AI 生成内容都要带水印了，但水印不是“真假鉴定”

发表于
从显式标签、文件元数据到不可见数字水印，AI 内容标识正在成为基础设施，但它只能提供来源线索，不能替代事实核查。

一张图片的右下角出现“AI 生成”，很多人会自然地认为：真假问题解决了。

过去一年，这种标签也确实越来越常见。中国的《人工智能生成合成内容标识办法》已经施行，欧盟《人工智能法》第 50 条的透明度义务也从 2026 年 8 月 2 日起适用。OpenAI、Google 等平台则开始同时使用文件元数据和不可见数字水印。

但我的判断是：AI 水印更像行李牌，不是测谎仪。 它可以告诉我们一份内容经过哪项服务、留下过什么标记，却不能自动证明画面里的事情真的发生过，也不能保证一份没有标记的内容一定来自人类。

如果把“有水印”直接理解成“假的”，把“没水印”理解成“真的”，我们只是给旧的真假问题换了一个新的误判入口。

人们说的“水印”，其实是三种不同东西

日常讨论常把所有 AI 标识都叫作水印，但它们解决的问题并不相同。

标识方式 人能否直接看到 能携带什么信息 主要弱点
显式标签 能，例如“AI 生成”、图标或语音提示 直接提醒观看者内容使用了 AI 可以被裁掉、遮盖或仿造
文件元数据 通常不能，需要平台或验证工具读取 生成服务、内容编号、创建和编辑记录等 转码、截图或平台处理时可能丢失
不可见数字水印 不能，需要专用检测器 嵌入图片、音频、视频或文本本身的来源信号 压缩、裁剪、改写和对抗性处理可能削弱检测

这三层可以用一件托运行李来理解。

显式标签是贴在箱子外面的行李牌，任何人都能看见；元数据是航空公司的托运记录，信息更完整，但需要系统查询；不可见水印像写进箱体材料里的序列号，外层标签掉了以后，它仍可能留下线索。

三者都能帮助追踪行李从哪里来，却都不能证明箱子里的每件东西是真的、合法的，或者没有被人拿到另一个场景里误导使用。

这也是 C2PA 2.4 技术规范刻意划出的边界。C2PA 用数字签名把来源声明、编辑动作和文件绑定成可验证的 Content Credentials（内容凭证），但规范明确不对这些来源数据作“好”或“坏”的价值判断。验证通过，说明签名和声明与文件的关系可以被检查；它不等于声明中的内容天然可信。

监管要求的不是一枚 Logo，而是一条标识链

2025 年 9 月 1 日起施行的中国《人工智能生成合成内容标识办法》，把标识明确分成显式和隐式两类。

在符合规定的场景中，生成服务要在文本、图片、音频、视频或交互界面加入用户能够感知的提示；导出文件时，也要确保文件中保留相应显式标识。与此同时，服务还要在文件元数据中写入生成合成属性、服务提供者和内容编号等信息，并被鼓励加入数字水印。

传播平台拿到文件后，还要继续检查：

  • 元数据已经表明是生成内容，平台应在内容周边添加显著提示；
  • 元数据没有标记，但用户主动声明，平台要提示“可能为生成合成内容”；
  • 两者都没有，平台检测到其他生成痕迹时，则提示“疑似生成合成内容”。

这不是简单地要求每张图永久烙上一个 Logo。办法还允许服务在约定用户标识义务、使用责任并留存相关日志的条件下，向用户提供不含显式标识的内容。真正形成约束的是生成服务、导出文件、发布者声明和传播平台共同维护的一条链。

欧盟采用了相似但不完全相同的分层思路。欧盟委员会 2026 年 8 月更新的第 50 条透明度义务指南要求生成式 AI 提供者加入机器可读标记，使生成或操纵内容能够被检测；使用方则需要在深度伪造，以及缺少人工审核或编辑控制的公共利益文本等场景中向人披露。

这里最重要的区别是：机器可检测的来源标记，与人眼可见的风险提示，不是同一个产品功能。 前者服务于平台之间的识别和溯源，后者服务于具体传播场景中的用户判断。

为什么平台开始同时使用元数据和数字水印

单独依赖一种标识，很容易在内容传播途中断链。

OpenAI 的现行说明显示，受支持的 ChatGPT、Codex 和 API 生成图片会同时包含 C2PA 元数据与 SynthID 水印；受支持的生成音频则使用 SynthID。OpenAI 给出的理由很直接：元数据能携带更丰富的上下文，但可能被平台、编辑工具或格式转换移除；嵌入内容的水印在部分变换后仍可能保留，却通常提供不了同等丰富的信息。

Google 在 2026 年 5 月公布的内容透明度更新中称，SynthID 已经用于超过 1000 亿张图片和视频，以及相当于 6 万年时长的音频。Google 同时在 Gemini、Search 和 Chrome 中扩展 SynthID 与 C2PA 验证，并推动相机在拍摄时为真实影像写入内容凭证。

后一个方向尤其值得注意。内容溯源不应该只给 AI 作品贴“合成”标签，也可以给相机直接拍摄、编辑链完整的内容提供“它从哪里来”的证据。

换句话说，目标正在从“找出所有 AI 内容”，变成“让更多内容带着可验证的来历移动”。前者要求一个几乎不会漏判的万能检测器；后者接受来源信号并不完整，但尽量让每一段可信历史都能被保留下来。

检测到水印，仍然回答不了四个问题

即使验证工具成功找到了水印，也只完成了来源判断的一部分。

1. 内容是真的吗

一张带有可信 AI 来源标记的“火星城市”图片，仍然可以是虚构作品；一张相机拍摄并带有完整 C2PA 凭证的照片，也可能被配上错误的时间、地点和说明。

来源记录回答“文件怎样产生”，事实核查回答“其中的主张是否成立”。两者不能互相替代。

2. 内容没有被编辑过吗

数字签名可以帮助发现与签名状态不一致的修改，来源链也可以记录合规编辑。但图片被截图、重新拍摄或进入不保留元数据的平台后，验证工具面对的可能已经是一份脱离原始凭证的新文件。

OpenAI 也明确提醒：检测到来源信号，不代表内容准确、未经编辑、拥有合法权利或处在正确语境中。

3. 没检测到水印，就一定是人做的吗

不成立。

内容可能来自尚未支持标识的模型、旧版本或导出路径；元数据可能在分享过程中被删除；数字水印也可能被压缩、裁剪、噪声、改写或格式转换削弱。还有一些本来就没有加入标识的开源或自建模型。

因此，“未检测到”最准确的解释是没有找到受支持的信号，而不是“已经证明由人类创作”。

4. 水印能永远抵抗删除吗

也不能作这样的保证。

ICML 2024 论文 《Watermarks in the Sand》研究的是一种很强的目标：攻击者不能在不明显降低质量的情况下擦除水印。作者在一组明确假设下证明，这种强水印无法实现，并用同一类攻击移除了三种大语言模型水印，输出质量只受到轻微影响。

这项研究不等于“所有水印都没用”。它讨论的是特定安全定义和攻击条件，也不否认水印可以提高批量追踪与平台治理的成本效率。它真正提醒我们的是：水印应该被当作有误差的安全信号，而不是不可破坏的数学封条。

真正可靠的系统，要把四个判断分开

如果平台、企业或内容团队要使用 AI 标识，最危险的设计是把一个检测结果直接变成最终裁决。

更稳健的系统应该拆成四层：

  1. 来源层：读取 C2PA、平台元数据、数字水印和发布者声明，回答内容可能从哪里来。
  2. 完整性层：检查签名、编辑历史和文件变换，回答现有文件与已知来源链是否一致。
  3. 真实性层：核对人物、地点、时间、事件和引用，回答内容表达的事实是否成立。
  4. 治理层：结合场景、风险和规则，决定是否展示标签、降低推荐、要求补充披露或交给人工复核。

这四层的结果可能互相冲突。一段内容可以明确由 AI 生成，却完全无害；也可以没有任何 AI 痕迹，却是经过剪裁和错误配文的旧视频。平台真正需要管理的是误导风险，不是“AI”这两个字本身。

工程实现还要对标识链做压力测试：图片压缩、裁剪、截图，视频转码，音频截取，文本改写，跨平台上传后，哪些信号还能保留？检测器的误报率和漏报率是多少？遇到“不知道”时，产品是否允许保留不确定性，而不是强行输出真假二选一？

以后看到“AI 生成”，应该怎样判断

可以记住一条简单规则：

水印回答来源，检测回答可能性，事实核查回答真假，平台规则回答能否传播。

看到 AI 标识时，不必立刻把内容当成谎言。先检查它来自哪个工具、经历过哪些编辑，再判断其中的事实主张。

没有看到标识时，也不要把空白当成人类原创证明。继续寻找原始发布者、完整文件、拍摄背景和其他独立证据。

AI 水印真正的价值，不是替人做一次终局判断，而是让原本完全匿名、四处复制的数字内容，多带回一点可以验证的历史。

行李牌不能告诉你箱子里的故事是真是假。但在一座每天处理数十亿件内容的机场里，先知道它从哪里来、经过了哪些站，仍然比什么都不知道好得多。

资料与口径