中国科学报

近日，美国开放人工智能研究中心（OpenAI）正式发布textGrain熵校准文本水印技术，并在OpenAI的博客上同步发表同名技术论文。这项技术并不改动文字与标点符号，而是在模型生成文本的过程中植入肉眼看不见的统计信号，机器可据此识别文本是否出自OpenAI模型。

根据OpenAI公布的产品部署方案，欧盟地区的ChatGPT、Codex将默认启用水印，全球API接口交由企业自主选择是否开启。目前，水印检测器不对普通公众开放，只供通过资质审核的科研人员、专业机构申请使用。论文通讯作者、OpenAI研究员苏炜杰在个人社交平台X上透露，textGrain水印算法后续将开源，供全球科研社区迭代优化。

论文第一作者、美国宾夕法尼亚大学博士后李翔对《中国科学报》表示，textGrain标志着文本水印技术走出了实验室、进入大规模产品应用，但这项技术存在明确的能力边界。水印只能作为溯源核查线索，不能直接判定一段文本中AI生成内容与人类创作内容的占比。

统计学让AI文本“留痕”

不少人认为，文本水印就是在文字里藏空格、插特殊符号，但textGrain并非如此。它不改动文字本身，而是在大模型选词采样的生成环节，植入一套看不见的统计倾向。

大模型生成文本，会从备选词汇中做概率采样，概率越高的词被选中的可能性越大。textGrain利用密钥，结合上下文生成一套只有机器可识别的伪随机规则，适度引导模型的选词偏好。

“最优传输原本是求解资源调配的数学方法，在这里被用来调配词语的生成概率。对于密钥制造的统计倾向，人阅读完全感知不到，但算法检测器能够捕捉到。”李翔解释说，这项技术只修改采样逻辑，与模型预训练相互独立，理论上适配各类语种。但他提醒，中文词表、语言习惯、信息统计特征和英文存在差异，算法框架虽可复用，但英文环境调试得到的参数不能直接迁移至中文场景，需要重新调校熵预算等核心参数。

OpenAI实测显示，启用水印的前沿模型Astra，在多组权威基准测试条件下未出现具备实际意义的性能衰减。

水印只能当线索，不能当“裁判”

实验室理想条件下，textGrain拥有不错的识别效果。以心理学类内容为例，在1%目标假阳性率下，400个词元段落检出率约95%，200个词元约80%。

然而，一旦放到真实应用环境，短板随即凸显。对于数学、公式推导这类可选表达极少的低自由度内容，检出效果会明显下滑。改写、同义替换对水印的破坏尤其明显：400个词元文本，仅替换10%的同义词，检出率会从92%跌至66%；替换比例达到25%，检出率仅剩17%。

OpenAI官方提示：“理想条件下的强劲表现，并不能保证日常使用中的可靠检测。”此外，官方文件专门划定了水印能力的4条清晰边界：水印无法判断一段文字内人类创作与AI加工的占比，不能判定版权归属与法律责任，无法追踪具体使用账号，也无法核实内容事实对错。

也就是说，检出文本携带水印，不代表整篇文本完全由AI生成；未检测到水印，也不能证明文本出自人类之手。这项技术只能提供核查线索，不能充当判定创作主体的裁判。即便只用AI润色修改一两句话，只要经过OpenAI模型输出，就会打上水印。现有词元级水印技术，无法分辨“AI全权创作”和“人类主导、AI辅助润色”。李翔坦言，当前水印只关注词语和密钥之间的统计关系，并不理解文字背后的语义、观点的重要程度，也无法区分二者。

正是出于对误判风险的警惕，OpenAI没有把检测工具向全社会开放。李翔分析，如果无限制开放检测接口，攻击者可以反复提交文本、迭代改写，直到检测不到水印，这相当于给“洗水印”提供了工具，水印体系就会形同虚设。即便未来扩大访问范围，也必须限定使用主体、调用频次，同时配套完善结果解读规范。

在李翔看来，现阶段textGrain能够发挥的实际作用，主要是防范直接复制粘贴AI生成内容、不加修改对外传播的粗放滥用行为，面对精心改写加工后的文本则难以奏效。开源之后，攻击和防御的博弈将长期持续。

对于未来技术的演进方向，李翔认为主要存在两条路径：一是探索语义层级水印，跳出单个词元局限，捕捉行文逻辑结构；二是检测端创新，融合AI文本统计特征，把多套检测信号结合起来提升识别能力。但两条路径均面临不少现实技术难题。

溯源体系需要多工具协同发力

textGrain作为欧盟监管催生的技术成果，可为我国生成式AI内容溯源工作提供参考样本，但不能简单照搬复制。

目前，我国已建立AI生成内容标识管理制度框架，从显式提示、隐式标识等多个维度对AI生成内容标识作出明确规范。这套隐式标识依托文件自带的元信息实现，和textGrain技术路线完全不同。元信息标识的好处是，即便文本正文被改写，标识依旧可以留存。但如果发生文件复制、格式转换，元信息就很容易丢失。而textGrain这类统计水印则把信号内嵌在文本生成逻辑中，不怕普通文件格式变动，但很容易被同义改写、转述所破坏，造成水印信号失效。

放眼全球，各大厂商水印方案互不兼容，密钥、算法各自独立。一家的检测器只能识别自家模型产出，跨平台溯源很难实现。全球通用标准的落地受监管导向、企业合作、隐私安全等多重因素制约，行业形成统一技术共识暂无明确时间表。

AI生成内容呈爆发式增长，社会迫切希望找到可靠标尺，区分机器生成与人类创作。李翔认为，AI内容溯源不能把全部希望押在单一技术上。技术本身存在局限，用好技术离不开制度约束、公众认知和行业共识。