写初稿、只让 Claude 润色语言：文本同样可能带标，因为标记只记录“Claude 处理过”，不区分起草和润色。第四种，用户用别的模型起草、再用 Claude 翻译一次：翻译过程同样可能留下标记，但标记指向的是翻译环节，不是原文的作者。这四种命运放在一起，结论就很清楚了：水印回答的是“Claude 是否在某个环节处理过这段文本”，而不是“这段文本是谁的作品”。

代码场景也值得单独说一句。代码本质上也是文本，模型在生成代码时同样会在词的选择上留下统计模式；但代码片段通常很短，而且格式化、重命名、重构都会剧烈改变词的序列，短代码的检测难度远高于长文章。指望水印去判定“这段函数是不是 AI 写的”，目前没有可靠依据；代码的归属问题，仍然要靠提交记录、评审记录和测试记录来回答。

文件类标记是另一条线，不要和文本水印混淆。Claude 生成 PNG、JPEG 等支持的文件类型时，会附上符合 C2PA 开放标准的 Content Credentials，也就是文件元数据里的签名 provenance 标签。文本水印是“长在词里”的统计模式，文件标记是“贴在文件上”的签名元数据；前者复制粘贴后还在，后者一旦被平台剥离元数据就可能丢失。官方表上 Opus 4.6 的文件栏打勾、文本栏空白，恰好说明这两条线是独立推进的：文件标记先行，不代表文本标记也已落地。

最后补一个实操问题：企业如果确实有合规义务、想申请检测权限，应当去哪里？按官方支持页的说法，检测目前处于私有预览，页面提供了一个“注册检测权限意向”的表单入口，供有合规义务的企业登记兴趣，Anthropic 表示会逐步扩大检测接口的开放范围。也就是说，现在能做的只是登记和等待，而不是立刻获得一个可用的检测接口。把“已登记意向”写成“已具备检测能力”，是合规材料里应当避免的夸大。

常见问题：旧文本会不会被事后补标

不会。水印是在模型挑选词语的那一刻产生的，生成之前或之后都不存在一个“补标”的动作。2026 年 11 月 3 日之前由这几个模型生成的文本，不会因为表格打勾就自动带上标记；同样，模型在标记启用前生成的文本，即使后来被复制、转发，也不会凭空出现标记。这个特性有一个直接推论：任何声称“可以检测某篇文章在 11 月之前是不是 AI 写的”的说法，只要依据是这次扩围的水印，都是站不住脚的。

另一个常见问题是：用户能不能主动关掉水印？按目前公开的信息，不能。Anthropic 没有提供面向用户的关闭开关，标记加在模型层，随模型走。对普通用户来说，这意味着“用这些模型生成对外文本，就等于默认接受了可核查的出身标记”；对产品方来说，这意味着不要向用户承诺“我们的 AI 生成内容无法被追踪”，因为这个承诺从 11 月 3 日起，对三个模型已经不再成立。