文本AI水印轻易可被移除——检测竞 arms race 自始至终无法取胜

技术分析证实，基于文本的AI水印可以通过微不足道的努力被去除或伪造，从而削弱AI监管中对水印机制可靠性的假设（该假设认为水印机制能够抵御有动机的对手）。

简言之： 嵌入在AI文本输出中的统计水印可通过单次改写即被破解。反之，水印也可被注入人类撰写的文本中，从而误将其标记为AI生成。该机制在两个方向上均告失效。

事实

发布于seangoedecke.com（后在黑客新闻上曝光）的分析文章详细阐述了文本水印为何从根本上脆弱：任何保持语义的转换——改写、翻译、轻度编辑——都会剥离嵌入在词汇选择或词元模式中的统计信号。攻击成本仅为O(1)，无需专业能力。

我们的看法

这不仅是技术细节的问题，因为水印曾被定位为AI内容归因的实用工具。欧盟《AI法案》将水印纳入合成内容的规定。多家AI实验室也将水印推广为透明度机制。若该机制在面对有动机的对手时失效——且移除成本微乎其微——则建立其上的政策层面也将继承这一缺陷。替代方案（如在生成时使用密码签名、在模型输出链中嵌入溯源元数据）更为稳健，但需实验室投入未被优先考虑的基础设施。

[技术原理] 一个能抵御语义保持转换的稳健水印，要么会显著降低输出质量，要么需嵌入可被试图移除它的同一对手检测到的隐写结构。两者均与水印的初衷背道而驰。

关注点

随着证据基础的积累，欧盟AI办公室是否会更新其关于水印的技术指导——或是否保留这一条款，尽管其在实践中几乎无法执行。