大模型水印真的不是在回复里塞广告

很多人对 Anthropic 说要给模型响应加“水印”这事儿有误解，直觉反应可能是输出的内容里会莫名其妙混进一些广告词或者奇怪的字符。其实完全不是那么回事，这种水印是完全不可见的，它本质上是在模型预测下一个 Token 的概率分布时，通过一种极其微妙的统计学手段强行植入的模式。

我最近翻了一下相关的技术逻辑，尝试动手写了一个简化版的 SynthID-Text 风格的水印实现。虽然不能说完全复刻了 Google 那套复杂的系统，但核心逻辑基本一致：在模型进行采样（Sampling）的时候，通过某种算法把 Token 划分为“绿色”和“红色”两个集合，然后通过稍微调高“绿色”集合中 Token 的出现概率，让生成的文本在统计学特征上呈现出某种特定规律。

这种技术最硬核的地方在于，肉眼根本看不出任何破绽，但只要拿一个专门的检测器去跑，就能以极高的置信度判定这段文本是不是由某个特定模型生成的。

我把实现代码整理了一下，大概的逻辑流程如下：

实现思路与核心步骤

1. 逻辑分区： 在采样阶段，根据当前 Token 的特征，将词表（Vocabulary）中的 Token 划分为两个集合（比如 Green List 和 Red List）。
2. 概率偏移： 修改原本的 Logits 分布，给 Green List 里的 Token 增加一个微小的偏置值（Bias），让模型更有可能选到它们。
3. 统计检测： 检测时，统计文本中属于 Green List 的 Token 频率。如果频率显著高于随机分布的期望值，就说明“中招”了。

简单的伪代码逻辑大概是这样：

def apply_watermark(logits, green_list, bias=2.0):
    """
    给 logits 增加水印偏置
    logits: 模型输出的原始概率分布
    green_list: 被选定为“绿色”的 token 索引列表
    bias: 偏置强度
    """
    watermarked_logits = logits.clone()
    # 只对绿色集合里的 token 进行加分
    watermarked_logits[green_list] += bias
    return watermarked_logits

这种实操过程非常有助于理解 LLM 生成机制。如果你想看更完整的代码实现和完整的部署逻辑，可以去 GitHub 搜一下这个仓库：
https://github.com/Saad1926Q/llm-watermark

这种水印技术现在争议也很大，一方面能用来溯源 AI 生成内容，防止版权纠纷；另一方面，如果水印算法本身有缺陷，可能会稍微降低模型生成文本的质量或者多样性。