人工智能生成的文本正在被悄悄打上“看不见的印记”。美国开放人工智能研究中心（OpenAI）正式发布textGrain熵校准文本水印技术，在模型采样生成环节植入人眼不可见、机器可识别的统计信号，不改动文字与标点。欧盟地区的ChatGPT与Codex将默认启用，检测器暂只向通过资质审核的科研人员与机构开放，算法后续将开源。这是文本水印技术首次进入大规模产品应用，也是欧盟监管与AI内容溯源需求共同催生的标志性事件。

一、事件全景：textGrain正式发布与产品部署方案

当地时间10月5日，OpenAI正式发布textGrain熵校准文本水印技术，并在官方博客同步发表同名技术论文。这项技术并不改动文字与标点符号，而是在大模型生成文本的过程中植入肉眼看不见的统计信号，机器可据此识别文本是否出自OpenAI模型。

根据OpenAI公布的产品部署方案，欧盟地区的ChatGPT、Codex将在未来数周内默认启用水印；全球API接口则交由企业自主选择是否开启，默认保持关闭。这一差异化安排直接回应了欧盟监管要求：《人工智能法案》第五十条第2款规定，生成合成文本等内容的人工智能系统提供者，应确保其输出以机器可读的格式进行标记，该透明度义务自2026年8月2日起适用。

在检测端，OpenAI设置了严格准入门槛：水印检测器不对普通公众开放，只供通过资质审核的科研人员、专业机构申请使用；检测器仅反馈是否检出OpenAI水印，不会追溯使用者身份，也不会泄露提示词、对话记录等隐私信息。论文通讯作者、OpenAI研究员苏炜杰在个人社交平台X上透露，textGrain水印算法后续将开源，供全球科研社区迭代优化。

论文第一作者、美国宾夕法尼亚大学博士后李翔对《中国科学报》表示，textGrain标志着文本水印技术走出了实验室、进入大规模产品应用，但这项技术存在明确的能力边界——水印只能作为溯源核查线索，不能直接判定一段文本中AI生成内容与人类创作内容的占比。

值得注意的是，文本水印并非OpenAI一家的探索。谷歌已将SynthID-Text用于Gemini模型生成的文本，Anthropic此前也宣布对Claude生成的文本添加水印并在全球范围内推行。textGrain的落地，使AI文本溯源从技术研究正式迈入产品化部署阶段。

图1  textGrain文本水印技术运行框架　

二、技术内核：不改动文字的统计信号如何植入

不少人认为，文本水印就是在文字里藏空格、插特殊符号，但textGrain并非如此。大模型生成文本，会从备选词汇中做概率采样，概率越高的词被选中的可能性越大。textGrain利用密钥，结合上下文生成一套只有机器可识别的伪随机规则，适度引导模型的选词偏好，从而在生成环节植入一套看不见的统计倾向。

“最优传输原本是求解资源调配的数学方法，在这里被用来调配词语的生成概率。对于密钥制造的统计倾向，人阅读完全感知不到，但算法检测器能够捕捉到。”李翔解释说，这项技术只修改采样逻辑，与模型预训练相互独立，理论上适配各类语种。

不过，跨语种迁移并非简单复制。李翔提醒，中文词表、语言习惯、信息统计特征和英文存在差异，算法框架虽可复用，但英文环境调试得到的参数不能直接迁移至中文场景，需要重新调校熵预算等核心参数。

在性能代价方面，OpenAI实测显示，启用水印的前沿模型Astra，在多组权威基准测试条件下未出现具备实际意义的性能衰减；OpenAI同时表示，textGrain的表现达到或超过了其测试的其他方法，包括用于文本的SynthID。这意味着水印技术已基本跨过“可用性”门槛，而真正决定其应用边界的，是检测环节的可靠性。

三、实测数据：检出率与能力边界

实验室理想条件下，textGrain拥有不错的识别效果。以心理学类内容为例，在1%目标假阳性率下，400个词元段落检出率约95%，200个词元约80%。换言之，文本越短，水印越难被稳定检出。

然而，一旦放到真实应用环境，短板随即凸显。对于数学、公式推导这类可选表达极少的低自由度内容，检出效果会明显下滑。

改写、同义替换对水印的破坏尤其明显：400个词元文本，仅替换10%的同义词，检出率会从92%跌至66%；替换比例达到25%，检出率仅剩17%。OpenAI官方亦提示：“理想条件下的强劲表现，并不能保证日常使用中的可靠检测。”

此外，官方文件专门划定了水印能力的4条清晰边界：水印无法判断一段文字内人类创作与AI加工的占比，不能判定版权归属与法律责任，无法追踪具体使用账号，也无法核实内容事实对错。也就是说，检出文本携带水印，不代表整篇文本完全由AI生成；未检测到水印，也不能证明文本出自人类之手。

即便只用AI润色修改一两句话，只要经过OpenAI模型输出，就会打上水印。现有词元级水印技术，无法分辨“AI全权创作”和“人类主导、AI辅助润色”。李翔坦言，当前水印只关注词语和密钥之间的统计关系，并不理解文字背后的语义、观点的重要程度，也无法区分二者。这项技术只能提供核查线索，不能充当判定创作主体的裁判。

图2  不同文本长度下的水印检出率（目标假阳性率1%，心理学类内容）　

图3  同义替换对400词元文本水印检出率的影响　

四、开放策略：为什么检测器不向公众开放

正是出于对误判风险的警惕，OpenAI没有把检测工具向全社会开放。李翔分析，如果无限制开放检测接口，攻击者可以反复提交文本、迭代改写，直到检测不到水印，这相当于给“洗水印”提供了工具，水印体系就会形同虚设。

这类攻击并非纸上推演。此前已有针对统计型文本水印的开源去水印工具在GitHub上流传，其原理正是通过改写文本、替换词汇的方式破坏统计水印信号。即便未来扩大访问范围，也必须限定使用主体、调用频次，同时配套完善结果解读规范。

在李翔看来，现阶段textGrain能够发挥的实际作用，主要是防范直接复制粘贴AI生成内容、不加修改对外传播的粗放滥用行为，面对精心改写加工后的文本则难以奏效。开源之后，攻击和防御的博弈将长期持续。

对于未来技术的演进方向，李翔认为主要存在两条路径：一是探索语义层级水印，跳出单个词元局限，捕捉行文逻辑结构；二是检测端创新，融合AI文本统计特征，把多套检测信号结合起来提升识别能力。但两条路径均面临不少现实技术难题。

五、行业影响与展望：溯源体系需要多工具协同发力

textGrain作为欧盟监管催生的技术成果，可为我国生成式AI内容溯源工作提供参考样本，但不能简单照搬复制。

目前，我国已建立AI生成内容标识管理制度框架。国家互联网信息办公室、工业和信息化部、公安部、国家广播电视总局四部门于2025年3月联合发布《人工智能生成合成内容标识办法》，自2025年9月1日起施行，从显式提示、隐式标识等多个维度对AI生成内容标识作出明确规范，配套强制性国家标准《网络安全技术 人工智能生成合成内容标识方法》同步实施。

这套隐式标识依托文件自带的元信息实现，和textGrain技术路线完全不同。元信息标识的好处是，即便文本正文被改写，标识依旧可以留存；但如果发生文件复制、格式转换，元信息就很容易丢失。而textGrain这类统计水印则把信号内嵌在文本生成逻辑中，不怕普通文件格式变动，但很容易被同义改写、转述所破坏，造成水印信号失效。

放眼全球，各大厂商水印方案互不兼容，密钥、算法各自独立，一家的检测器只能识别自家模型产出，跨平台溯源很难实现。谷歌已于近期宣布其SynthID检测工具面向全球开放，日均检测请求超100万次，但谷歌同样强调检测结果并非百分之百准确，仅作参考。全球通用标准的落地受监管导向、企业合作、隐私安全等多重因素制约，行业形成统一技术共识暂无明确时间表。

AI生成内容呈爆发式增长，社会迫切希望找到可靠标尺，区分机器生成与人类创作。李翔认为，AI内容溯源不能把全部希望押在单一技术上——技术本身存在局限，用好技术离不开制度约束、公众认知和行业共识。

结语

textGrain的发布，让文本水印第一次以产品形态进入全球数亿用户的日常使用场景，其技术路线、部署策略与开放边界都为行业提供了可观察的样本。但OpenAI官方与研究者的表态同样清晰地划出了这条技术的边界：水印是溯源线索，而非判定AI与人类创作占比的裁判；封闭的检测器与开源的算法，将在攻防博弈中长期共存。对中国而言，基于元信息的隐式标识制度已先行落地，统计水印可作为技术光谱中的补充选项。AI内容溯源的最终答案，不在于某一项单一技术，而在于技术工具、制度约束与行业共识的协同发力。