生成模型时代的可证安全隐写与水印技术

2026年8月，知名AI公司Anthropic宣布，自8月2日起发布的新版Claude模型，将在生成文本中直接嵌入人眼不可见、机器可读的隐形水印，让AI生成内容在被复制、传播之后仍可被软件识别溯源。官方文档强调，这种水印不会被人类察觉，既不会改变Claude回答的语义、质量，也不会影响其可读性。

该水印机制覆盖Claude网页端、API与Claude Code等全线产品，面向全球用户生效且不可关闭；生成的图像等文件还将附带符合C2PA标准的数字签名溯源元数据。这也是Anthropic签署欧盟《人工智能法案》第50条透明度行为准则后的标志性举措。

如今，给AI生成内容“打水印”已经从企业自发倡议走向全球共识。2025年6月，世界经济论坛在天津夏季达沃斯发布的《2025年十大新兴技术》中，“生成式水印”位列第二；未来学家凯文·凯利也曾在著作中预言，人工智能时代需要“重新定义真实”，为AI生成的图像和影像加上类似水印的真伪辨别标记。

但做好AI水印并不容易。Anthropic的公告发布当天，用户最集中的质疑就是：添加水印会不会损伤模型性能、降低生成质量？“可证明的性能无损”，由此成为生成式AI时代信息隐藏研究的核心命题，而要理解这一命题，需要回到其理论源头——可证安全隐写。

隐写与水印同属信息隐藏领域。传统隐写多年来一直停留在“经验安全”阶段：仅通过隐写检测算法测试隐写的安全强度，却无法给出数学层面的严格保证。而可证安全隐写则要求严格证明，载密数据与正常数据在分布上完全不可区分。

这条理论路线的发展由来已久：1949年，香农指出了建立隐蔽通信理论的难点；1998年，Cachin引入相对熵，给出了信息论意义上的安全定义；2002年，图灵奖得主Manuel Blum指导Hopper等人建立了计算安全隐写框架，2004年又进一步发展出公钥隐写与隐蔽密钥协商技术。但此前所有可证安全隐写的构造都依赖一个苛刻前提：载体分布可以被精确采样，而自然数据的分布难以控制，因此该理论沉寂了多年。

2018年，AI生成模型带来了关键转折——生成模型先学习数据分布，再按照分布进行采样，天然提供了“显式分布或完美采样器”。中科大团队在国际上最早提出了生成式可证安全隐写的思路，给出了“黑盒采样”与“压缩—可逆采样”两套框架，将隐写的安全性归约到加密算法的安全性：将消息加密为伪随机密文，用密文驱动采样生成内容，接收方通过逆采样恢复密文。

当时生成式AI尚未爆发，这个想法显得过于超前，一度难以获得学界同行的认可，但随着语音等生成模型的质量快速提升，相关成果逐渐得到了承认，国际水印与取证研讨会（IWDW）还邀请中科大团队作了题为“When Provably Secure Steganography Meets Generative Models”的大会主旨报告。

2021年前后，AI生成数据逐渐成为网络内容的主流形态，可证安全隐写在全球范围内得到广泛关注。清华大学提出了基于样本分组的可证安全语言隐写方案；波士顿大学与约翰霍普金斯大学提出了面向真实分布的密码学安全隐写方案Meteor；牛津大学提出了基于最小熵耦合的完美安全隐写技术。中科大团队提出的基于“分布副本”的Discop构造，显著提升了嵌入载荷率。同年，Quanta Magazine将“在生成数据中完美隐藏秘密信息”评为年度国际计算机科学七大突破之一，宣告信息隐藏正式进入“可证明”时代。

从对称到非对称：从“有盒”到“无盒”

早期的生成式可证安全隐写均采用“对称密钥”体制，收发双方需要预先共享密钥，且依赖白盒提取，使用场景受到很大限制。此外，基于大语言模型的隐写还普遍面临子词歧义的问题，同一段文本可能被切分为不同的子词序列，导致提取失败。中科大团队将技术路线推向了公钥隐写、无盒/灰盒场景，并解决了子词歧义问题，让生成式信息隐藏走向实用化。

公钥隐写：提出将椭圆曲线密码（ECC）与生成模型结合的可证安全公钥隐写方案，并提出了隐写密钥交换协议，解决了隐写密钥协商和隐藏信息“非对称”提取的问题。

无盒隐写：传统方法依赖“白盒”提取，接收方必须持有与发送方完全相同的语言模型，团队提出Disreo方案，通过token位置随机化与输出概率重组实现“无盒提取”，接收方无需访问底层模型即可恢复消息，为实际部署提供了更大便利。

灰盒隐写：在白盒与无盒之间还存在“灰盒”场景，即收发双方资源不对等，接收方可能只有运行小模型的能力。SpecStega基于推测采样技术，以双方共享的小模型完成消息嵌入与提取，再借助目标大模型对输出进行精炼，让最终载密文本既对齐大模型的输出分布，保持高质量与安全性，又能在接收端仅凭小模型高效解码，载荷率相对现有黑盒方案提升20倍以上，为可证安全隐写提供了介于“有盒”与“无盒”之间的第三条路径。

解决子词歧义：团队提出SyncPool方案，在嵌入前将存在前缀关系的token统一分组，从原理上消除了歧义，实现了可证安全隐写的可靠提取。

从隐写到水印：让“可证无损”走向产业

AIGC大模型首先会学习自然数据的分布，再按照分布采样生成文本、图像、音视频等内容。如果能够在生成内容中嵌入水印但不影响采样分布，就意味着水印嵌入没有影响生成质量。可证安全隐写理论上可以保证载密数据与正常生成数据的分布不可区分，也就是嵌入的信息不会改变模型的采样分布，这正是“可证生成质量无损水印”的定义。由于水印不需要像隐写那样大的容量，因此还可以通过牺牲部分容量来换取鲁棒性。

在文本领域，中科大团队开发的可证生成质量无损水印系统，即插即用、无需修改模型参数，支持单比特鲁棒鉴别与多比特模型归因，已经应用于星火大模型、安全GPT模型等平台，服务了1.3万名开发者。

与此同时，国际上可证无损生成文本水印的研究也在快速推进：2024年，马里兰大学等团队的《Unbiased Watermark for Large Language Models》定义了无偏水印并给出通用构造；同年，斯坦福大学提出抗失真的鲁棒无偏水印；2025年，多通道无偏水印MCmark在保持严格无偏的同时，提升了水印提取的鲁棒性。

在图像领域，中科大团队提出Gaussian Shading，将加密随机化后的水印映射为与正常生成不可区分的高斯潜变量，再经扩散过程作用于整个潜空间，无需训练、即插即用、可证明性能无损；Gaussian Shading++与T2SMark进一步解决了真实部署中的鲁棒性、生成参数变化与生成多样性问题；TAG-WM引入“模板水印+信息水印”双重机制，在无损前提下同时实现篡改定位与权属确认；SemBind通过语义掩码器把水印与图像语义绑定，抵御黑盒伪造攻击。

从内容水印到模型水印：模型本身也是重要的数字资产，同样需要可靠的归属证明，而模型水印始终绕不开一个质疑：会不会影响模型的正常使用？借鉴图灵奖得主Shafi Goldwasser等人提出的“可证明不可检测后门”构造，中科大团队提出了可证性能无损的黑盒模型水印协议：以不可伪造的消息认证码构造分支指示器，使正常用户触发水印分支的概率在计算上可忽略，从而把性能无损性归约到密码学安全。“可证无损”由此从生成内容延伸到了模型本身。

从“经验安全”到“可证安全”

Anthropic的隐形水印上线首日就引发了争议，写作者担心署名归属问题，开发者担心水印会降低生成质量。行业先行者选择了“工程化快跑”的路线，但“打得准、不伤身、经得起改写与擦除、还能给出确定证据”的目标，呼唤坚实的理论支撑。

从香农提出挑战问题的设想到Blum等人的理论框架，从2018年第一个生成式可证安全隐写算法到星火大模型水印和Claude的水印，信息隐藏技术走过了七十多年，终于从“经验安全”跨越升级到“可证安全”，把“担心嵌水印伤模型”变成“数学上证明无损”——无论对生成的内容，还是对模型本身，都为AI内容治理提供了有理论保证的技术支撑。

水印的攻与防

设计水印难，擦除水印容易，但其实并不尽然。设计水印需要同时追求质量无损和鲁棒性，而攻击者也需要在质量约束下擦除水印。如果没有质量约束，水印很容易被擦除，比如逐句重写，但这样处理后的内容还算不算原模型生成的内容？或许不如直接使用其他开源模型生成。

和其他安全领域一样，攻防双方在各自的约束条件下博弈，有攻有防这个技术方向才有活力。而“无损”就是攻防双方的共同约束和追求：防守方不愿因为嵌水印牺牲生成质量，攻击方也不希望因擦水印降低质量。从来没有绝对的安全，防守的意义在于给攻击制造尽可能大的代价，攻防的本质是代价博弈，水印技术亦是如此。