如何識(shí)別AI制品？2026版

自從 AI 產(chǎn)物“泛濫”，我最愛(ài)干的一件事就是幫網(wǎng)友打假、鑒偽。

比如有次我看到小紅書上有人發(fā)帖求助，疑似買家用 AI 做張產(chǎn)品損壞的假圖騙取“僅退款”。我正幫網(wǎng)友一板一眼地分析，“斷裂處有點(diǎn)模糊，對(duì)不上”，然后看到有其他帖子直接甩出國(guó)家反詐中心 App 的鑒定截圖。

好家伙，國(guó)家終于出手了！不久前，國(guó)家反詐中心 App 新增了對(duì)疑似 AI 圖像、視頻、文本、人聲音頻內(nèi)容的檢測(cè)功能。

如今幾乎每一天都有新迭代的生成式技術(shù)出現(xiàn)。AI 憑空生成極具現(xiàn)實(shí)感的長(zhǎng)視頻，連人物瞳孔里的光影折射和微表情下的皮膚紋理，都已經(jīng)做到了符合人直覺(jué)的以假亂真。

對(duì)于互聯(lián)網(wǎng)的不信任，在今天絕不是什么被迫害妄想癥。AI 偽造確實(shí)引發(fā)了一場(chǎng)關(guān)于真實(shí)的信任危機(jī)。

往往對(duì)付一項(xiàng)技術(shù)的最好辦法，是用技術(shù)打敗技術(shù)。今天，我們就來(lái)聊聊生成式內(nèi)容時(shí)代的新護(hù)城河：隱形水印。

道高一丈

顧名思義，這是一種看不見(jiàn)的水印。相比浮在圖片上的傳統(tǒng)的水印，極容易被簡(jiǎn)單修圖手段抹掉，逃過(guò)人眼，隱形水印是通過(guò)算法，將標(biāo)識(shí)信息直接寫在內(nèi)容的數(shù)據(jù)底層。

以當(dāng)今被應(yīng)用最廣的隱形水印技術(shù) SynthID（ DeepMind 團(tuán)隊(duì)推出的）為例。SynthID 的背后并不是一個(gè)簡(jiǎn)單的加密公式，訓(xùn)練 SynthID 的方式是兩個(gè)深度學(xué)習(xí)模型左右互搏。一個(gè)“嵌入模型”負(fù)責(zé)把水印藏進(jìn)去，一個(gè)“提取模型”負(fù)責(zé)把水印找出來(lái)。這兩個(gè)模型經(jīng)歷了成千上萬(wàn)次的對(duì)抗訓(xùn)練，嵌入模型試圖把信號(hào)藏得更深，提取模型則在被壓縮、被涂改的殘破數(shù)據(jù)中尋找嵌入痕跡。

針對(duì)不同媒介的數(shù)字內(nèi)容，嵌入水印的方式也不同。

· 圖片

數(shù)字圖像的本質(zhì)是幾百萬(wàn)個(gè)發(fā)光像素點(diǎn)的集合。當(dāng) AI 繪圖時(shí)，它就是在計(jì)算并決定像素的顏色分布。嵌入模型的做法是，在生成瞬間做人眼根本無(wú)法察覺(jué)的極其微小的調(diào)整。比如，讓畫面中特定區(qū)域的幾千個(gè)紅色像素，在亮度上集體暗了 0.01%，并在空間排列上形成某種特定的規(guī)律。即使你是專業(yè)調(diào)色師，肉眼也未必看出“正紅”和“偏暗 0.01% 的紅”的區(qū)別，但計(jì)算機(jī)能。

肉眼沒(méi)有觀感差異，但機(jī)器會(huì)看到水印

提取模型通常需要很高的魯棒性，即使圖片經(jīng)歷嚴(yán)重壓縮和裁剪，附加多層濾鏡，只要?dú)埩粝袼財(cái)?shù)量足夠多，提取模型就能發(fā)現(xiàn)統(tǒng)計(jì)學(xué)規(guī)律，檢測(cè)到 AI 水印。

我做了一個(gè)測(cè)試，用 Gemini 生成了兩個(gè)真人小女孩的合照。然后對(duì)著屏幕翻拍，拿到 PS 里加濾鏡調(diào)色，把圖片發(fā)微信后再下載，壓縮一遍。經(jīng)歷了一連串“洗稿式”處理后，Gemini 依然能一眼看穿。

· 視頻

視頻比圖片多了一個(gè)關(guān)鍵的維度，時(shí)間。

視頻由一幀一幀的畫面構(gòu)成，因此最為簡(jiǎn)單粗暴的嵌入方式，就是給每一幀單獨(dú)打上隱形水印。

就跟人類身上每一個(gè)細(xì)胞都能提取出 DNA 一樣。提取模型具備“抗剪輯”能力，即便是被抽幀，提取模型也能從哪怕只保留1秒鐘的視頻畫面里將水印信號(hào)提取出來(lái)。

· 音頻

給音頻加隱形水印的邏輯參照了人的生理規(guī)律。

人類的聽(tīng)覺(jué)只能聽(tīng)到 20Hz - 20000Hz 的聲音，我們不僅聽(tīng)不到超聲波或次聲波，而且當(dāng)一個(gè)極其響亮的聲音和一個(gè)微弱的聲音同時(shí)出現(xiàn)時(shí)，由于"聽(tīng)覺(jué)掩蔽效應(yīng)"，微弱的聲音會(huì)被大腦自動(dòng)忽略。但這是傳統(tǒng)的音頻水印法。

比如 Meta 的開(kāi)源方案 AudioSeal 用的就是這種方法，模型會(huì)在原始音頻中嵌入一段不在聽(tīng)覺(jué)范圍內(nèi)的“隱形頻段”。

SynthID 做法是把聲音波形轉(zhuǎn)換成二維的頻譜圖，像處理圖片一樣在頻譜圖上加密，再把加了密的頻譜圖重新轉(zhuǎn)換回音頻波形。

嵌入水印后絲毫不影響人類的聽(tīng)覺(jué)體驗(yàn)，這些微小的加密特征完美融入了正常的聲紋紋理中，看不出任何人為篡改的痕跡。

這種做法也讓音頻水印極其"抗造"。無(wú)論是被強(qiáng)行壓縮成劣質(zhì)的 MP3 格式，還是人為倍速播放，水印都極難被抹除。

· 文本

最后是文本。不得不說(shuō)，給文字加隱形水印最難。

因?yàn)槲谋臼请x散的——一個(gè)詞就是一個(gè)詞，不能像像素那樣做 0.01% 的微調(diào)。如果只是簡(jiǎn)單地把"漂亮"替換成"美麗"，很容易被別人用另一個(gè) AI 翻譯一遍就洗掉了。

目前文本水印的主流解法，是“黑幕操縱” AI 生成詞匯的概率分布。

大語(yǔ)言模型本質(zhì)上是一個(gè)“詞匯接龍”機(jī)器。比如輸入“今天天氣很”，它預(yù)測(cè)下一個(gè)詞是“好”的概率是 80%，是“晴朗”的概率是 15%。

SynthID-Text 用一種新穎的采樣算法（Tournament Sampling）。模型要生成下一個(gè)詞的時(shí)候，SynthID 不直接選概率最高的那個(gè)，它會(huì)給所有候選詞分配特定分?jǐn)?shù)（基于前文和密鑰計(jì)算得來(lái)的）。這些詞兩兩“PK”，最終得分最高的詞作為最終輸出。當(dāng)解碼器拿到一段文本，它會(huì)用同樣的密鑰計(jì)算一遍。就像擲骰子，表面上是隨機(jī)的，如果我知道骰子的物理參數(shù)和投骰子的手法，也許就能預(yù)測(cè)結(jié)果。

結(jié)果是：人類讀起來(lái)通順流暢，但解碼器一算這些詞匯的出現(xiàn)概率和排列組合，就能斷定，"這種用詞規(guī)律，自然人寫不出來(lái)。"

但是，生成質(zhì)量和水印性能的平衡需要把握。想讓水印越堅(jiān)固、越抗造，就必須把它嵌得越深、對(duì)原始數(shù)據(jù)的修改閾值就得拉得越大，那勢(shì)必會(huì)影響生成質(zhì)量。

沒(méi)有攻不破的盾

在黑客帝國(guó)里，沒(méi)有絕對(duì)安全的盾。

如果像我似的，對(duì)著電腦屏幕“翻拍”呢？信號(hào)經(jīng)歷了一次“數(shù)字-模擬-數(shù)字”的跨媒介轉(zhuǎn)換，原有的像素級(jí)編碼有可能被物理洗掉。

或者“魔法打敗魔法“，資深的AI繪圖玩家將帶有水印的 AI 圖像放進(jìn)繪圖軟件作為底圖，開(kāi)到極高的重繪幅度重新跑圖，原有的水印很可能被洗掉。

有論文討論了“重水印攻擊”，攻擊者使用自己的水印模型在已有的水印圖片上再嵌入一層水印，干擾或覆蓋原始信號(hào)。

以目前的技術(shù)環(huán)境，隱形水印更像是“君子協(xié)定”，尤其在開(kāi)源的真空地帶。如果模型的結(jié)構(gòu)和權(quán)重完全公開(kāi)，開(kāi)發(fā)者可以修改推理流程、關(guān)閉相關(guān)模塊，甚至直接訓(xùn)練不包含水印機(jī)制的模型版本。只要技術(shù)環(huán)境足夠開(kāi)放，“繞過(guò)”水印在理論上始終可行。也許“破解 AI 水印”會(huì)成為信息安全又一個(gè)常態(tài)問(wèn)題，就像植入病毒和殺毒，一直在“共同進(jìn)步”。

業(yè)界迫切需要一個(gè)“車同軌、書同文”的統(tǒng)一標(biāo)準(zhǔn)，目的是讓 A 平臺(tái)也能識(shí)別出這是由 B 模型生成的 AI，別都“各自為戰(zhàn)”。

比如目前正在推進(jìn)的 C2PA 技術(shù)標(biāo)準(zhǔn)。比如 OpenAI 已經(jīng)在 DALL·E 3 生成內(nèi)容中添加 C2PA 元數(shù)據(jù)。以及 Meta 將識(shí)別 C2PA、IPTC 標(biāo)準(zhǔn)的元數(shù)據(jù)，并在旗下社交平臺(tái)比如 Facebook、Instagram 和 Threads 上標(biāo)注出“AI 生成”，減少 AI 內(nèi)容對(duì)用戶的迷惑。

不過(guò)元數(shù)據(jù)（在后面也會(huì)提到），本質(zhì)上是一種附加的數(shù)字簽名，不如寫進(jìn)原數(shù)據(jù)里的水印那樣深刻。

一種“確權(quán)”手段

其實(shí)早在 2024 年，OpenAI 就開(kāi)發(fā)出了文本隱形水印，但遲遲不愿大規(guī)模部署。因?yàn)樗麄冊(cè)u(píng)估后發(fā)現(xiàn)，一旦強(qiáng)制給 ChatGPT 加上水印，那些依賴 AI 輔助寫作、翻譯或潤(rùn)色的真實(shí)用戶，會(huì)因?yàn)闃O度反感被判定為“AI 代寫”而大規(guī)模棄用產(chǎn)品。

但是作為“堅(jiān)持手搓”的內(nèi)容創(chuàng)作者，我為什么力挺這類信息追蹤技術(shù)？隱形水印能給 AIGC 加上標(biāo)簽，就也能給人類創(chuàng)作者加，作為保護(hù)人類版權(quán)的一種方式。

以前保護(hù)版權(quán)最常用的手段是元數(shù)據(jù)（Metadata）嵌入，數(shù)碼圖像常見(jiàn)的元數(shù)據(jù)類型有 EXIF（相機(jī)型號(hào)、曝光等信息）、IPTC（作者、版權(quán)、圖片關(guān)鍵字等）、XMP（后期創(chuàng)作軟件寫入的工作流程信息，Lightroom / Photoshop 做的顏色、裁剪等）。

元數(shù)據(jù)標(biāo)簽雖然藏在文件屬性里，本質(zhì)上只是一段附加的文本代碼。目的是為了“展示”，而不是“加密”，且都可以刪改。比如大多數(shù)社交媒體平臺(tái)，為了節(jié)省空間，會(huì)將你上傳的圖片自動(dòng)壓縮，順手剝離大部分元數(shù)據(jù)。

從生產(chǎn)源頭，有人主張把水印直接刻進(jìn)相機(jī)底層（比如徠卡、索尼已經(jīng)在高端相機(jī)里做這事了）。按下快門那一刻，照片就自動(dòng)生成無(wú)法篡改的加密證明。他們的邏輯是，未來(lái)不用費(fèi)力鑒定什么是 AI 內(nèi)容，只要文件沒(méi)有這種物理級(jí)別的硬件水印，平臺(tái)就直接默認(rèn)它是機(jī)器生成的。

徠卡 M11-P是全球首款內(nèi)置“內(nèi)容憑證”的高端相機(jī)。是元數(shù)據(jù)，但又具備隱形水印特性，寫入不可偽造的加密簽名｜來(lái)源：徠卡

還有一些創(chuàng)作者認(rèn)為，水印最好記錄人類特有的生物特征，比如歌手具體的聲帶振動(dòng)頻率。然后把生物水印和結(jié)算系統(tǒng)打通。一旦 AI 公司抓取這些素材訓(xùn)練，底層代碼就會(huì)強(qiáng)制觸發(fā)合同，讓 AI 平臺(tái)自動(dòng)向原作者付錢。所以“攜帶可驗(yàn)證的數(shù)字標(biāo)識(shí)”一旦在各行業(yè)普及，就極有可能衍生出版權(quán)上的自動(dòng)溯源與微支付機(jī)制。

比如 SynthID 技術(shù)文檔表示目前超過(guò)真?zhèn)危ˋI與否）檢測(cè)，技術(shù)已經(jīng)進(jìn)化到了出處溯源。

一個(gè)很有意思的應(yīng)用例子。YouTuber 想把雜亂的家換成 ApplePark，可以用 YouTube 提供的 Dream Screen 功能，其內(nèi)置 Veo 模型一鍵生成綠幕背景。發(fā)布視頻時(shí)，平臺(tái)底層的 SynthID 檢測(cè)器就會(huì)并自動(dòng)打上“合成內(nèi)容”的合規(guī)標(biāo)簽。在 YouTube 平臺(tái)上，創(chuàng)作者如果沒(méi)有手動(dòng)標(biāo)記 AI 會(huì)被平臺(tái)限流甚至封號(hào)。

圖源 TechCrunch

隱形水印技術(shù)既可以被用來(lái)保護(hù)“人類成果”，也可以規(guī)范創(chuàng)作流程。

AIGC 爆發(fā)的幾年間，徹底摧毀了人類長(zhǎng)久建立起來(lái)的“眼見(jiàn)為實(shí)”的人生信條。真真假假混在一起，假的讓人迷惑，真的讓人難以置信。最終，我們不得不妥協(xié)，依賴技術(shù)對(duì)抗技術(shù)制造的虛假和迷茫。

作者：糕級(jí)凍霧

編輯：沈知涵

圖片來(lái)源：沒(méi)有特殊標(biāo)明都來(lái)自Google

點(diǎn)個(gè)“小愛(ài)心”吧