8 月 11 日，Anthropic 在官方說明文件公告，8 月 2 日之後推出的 Claude 模型出廠就會在生成的內容裡埋入一個看不見的記號，全球適用，涵蓋 Claude、Claude Code、Claude Cowork 與開發者用的 API。但怎麼做到的沒有公布規格，偵測工具也還沒開放。消息一出，中英文社群立刻開始討論怎麼把它洗掉，GitHub 上也冒出各種浮水印檢查工具。IBM 華生研究中心可信任 AI 團隊首席研究科學家陳品諭 Pin-Yu 認為，多數人一開始就搞錯了這件事的性質：浮水印能證明的是「這段文字是不是我做的」，不是「這段文字是不是 AI 做的」。數位時代創新長黃亮崢 James 邀請陳品諭，從技術原理、歐盟法規動機，一路談到教育、出版與內容產業真正該擔心的事。
聽完這集，你可以學到
1. 浮水印保護的是模型商，不是使用者：陳品諭用命案現場比喻。現場有好多個嫌疑犯，每個人都能出來證明自己有不在場證明，「所以你只能證明這個人不是我殺的，但是這個命案還是發生了」。各家廠商的浮水印只能回答「這是不是我產生的」，惡意使用者只要下載一個開源模型自己生內容，就完全不帶任何記號。他形容這是一個安全漏洞：每個廠商都在保護自己，沒有人在保護一般使用者。
2. 文字浮水印不是在文字上加東西，而是動了選字的機率：早期做法是挑一組關鍵字，出現太頻繁就判定是 AI 寫的，但這會直接傷害生成品質，等於你請阿嬤倒茶，它卻端出一杯美式拿鐵。Google 那一系列比較進階的做法，是在決定下一個字的時候，心中先默想一個號碼（私鑰），用這個號碼加上已經產生的內容去決定下一個字；檢測時再把文字套回這個號碼，看相符的可能性有多高。
3. 藏在文字之外的記號，複製貼上就沒了：加隱形空格、把拉丁字母 A 換成看起來一模一樣的西里爾字母 A、或在文件裡塞白色文字，這些方法可以做，但當不了合格的浮水印。陳品諭解釋，只要使用者把內容複製到記事本，框選範圍以外的東西全部不會跟著走。而且這類手法缺乏獨特性，對方一旦知道你的規則就能改回去，浮水印要有效就必須做在文字本身。
4. 改寫確實能洗掉，但要改到面目全非：Google 發表在《Nature》的那份報告做過測試，更動少於 10 個 token 通常拿不掉浮水印，但改得夠多、改到面目全非，浮水印就會失效。社群討論的「拼盤」做法，也就是把五個段落分別丟給五個不同模型重寫、或翻成英文再翻回中文，陳品諭直接確認那是一個能把浮水印移除的好例子。
5. 中文不會比較安全：現在的主流架構 Transformer 是一個 token 進、一個 token 出，token 不等於英文單字或字母，任何語言都能拆成 token，圖片、聲音、影像同樣可以。陳品諭明確表示，不同語言對浮水印來說沒有差別，浮水印都能用上去。想靠中文方塊字躲過機率式浮水印，在技術上並不成立。
6. Anthropic 自己在網頁最下面寫了兩條免責：第一，這個技術沒有辦法保證一段文字是不是 AI 產生的，它只能保證是不是自家寫的。第二更關鍵，如果原始文字是使用者餵進來、由 Claude 修改的，它一樣會蓋上記號，但不保證那段原始文字本來是人寫的還是 AI 寫的。陳品諭形容就是「你給我一個東西，我蓋一個章我就把它丟出去」，至於進來的時候是什麼，它不管。
7. 歐盟的立法精神認為文字是相對最不需要保護的：陳品諭透過 IBM 參與過歐盟法規建議。相對於圖片、語音、影片，文字的傳播力與殺傷力較小，也比較容易查證，例如有人偽造一首詞說是方文山寫的，上網查一下沒有這首歌就破功了。這是風險管理的判斷，也解釋了為什麼 Google 只開源了文字浮水印，跟深偽高度相關的影像與語音方法始終沒有公開。
8. 開源偵測器會變成攻擊者的練習對象：陳品諭三年前用對抗式學習做的文字偵測器 RADAR，訓練時額外放進一個負責不斷重寫文字、想繞過偵測的 AI 攻擊者，讓偵測器學會更穩健的判斷方式。這個模型放上 Hugging Face 之後累積超過九十萬個下載次數，但他坦言心裡也有點怕，因為惡意使用者同樣可以拿它來磨練繞過的方法。這也是他判斷各家廠商最終不會開源自家浮水印偵測器的原因。
9. 人機混寫是灰色地帶，現有偵測器處理不了：訓練偵測器時的資料標註只有兩種，整段人寫或整段 AI 寫。但真實情況是人先寫草稿、AI 改了兩成或三成，要改到多少才算 AI 寫的？陳品諭認為這種灰色空間不好標註也不好預測。學生若能拿出 Word 的編輯紀錄，證明是自己一個字一個字打出來、中途只是參考 AI 的建議改錯字，他認為那還算是人寫的。
文字工作者真正要擔心的不是被蓋章，是被誤判。陳品諭今年做的一項研究正是在探討嫁禍：在圖片領域，他們可以把 A 模型的浮水印放進 B 模型產生的圖片裡，讓偵測器誤認來源，文字雖然還沒做過，但原理上可行。誤判在教育現場是致命的，把學生的文章誤判成 AI 寫的而當掉，學生的權益就受損。他也點出目前社會靠「AI 味」判斷的困境：老師看得出來文字老練到不可能是高中生寫的，卻拿不出證據，最後只能說是自由心證。
generation is cheap, but verification is hard（生產容易，但驗證難）。這是陳品諭常掛在嘴邊的一句話，生產內容很容易，檢驗內容的真實性與可靠性反而困難，而且通常需要領域專家才做得到。他舉例，市面上號稱能檢測 AI 論文的工具，實際上多半只查得出參考文獻是真是假，因為那可以拿資料庫比對；至於最前沿、大家都還不知道答案的研究內容，反而無法驗證。他認為這個時代該問的不是「這是 AI 做的還是人做的」，而是「做出來的成品有沒有更好」。
陳品諭給聽眾的心法
對於拿到偵測報告的主管、老師與評審，陳品諭的建議是把它當成健康檢查，不是判決書。那個數字只是最初步的檢測，發現不對勁應該往下追問原因，請對方提出自己編輯過程的思索與證據，而不是直接下結論。他也提醒，正因為他們做的是可信賴的 AI，才更清楚現階段的 AI 很多時候還不足以被人類信賴：「不要完全相信 AI 告訴你的任何事，你還是要有自己的判斷能力。」
至於一般工作者該怎麼面對 AI，他的立場很明確：不要想著 AI 要來取代人類，而是用 AI 讓自己的生產力更高、思考得更深遠，就像 AlphaGo 之後，職業棋手選擇跟 AI 下棋不是為了贏它，而是為了想得比十步、二十步更遠。但他也留下一句提醒：「AI 會的東西不是你會的東西，不是因為你會用 AI 就表示這個知識就是你的，你只是會使用這個工具而已。」
關鍵字附錄
一、技術名詞
- Token：AI 模型處理內容的最小單位。它不等於一個英文單字或一個字母，而像一本字典裡的條目，可以是中文的字、一個字串，圖片、聲音、影像同樣可以拆解成 token。
- Transformer：目前主流 AI 模型的架構，特性是一個 token 一個 token 讀入、再一個 token 一個 token 產出。文字浮水印之所以與語言無關，關鍵就在這個機制。
- 文字浮水印（Text Watermarking）：在模型產生下一個 token 時，依據一組私密金鑰去調整選字機率，讓產生出來的文字帶有可被統計檢測的特徵。與「在文末加註本文由 AI 產生」那種免責聲明不同，後者不算浮水印。
- 數位簽章（Digital Signature）：歐盟 AI 法案認可的另一種標記方式，在檔案本身的欄位裡記錄由誰簽名、來源為何。限制是能涵蓋的檔案格式有限，不是所有內容都能存成帶簽章的格式。
- 提示詞注入（Prompt Injection）：學術會議目前用來抓偷懶審稿人的手法。在投稿 PDF 裡加入白色的隱形文字，指示 AI 在產生審稿意見時必須包含某組幾乎不可能自然出現的字詞組合，一旦出現就構成合理懷疑。嚴格說這不是浮水印。
- 對抗式學習（Adversarial Learning）：安全研究的核心思維，設計防禦的同時就假想惡意使用者會如何破解。陳品諭的偵測器就是引入一個負責改寫文字、想要繞過偵測的 AI 攻擊者，讓偵測器在對抗中學會更穩健的判斷。
- 模型蒸餾（Distillation）：用領先的閉源模型產生問答資料，再拿這些資料訓練自己的模型，使其逼近對方的能力。近期多有報導指出部分開源模型可能以此方式訓練，這也是浮水印可能被拿來當作侵權證據的原因。
- 安全護欄（Safety Guardrail）：為 AI 產品加上的各種安全性防護。陳品諭以防火牆比喻：你需要它，但不能讓它耗掉跟作業系統一樣多的資源，否則再安全也沒有人會用。實務上偵測器已能做成小模型，不必動用與生成同等規模的算力。
- 深度偽造（Deepfake）：以 AI 偽造圖片、語音或影片。歐盟法規的關注重心在此，而非文字，因為影音的傳播力與辨識難度都遠高於文字。
二、法規與事件
- 歐盟人工智慧法案（EU AI Act）：2026 年 8 月初上路，要求 AI 生成內容留下機器可讀的標記，罰則為全球營業額的 3%。下一階段仍在討論如何做到「判斷任意內容是不是 AI 產生」。
- GDPR：歐盟的個人資料保護法規，陳品諭以它與早期反托拉斯法為例，說明歐盟一貫以高額罰款驅動業者遵循法規。
- Anthropic 浮水印公告：2026 年 8 月 11 日發布於官方說明文件，適用 8 月 2 日之後推出的模型，出廠即支援、全球適用，涵蓋 Claude、Claude Code、Claude Cowork 與開發者 API。技術規格未公布，偵測工具尚未開放。文件末尾載明兩項限制，見上文第 6 點。
三、相關研究與工具
Powered by Firstory Hosting
