AI 水印不只是标记来源，也可能改变模型的安全边界

导语：

AI 水印通常被视为一种来源标记技术：平台在生成文本时悄然调整选词过程，让具备密钥的检测者能够判断内容是否由模型生成。可是，一项来自 Lasso Security 研究人员的实验表明，水印改变的可能不只是文本的可检测性，还包括模型的安全行为。

核心要点

• 研究测试了六个开放权重模型，将启用和停用 SynthID-Text 水印时的输出进行比较。
• 在普通有害请求中，水印已经可能改变模型的拒答表现；与提示注入结合后，变化更加明显。
• 部分模型在启用水印后，会回答原本应当拒绝的有害请求。
• 对于具备工具调用能力的 AI 智能体，采样变化还可能影响调用哪个工具，以及传入哪些参数。
• 不同密钥可能带来不同的行为结果，说明水印影响并非完全固定。

水印为何会影响安全性

SynthID-Text 通过秘密密钥参与下一词元的采样。其一种关键机制是竞赛式采样：系统先评估多个候选词元，再利用密钥计算隐藏分数，让候选项逐轮竞争，最终选出一个词。这个过程不会明显改变普通读者看到的文本，但它确实改变了模型生成序列的路径。

大模型的拒答、提示注入防御和工具选择，都依赖一连串词元的细微变化。只要采样路径发生偏移，模型就可能从拒绝转向继续回答，也可能选择错误的工具或传递不安全的参数。研究人员将这种现象称为采样漂移：水印不仅影响模型说什么，也可能影响智能体做什么。

意义与局限

这项研究并不等于证明所有水印都会削弱安全性，也没有测试 Claude 未来采用的具体 SynthID-Text 配置。实验使用的是 Hugging Face 的实现，并集中于研究人员能够控制采样过程的开放权重模型。因此，结果更适合作为风险提示，而非对某一商业系统的最终判定。

但它提出了一个容易被忽略的工程问题：安全评估不能只在关闭水印时完成。平台在部署水印后，应重新测试有害请求、提示注入、拒答稳定性和工具调用准确性，并使用多个密钥检查行为是否一致。对于能够读写数据、执行操作或访问敏感资源的智能体，这种验证尤其重要。水印若要成为生产系统的一部分，就必须与安全对齐、代理权限和红队测试一起评估。

来源：Ars Technica AI