从深度伪造到DNA：AI水印技术如何守护真实与安全

当“这是真的吗”成为时代难题

刷社交媒体时看到一段火山喷发的慢镜头、龙卷风席卷村庄或是一场抗议游行的影像，很多人脑中会冒出同一个问题——这是真的吗？是人拍的还是机器生成的？随着AI在文本、图像、音频和视频生成上越来越逼真，判断内容真伪已成为当下最棘手的挑战之一。

在Google DeepMind播客中，主持人Hannah Fry教授与两位嘉宾深入探讨了AI水印技术：DeepMind科学副总裁、SynthID架构师之一Pushmeet Kohli，以及将这套技术应用到生物领域的生物安全研究员Jeremy Radcliffe。他们的对话揭示了一个更复杂的新战场——AI如今不仅能生成媒体内容，还能设计自然界从未存在过的生物分子，其中一些可能被用来制造危害。

答案或许就藏在你眼前的内容里，或是你即将合成的分子中：一个水印。不是图库照片上那种方块logo，而是一种更微妙、数学化的东西。

什么才算一个好的水印

人们一提到水印，脑海里浮现的往往是钞票或护照上的防伪标记。但AI水印遵循的是一套截然不同的原则。两位嘉宾不约而同地提出了相似的核心标准。

Kohli将DeepMind八年来设计所有水印系统的目标归纳为三个属性：不可感知性（imperceptibility，不能降低内容质量，否则没人愿意用）、鲁棒性（robustness，即便经过缩放、裁剪、加噪等变换也能保留，难以被移除）、可扩展性（scalability，易于集成、易于检测）。

Radcliffe在生物领域给出的标准高度一致：人类不可感知、高可检测性，以及良好的泛化能力——一套方法能跨多种系统工作，而不必为每种数据类型定制。这种一致性并非巧合，生物领域的方案正是直接复用了开源的SynthID文本库代码，在此基础上做适配。

文本水印：藏在词语选择的模式里

市面上已有号称能识别AI文本的工具，但Kohli指出它们走的是传统路线——训练机器学习分类器去区分AI生成与人类书写。早期大模型有明显“口癖”（比如过度使用某些词、固定句式），分类器尚能奏效。但随着模型越来越逼真，这些破绽逐渐消失，分类器的准确率也随之下降。

水印的思路完全不同。大语言模型在生成每个词时，面对的其实是一个概率分布——同样合理的开头可能有多个选项。文本水印正是利用了这种“可选性”：背后有一个密钥，在词语选择时对某些词施加偏置。检测时，不是看单个词的重复，而是看这些词成链出现的模式。

如果不同AI模型使用不同密钥，还能进一步判断内容来自哪个模型。但这套方法有明确局限：像“法国的首都是巴黎”这样的短句，可改动空间太小，无法被水印化。

至于学生能否再用AI代写作文——Kohli坦言并非万无一失。即便整个生态都在转向水印，各家不一定公开检测器；而一旦检测器公开，反而会给人提供反复查询、逆向绕过的机会。这是朝目标迈进的一大步，但还不是“铁板钉钉”的终极方案。

大语言模型在生成文本时采用的是自回归（autoregressive）方式：每次根据已有上下文预测下一个词（token）的概率分布，再从中采样。正是这个采样步骤，给水印留下了操作空间。SynthID文本水印的核心机制称为"绿色词列表"（green list）偏置——在生成过程中，用一个与密钥绑定的伪随机函数将词汇表动态划分为"绿色"和"红色"两组，然后在采样时对绿色词的概率略作提升。由于这种偏置极其细微，单看任何一个词都毫无异样，但整篇文本中绿色词的统计占比会显著偏高。检测时只需用同一密钥重建绿色列表，对文本中绿色词的出现频率做假设检验，就能以极低的误报率判断是否存在水印。这种方法从根本上区别于"AI文笔识别器"——后者依赖模型行为的经验特征，前者依赖的是密码学意义上的统计证据。

图像与视频：对抗训练下的隐形信号

图像的做法与文本不同。一张百万像素的图片包含数百万个数值，隐藏信息的空间远大于寥寥数词的句子。DeepMind的方法是：一个神经网络接收未加水印的图像，以极其细微、不可感知的方式注入信号；另一边，一个检测神经网络与之协同训练。

关键在于两者之间还有一个“对抗代理”，它会尝试缩放、裁剪、旋转、加噪等各种变换来破坏水印。生成器、对抗代理、检测器三方同步训练，确保无论对手如何折腾，水印依然可被检测到。

这种技术已经在现实中发挥作用。Kohli提到，SynthID被用于实时、大规模地对抗虚假信息——媒体上流传的加州山火中“奇迹般完好”的房屋图片、伊朗战事相关图像，经SynthID检测被识别为AI生成。如今用户在Gemini应用中就能直接询问某张图是否为AI生成，SynthID检测器会给出判断。

值得强调的是，检测依赖密钥共享机制：注入水印的一方需同意共享密钥，SynthID门户才能统一检测包括NVIDIA、OpenAI等合作伙伴在内的内容。若某实验室不愿共享密钥，则无法检测。

把水印刻进蛋白质：SynthID Bio的突破

对话最具开创性的部分，是Radcliffe团队的概念验证系统SynthID Bio。它包含两条路线：SynthID Bio structure基于AlphaFold3，为预测的蛋白质结构加水印；SynthID Bio sequence则在蛋白质本身的氨基酸序列中嵌入水印。

结构水印通过微调原子位置（比如两个原子间的距离或角度）实现；序列水印则是改变单个氨基酸的选择——换成性质相近的氨基酸（如亮氨酸和异亮氨酸），在保持结构和功能的前提下嵌入信息。巧妙之处在于，Protein MPNN这类从结构到序列的第三方模型，其生成方式与基于Transformer的文本模型高度类似，使得文本水印的思路得以迁移。

为什么要这么做？Radcliffe解释了真实的生物安全隐患。非生物学家可能不知道，你可以把一段序列发给DNA合成公司，让它们“打印”出来。目前这些公司会核验下单者身份，并将订单内容与已知危险物质数据库比对。但有学术研究显示，AI可以设计出在序列空间上与数据库中危险病原体差异极大、却能折叠成同样有害蛋白的分子——从而“溜过”现有筛查，甚至被人剪切拼接以绕过限制。有人可能借此获取能在实验室制造灭绝流感等病原体的DNA。

水印的价值不在于判断某物是否有害，而在于至少能标明“这是AI生成的，请当心”，并指明来自哪个带有内置安全护栏的系统。

理解SynthID Bio需要一点蛋白质设计的基础背景。蛋白质由氨基酸序列折叠而成，序列决定三维结构，结构决定功能。AlphaFold3是DeepMind开发的AI模型，能高精度预测给定序列会折叠成什么三维形状；Protein MPNN（Message Passing Neural Network）则是反向问题的求解器——给定目标三维结构，它能设计出能够折叠成该结构的氨基酸序列。这两类模型的组合构成了当前AI蛋白质设计的主流流程。关键在于，Protein MPNN的序列生成方式在数学上与Transformer语言模型高度同构：都是逐位置（逐氨基酸/逐词）输出概率分布再采样，因此文本水印中的绿色列表偏置机制可以几乎直接迁移——绿色"词"变成了绿色"氨基酸"，密钥驱动的偏置逻辑完全复用。这正是该工作能够以最小工程量跨越媒体与生物两个截然不同领域的根本原因。

实验室里跑出来的真实蛋白

最令团队震撼的是实验结果。他们在湿实验室中实际制造了加水印的蛋白质结合物（protein binders），用两种不同水印方案对比未加水印的版本，在命中率和结合强度等定量指标上几乎完全一致——功能没有任何损失。

Radcliffe坦承，拿到湿实验数据前他对效果持怀疑态度，结果“简直让所有人大开眼界”。Kohli补充说，这些是真实存在、能发挥作用、且永远可被检测的加水印蛋白——据他们所知，这是首个同时证明不可感知性与功能保留、并包含体外（in vitro）实验结果的工作。

不过这仍是概念验证。真正落地需要多方协作：模型开发者将水印集成进各自系统（代码已开源，无需与DeepMind协调即可使用），合成公司则需建立密钥与上下文长度等参数的交换机制。令团队意外的是，生物界的反应异常积极——因为他们每天都面对基因合成订单的筛查难题，深知现有过滤器并不完美。

走向标准化，以及猫鼠游戏

在数字媒体领域，当前的溯源方案仍较为分散。行业已就“溯源”需求达成共识，但仅靠元数据标记远远不够——元数据可被轻易剥离，这正是需要水印提供“强绑定”的原因。Kohli认为，结合多种方法、构建人人可用的方案，行业终将走向统一标准，只是需要时间。欧盟已立法要求生成内容必须带有某种水印。

当然，水印越普及、规则越公开，是否也越容易被破解？这确实是一场猫鼠游戏。Kohli给出的理想应对是：让水印深度嵌入信号本身，以至于想要抹除检测信号，就必须改变其功能、摧毁设计初衷——嵌入到无法撤销的程度。

Radcliffe团队的愿景是构建一个“生物韧性”（bioresilience）框架，呼应英国生物安全战略的“预防、检测、响应”三大支柱。其核心理念是：如果能让生物学对恶意使用者更“没用”，本身就能起到预防作用；同时用AI增强公共卫生系统、帮助流行病学家更快识别疫情，让疫情爆发的可能性降低。

正如Fry教授在结尾所说，“护栏”和“安全”这些词在AI领域被反复提及，而这项工作是实验室真正付诸行动的具体证明——他们在威胁完全成形之前就已着手应对。未来的内容，或许都将附带一张“真实性证书”。

文章提到的C2PA（Coalition for Content Provenance and Authenticity，内容溯源与真实性联盟）是目前数字媒体领域最主要的行业标准倡议，成员包括Adobe、微软、英特尔、索尼等主要科技与媒体公司。C2PA规范定义了一套"内容凭证"（Content Credentials）元数据格式，记录内容的创建工具、时间戳及编辑历史，并用数字签名确保其完整性。然而元数据天生脆弱：截图、转码、重新上传等操作都会丢失附带的元数据，这也是为什么Kohli强调水印提供的是元数据无法替代的"强绑定"。理想的溯源体系通常被设想为两层：元数据层提供丰富的可读信息，水印层在内容信号本身中保留不可剥离的最小凭证，二者互为补充。欧盟《人工智能法案》（AI Act）已明确要求生成式AI输出须以机器可读方式标记，这将进一步推动上述双层架构走向法定标准。