OpenAI 给文本加了水印，钥匙不给你

10 月 5 日，OpenAI 发布《Our approach to EU text provenance rules》，给模型输出的文字加上一层看不见的记号。这项技术叫 textGrain，官方描述是在模型的选词里注入一道不可见的统计信号，检测器读这层信号，判断一段文字里有没有 OpenAI 的水印1。它回应的是欧盟《人工智能法》第 50(2) 条：生成式系统产出的文本必须以机器可读的方式标记，并能被检出是生成的2。这项透明度义务自 2026 年 8 月 2 日起适用2。

同一段文字，从不同入口出去，拿到的待遇不一样。 从当天起，全球的 API 客户可以自己打开水印，出厂状态是关的。未来数周，欧盟境内符合条件（eligible）的 ChatGPT 与 Codex 文本输出会在全部订阅档上默认加印；OpenAI 写明不会在发布时把文本水印变成全球默认1。检测器走的是另一条路：只向获批的研究者与专家机构开放，按欧盟那份行为准则逐案审批，工具只回答有没有检出 OpenAI 的水印1。图像与音频的验证工具保持公开，这次没有跟着变1。公告挂出十几分钟后，一个第三方账号就把要点贴了出来；OpenAI 自己的主账号没有就这份公告发帖3。

记号藏在一个你看不见的地方：模型在每个位置上挑哪个词。 技术报告把机制写得很直白——把 token 的生成与一把密钥化的随机数通过最优传输耦合起来，检测器只需要两样东西，生成的文本和那把密钥4。这套做法带来一个直接后果：只有当模型在某个位置上本来就有别的词可选时，它才藏得住东西。没有可评分的位置，检测就不做判定，太短的文本因此最先失效；词的选择余地越小，信号越弱，数学类内容比心理学类明显更难检出1。

官方给的四个数字带着条件：长度、主题、有没有被改过。 在目标假阳率 1% 的设定下，200 token 的段落里约 80% 能被检出，400 token 的段落约 95%，样本取自 ELI5 数据集里的心理学问答1。改写会迅速吃掉这个信号：同样是 400 token 的段落，把 10% 的词换成语义相同的说法，检出率从约 92% 掉到 66%；换掉 25%，只剩 17%1。这四个数来自 OpenAI 自己的评测。

200 这个门槛来自欧盟的条文。 欧盟《AI 生成内容透明度行为准则》第 1.1.2 条逐字写着：超过 200 token 的自由文本「仍须加水印」，哪怕可靠性比超长文本低；为了补偿这种更低的可靠性，同一份文件允许把检测方案只开放给经核实的专家用户5。检测器对公众关闭这件事，在准则里有依据。

这件事在行业里已经有先例。 Anthropic 自 2026 年 8 月 2 日——与第 50 条同一天——起对之后发布的模型在模型层加文本水印，全球生效，水印随复制粘贴一起走，也可能在部分编辑后留下6。Google 的 SynthID 覆盖 Gemini 应用与网页端的文本，检测门户目前只在记者与媒体从业者之间测试7。Meta 公开的标签体系覆盖图像、音频与视频，文本水印不在其中8。差别落在默认值上：Anthropic 全球默认加，OpenAI 只在欧盟默认加，API 侧交给客户自己决定。

它证不了什么，OpenAI 自己列了五条。 这层信号不衡量人类参与了多少，不确立归属与责任，不识别用户，也不验证内容真假。反过来，查不到水印同样推不出这段文字是人写的——文本太短、被改过、被翻译过、来自不支持的模型、来自别家公司，都会查不到1。这五条把水印的射程写得比它的名字听起来小得多。

谁会受影响。 对做产品的人，这层信号今天还不能当验收条件用：API 侧的开与关在你手上，检测能力却在对方手上，而且只向获批机构开放。对企业采购，值得写进合同的是三句话——谁来验、用什么验、验不出来怎么算。对写作者和内容平台，最有用的对照是 Anthropic 与 OpenAI 的默认值差：同样一段文字，从不同入口出去，身上的记号不一样。

还有几件现在查不到的事。 公告只给到日，官方 RSS 记的是一个整点值，OpenAI 的主账号也没有发帖，所以它的挂出时刻只能夹逼到 10 月 5 日 15:00 到 15:16 UTC 之间（北京时间 23:00 到 23:16）。OpenAI 没有说明这层水印是否只加在新生成的内容上，也没有给用户级的退出口径。发布后大约两个半小时里，TechCrunch、The Verge、Reuters、Ars Technica 等主要英文技术媒体都没有成文，唯一一篇较完整的报道来自 The Decoder，它指出那组 Astra 基准数字并没有回答写作质量是否受影响9。独立研究者对 textGrain 的复现，目前还没有出现。有一条长期的质疑值得提前记下：文本水印依赖改写之后语义仍然保留，而同义替换、翻译、改字符都能把它冲掉，独立工程师 Sean Goedecke 把这称为「文本水印永远可以被轻易去掉」10。

今天能核的三件事。 第一件是去看你的供应商把水印留在哪一档：欧盟默认加，API 出厂关，云伙伴还在谈1。第二件是去问检测权在谁手里，公开的只有图像与音频1。第三件是把「验不出来怎么算」写进验收条件，代替「有没有水印」这个问不出答案的问题。