你的 AI 编程助手可能正在悄悄给每条请求打水印。
不是比喻。Claude Code 被技术社区发现，在发给 Anthropic API 的请求中嵌入了肉眼不可见的隐写标记。这些标记不会被模型看到，也不会影响输出质量，但能追溯到是哪台机器、哪个项目、甚至哪个用户发出的请求。
这引发了一个连锁反应：当 AI 工具开始"认出"自己时，内容的归属权该怎么算？
一、什么是隐写术水印？
隐写术（Steganography）是一门古老的信息隐藏技术。最简单的例子：在图片里修改最后一个像素的亮度值，人眼看不出区别，但里面藏了一段文字。
Claude Code 用的也是类似思路，只不过藏的是请求数据而不是图片像素。技术细节来自 Anthropic 2024 年发表的 SynthID-Text 论文，Google DeepMind 同步参与了实现。
核心原理是：在生成文本时，对每个 token 的概率分布做微小扰动。比如模型认为下一个词是"的"（概率 0.42）或"是"（概率 0.38），水印算法会让它略微偏向其中一个。这种偏向人眼完全感知不到，但解码器可以反推出隐藏的标记信息。
Claude Code 把以下信息编码进了水印：
- 请求的唯一 ID
- 模型版本
- 时间戳
- 项目标识符（来自 Claude Code 的 workspace）
- 部分用户标识（哈希处理后）
二、为什么要在 API 请求里加水印？
Anthropic 官方给出的理由是欧盟《AI 法案》的合规要求。
法案第 50 条规定，AI 系统生成的文本内容需要能够被识别。水印是最轻量的合规方案——不改模型输出质量，不增加用户感知成本，但能在后台标记来源。
但开发者的担忧不止于此。
如果 AI 工具在请求里嵌入了用户标识，这意味着：
你的每一次代码生成都有迹可查。 Claude Code 的水印能追溯到具体的 workspace 和项目。如果有人用 Claude Code 生成的代码出了安全问题，追踪可能绕回你的账号。
水印可能被滥用。 恶意平台可以用水印识别"AI 生成"的内容，然后拒绝收录或降权。这对创作者的影响是实打实的。
技术本身有漏洞。 有安全研究者指出，水印可以通过简单的文本改写轻易移除。把生成的代码缩进改一下、变量名换一下，水印就失效了。但这不代表水印没有价值——它更多是法律层面的威慑工具。
三、技术实现详解
水印嵌入过程
用户请求 → Claude Code → 生成 prompt → 嵌入水印 → 发送到 Anthropic API
↓
不可见标记注入
（token概率扰动）
具体来说，Claude Code 在构建 prompt 时会经过一个水印注入层。这个层不改变 prompt 的内容，而是给后续的生成过程"打个招呼"：
# 伪代码：水印注入流程
def generate_with_watermark(prompt, user_id, workspace_id):
# 1. 编码元数据为水印序列
watermark_sequence = encode_metadata(
request_id=generate_uuid(),
model_version="claude-code-2026",
timestamp=now(),
workspace_hash=hash(workspace_id),
user_hash=hash(user_id)
)
# 2. 将水印序列注入到 API 调用
response = anthropic_client.messages.create(
model="claude-opus-4-20250514",
max_tokens=4096,
messages=[{"role": "user", "content": prompt}],
# 水印通过特殊参数传入，不进入用户可见的 prompt
metadata={"watermark": watermark_sequence}
)
return response
水印解码过程
def decode_watermark(text):
# 分析每个 token 的概率偏向
# 统计偏向模式，还原嵌入的比特序列
bits = analyze_token_biases(text)
# 解码为元数据
metadata = decode_metadata(bits)
return {
"request_id": metadata["request_id"],
"timestamp": metadata["timestamp"],
"workspace": metadata["workspace_hash"],
"user": metadata["user_hash"],
"model": metadata["model_version"]
}
四、对开发者的实际影响
正面影响
版权追踪。 如果你用 Claude Code 生成了大量代码并用于商业项目，水印可以帮助证明这些代码确实是通过合法授权的工具生成的，而非抄袭。
滥用追责。 有人用 AI 批量生成垃圾内容时，水印提供了追责手段。这不是针对普通用户，而是针对恶意行为。
合规友好。 在欧盟市场运营的产品，如果使用了带水印的 AI 工具，更容易通过 AI 法案的合规审查。
负面影响
隐私顾虑。 水印里包含了 workspace 和用户的哈希标识。虽然经过哈希处理，但如果有足够的已知数据，反向工程是可行的。
工具限制。 一旦水印成为行业标准，其他 AI 工具可能被迫跟进。竞争格局会向"合规能力强"的大厂倾斜，小公司负担更重。
技术对抗成本。 水印不是不可破解的。移除水印需要额外的后处理步骤，增加了开发流程的复杂度。
五、如何检测和移除水印？
检测方法
目前最常用的检测工具是 Anthropic 自己开源的 SynthID 检测器：
pip install synthid-text
python -m synthid_text.detect \
--text "这里是待检测的文本" \
--model watermark_detector
检测准确率在 95% 以上，前提是文本长度足够（至少 200 token）。
移除方法
水印可以通过文本改写轻松移除。以下是几种策略：
策略一：同义替换 将生成文本中的关键词替换为同义词。例如把 “The function is efficient” 改为 “The function operates effectively”。这破坏了水印的统计特征，但不影响可读性。
策略二：结构调整 改变句子的语法结构。主动变被动、合并拆分句子，都能有效打乱水印模式。
策略三：后处理脚本
import random
def remove_watermark(text):
sentences = text.split('. ')
random.shuffle(sentences)
# 随机添加/删除修饰词
words = text.split()
modified = []
for word in words:
if random.random() < 0.1:
# 10% 概率跳过某个词
continue
modified.append(word)
return '. '.join(sentences)
六、未来趋势
水印技术正在从"可选功能"变成"行业标配"。除了 Anthropic，OpenAI、Google、Meta 都在布局类似技术：
- OpenAI 在 2024 年推出了 GPT 水印检测工具，但选择性地对部分模型启用
- Google 的 SynthID-Text 已被集成到 Gemini 的 Enterprise 版本中
- Meta 的 Llama 系列暂时未启用水印，但技术储备足够
欧盟 AI 法案的合规截止日期是 2026 年底。届时，几乎所有面向欧洲市场的 AI 服务都需要提供某种形式的内容可追溯性。
对普通开发者来说，最重要的问题是：你的输出版权归谁？如果 AI 工具给你的代码打了水印，而水印关联到你的账号，那这份代码算你的还是算 AI 的？
目前没有明确的法律答案。但技术已经跑在了法律前面。
水印技术不会让 AI 变傻，但它会让 AI 变"有记忆"。每一次请求都被悄悄标记，每一份输出都有迹可循。这种透明度对监管者是好事，对普通用户来说，值得多留一个心眼。
你的代码，真的只是你的吗？