ChatGPT文本水印解析：欧盟强制上线，检测与去除真相

OpenAI 从 2026 年 10 月起在欧盟为 ChatGPT 和 Codex 的文本输出加入隐形水印。这不是一个可见的标记，而是一种隐藏在字里行间的统计模式。对于欧盟用户，它默认开启；对于世界其他地区，它默认关闭。这场围绕文本来源验证的变革，正在重新定义 AI 生成内容的透明度边界。

ChatGPT 现在会为文本加水印吗？

据 OpenAI 2026 年 10 月 5 日的公告，文本水印首先在欧盟落地，分三部分推进：

欧盟版 ChatGPT 与 Codex。 所有付费计划的合格用户在数周内自动获得水印功能。Codex 是 OpenAI 的编程工具，也包含在内。

全球 API 可选开启。 开发者可以在自己的应用中为选定模型打开水印，默认关闭。

检测工具仅对少数人开放。 OpenAI 开发了检测器，但只接受研究机构和专家组织的申请，逐一审批。

OpenAI 明确表示，文本水印短期内不会成为全球默认设置。欧盟以外的 ChatGPT 文本目前不带水印。

部分细节仍不透明：OpenAI 未公布具体启动日期，未界定“合格用户”的判定标准，也未解释如何识别用户地理位置。其帮助页面中唯一提及的开关，仅面向 API 客户。

textGrain 水印的工作原理

这项技术的核心叫 textGrain，一种基于秘密密钥的统计引导方法。

语言模型逐个生成 token（词或词片段）。每一步都有多个候选 token，模型部分随机地从中挑选。textGrain 用密钥极其轻微地干预这个随机选择过程。当文本足够长时，这些微小偏移累积成一种可测量的模式。持有同一密钥的检测器，便能判断一段文本与模式的匹配程度是否超出巧合范围。

OpenAI 强调水印不是什么：

• 不往文本里插入任何隐藏字符、不可见空格或异常标点
• 不关联用户身份、账户、提示词或对话记录
• 不能证明人类撰写了多少内容、文本归谁所有或是否准确

在模型能力方面，OpenAI 用 Astra 模型做了基准测试。DeepSWE v1.1 上无水印得分 72.80%，有水印 71.68%；Terminal-Bench 4.0 上分别是 53.90% 和 56.06%。OpenAI 认为这些波动属于测试运行的正常噪声。

该技术由 OpenAI 与宾夕法尼亚大学、耶鲁大学的研究者合作完成技术报告，并计划开源。

语言模型的 token 生成机制是理解水印的关键。模型并非一次性写出整句，而是逐步预测下一个 token。每个位置，模型都会计算词表中所有候选 token 的概率分布，然后按此分布采样。这个采样过程本身带有随机性（通常由 temperature 参数控制），同一提示可能生成不同文本。textGrain 正是利用这份随机性：它用一个只有 OpenAI 知道的秘密密钥，在采样时对候选 token 施加极微弱的偏置。密钥决定了偏置的方向，但对最终文本的语义影响几乎为零。单个 token 的偏置不可见，但成百上千个 token 累积后，就形成一种统计上可检测的签名。检测器持有同一密钥，便能计算一段文本的 token 序列在该密钥下出现的概率是否异常偏高。这种方法的学术名称是“基于密钥的伪随机水印”，与 Kirchenbauer 等人 2023 年提出的绿列表方案一脉相承。

欧盟 AI 法案第 50 条的合规要求

欧盟 AI 法案第 50 条是水印目前仅限于欧盟的根本原因。该条款要求生成文本、图像、音频或视频的 AI 系统，必须以机器可读的格式标记输出内容，以便软件能检测到人工生成的痕迹。

关键时间节点与处罚：

• 第 50 条自 2026 年 8 月 2 日起适用
• 此前已上市的系统需在 2026 年 12 月 2 日前满足标记要求
• 违规罚款最高 1500 万欧元或全球年营业额的 3%

大型 AI 公司通过一份自愿性欧盟行为准则来证明合规。该准则于 2026 年 6 月 10 日发布，截至 7 月底已有约 190 家组织签署，包括 Anthropic、Google、Meta、Microsoft 和 OpenAI。准则要求文本必须嵌入隐形水印，但 200 token 以下的短文本除外（英文约 150 词）。

值得关注的是，OpenAI 在法规生效前态度谨慎。2024 年 8 月 4 日的一份更新中，OpenAI 表示已开发出文本水印方法，但仍在权衡风险，包括被轻易绕过的可能性。

**欧盟 AI 法案（EU AI Act）**是全球首部对 AI 进行系统性风险分级的法规，于 2024 年正式通过并分阶段生效。它按风险将 AI 系统分为不可接受、高、有限和最低四个等级。第 50 条属于透明度章节，针对的是“有限风险”系统，主要面向与人类直接交互或生成内容的 AI。其核心逻辑是：用户有权知道自己在与机器对话或阅读机器生成的内容，因此系统必须以机器可读方式披露。这里的“机器可读”并非指人类可见的免责声明，而是指软件能自动识别的技术标记，水印、元数据、加密签名均可。第 50 条同时涵盖聊天机器人披露、深度伪造标记、情绪识别系统告知等义务。罚款上限 1500 万欧元或全球年营业额 3%，取较高者，这与 GDPR 的处罚结构类似，但针对的是 AI 系统的提供者和部署者，而非数据控制者。

能否检测和去除 ChatGPT 水印？

检测方面，普通用户没有工具可用。 OpenAI 未公开发布检测器，其公开验证页面只检查图像和音频，不含文本。Pangram 等第三方检测工具分析的是文本风格，而非读取嵌入信号——后者需要 OpenAI 的密钥。

即便获得检测权限，结果也存在不确定性。在 1% 误报率下，OpenAI 的检测器对 200 token 的心理学类文本检出率约 80%，400 token 约 95%。数学类文本因用词自由度低，检出率明显更低。在 24 种欧盟官方语言的测试中，检出率从罗马尼亚语的 42.2% 到西班牙语的 69.0% 不等。OpenAI 表示可以为弱语言提高水印强度，并已对低于 60% 的语言做了调整。

去除方面，改写是有效手段。 复制粘贴不会去除水印，因为模式嵌入在措辞本身。OpenAI 在 400 token 文本上的测试显示：

• 未编辑文本：约 92% 被检出
• 替换 10% 的词语为同义词：检出率降至 66%
• 替换 25% 的词语：检出率仅 17%

大量改写或翻译可使水印无法检测。但需注意三点：风格类检测器不依赖水印；水印不能替代法律要求的显式标签；签署欧盟准则的公司承诺不提供专门规避标记的工具。

误报率与检出率是评估水印检测器的两个核心指标，通常此消彼长。误报率指把人类写的文本错误判为 AI 生成的概率；检出率指正确识别出水印文本的概率。如果检测器把阈值调低，它更容易识别水印文本，但也更容易冤枉人类作者。OpenAI 报告的 80% 检出率是在 1% 误报率约束下取得的，意味着每 100 篇人类文本中约有 1 篇会被误判。这一水平在短文本上尤其脆弱：200 token 的心理学文本检出率仅 80%，而 400 token 可达 95%，因为水印信号随长度累积。数学文本检出率更低，因为公式和数字的 token 选择几乎没有自由度，水印难以嵌入。多语言差异源于各语言词汇多样性和 token 化效率不同，弱语言中候选 token 更集中，密钥干预的空间更小。

代码水印为何最弱

Codex 虽然在水印公告范围内，但代码是水印效果最差的场景。OpenAI 的帮助页面指出，由于代码中合理的下一个 token 选择更少，水印难度高于普通散文。

欧盟规则在此也做了让步。OpenAI 表示，欧盟行为准则不要求对代码片段或 200 token 以下的输出加水印。欧盟委员会的 FAQ 也将源代码列入标记义务之外的输出类型。

Anthropic 对 Claude 描述了同样的局限：必须精确的代码几乎没有水印空间，而代码注释等自由选择部分可以携带水印。OpenAI 的页面未说明 Codex 回答中哪些部分携带水印。

提示注入是一种针对 AI 系统的攻击方式，攻击者在输入中嵌入恶意指令，试图覆盖或绕过系统原有的行为规则。在 Lasso Security 的研究场景中，攻击者可能通过精心构造的提示，诱导开启水印的模型改变对后续有害请求的响应方式，例如使模型更容易输出违规内容或忽略安全过滤。其机制尚不完全清楚，一种解释是水印的密钥偏置干扰了模型内部用于安全判断的注意力模式，使安全检查在概率上被削弱。该研究仅测试了 Google 开源的 SynthID-Text 与六个开源模型，未涉及 OpenAI 的 textGrain 或 Anthropic 的方案。但结论具有普遍警示意义：水印作为一种对生成过程的全局干预，可能产生非预期的副作用，开发者在启用前应针对自身模型和 Agent 的工作流做行为回归测试。

对学生、写作者和开发者的实际影响

学生。 学校和大学目前无法使用 OpenAI 的文本检测器检查作业，因为学术诚信用途不在访问计划内。Anthropic 则不同，将教育机构列入了 Claude 检测预览的合格对象。

写作者和出版商。 水印不能解决版权归属问题。第 50 条对“部署者”有专门规则：如果专业角色下向公众发布 AI 生成的公共利益文本，必须披露，除非经过人工审核且有人承担编辑责任。纯个人非专业使用不在 AI 法案管辖范围内。

开发者。 API 中水印默认关闭。组织默认设置位于 Organization settings → Data controls → Text provenance；项目级覆盖位于 Project Settings → Text provenance，打开“Allow text watermarking”并选择模型。启用并不意味着获得检测器权限。

安全方面有一项值得警惕的发现。据 Ars Technica 2026 年 9 月 17 日报道，Lasso Security 一名研究者的研究发现，Google 开源的 SynthID-Text 在提示注入场景下会改变六个开源模型对有害请求的响应方式。该研究未测试 Claude 或 OpenAI 的 textGrain，但建议开发者测试开启水印后模型和 AI Agent 的行为变化。

ChatGPT、Claude 与 Gemini 的水印对比

三家都在以某种形式为文本加水印，但在适用范围和检测权限上存在差异：

ChatGPT（OpenAI）。 自研 textGrain，仅在欧盟默认开启，API 可选。检测器限审批过的研究者和专家组织。

Claude（Anthropic）。 采用 Google DeepMind 2024 年发布的 SynthID-Text 变体。Anthropic 于 2026 年 8 月 14 日公布方案，因暂无按地区限制的可靠方法，水印全球适用。覆盖 Claude 应用、API 和 Claude Code 的受支持模型，旧模型正在逐步加入。检测 API 面向监管机构、媒体、事实核查机构和研究者等合格组织进行私密预览。

Gemini（Google）。 Google 表示 SynthID 为 Gemini 应用和网页体验的文本加水印。2026 年 10 月 7 日，Google 向所有人开放了图像、视频和音频的 SynthID Detector，但该公告未提及文本。

在编辑影响上，Anthropic 称“轻度编辑可能不会完全去除水印”，完全重写则可以。OpenAI 表示 textGrain 在自身测试中匹配或超越了 SynthID。两家的检测器只识别各自公司的水印，没有单一工具能同时检测三家的文本。

后续关键时间节点

• 欧盟推广期（2026 年 10 月起）。 水印在数周内覆盖合格用户，无确切日期。OpenAI 计划更新技术报告并将水印扩展到云合作伙伴。
• 2026 年 12 月 2 日。 此前已上市的 AI 系统必须满足第 50 条标记要求，宽限期结束。Anthropic 表示仍在为旧版 Claude 模型添加水印。
• 2027 年 2 月 2 日。 签署欧盟准则的公司承诺在此日期前建立互操作性方案，使不同公司的水印检测器能够协同工作。准则中提到的一种方案是公开标记，告知检查方应使用哪家公司的检测器。OpenAI 也表示计划扩大检测器访问范围并开源 textGrain，但未给出时间表。