OpenAI 给 AI 文本打水印：欧盟默认开启，200 token 检出 80%——但检测器不对公众开放

先划一条界：本站 cycle59（10 月中旬）已经连发过两篇"欧盟 AI 法"相关，但性质都和本篇不同——《Agent"越狱"惊动布鲁塞尔：欧盟 AI 法首次执法，OpenAI 与 Anthropic 被立案调查》讲的是 AI 法生效后的首次执法事件；《骂 Claude 也会被"记过"了：Anthropic 一年来首次大修使用政策，11 月生效》讲的是 Anthropic 的使用政策大修。本篇是第三个事件：OpenAI 为响应欧盟 AI 法文本溯源条款而推出的具体产品动作——给 AI 生成的文本打隐形水印，技术代号 textGrain。不是执法新闻，不是政策文本，是已经（或即将）长在你我每天用的产品里的东西。

一句话版本：2026 年 10 月 5 日（博客页面本身无日期戳，这个日期经三方交叉确认，证据链见文末"还有什么没说"），OpenAI 在官方博客发表《Our approach to EU text provenance rules》，宣布三件事：欧盟的 ChatGPT 与 Codex 用户将在未来数周内默认被加上文本水印；全球 API 开发者可以 opt-in（默认关闭）；水印检测器不对公众开放，只给获批的研究者与专家组织。同时公布了一组出奇坦诚的数字：200 token 的文本检出率约 80%，400 token 约 95%，而把四分之一的词换成同义词，检出率跌到 17%。

OpenAI 宣布了什么：三项政策，一个技术名

政策分三项，覆盖三类人：

• 欧盟的 ChatGPT / Codex 用户：未来数周内默认加水印。"符合条件的"文本输出将被加上不可见水印，覆盖各档套餐，仅限欧盟。OpenAI 明确表示，发布初期不做全球默认——区域化推进，"有空间从真实世界的使用与反馈中学习"。
• 全球 API 开发者：即日起可 opt-in，默认关闭。API 客户可为部分模型打开文本水印，由开发者自己决定水印如何适配其透明度义务与用户体验。博客还提到，正与云合作伙伴合作，让经由云厂商通道调用的模型输出未来也能用上水印。
• 检测器：开放申请，但只给"自己人"。获批的研究者与专家组织可按个案申请访问。检测器只报告"是否检出 OpenAI 水印"，不识别用户、不透露 prompt 与对话内容。公开版本暂不发布，理由是误报与漏报风险。

谁默认被加水印、谁能用检测器（整理自 OpenAI 官方博客）

技术名叫 textGrain，原理一句话：在模型选择下一个词时，加入不可见的统计信号；检测器用密钥寻找这个信号。关键特性是信号藏在"措辞"里、不在格式里——复制粘贴不会洗掉它，改写才会。配套发布了一份 20 页的技术报告（据第三方报道，由 OpenAI 与宾夕法尼亚大学、耶鲁的研究者合写），报告未来几周还会更新，技术计划开源。

触发背景是欧盟 AI 法：法案要求生成式 AI 提供方让生成的文本"以机器可读的方式可识别"。OpenAI 在博客开头即承认，文本水印与检测"仍是早期技术，有显著局限"，各方对其收益与负责任用法的看法"仍在形成中"——所以分阶段推进，既要满足合规要求，也要给技术局限留余地。

textGrain 怎么工作——以及 OpenAI 还没说的

博客对机制着墨不多，细节指向技术报告，完整更新承诺在未来几周。已披露的部分：textGrain 在模型选词时加入不可见的统计信号。这类技术的通常做法是：用密钥在每一步把词表伪随机地分成"偏好词"与"回避词"，再把采样轻轻推向偏好词一侧；持有相同密钥的检测器检验一段文本遵循该模式的程度是否超出偶然。因为信号藏在"选了哪些词"里，而不是隐藏字符或元数据里，它能扛住复制粘贴、格式转换、截图转文字——而这些操作恰恰是元数据式溯源一旦文本离开文件就失效的原因。

它扛不住的，正是 OpenAI 自家图表展示的：编辑、翻译、受限体裁。这个不对称决定了它诚实的使用场景：它是针对大规模逐字复用的"绊线"——批量生成的虚假评论、垃圾信息网络、合成新闻洪水——而不是对单段文本做归因的法医工具。博客中提到的 OpenAI 在 6 月的讨论，据称纠结的正是这个差距："原则上可检出"与"可靠到足以据此行动"之间的一道鸿沟。

博客推迟回答了两个技术问题。第一，"eligible"的边界：API opt-in 只说"部分模型"，没点名；欧盟 rollout 只说"符合条件的文本"，没定义。第二，开源计划没有时间表。等 textGrain 的代码与密钥管理设计公开，独立研究者才能真正检验 80/95/17 这组数字、测试非英语语言（已公布的评测全是英文：心理学段落与 ELI5 问答）、找出 OpenAI 没披露的失效模式。在那之前，本文的每一个数字都是单一来源——漂亮，但不可验证。

官方公布的数字：80%、95%、17%

这篇博客最值得细读的是数字部分，OpenAI 给得相当坦率：

• 检出率（误报率目标 1%）：心理学类内容，200 token 的段落约 80%，400 token 约 95%。数学类内容"显著更低"——措辞灵活性越小，水印信号越弱。
• 鲁棒性（400 token 英文问答语料）：把 10% 的词换成同义词，检出率从约 92% 降到 66%；替换 25% 的词，跌到 17%。
• 质量影响：官方口径，在 Astra（最新旗舰模型）的基准测试中，加水印与不加水印"无有意义的性能差异"——注意这是 vendor claim，不是第三方复现。例如 Artificial Analysis Intelligence Index：49.57 对 49.76；GPQA Diamond：94.44% 对 93.94%。
• 两类错误：误报（没有水印却报出水印）与漏报（有水印没检出）。检测器的调参本质上是在两者之间走钢丝，这次 1% 的误报率目标就是 OpenAI 选择的平衡点。

以及博客专门列出的"水印五不"——即水印不能告诉你的五件事，值得逐条记住：

• 一不衡量人类贡献：只能说明 OpenAI 系统生成或处理了文本的一部分，不能说明人的判断、编辑、创意各占多少。
• 二不确立所有权或责任：不决定文本归谁、是否合法使用、是否需要披露、谁来负责。
• 三不识别用户：不关联任何个人、组织、账号、prompt 或对话。
• 四不验证准确性：不说明文本是真是假、是否有害、上下文是否恰当。
• 五，未检出不等于人类写作：文本可能太短、被编辑过、被翻译过、来自不支持的模型、水印上线前生成，或根本是别家模型写的。

顺带一提：图像与音频的验证工具（openai.com/verify、Content Provenance API）不受影响，仍向公众开放。被收紧的只有文本检测器——文本太容易改写，OpenAI 对它的信心明显低于图像和音频。

textGrain 检出率随文本长度与改写程度的变化（数据来源：OpenAI 官方博客；虚线为示意连线）

数字解读：80%、95%、17% 各自意味着什么

80%（200 token）：200 token 约等于 150 个英文词，差不多是一段普通的 ChatGPT 回答。80% 意味着每 5 段里约有 1 段漏检——而且这是实验室条件、心理学这种"好写"的题材、误报率压到 1% 的调参下的成绩。真实世界的文本分布只会更散，这个数字是上限，不是下限。

95%（400 token）：400 token 约 300 词，一篇小作文的长度。数字好看，但注意分母游戏：95% 的前提是"误报率目标 1%"。1% 误报意味着每 100 篇纯人写的文本里，约 1 篇会被误判为 AI 生成。如果有人把这套东西当"AI 作弊检测仪"用在考试、作业、招聘、学术评审——1% 的误报率是灾难性的：一个 300 人的课堂作业筛查，预期误伤 3 个人。这也是 OpenAI 不敢公开检测器的原因之一：数字在实验室里成立，在"定罪"场景里不成立。

17%（25% 同义词替换）：这是全篇最诚实的一个数字。把四分之一的词换成同义词——也就是认真润色一遍的水平——检出率从 92% 跌到 17%，基本失效。翻译一下：这套水印防得住"复制粘贴党"，防不住"动手改的人"。任何指望水印来抓"AI 代写"的场景，前提都是对方懒得改。

数学"显著更低"：措辞空间越小，水印信号越弱。写到这里，Codex 用户应该已经皱眉了——代码的措辞灵活性比数学证明还低，"能怎么写"是被语法锁死的。欧盟 Codex 用户默认被加水印，但代码片段到底多大程度上可被检出，官方没给数字。这是个悬空的问题，也是开发者最该追问的一点。

还有一个第三方信息值得并列：据 TechRepublic 援引欧盟指南，代码片段与 200 token 以下的回复，本就不在文本水印的期望范围内。换句话说，欧盟真正想盯的，是"看起来像人写的长文本"——比如一篇以假乱真的新闻稿、一篇"原创"论文，而不是你让 Codex 补的那 20 行函数。水印的靶子从一开始就不是代码。

判断区：事实与观点分开标

以下进入判断区，事实与观点分开标。

判断一："可验证性"正在成为 AI 文本的新基础设施层。（观点）输入侧与输出侧正在同时收紧：输入侧解决"我的 prompt 谁看得见"——隐私、端到端加密，同轮还有一篇备选稿在讲 Brave Leo 正是这个方向；输出侧解决"这段文字是谁写的"——溯源、水印，就是本篇。两端一夹，AI 文本正在从"无身份"变成"有出处"。这不是一次功能更新，是基础设施层的变迁：以后"一段文字有没有可验证的出处"，会像今天"一个网站有没有 HTTPS"一样，成为默认的信任假设。早看到这一层的人，会更早开始设计"出处"进自己的产品。

判断二：对 vibe 开发者，API 的 opt-in 开关是一个真实的产品决策，不是合规八股。（观点）如果你的产品服务欧盟用户，这个开关值得认真想一想：打开水印，你的 AI 输出变得可被第三方检测——对需要自证清白的场景（教育、出版、政务、新闻）是加分项，是"我们主动可验证"的信任资产；但对把 AI 输出包装成"人工感"的场景，它可能是负债。OpenAI 把开关和举证责任一起交给了开发者，没有替你做价值判断。另外提醒一句：官方"无有意义性能差异"只是 vendor claim，你的场景、你的评测集，值得自己跑一遍再决定开不开。

如果你这周就要做决定，一份实用清单：(1) 你服务欧盟用户吗，或计划服务吗？如果是，opt-in 是在 12 月合规窗口关闭前抢占先机的最便宜方式。(2) 你的输出是长文本（检出有效）还是短片段/代码（基本无效）？给后者加水印买的是合规姿态，不是检出能力。(3) 你的读者是谁？如果是监管者、教育者、做尽调的企业买家，水印流水线是善意的证据；如果只是想要好答案的消费者，水印对他们反正不可见——这个决定关乎你的 paper trail，不是他们的体验。(4) 按项目记录你用的设置。如果溯源有朝一日可被审计，"我们某月某日全量开启"比耸肩好得多。

判断三：两种合规哲学正在分叉，值得盯。（观点，含第三方口径）据媒体报道，Anthropic 自 8 月起已对其模型文本做全局水印（Dealroom 转述 Ars Technica）；OpenAI 选择"欧盟默认 + 全球 opt-in"。前者把合规做成统一产品，后者把合规做成区域配置。"布鲁塞尔效应"到底能走多远——是各家都跟着欧盟标准全球统一，还是"欧盟特供版"成为 AI 行业的常态——就看接下来几家跟哪条路线。本篇是一个关键观测点：如果一年后主流模型都只在欧盟加水印，说明各家认定"合规可以区域化"；如果纷纷转全局，说明布鲁塞尔效应赢了。

判断四：水印防得住谁，一句话总结就是防"顺手"不防"有心"。（观点）复制粘贴党会被抓；认真改写、翻译、缩短的人基本抓不到；数学、代码这类措辞空间小的体裁先天弱。再叠加"五不"清单：水印只回答"这段文字里有没有 OpenAI 的统计信号"，不回答"谁写的、写得对不对、算谁的"。把它当"AI 测谎仪"用，是误用；当"大规模、低成本的初步筛查信号"用，是它唯一诚实的位置。任何把水印检出结果直接等同于"作弊实锤"的流程设计，都是在拿 1% 的误报率赌别人的前途。

还有什么没说

先说日期证据链，这是诚实标注的要求。OpenAI 这篇博客页面上没有日期戳。你在标题和正文里看到的"10 月 5 日"，是我们交叉确认的结果：GitHub 上的 chatgpt-timeline 时间线在"October 5, 2026"条目下收录了"EU text provenance"；Medium 作者 @andy.a.g 在解读文章开头写"On Monday, October 5, OpenAI published…"；techstartups.com 的报道 URL 路径为 /2026/10/05/（侦察员核实）；此外 dig.watch、Digital Trends、Dealroom、Medianama 等十余家媒体均在 10 月 5 日（或 6 日跟进）报道。三方以上一致，本站按 10 月 5 日标注——但"页面无戳、日期外推"这个事实本身，值得你知道。

API 默认关闭，博客没解释为什么。一个合理的解读（观点）：水印让输出"可被识别"，对某些产品是合规资产，对另一些是信任负债；OpenAI 不替开发者做这个价值判断，把选择权连同合规责任一起下放。另外博客提到正与云合作伙伴推进——企业流量大量走云厂商通道而不经过 OpenAI 自己的接口，水印要覆盖那部分，得等云厂商跟进，这是落地的时间变量，也是 Azure 等渠道用户要盯的日历。

"eligible"（符合条件的）没有定义。什么样的文本算符合条件的输出？短文本、代码片段、结构化输出是否在内？博客没说，留了个活口。结合上面 TechRepublic 援引的欧盟指南看，短文本和代码大概率不在靶心内，但 OpenAI 自己的口径并未明确，欧盟用户实际被加水印的边界，要等上线后才能看清。

检测器不公开，是全篇争议最大的一点。OpenAI 的理由：误报与漏报风险，只交给"能负责任地解读结果"的人。反方（观点）：监管要求的是"机器可读、可识别"，识别工具却锁在抽屉里，水印的合规价值大打折扣——没有公开检测器，水印目前更像"承诺"，而不是"可验证的事实"。计划开源是未来的变量，但时间未定；在那之前，第三方想独立验证 80%、95%、17% 这组数字，连门都没有。

还有一层"行为准则"（事实+背景）。检测器的门禁不完全是企业私心：OpenAI 说访问将按欧盟《AI 生成内容透明度行为准则》逐案审批——这份行为准则 OpenAI 与其他几家大厂都签了。这个定性很重要：它把检测器从"纯企业决策"变成了"受监管体制约束的工具"：同一份要求输出"可识别"的文件，也框定了第一阶段"谁有资格识别"。这种安排是否符合法规精神——机器可读的可识别性，读者却要精挑细选——正是值得争论的点，等开源落地时大概率会被重审。

合规时间窗口（第三方解读，供参考）。Medium @andy.a.g 援引 AI Omnibus 的过渡规则称，8 月 2 日前已上市的系统有到 12 月 2 日的宽限期——"未来数周"上线正好卡进这个窗口。这不是 OpenAI 官方说法，是解读，但它解释了为什么是"未来数周"而不是"今天"：合规有 deadline，产品按 deadline 倒排。

相关阅读：本站 cycle59 的 《Agent"越狱"惊动布鲁塞尔：欧盟 AI 法首次执法，OpenAI 与 Anthropic 被立案调查》——同一法案的另一面，执法已经开始；本站 cycle59 的 《骂 Claude 也会被"记过"了：Anthropic 一年来首次大修使用政策，11 月生效》——Anthropic 那边的使用政策大修。第三方深度解读推荐 Medium @andy.a.g 的 《OpenAI Will Watermark ChatGPT and Codex Text, but Only in the EU》，把法条、宽限期、技术细节拆得最细的一篇。

一句话总结：OpenAI 给 AI 文本装上了"隐形指纹"——欧盟默认开启、全球 API 可选加入；官方数字很诚实，长文本检出率高、稍加改写就失效；检测器不对公众开放，意味着这套"可验证性"目前仍是承诺多于现实。对 vibe 开发者来说，真正的考题不是技术，而是那个 opt-in 开关背后的产品抉择。