一句话定义
水印（Watermarking）指在 AI 生成的内容里嵌入一种不易被察觉的固定模式，让检测方能用统计方法判断「这段内容大概率来自模型」，而不必依赖外挂的标签文件。
原理：不是贴标签，而是「偷偷偏好某些词」
打个比方：编辑部要求一位作家写作时，每当遇到可替换的词，就优先从一本只有编辑部知道的「绿名单词表」里挑。文章读起来照样通顺，但通篇绿名单词的比例会明显偏高。检测方拿到文本，用同一份名单数一数绿词比例，如果高到自然写作几乎碰不出来的程度，就判定里面藏了水印。
大模型生成文本是逐个 token 采样的，候选词很多。生成时用一个密钥把词表随机切成绿名单和红名单，悄悄抬高绿名单词被选中的概率；检测时用同一个密钥重算，统计绿词占比，做一次显著性检验，算它偏离随机期望多少个标准差。密钥公开，谁都能验证；密钥保密，就只有持有方能检测。
图像、音频的水印思路类似，只是把信号嵌进像素、频域或生成过程的潜空间里，改动被设计成人眼、人耳几乎察觉不到。
和相邻概念的区别
| 概念 | 嵌在哪 | 主要目的 | 常见弱点 |
|---|---|---|---|
| 水印 | 内容本身的统计或信号特征 | 判断是否 AI 生成、辅助溯源 | 改写、压缩、裁剪可能破坏 |
| 元数据、内容凭证 | 文件外挂字段 | 记录来源、作者、许可 | 被剥离后无从追查 |
| 隐写术（steganography） | 内容中隐藏信息 | 隐藏「存在通信」这件事 | 容量小，怕压缩 |
| 指纹（fingerprinting） | 内容中的用户专属标记 | 定位是哪个用户或哪个模型 | 需要额外的密钥分发管理 |
对实际工作意味着什么
平台方可以用它做批量筛查和标注，但别把检测分数当成铁证：文本太短时样本量不够，误报率会抬头；把内容改写、翻译一遍，就可能把水印洗掉。
开发者要注意，调用生成接口时输出可能已经带水印；自己对外提供服务时，加不加、密钥怎么管、要不要开放检测接口，都需要提前想清楚。
普通人看到「AI 检测器」的结果也不必太当真，它是一种概率判断，不是鉴定书。具体某家产品是否支持水印、检测规则如何，以官方页面为准。