跳转到内容
NTLx's Blog
导航
AI 行业洞察

文字的半衰期

OpenAI 给欧盟的文本水印，检出率会随编辑迅速衰减，检测器又只向少数机构开放。它更像一份可审计的统计证据，而不是公众可用的真伪裁决。

一段 400 个 token 的英文回答，把其中 10% 的词换成同义词，OpenAI 的水印检出率从约 92% 降到 66%；换掉 25%，只剩 17%。

这组数字来自 OpenAI 在 2026 年 10 月 5 日发布的《我们应对欧盟文本溯源规则的做法》，不是外部研究者的攻击材料。

水印不是被破解的，是被编辑磨掉的。而编辑，是文字从模型输出变成某个人愿意署名的作品的必经之路。

我读完这篇文章的感受有些矛盾。它是我读过的厂商文件里，少数愿意把文本水印的局限写成数字的一份；同时，它也是一份把“可检测”改写成“可审计”的合规方案。两件事并不冲突，但需要分开说清楚。

我的判断是：OpenAI 交出的不是一把公众可以拿来验伪的尺子，而是一份只对持钥机构开放的统计证据。技术局限是真的，分阶段开放也有其道理；问题在于，当这套安排被叫作“透明度”，公众得到的是被标记，而不是被说服。

文字的半衰期：编辑越深，水印越弱；三项安排、谁在读、能证明什么

三项安排，一个顺序

Section titled “三项安排，一个顺序”

OpenAI 这次宣布的事情可以拆成三件。

按文章的说法，未来几周，欧盟地区符合条件的 ChatGPT 和 Codex 文本输出会加上不可见水印，覆盖所有套餐。全球 API 客户可以选择为部分模型启用水印，但 API 水印默认关闭。文本水印检测器开放申请，初期只给经批准的研究人员和专业机构，不向公众开放。

把顺序读一遍，会发现它不像一次产品发布，更像一套合规架构：先在受监管的市场把义务兑现，再让其他市场的客户自愿选择，最后把验证权收进一个审批流程。

技术上，textGrain 做的事情并不神秘。模型每生成一个 token（词元），都要在候选词之间分配概率；水印用密钥和上下文改变这个选择过程，让某些词更常被选中。读者看不出差别，但持有同一把密钥的检测器可以统计这段文字是否符合那套选择规律。它不插入隐藏字符，也不增加额外的 token。站内那篇《AI 水印命中后，来源判断还要看哪些条件？》已经拆过这套统计检验和 p 值的含义，这里不再重复。

更值得看的是：这套技术在什么条件下有效，以及当它失效时，制度怎么处理。

水印的半衰期

Section titled “水印的半衰期”

OpenAI 给了两张图，恰好把有效条件画了出来。

第一张图比较文本长度和内容类型。在 1% 的目标假阳性率下，心理学问题的回答在 200 个 token 时检出率约为 78.5%，400 个 token 时约为 94.3%；数学问题的回答在同样长度下只有 36.5% 和 60.8%。

差距的原因不复杂。水印藏在“本来可以这样写，也可以那样写”的地方。心理学问题的回答有更多措辞选择，模型有空间服从密钥的偏好；数学题的答案受事实和推导约束，能改的地方少，信号就弱。文本越长，可供统计的位置越多，检出率也随之上升。

OpenAI 原文图表：文本长度和类型对检测率的影响，数学低于心理学

第二张图更接近这篇文章的主题。对 400 个 token 的文本，不做编辑时检出率约为 92%；替换 10% 的词为同义词后降到 65.8%；替换 25% 后只剩 17.2%。

这不是一条平滑的衰减曲线，更像一道悬崖。10% 的改动已经让检出率掉了约四分之一，25% 的改动让它跌破五分之一。换成 200 个 token 的文本，同样的替换会让检出率从 66.3% 降到 37.8%，再降到 7.0%。

如果把“检出率减半”借用为半衰期，400 个 token 的文本在 10% 同义替换后还没有减半，25% 时已经掉到不足五分之一；200 个 token 的文本更早失效。水印最强的地方，是长、自由、未经编辑的文本；最弱的地方，是短、受约束、被认真改过的文本。

后者恰恰是更值得追问来源的文本。一份经过编辑的稿件、一段被翻译的引文、一条反复打磨的公告，都是人的判断真正介入的地方。水印却在这些地方最先消失。

这不是 OpenAI 一家的实现缺陷。任何把信号藏在用词选择里的文本水印，都很难绕开这个约束。信号依赖选择，编辑改变选择，两者的方向相反。站内写 Claude 文本水印的那篇《在语言的熵隙里掷骰子》讨论过这种对抗上的脆弱性；OpenAI 这次的不同之处，是把脆弱性写进了发布节奏和访问控制里。

《实践准则》没有回避这一点。它把不到 200 个 token 的文本定义为“very short text”，允许不打水印；超过 200 个 token 的自由文本仍然要打，但承认可靠性可能更低。帮助中心把 200 个 token 换算成约 150 个英语单词。一条 150 个词的边界，把大量短文本挡在了水印之外。

法律把弱点写进了条款

Section titled “法律把弱点写进了条款”

第 50(2) 条要求生成式 AI 提供商把输出标记为机器可读、可检测为人工生成或操纵。但它的后半句留了余地：技术方案要有效、可互操作、稳健、可靠，前提是“as far as this is technically feasible”，并且要考虑不同内容类型的特殊性和局限。

这句话不是装饰。它在法律上承认了：不同媒介的可检测性不一样，不能用一个标准要求所有内容。

《实践准则》把这种承认落到了文本上。它说自由文本无法携带元数据，所以对文本来说，单层水印标记就够了；它允许把自由文本水印的检测限制给经过验证的专家用户；它还明确说，当水印可靠性较低、可能产生误导性结果时，限制访问是允许的。

规则本身就留出了这块空间。OpenAI 的分阶段方案——欧盟先行、API 自愿、检测器审批——几乎逐条对应准则的结构。它在博客里也直接引用了《实践准则》来解释检测器为什么逐案审批。

截至 2026 年 7 月底，约 190 家公司/机构签署了这份准则。OpenAI 是其中之一：帮助中心说，OpenAI 与其他几家主要 AI 提供商均已签署。签署意味着它选择用这套准则来证明合规，而不是另找一条路。

把这件事理解成“厂商想藏起检测器”，也偏了。更贴近的说法是：法规要求一个技术上只能部分做到的东西，准则把“部分做到”写成了合规路径，厂商沿着这条路径落地。法规、准则和厂商都没有假装问题已经解决。

谁有资格读这枚水印

Section titled “谁有资格读这枚水印”

这里有一个分工，平时不太会被拿出来说：标记、检测、解释，是三件不同的事。

OpenAI 负责标记。它在生成时把信号写进用词选择，读者看不见。

检测需要密钥。技术报告说得很直接：检测器只需要生成的文本和 secret key。方法可以公开，密钥不会。OpenAI 说计划把 textGrain 开源；即便代码公开，没有密钥的人仍然无法验证一段文本。开源的是一把锁的图纸，不是钥匙。

谁来检测？初期是经批准的研究人员和专业机构。博客说得很清楚：检测器会报告是否发现 OpenAI 水印，但不会识别用户身份，也不会披露提示词或对话；鉴于漏检和假阳性的风险，推出之初不向公众开放。

还有一个更具体的错位：API 客户可以为自己的输出启用水印，但不会因此获得检测器权限。帮助中心的问答写得很直白——启用文本水印后，我也能获得文本检测器的访问权限吗？不能。

结果是，你可以给自己的产品打上标记，却不能自己验证它；你可以被标记，却不能读标记。验证权留在 OpenAI 和它批准的机构手里。

标记、检测、解释三道门：标记面向所有人生成，检测需要密钥，解释是复核信号

这个设计有合理的理由。1% 的假阳性率意味着每 100 段无水印文本里，可能有 1 段被误判；如果检测器对公众开放，这个数字会被用来指控学生、作者、记者和普通用户。帮助中心明确把学术诚信场景排除在外，说明 OpenAI 知道这把尺子不适合拿来判人。

但合理的限制，不等于不需要被问责。如果检测权是一项公共授权，那么准入标准、批准数量、拒绝理由、检测结果的误差和申诉机制，都应该可以被公众检查。否则，“专家访问”就会变成一个自由裁量的门。准则说这种限制应是临时的，直到更可靠的检测方法出现；那么谁来判定“更可靠”，按什么标准判定，就是一个需要公开回答的问题。

更麻烦的是，文本水印的衰减和法律里的编辑豁免，方向一致。

第 50(4) 条要求部署者为告知公众公共关切事项而发布的 AI 生成文本作出披露，但如果文本经过了人工审阅或编辑控制，并且有自然人或法人承担编辑责任，就可以不披露。

一篇由 AI 起草、经人认真编辑的稿件，既更难被水印检出，也更可能落在编辑豁免里。两个门同时关上。这不一定是立法者或 OpenAI 的意图，但结果是结构性的：越是经过人的判断、越应该被追问“人改了什么”的文本，越容易同时失去技术信号和法律义务。

AI 起草经人工编辑后水印消散，水印失效与编辑豁免两扇门同时关上

我不认为这说明水印没有意义。它说明水印证明不了“这段文字是谁写的”。

一枚水印能证明什么

Section titled “一枚水印能证明什么”

OpenAI 在博客里列了五条“水印无法告诉你什么”，这是全文最诚实的部分。

  • 它无法衡量人的贡献：能说明 OpenAI 系统生成或处理过部分内容，但说不清有多少来自人的判断、编辑或创意。
  • 它无法确定所有权或责任归属：不回答文本归谁、使用是否合法、是否需要披露、由谁负责。
  • 它无法识别用户身份：不把文本与个人、组织、账号、提示词或对话关联。
  • 它无法验证准确性：不告诉你文本是否真实、是否误导、是否有害。
  • 未检测到水印，不能证明文本由人类创作：可能太短、被编辑、被翻译、来自不支持水印的模型、生成于功能推出之前，或来自其他公司的工具。

这份清单把“检测”还原成了一件更窄的事：它是一次统计检验，不是一次作者认定。命中的意思是，这段文本与某套带密钥的采样规律相符；它不回答这段文本里有多少是 AI 写的，也不回答谁该为它负责。

这并不意味着水印没有用。对平台级的内容筛查，长文本、选词空间大的内容在 1% 假阳性率下能到 90% 以上，已经足以筛出值得复核的样本；数学这类低熵内容，400 个 token 时也只有 60.8%，漏检会很多。对监管机构，它还能提供一个可重复的审计线索。但同一个数字，放在不同的决策层级，含义完全不同。用来决定是否人工复核，它可能够用；用来决定是否处分一个人，它远远不够。

OpenAI 自己的质量数据也值得按同样的方式读。它说在 Astra 的基准测试中，加不加水印没有明显性能差异，差异在随机波动范围内。表格里有些项目上升，有些下降：Terminal-Bench Science 从 56.90% 升到 60.00%，DeepSWE 从 72.80% 降到 71.68%，幅度都不大。这支持“水印不是明显的质量税”，但不等于每个任务都毫发无损；它是一组特定基准上的结果，不是对所有使用场景的保证。

我把水印命中当作一个复核信号。它可以让编辑多看一眼，也可以给研究者一个可检验的假设；但它不应该直接变成处分、署名裁决或“这是 AI 写的”的公开结论。

把溯源从文字里拿出来

Section titled “把溯源从文字里拿出来”

文本水印的困难，根子在媒介。图像和音频是文件，文件可以携带 C2PA 内容凭证；元数据被剥离后，还有 SynthID 水印作为第二层。文本没有稳定的容器。它被复制进邮件、文档、CMS、聊天窗口，每一次转手都可能改变措辞和上下文。OpenAI 在 6 月 11 日的文章里说得很清楚：元数据会被剥离、在下载上传中丢失、被格式转换、缩放或截图破坏。

所以，文本溯源要补的下一层，不在文字内部，而在文字的生产和发布流程里。

《实践准则》也把日志列为可选的补充措施，并明确说直接日志可能适合文本内容。文档级的内容凭证、带签名的版本记录、编辑流程的留痕，都是比“在词里藏信号”更朴素、也更可靠的方向。它们不要求读者相信一枚统计指纹，而是让读者能沿着一条链去查：谁起草、谁编辑、用了什么工具、哪一版被发布。

从草稿到发布的来源链：草稿、工具记录、编辑留痕、签名文档、发布；水印只覆盖起点

对不同的角色，这意味着不同的事。

写作者和编辑，可以保留草稿、修改记录和工具使用说明。水印命中不能证明你是作者，未命中也不能证明你是人类；能证明你工作过程的，是你留下的记录。

平台和机构，可以把检测结果当作复核触发器，配上申诉和人工判断；要求检测方公开误差、阈值和适用范围，而不是只给一个“是/否”。

研究者和记者，可以申请检测器访问，做独立评估。目前的检出率、语言差异和质量结论，主要来自 OpenAI 自己的测试；独立复现比再写一篇原理介绍更有价值。

API 客户，可以把启用水印当作一项低成本的透明度选择，但要知道它不会给你检测能力；如果你的合规流程依赖验证，需要另外安排。

OpenAI 这次最值得肯定的地方，是它没有把水印说成万能。它给出了会让自己难看的数字，列出了水印做不到的事，也承认检测器暂时不能交给公众。一个厂商愿意把限制写进发布材料，这比一句“我们致力于透明度”更有信息量。

但诚实地说清楚局限，和解决局限，是两件事。文本水印能做的，是在生产链的起点留下一个微弱的信号；它不该被当成终点，更不该被当成裁决。更接近“来源”本意的，是那条从草稿到发布的链，以及愿意为它负责的人。

参考资料

Section titled “参考资料”