【數位關鍵字】EP256.Claude 怎麼讓看不見的記號埋進文字？IBM 首席科學家陳品諭拆解 AI 浮水印

8 月 11 日，Anthropic 在官方說明文件公告，8 月 2 日之後推出的 Claude 模型出廠就會在生成的內容裡埋入一個看不見的記號，全球適用，涵蓋 Claude、Claude Code、Claude Cowork 與開發者用的 API。但怎麼做到的沒有公布規格，偵測工具也還沒開放。消息一出，中英文社群立刻開始討論怎麼把它洗掉，GitHub 上也冒出各種浮水印檢查工具。IBM 華生研究中心可信任 AI 團隊首席研究科學家陳品諭 Pin-Yu 認為，多數人一開始就搞錯了這件事的性質：浮水印能證明的是「這段文字是不是我做的」，不是「這段文字是不是 AI 做的」。數位時代創新長黃亮崢 James 邀請陳品諭，從技術原理、歐盟法規動機，一路談到教育、出版與內容產業真正該擔心的事。 聽完這集，你可以學到 1. 浮水印保護的是模型商，不是使用者：陳品諭用命案現場比喻。現場有好多個嫌疑犯，每個人都能出來證明自己有不在場證明，「所以你只能證明這個人不是我殺的，但是這個命案還是發生了」。各家廠商的浮水印只能回答「這是不是我產生的」，惡意使用者只要下載一個開源模型自己生內容，就完全不帶任何記號。他形容這是一個安全漏洞：每個廠商都在保護自己，沒有人在保護一般使用者。 2. 文字浮水印不是在文字上加東西，而是動了選字的機率：早期做法是挑一組關鍵字，出現太頻繁就判定是 AI 寫的，但這會直接傷害生成品質，等於你請阿嬤倒茶，它卻端出一杯美式拿鐵。Google 那一系列比較進階的做法，是在決定下一個字的時候，心中先默想一個號碼（私鑰），用這個號碼加上已經產生的內容去決定下一個字；檢測時再把文字套回這個號碼，看相符的可能性有多高。 3. 藏在文字之外的記號，複製貼上就沒了：加隱形空格、把拉丁字母 A 換成看起來一模一樣的西里爾字母 A、或在文件裡塞白色文字，這些方法可以做，但當不了合格的浮水印。陳品諭解釋，只要使用者把內容複製到記事本，框選範圍以外的東西全部不會跟著走。而且這類手法缺乏獨特性，對方一旦知道你的規則就能改回去，浮水印要有效就必須做在文字本身。 4. 改寫確實能洗掉，但要改到面目全非：Google 發表在《Nature》的那份報告做過測試，更動少於 10 個 token 通常拿不掉浮水印，但改得夠多、改到面目全非，浮水印就會失效。社群討論的「拼盤」做法，也就是把五個段落分別丟給五個不同模型重寫、或翻成英文再翻回中文，陳品諭直接確認那是一個能把浮水印移除的好例子。 5. 中文不會比較安全：現在的主流架構 Transformer 是一個 token 進、一個 token 出，token 不等於英文單字或字母，任何語言都能拆成 token，圖片、聲音、影像同樣可以。陳品諭明確表示，不同語言對浮水印來說沒有差別，浮水印都能用上去。想靠中文方塊字躲過機率式浮水印，在技術上並不成立。 6. Anthropic 自己在網頁最下面寫了兩條免責：第一，這個技術沒有辦法保證一段文字是不是 AI 產生的，它只能保證是不是自家寫的。第二更關鍵，如果原始文字是使用者餵進來、由 Claude 修改的，它一樣會蓋上記號，但不保證那段原始文字本來是人寫的還是 AI 寫的。陳品諭形容就是「你給我一個東西，我蓋一個章我就把它丟出去」，至於進來的時候是什麼，它不管。 7. 歐盟的立法精神認為文字是相對最不需要保護的：陳品諭透過 IBM 參與過歐盟法規建議。相對於圖片、語音、影片，文字的傳播力與殺傷力較小，也比較容易查證，例如有人偽造一首詞說是方文山寫的，上網查一下沒有這首歌就破功了。這是風險管理的判斷，也解釋了為什麼 Google 只開源了文字浮水印，跟深偽高度相關的影像與語音方法始終沒有公開。 8. 開源偵測器會變成攻擊者的練習對象：陳品諭三年前用對抗式學習做的文字偵測器 RADAR，訓練時額外放進一個負責不斷重寫文字、想繞過偵測的 AI 攻擊者，讓偵測器學會更穩健的判斷方式。這個模型放上 Hugging Face 之後累積超過九十萬個下載次數，但他坦言心裡也有點怕，因為惡意使用者同樣可以拿它來磨練繞過的方法。這也是他判斷各家廠商最終不會開源自家浮水印偵測器的原因。 9. 人機混寫是灰色地帶，現有偵測器處理不了：訓練偵測器時的資料標註只有兩種，整段人寫或整段 AI 寫。但真實情況是人先寫草稿、AI 改了兩成或三成，要改到多少才算 AI 寫的？陳品諭認為這種灰色空間不好標註也不好預測。學生若能拿出 Word 的編輯紀錄，證明是自己一個字一個字打出來、中途只是參考 AI 的建議改錯字，他認為那還算是人寫的。 文字工作者真正要擔心的不是被蓋章，是被誤判。陳品諭今年做的一項研究正是在探討嫁禍：在圖片領域，他們可以把 A 模型的浮水印放進 B 模型產生的圖片裡，讓偵測器誤認來源，文字雖然還沒做過，但原理上可行。誤判在教育現場是致命的，把學生的文章誤判成 AI 寫的而當掉，學生的權益就受損。他也點出目前社會靠「AI 味」判斷的困境：老師看得出來文字老練到不可能是高中生寫的，卻拿不出證據，最後只能說是自由心證。 generation is cheap, but verification is hard（生產容易，但驗證難）。這是陳品諭常掛在嘴邊的一句話，生產內容很容易，檢驗內容的真實性與可靠性反而困難，而且通常需要領域專家才做得到。他舉例，市面上號稱能檢測 AI 論文的工具，實際上多半只查得出參考文獻是真是假，因為那可以拿資料庫比對；至於最前沿、大家都還不知道答案的研究內容，反而無法驗證。他認為這個時代該問的不是「這是 AI 做的還是人做的」，而是「做出來的成品有沒有更好」。 陳品諭給聽眾的心法 對於拿到偵測報告的主管、老師與評審，陳品諭的建議是把它當成健康檢查，不是判決書。那個數字只是最初步的檢測，發現不對勁應該往下追問原因，請對方提出自己編輯過程的思索與證據，而不是直接下結論。他也提醒，正因為他們做的是可信賴的 AI，才更清楚現階段的 AI 很多時候還不足以被人類信賴：「不要完全相信 AI 告訴你的任何事，你還是要有自己的判斷能力。」 至於一般工作者該怎麼面對 AI，他的立場很明確：不要想著 AI 要來取代人類，而是用 AI 讓自己的生產力更高、思考得更深遠，就像 AlphaGo 之後，職業棋手選擇跟 AI 下棋不是為了贏它，而是為了想得比十步、二十步更遠。但他也留下一句提醒：「AI 會的東西不是你會的東西，不是因為你會用 AI 就表示這個知識就是你的，你只是會使用這個工具而已。」