我是不是「被 AI」了——文字工作者如何面對 AI 浮水印

最近，一些文字工作者注意到，Anthropic 宣布未來推出的 Claude 模型將在生成文字中加入機器可讀的浮水印。¹

這項消息引起了一些擔憂與討論。一種常見的想法是，創作者是否得先對自己的文章做些什麼，才能避免被浮水印「誤殺」（事實上，大概不用）；也有人懷疑，浮水印是否由藏在文章裡的隱形字元構成（事實上，不是）。另一些人則開始猜測繞過浮水印的方法，例如要求 Claude 再生成一份「沒有浮水印的版本」（事實上，大概沒用）。

要回答這些問題，我們得先簡單理解文字浮水印的技術原理。但我想指出，真正值得我們在意的，恐怕不只是自己的文章會不會「被 AI」，而是了解 AI 浮水印究竟告訴我們什麼，以及我們為何應該、在多少程度上主動揭露 AI 貢獻。

浮水印不藏在文字裡，它就是文字本身

我們很容易從「浮水印」這個名字想像，Claude 或許會在文字裡藏入某些東西：看不見的 Unicode 字元、特殊空白、字型、排版，或者檔案後設資料（metadata）。就好像只要複製貼上、清除零寬字元，浮水印就會自己消失。

從 Anthropic 公開的技術說明所描述的機制來看，卻不是這樣。Claude 採用的是某版本的 SynthID-Text，一種生成時統計浮水印（generation-time statistical watermark）：浮水印不是在文字生成完畢後，才被「貼上去」，而是在模型每次選擇下一個 token 時，稍微改變選字的機率。

SynthID-Text 的基本想法，簡單來說如下：模型原本可能認為「方法」、「作法」、「方式」都適合接在某句子後面。這時，SynthID-Text 會根據前文脈絡與一組秘密金鑰，對候選 token 產生偽隨機偏好，來調整模型的抽樣機率。單次選擇看不出什麼；但經過足夠多次選字後，知道金鑰的偵測器（detector）就能檢查整段文字，來看全文是否持續偏向同一組統計模式。²

因此，改字型、調整 CSS 版面、清除後設資料或複製貼上，根本沒碰到浮水印層次。文本也不會有單獨字句能反應：「你看，這是浮水印耶。」浮水印是一種訊號，分散在許多 token 選擇形成的統計關係中。

同樣，要求 Claude「請輸出一份沒有浮水印的版本」大概因此不會有用。提示詞（prompt）可以影響模型要寫什麼，卻不能命令部署在生成程序中的水印器關閉。只要模型輸出仍由支援水印的 Claude 模型產生，表面文字原則上就是會再經過同一套選字程序。

讓〈薛西弗斯〉「被 AI」一次

為了讓這件事具體一點，我從〈薛西弗斯的人生有意義嗎？——談卡繆與荒謬〉取出一段文字，使用公開的 SynthID-Text 候選詞元分數處理器（logits processor）生成水印改寫版，再分別增加一字、刪除一字、替換一字、在段落中分散修改五處，以及完全不改字詞，只把每個分句拆成一段。³

證據分數以 0 作為未嵌入水印時的期望值；正值越高，只表示整段選字越符合這組公開金鑰的偏好方向（不是機率，也不是 Claude 偵測器的判定結果）。

完整水印版的證據分數是 3.429。替換一字後是 3.280；分散修改五處後降到 1.132。更有趣的是，增加一字後，分數反而從 3.429 微升到 3.519；完全不改字詞、只徹底分段，也會使分數降到 1.342。完整實驗、修改位置與 token 訊號在另一篇技術附錄。

我們也可以看到，少量標點修改不一定有用；實質改寫、摘要、重組、翻譯或重新生成表面文字，卻確實可能削弱訊號。但「削弱」不保證能通過偵測器；正常的人類編輯造成訊號消失，也不該因此視為惡意規避。

公文與低熵（low entropy）文章：難以嵌入，而非容易誤殺

固定格式文本會不會特別容易被誤判成有水印？為此，我也做了一個公文實驗。

我取了一份中央銀行公開的真實函，要求模型「逐字逐行抄錄，不得改字、增刪、換句」。原始公文在這組公開金鑰下的證據分數是 1.124；未加水印的繕打版是 1.642，與原文的字元序列相似度為 0.981，實質內容沒有改變。啟用水印後，分數只升到 1.818，相似度卻降到 0.911；但「全國聯合會」、「證券櫃檯買賣中心」等正式名稱卻因此被改成簡體字。也就是說，水印訊號只增加 0.176，文本忠實度卻付出了明顯代價。完整公文、差異與實驗設定收錄在技術附錄。

這正是低熵文本的困難。日期、文號、法規名稱、固定公文用語與機構全銜幾乎沒有合理的換字空間；水印器若尊重這些限制，便很難累積訊號，若仍試圖影響選字，就可能破壞格式或內容。誠然，單一案例不能估計公文的誤判率，但它能釐清風險方向：問題首先是水印難嵌入或破壞文本，而非固定格式會讓沒有水印的公文自動變成陽性。

這裡要區分兩種錯誤：

• 第一型錯誤（Type I error），偽陽性：沒有水印，偵測器判定有。
• 第二型錯誤（Type II error），偽陰性：有水印，偵測器判定沒有。

低熵使帶水印的文字留下較弱訊號，因而增加偽陰性的機會。原始公文得到 1.124 的非零分數，本身並不構成偽陽性；偽陽性必須以偵測器的實際判定為準。若正式偵測器把無水印公文判成陽性，那會是第一型錯誤；若外部讀者自行替此未校準的示範分數設定門檻，則是對實驗結果的誤用。

短文的問題相似，只是原因變成偵測器沒有足夠的 token 視窗來累積證據。正確的處理是回報證據不足或拒絕判定，而不是把任何偏高的原始分數當成陽性。我們的示範也呈現了這種樣本量差異：未嵌入水印的〈薛西弗斯〉實驗單段落只有 71 個有效文字視窗，分數是 -1.543；換成全文後，有效文字視窗增加到 1,807 個，分數落在更接近無水印期望值 0 的 -0.008。⁴

當然，這不表示偽陽性不存在。任何偵測器都有基礎誤判率，跨語言、跨領域與不同長度的校準也必須實測。

另一個風險是，當同段脈絡反覆出現，偵測器可能重複計入相同訊號，進而增加偽陽性機會。這就是為何，公開的 SynthID-Text 會使用重複脈絡遮罩，來避免同一脈絡被反覆計入；Anthropic 尚未說明 Claude 的偵測器是否採用相同處理。⁵

所以某個特定語言或專業領域是否會系統性地誤判，仍需要公開測試資料。我們不能只從「這類文字格式固定」直接推出「它比較容易被誤殺」。

那，水印強弱和人類創作有什麼關係？

到這裡，我們可以看到一個尷尬的錯位。浮水印最能回答的問題是：這段表面文字是否呈現了某個帶水印模型的生成訊號？但文字工作者真正在意的卻往往是：這篇文章是不是 AI 寫的？

這兩個問題並不相同。比較以下四個文字製程（我們是第一次把「文字」和「製程」如此組裝起來嗎）：

尤其是「AI 最終校對」的案例。若作者只讓 AI 指出錯字，再自行決定是否修改，最終文字未必帶有水印；若作者把全文交給 Claude，直接採用 Claude 輸出的校訂版，表面文字則可能帶有水印。但即使偵測器正確指出後一篇曾被 Claude 處理，它也不知道 Claude 只修了錯字，還是重寫了全部語氣與論證。

換句話說，水印陽性至多是來源追溯（provenance）的有限訊號：Claude 可能參與過這份表面文字的生成。我們不能直接把「Claude 有/無處理過」當成「是/否 Claude 寫的」，我們不僅無法決定這種介入對作品價值是否重要，也不允許作者如此推卸文章責任。

我們為何需要揭露「製程」

AI 介入究竟什麼時候需要揭露？

一種直覺是：只要某項資訊會改變讀者對作品的觀感，就應該揭露。例如小說標示「真人真事改編」，確實會影響我們如何閱讀它。我們既然知道，文章用了 AI 也可能改變觀感，作者就應該標示。

但是，這標準其實太寬。作者在哪裡寫作、取材自哪一段私生活、政治立場是什麼、與誰討論過，都可能改變讀者觀感。如果「足以影響觀感」本身產生揭露義務，作者的隱私與選擇審美脈絡的權利幾乎完全消失。更別說，很多時候，我們甚至刻意希望與作品無關的履歷不要先行，不要替讀者決定作品是什麼。

我主張，更好的起點是把 AI 介入視為文字製程。

整段文字工作，並不是到了 AI 時代才忽然有製程。出版業很早就會區分作者、原作、翻譯、編輯、審稿、校對、插畫與出版者。這些職能標示顯然不是要公開每項會影響觀感的私人資訊，而是為了回答：誰對哪些事務負有責任，哪些屬於哪些文責，哪些屬於哪些行政。

AI 的特殊處，在於它幾乎能擔綱所有本來屬於文責的職能（無論做得好不好）。作者只要按下一次送出，只要他想，他能同時取得初稿、翻譯、文獻整理、編輯意見、校對結果到完稿。

但是否只要 AI 插手其中一些過程，文章就會突然變成「不是我寫的」？

我認為，不，我們可以考察 AI 在文字製程中的三種位置。

第一種是引述。作者明確標出一段話由 AI 生成，把它當成引用、研究或批評的對象。這時作者對引文的正確呈現、選擇、脈絡與散布仍有責任，但只要不把引文命題當成自己的斷言，就內容本身而言，作者的「文章責任」很低。

第二種是改作。AI 先完成初稿、故事、論證或研究整理，由使用者修飾語氣、刪改句子，最後把作品當成自己的原作發表。在這種情況下，我們似乎依然會認為作者負有文章責任，也會有一種這在一定程度上侵犯「人格」權的直覺：這裡有冒領功勞的問題，我將這問題稱為「斷頭抄襲問題」。

第三種是輔助寫作。作者先提出論點與結構、完成原稿，再讓 AI 提供校閱、反例、翻譯建議或資料線索。直覺上，我們仍會把作者視為創作者；AI 像是編輯、審稿者或指導者。不過，如果 AI 不只是找出錯字，還補上了文章最關鍵的反駁，這是否依然會讓我們覺得，你得把這部分的創作價值歸給 AI。

透過這三種案例，我們可以看到，首先，AI 的貢獻確實可能稀釋使用者能主張的原創程度，但不會替他承擔所有責任，特別是散佈責任。然而，顯然只要一個人選擇不標示來源、以自己的名義採納並散布文字（無論外界是否能辨識 AI 介入），他就該對最終內容負全部責任。但責任稀釋到什麼程度，最密切的關係並非產出，而是製程。

其次，如果我們從創作功勞來看，明知 AI 實質貢獻了作品的重要部分，他卻把那部分貢獻納入自己的署名，這確實接近了抄襲的權利狀態：行為者取得了並非由自己完成的創作功勞。它和典型抄襲不同處在於，沒有被抄襲者能主張人格權利（「這是我的創作！」）。這構成了斷頭抄襲。

（還是，我們要主張「你抄襲了全人類」？）

關於 AI 介入，文字工作者真正需要注意的是

我認為，顧全創作者隱私以及揭露範圍的最佳判準，因此並非是「AI 碰過一個字就必須自首」，而是「實質貢獻論」。如果 AI 只修正了對作品價值無影響的機械錯誤，作者應該要有合理判斷「這不值得揭露」的自由。當然，同一個修改也可能隨情境改變重要性：部落格裡的幾個錯誤通常不重要（如果錯字連篇，那就有點重要），而英文考試的情境，幾個錯字可能是評量核心。

其中，真正嚴重到構成欺瞞的，是作者非常清楚 AI 的介入實質影響了作品呈現的能力與價值，卻仍讓讀者以為那完全由自己完成。如果是作者真心認為 AI 沒有實質影響，卻誤判，這和蓄意隱瞞的層級不同；它可能顯示的是創作能力的不足：作者甚至無法判斷自己的作品中，哪些價值由誰帶來。

當然，制度上更穩妥的做法，可以比我的標準更嚴：只要 AI 的輸出實際進入成品，就誠實標示它扮演的職能與範圍，不把判斷全放在作者對「貢獻是否實質」的自評上：

• 「第二節初稿由 AI 生成，作者重組論證並查核引用。」
• 「AI 協助全篇錯字校對，未改動論點與段落結構。」
• 「英文摘要由 AI 翻譯，作者逐句審定。」
• 「AI 提供反例與審稿意見，正文由作者撰寫。」

這些標示比籠統的「本文使用 AI 輔助」更有用，它們直接告訴讀者 AI 位於哪段製程。

而水印偵測器即使回報陽性，最多也只能說這段文字符合某組水印的統計訊號；它既不能說明 AI 改了哪段、貢獻了多少，更不能判斷署名者是否欺瞞。因此，學校、出版社、社群與職場不該把水印陽性當成唯一參考依據。偵測器也必須同時呈現證據強度，允許在證據不足時拒絕判定；而制度也不能把正常的人類編輯一概描述成「規避行為」。

文字浮水印可以成為來源追溯基礎設施的一部分，但它只指出了可能的生成痕跡，不能替我們決定作者、功勞與文責。

也許，我們真正需要學會的，不是如何辨認「這是不是 AI 寫的」或是「如何塗改才看不出 AI 痕跡」，而是如何更精確地描述：AI 到底如何參與了我的文字工作。

當然，我們連這段都可以請 AI 誠實揭露：

本文的核心主張與論證方向由作者提出。AI 協助蒐集技術資料、設計與執行示範實驗，並依作者提出的主張與結構起草初稿、提供校閱意見；作者大幅修訂全文，並審定實驗解讀與最終文字。（本段文字由 AI 誠實摘要）⁶