AI生成内容水印与检测

随着扩散模型（见扩散模型）和 GAN（见 GAN）生成的图像越来越逼真——2024-2025 年的 FLUX、SD3.5、Imagen 3 等模型已经可以产出肉眼完全无法分辨真假的照片——如何区分”真实”与”AI 生成”的内容成为迫切的社会问题。虚假新闻图片、深度伪造视频（DeepFake）、AI 生成诈骗等内容在社交平台泛滥，推动各国立法（如欧盟《AI 法案》、中国《生成式人工智能服务管理暂行办法》）强制要求对 AI 生成内容进行标识。本页聚焦三条互补的技术路线：水印（生成时或生成后主动嵌入可追溯标记）、检测（事后用分类器判断内容是否由 AI 生成），以及正在被全行业推广的内容来源标准 C2PA。

核心直觉

不可见水印像纸币上的防伪荧光条——肉眼怎么看都只是一张普通纸，但验钞机（检测器）的紫外灯一照，隐藏的标记就显现出来。水印信号被巧妙地藏在像素的微小扰动或频域（frequency domain，即把图像从空间像素值变换为频率分量的表示方式）中，人眼无法感知，但算法可以精确提取。
**Signature / SynthID（Google DeepMind）**就是这种荧光条的工程实现——在像素值中嵌入一层极微弱的统计模式，既不影响观感，又能在日后被专用检测器识别。SynthID 在 2024-2025 年间已从图像扩展到文本、音频和视频，成为目前覆盖模态最广的商业水印系统。
Stable Signature（Meta 2023）更进一步——像造纸阶段就把特殊纤维混进纸浆里，而不是印好纸币后再涂荧光条。通过微调 VAE 解码器的权重（见 VAE），让模型生成的每一张图天然就携带水印，不存在独立的”打标”环节可以被跳过或绕过。
Tree-Ring Watermark（2023）/ Gaussian Shading（2024）代表了另一条思路：在扩散模型的初始随机噪声中就植入水印——就像树的年轮，初始噪声中的特定频率模式会在扩散过程结束时自然映射到生成图像的频域中，且极难被擦除。
C2PA 标准则是”出生证明”——不藏在画面里，而是附在文件元数据中，记录”谁在什么时候用什么工具创作/编辑了这张图”，像艺术品的鉴定证书。2024-2025 年，Adobe、Google、Microsoft、OpenAI、Sony、Leica、Nikon、Canon 等行业巨头全面拥抱 C2PA，使其成为事实标准。
AI 生成检测器是最后的防线——当水印缺失、元数据被剥离时，靠分析图像中的统计残留（GAN 的上采样痕迹、扩散模型的频域伪影）来判断真伪。但 2025 年的最新研究表明，随着生成模型不断进步，检测器与生成器之间的”军备竞赛”（arms race）仍在持续，且检测器的泛化性（能检测未见过的生成器）始终是核心难题。

原理详解

1. 不可见水印的基本范式

不可见水印的目标是在图像 I 中嵌入一段信息 m（如创作者 ID、时间戳，通常 48~256 比特），得到含水印图像 I_w，满足三个核心约束：

不可见性（Fidelity / Imperceptibility）：I 与 I_w 在人眼看来没有区别。通常用 PSNR（Peak Signal-to-Noise Ratio，峰值信噪比，值越大代表失真越小）衡量，要求大于 40dB；或用 LPIPS（Learned Perceptual Image Patch Similarity，基于深度网络的感知相似度度量）来衡量人眼感知差异，要求小于 0.05。
鲁棒性（Robustness）：即使 I_w 被 JPEG 压缩、裁剪、缩放、加噪、改色、截屏，水印 m 仍能被提取。鲁棒性是水印能否实用化的关键门槛——社交平台的二次处理极其激进。
容量（Capacity / Payload）：能携带足够多的比特信息。48 比特可编码约 2.8 × 10^14 种不同标识，足以区分全球每一条 AI 生成内容。

最经典的方案是频域水印——对图像做离散余弦变换（DCT，Discrete Cosine Transform，将图像从像素值表示转换为频率分量表示的变换，JPEG 压缩的核心步骤），在中频系数中叠加水印信号。之所以选中频，是因为低频承载图像的大面积平滑区域，改动会被人眼察觉；高频对应细节和边缘，容易被 JPEG 压缩（量化步长大）抹掉；中频恰好兼顾隐蔽性与生存率。嵌入公式可简化为：

C'_k = C_k + alpha * W_k

其中 C_k 是原始 DCT 系数，W_k 是由密钥生成的伪随机序列（spread spectrum，扩频信号，类似于通信中的 CDMA 技术——把水印信号”铺开”到很多频率上，每个频率只加一点，单点看不出来但整体可被统计检测），alpha 是嵌入强度（权衡不可见性与鲁棒性）。提取时用同样的密钥重建 W_k，再计算 C’_k 与 W_k 的相关性——相关性高于阈值即判定水印存在。这本质上是匹配滤波（matched filter）的思想：在水印信号方向上的投影越大，说明水印越可能存在。

更现代的深度学习方案不再依赖人工设计的 DCT，而是端到端学习嵌入与提取策略：编码器网络自己学会”在哪些像素位置、加多大的扰动最隐蔽”，检测器网络学会”从受攻击的图像中恢复水印比特”。两个网络联合训练，通过可微模拟的攻击层（如可微的 JPEG 压缩、高斯噪声、仿射变换）让水印在训练阶段就”见过”各种攻击。

2. Signature / SynthID

Google DeepMind 的 SynthID（2023 年发布，2024 年扩展到文本和音频，2025 年扩展到视频）是目前覆盖模态最广的商业水印系统。其图像水印模块（SynthID Image）采用深度学习驱动的方案，分为两个神经网络：

编码器（Embedder）：输入原始图像 + 水印比特（通常编码为伪随机比特串），输出一张与原图几乎相同的含水印图像。架构通常是一个 U-Net 或 ResNet 变体——通过编码器-解码器结构（encoder-decoder）先将图像压缩为特征图，再逐步恢复分辨率，在恢复过程中将水印信号注入到图像的特定频带。编码器被训练成在人类视觉系统（Human Visual System, HVS）不敏感的区域——纹理丰富处、高频细节处、亮度变化剧烈处——藏入更多扰动，这与 JPEG 量化表的设计思路一致（人眼对亮度比对色度更敏感，对平滑区域比对纹理更敏感）。
检测器（Detector）：输入待测图像，输出水印是否存在以及携带的比特信息。检测器是一个轻量级 CNN（见 CNN），学会从被各种攻击扭曲过的图像中提取水印的统计特征。

SynthID 的关键设计是联合对抗训练（joint adversarial training）——编码器努力把水印藏得深，检测器努力把水印挖出来，两者形成博弈（类似 GAN 的 min-max 博弈）。同时，在编码器和检测器之间插入一个噪声/攻击层（attacker layer），用可微近似模拟 JPEG 压缩、高斯模糊、裁剪、颜色抖动等后处理。这迫使编码器嵌入的水印必须能扛过这些攻击，检测器也必须能从被攻击的图像中恢复水印。最终效果是水印对各种后处理极为鲁棒。

SynthID 已集成到 Google 的 Imagen（文生图）、Veo（视频生成）、Gemini（文本）等产品中。SynthID Text 于 2024 年开源 SDK，其核心思想是”绿名单锦标赛”（green-list tournament）：在 LLM 生成的每一步，将词表中的 token 分为”绿名单”和”红名单”，轻微提升绿名单 token 的采样概率（通常只改变 logits 的分数，不改变生成质量），检测时统计文本中绿名单 token 的比例是否显著高于随机水平。

3. Stable Signature（Meta 2023）

传统水印是”先生成，再打标”，而 Stable Signature 把水印直接植入生成模型的权重中：

基础架构：扩散模型的解码阶段使用 VAE（见 VAE）。完整的 Latent Diffusion 管线是：文本 → 文本编码器 → 条件扩散模型（在潜空间逐步去噪）→ VAE 解码器 → 像素图像。VAE 解码器负责把潜变量 z（latent variable，一个低维的连续向量表示）解码为最终的像素图像。
微调策略：冻结扩散模型的 U-Net 和文本编码器（见 Transformer），只微调 VAE 解码器最后几层卷积的权重——通常只更新不到 1% 的参数量。微调目标是让解码器在重建/生成图像的同时，自动在输出像素中嵌入一个固定的 48 比特或 64 比特水印图案（watermark pattern）。这个水印图案是预先随机生成并固定的二值矩阵。
训练数据：用大量真实图像通过 VAE 编码→解码来训练，同时确保解码后的图像与水印参考图案高度相关。
效果：任何人用这个微调后的模型生成图像，每一张输出都天然携带水印——水印是模型权重的一部分，不存在”打标环节”可以被跳过。即便用户对输出做 JPEG 压缩、中心裁剪 50%、颜色抖动，水印仍然可被检测。

检测端用一个轻量级 CNN（两层卷积 + 全连接）从图像中提取水印比特，与参考水印做相关性比较。Stable Signature 对 JPEG 压缩（质量因子低至 40）、裁剪 50%、颜色抖动等常见操作都有很强的鲁棒性。

损失函数的完整形式为：

L_total = L_recon + lambda_w * L_watermark + lambda_p * L_perceptual

L_recon：重建损失（MSE），保证图像清晰
L_watermark：水印提取损失（BCE，Binary Cross-Entropy），保证输出的图像经水印提取器后能得到正确的水印比特
L_perceptual：感知损失（用 VGG 或 LPIPS 计算），保证人眼看起来自然
lambda_w、lambda_p：损失权重超参数，控制水印强度与画质之间的平衡

核心直觉：与其在成品的每张钞票上印荧光条（事后水印），不如在印钞机的模具里刻好荧光纹路（模型权重水印），从源头保证每张出厂的钞票都带防伪。

3a. Tree-Ring Watermark 与噪声域水印（2023-2024）

Tree-Ring Watermark（Tree-Ring Watermarks for Diffusion Images, Wen et al. 2023）提出了一种巧妙的思路：不在生成后的图像中嵌入水印，而是在扩散模型的初始噪声 z_T 中就植入水印。具体做法：

生成一个随机初始噪声 z_T
在 z_T 的傅里叶频域（Fourier domain，对噪声做 FFT 后的频率表示）中，将一组由密钥决定的中低频系数的模（magnitude，即频率分量的幅度）固定为一个特定模式——这就是”年轮”（tree ring）
用这个被修改的初始噪声进行正常的扩散去噪过程，生成图像

检测时，由于扩散过程是确定性的（给定相同的噪声和模型权重），检测器可以用 DDIM 反演（DDIM Inversion，扩散采样的逆过程，从图像反推回初始噪声）恢复出初始噪声，再做 FFT 检查年轮模式是否存在。Tree-Ring 水印的鲁棒性来源于：即使图像被裁剪或压缩，反演得到的噪声仍保留年轮的大致结构。

Gaussian Shading（Yang et al. 2024）进一步改进了这一思路，将水印信息通过可逆变换映射到初始噪声中，支持更大的水印容量（可达 256 比特），同时对 DDIM 反演的误差更鲁棒。

这类噪声域水印（noise-domain watermark）的共同优势是：水印在扩散过程开始前就存在，渗透到整个生成过程，极难被后期处理擦除——因为水印信息已经”编织”进了图像的每一个像素。

4. C2PA 标准

C2PA（Coalition for Content Provenance and Authenticity，内容来源与真实性联盟）由 Adobe、Microsoft、Google、BBC、Sony、Nikon 等联合推动，是一个内容来源与真实性的元数据标准（规范 1.x / 2.x 系列，2024 年发布 2.1 版本，2025 年持续推进 2.2 版本）。它的核心概念：

断言（Claim）：对内容的一项声明，例如”此图像由 Adobe Firefly 生成""此照片由 iPhone 15 Pro 在 2024-01-15 拍摄""此图使用了生成式填充工具修改了背景”。每个断言包含一个或多个断言商店（claim store），记录具体信息。
来源链（Provenance Chain）：多个断言按时间顺序串联，记录内容从创作到每次编辑的完整历史。例如一张照片可能经历：相机拍摄 → RAW 处理 → Photoshop 裁剪 → Firefly 生成式扩展 → 导出为 JPEG，每一步都追加一个断言。
签名与信任：每个断言由创作者或工具的私钥签名（基于 X.509 证书链，与 HTTPS 使用相同的公钥基础设施），验证方用公钥确认来源未被篡改。证书由受信任的 CA（Certificate Authority）颁发，类似 SSL 证书体系。
内容凭证（Content Credentials, CR）：所有断言和签名的打包格式，嵌入在文件的元数据段中（如 JPEG 的 APP11 段），也可外挂为 .c2pa 侧链文件。

C2PA 的技术栈还包括 CBOR（Concise Binary Object Representation，一种紧凑的二进制数据格式）用于序列化断言，以及 JUMBF（JPEG Universal Metadata Box Format）作为容器格式。

C2PA 水印存在文件的元数据中，不改变像素本身。它的关键局限是元数据可以被剥离——一旦有人重新截图、用”另存为”去掉元数据、或通过不支持 C2PA 的平台转发，信息就会丢失。因此 C2PA 通常与像素级水印配合使用：C2PA 负责精确的来源记录，像素水印负责在元数据丢失后仍可追溯。

2025 年的重大进展：OpenAI 在 Sora 和 DALL·E 的生成内容中默认嵌入 C2PA 凭证；Adobe 将 Content Credentials 深度集成到 Creative Cloud 全线产品；Google 在 Gemini 和 Search 中展示 C2PA 来源标记；Sony、Leica、Nikon、Canon、Fujifilm 推出在拍摄时即写入 C2PA 凭证的专业相机（“in-camera provenance”），从源头建立信任链。

5. AI 生成检测器

当水印和元数据都不可用时，只能依靠检测器（detector）从图像像素本身寻找 AI 生成的蛛丝马迹。检测器本质是一个二分类器（真实 vs AI 生成），在大量正负样本上训练：

GAN 痕迹检测：GAN 生成器最后的上采样层（通常用转置卷积 transposed convolution 或最近邻上采样 + 卷积）会在频域留下规律性伪影——表现为频谱图上的特定峰值或周期性纹理。这是因为上采样操作引入了人为的周期性结构，真实相机拍摄的图像不会有这种模式。检测器通过分析频谱分布（FFT 幅度谱）来识别。
扩散伪影检测：扩散模型生成的图像在高频区域有微妙的统计偏差，表现为像素级别的相关性模式与真实照片不同。2024 年的研究发现，扩散模型在去噪过程中倾向于”过度平滑”高频细节，导致生成图像的局部方差（local variance）分布与真实图像有系统性差异。
频域异常：对图像做 DCT 或 FFT 后，AI 生成图像的能量分布（energy distribution）与真实相机拍摄的有系统性差异——尤其在最高频区域，生成图像的能量衰减模式不同。
语义不一致：检测手指数量错误、文字乱码、对称性异常、物理光影矛盾（如多个光源方向不一致）、透视关系错误等生成模型常见的语义错误。这类检测通常用大型多模态模型（LMM，如 GPT-4o）来判断。
PRNU 传感器指纹检测：真实相机拍摄的图像会携带相机的传感器噪声模式（PRNU, Photo Response Non-Uniformity），这是由每个相机的 CMOS 传感器制造差异决定的唯一”指纹”。AI 生成图像不含任何真实相机的 PRNU，因此可以用来区分。

检测器通常用 CNN 或 Vision Transformer（见 ViT）训练，损失函数常用带标签平滑的交叉熵（label-smoothing cross-entropy）。但检测器面临两大根本难题：

对抗鲁棒性：攻击者可以对生成图像施加对抗扰动（adversarial perturbation），微调到刚好让检测器误判为真实。
泛化性（Generalization Gap）：用 SD 1.5 的生成图训练的检测器，面对 Midjourney v6 或 FLUX 的生成图可能完全失效——因为不同生成器留下的伪影模式不同。每当新模型发布，检测器都需要重新收集负样本、重新训练。这是一场持续的攻防战（arms race），没有终局。

2025 年的趋势：研究者开始利用基础模型（foundation model，如 DINOv2、CLIP）的通用视觉特征来提升检测器的跨模型泛化性——先在大规模无标注图像上自监督预训练，再在 AI 生成检测任务上微调。此外，多维联合检测（同时利用频域 + 空域 + 语义特征）逐渐成为主流方案。

6. DeepFake 检测

DeepFake 特指用深度学习（主要是 GAN 和自编码器 autoencoder）做的人脸替换（face swap）或人脸重演（face reenactment）。2024-2025 年间，随着实时 DeepFake 工具的开源和视频通话诈骗案件频发（如香港跨国公司 DeepFake 诈骗案损失 2 亿港币），DeepFake 检测成为安全领域的高优先级方向。检测 DeepFake 关注人脸特有的伪造破绽：

面部边界不自然：替换的脸与原图头部在光照方向（lighting direction）、肤色过渡（skin tone transition）、阴影一致性上有微妙不一致。真实人脸的光照来自环境，伪造人脸的光照可能来自训练数据中的不同条件。
眨眼频率异常：早期 DeepFake 生成的人脸眨眼频率偏低甚至不眨眼（因训练数据缺乏闭眼样本）。虽然新型模型已改善此问题，但微表情的整体自然度仍是破绽。
嘴部同步不一致：人脸重演（lip-sync）模型生成的嘴部动作与音频有时差或形变错误。可以用预训练的唇语识别模型（lip reading model）检测音视频是否同步。
血流信号（rPPG）缺失：真实人脸的皮肤会随心跳产生极微弱的周期性颜色变化（约 0.11% 的像素值波动），这种远程光电容积脉搏波（rPPG, remote photoplethysmography）是伪造人脸难以模拟的生理信号。检测器通过对面部区域做时序频域分析，检查是否存在与心率（0.73 Hz）对应的周期信号。
3D 一致性检测：当人物转头时，真实的 3D 面部几何（鼻翼、耳廓的遮挡关系）应保持一致，而 2D 对齐型的 DeepFake 在大角度转头时容易出现形变。
时序不一致：视频 DeepFake 逐帧伪造时，帧间可能出现闪烁、边缘跳动等时序伪影。用 3D CNN（如 I3D）或时序 Transformer 分析多帧一致性可捕捉此类破绽。

原理图解

水印技术路线全景

Stable Signature 训练流程

Stable Signature 把水印训练进 VAE 解码器，从源头保证每张图都带水印：

SynthID 联合训练架构

SynthID 的编码器与检测器通过对抗博弈联合训练，中间插入可微攻击层：

防御体系：水印 + 标准检测 + 事后检测

三条技术路线互补，构成完整的真伪溯源体系：

动手实践

以下用 numpy 演示频域 DCT 水印的嵌入与提取，帮助理解不可见水印的基本原理。这是 JPEG 压缩中使用的经典技术，也是理解所有频域水印的基础：

import numpy as np
from scipy.fft import dct, idct

def embed_watermark(img_block, w_bits, alpha=10.0):
    """在 8x8 DCT 块的中频系数中嵌入水印比特。

    原理：对图像块做二维 DCT，将水印比特编码到中频系数的符号中。
    正值代表 1，负值代表 0，用 alpha 控制嵌入强度。
    选中频是因为低频改动太明显（人眼敏感），高频容易被压缩抹掉。
    """
    coeffs = dct(dct(img_block, axis=0, norm='ortho'), axis=1, norm='ortho')  # 二维 DCT（正交归一化）
    for i, bit in enumerate(w_bits):                    # 逐比特写入中频
        r, c = 1 + i // 7, 1 + i % 7                    # 选取中频位置（跳过 DC 系数和最低频）
        sign = 1 if bit == 1 else -1
        coeffs[r, c] = alpha * sign                     # 强制系数正/负代表 1/0
    return idct(idct(coeffs, axis=0, norm='ortho'), axis=1, norm='ortho')  # 逆 DCT 回到像素域

def extract_watermark(wm_block, n_bits, alpha=10.0):
    """从含水印块中提取水印比特。

    原理：做 DCT 后检查中频系数的符号——正值判 1，负值判 0。
    即使图像经过轻度压缩或加噪，只要系数符号没翻转，水印就能提取。
    """
    coeffs = dct(dct(wm_block, axis=0, norm='ortho'), axis=1, norm='ortho')
    bits = []
    for i in range(n_bits):
        r, c = 1 + i // 7, 1 + i % 7
        bits.append(1 if coeffs[r, c] > 0 else 0)      # 系数符号即比特
    return np.array(bits)

rng = np.random.default_rng(42)
block = rng.random((8, 8))                              # 模拟一个图像块
msg = np.array([1, 0, 1, 1, 0, 1, 0, 0])               # 8 比特水印信息
marked = embed_watermark(block.copy(), msg)
recovered = extract_watermark(marked, len(msg))

print("原水印:  ", msg)                                 # → [1 0 1 1 0 1 0 0]
print("提取水印:", recovered)                           # → [1 0 1 1 0 1 0 0]
print("像素改动:", np.abs(marked - block).mean())      # → 极小（不可见）

# 模拟 JPEG 压缩攻击（量化）
def simulate_jpeg_attack(block, quality=50):
    """模拟 JPEG 压缩对水印的影响（简化版量化）。"""
    coeffs = dct(dct(block, axis=0, norm='ortho'), axis=1, norm='ortho')
    q = np.maximum(1, np.abs(coeffs) * 0.1)            # 简化的量化步长
    coeffs = np.round(coeffs / q) * q                  # 量化
    return idct(idct(coeffs, axis=0, norm='ortho'), axis=1, norm='ortho')

attacked = simulate_jpeg_attack(marked)
recovered_after_attack = extract_watermark(attacked, len(msg))
print("攻击后提取:", recovered_after_attack)            # → 大部分比特仍然正确
print("攻击后准确率:", (recovered_after_attack == msg).mean())  # → 通常 > 0.75

以下再演示 SynthID Text 风格的绿名单水印核心逻辑（简化版），帮助理解文本水印：

import hashlib

def green_list_watermark(logits, green_ratio=0.5, green_bonus=0.8, green_frac=0.1):
    """绿名单水印：对部分 token 的 logits 加分，使生成文本偏向绿名单 token。

    原理：在每一步采样前，用前一个 token 的哈希值将词表分为绿名单和红名单，
    给绿名单 token 的 logit 加一个小的 bonus。这不影响生成质量，
    但使得生成文本中绿名单 token 的比例显著高于随机水平。
    """
    vocab_size = logits.shape[-1]
    n_green = int(vocab_size * green_frac)
    # 用伪随机方式划分绿名单（实际中用前一个 token 的哈希作为种子）
    green_indices = set(hash(i) % vocab_size for i in range(n_green))
    for idx in green_indices:
        logits[idx] += green_bonus                      # 给绿名单 token 加分
    return logits

def detect_green_list(text_tokens, vocab_size, green_frac=0.1):
    """检测文本是否携带绿名单水印：统计绿名单 token 比例。

    原理：自然文本中绿名单 token 的比例约等于 green_frac；
    带水印的文本该比例显著偏高。用假设检验判断偏差是否显著。
    """
    n = len(text_tokens)
    n_green = sum(1 for t in text_tokens if hash(t) % vocab_size < vocab_size * green_frac)
    observed_ratio = n_green / n
    expected_ratio = green_frac
    # 简化的 z 检验（实际中用更严格的统计检验）
    z_score = (observed_ratio - expected_ratio) / np.sqrt(expected_ratio * (1 - expected_ratio) / n)
    return {"green_ratio": observed_ratio, "z_score": z_score, "watermarked": z_score > 4}

实践要点

水印不是万能的——任何水印都有被攻破的可能；高安全场景应像素水印 + C2PA 元数据 + AI 检测器三者并用，纵深防御（defense in depth，源自军事领域的多层防线思想）。
Stable Signature 的核心优势在于不可剥离——水印藏在模型权重中，即使下游用户不知道有水印，生成的内容也已经自带标记。但它的局限是只适用于开源/可控模型——闭口 API（如 Midjourney）无法用此方案。
SynthID 的检测器需要对应版本的编码器——不同版本/产品的水印互不兼容，跨产品检测需要统一的标准。这也是为什么 2025 年行业正在推动统一水印协议（universal watermarking protocol）。
Tree-Ring / 噪声域水印需要精确的 DDIM 反演——如果生成模型使用的是随机采样器（如 DPM++ 、Euler），反演误差会导致检测失败。对采样器的依赖是这一方案的主要限制。
C2PA 元数据极易丢失——截图、转发、平台二次压缩都可能剥离元数据，因此 C2PA 更适合专业创作工具链（相机、编辑软件）而非社交媒体传播。2025 年社交平台（如 TikTok、Instagram）开始试验在平台内部展示 C2PA 标记并保留凭证。
AI 检测器存在假阳性——把真实照片误判为 AI 生成会造成冤枉（已有摄影师被社交平台误封的案例）；部署时需设定可接受的误报率阈值，并提供人工申诉渠道。
检测器需要持续更新——每当新的生成模型发布，旧检测器可能失效。2024 年的研究显示，用 Stable Diffusion 1.x 训练的检测器对 FLUX 的检测准确率可下降 20 个百分点以上。
水印强度与不可见性是权衡——alpha（嵌入强度）越大越鲁棒，但越容易被肉眼察觉或被统计检测发现水印的存在；工程上靠大量主观评测（MOS, Mean Opinion Score）和自动化指标（PSNR / LPIPS）调参。
文本水印（LLM watermarking）除了 SynthID 的绿名单法，还有 KGW（Kirchenbauer et al.）、DiPmark、SIR、Unigram 等方法。2025 年的研究热点是可移除水印（removable watermark，允许内容所有者后续主动移除水印以证明”这是我生成的”）和多方水印（multi-party watermark，多个实体各自嵌入不同水印）。
法规驱动——欧盟《AI 法案》（EU AI Act, 2024 年生效）要求 AI 生成的文本、图像、音频、视频必须可被检测；中国《生成式人工智能服务管理暂行办法》要求”标识”。这些法规正在倒逼水印与检测技术的标准化和工程落地。

典型应用

Google SynthID——集成于 Imagen（文生图）、Veo / Veo 3（视频）、Gemini（文本）、MusicFX（音频）等产品，对生成内容统一打标。2024 年开源了 SynthID Text SDK，支持第三方 LLM 接入。
Meta Stable Signature——已应用于 Meta AI 部分生成功能，作为开源研究发布供社区使用。Meta 还部署了大范围的 AI 内容标注系统，在 Facebook/Instagram 上标注 AI 生成的图像。
Adobe Content Credentials (Content Credentials / Firefly)——基于 C2PA 标准，在 Photoshop、Firefly、Lightroom 中自动为生成内容附上来源凭证，并推出公开的 Content Credentials 验证网站。
OpenAI C2PA 集成——DALL·E 3/4 和 Sora 生成的图像/视频默认嵌入 C2PA 凭证；ChatGPT 生成的图像同样携带来源标记。
Microsoft Content Integrity——支持 C2PA，用于 Bing Image Creator (Designer) 等产品的来源标注，并提供 Content Integrity 工具链。
BBC Content Credentials——新闻图片和视频使用 C2PA 标注拍摄设备与编辑历史，对抗虚假信息。
Leica / Nikon / Sony / Canon / Fujifilm 相机——多款专业型号（如 Leica M11、Sony Alpha 9 III、Nikon Z6III）在拍摄时即写入 C2PA 来源凭证（in-camera provenance），从源头建立信任链。
Deepware / Sensity / Reality Defender / Hive Moderation——专业的 DeepFake 与 AI 生成检测 SaaS 服务，面向新闻机构、社交平台、金融机构和政府。
Truepic——提供从拍摄到验证的完整 C2PA 信任链方案，用于保险理赔、法律取证等场景。
英国 AI Safety Institute / NIST——2024-2025 年间建立了 AI 生成内容检测评估基准（如 NIST GenAI 系列），为政府和行业提供检测器性能评测。

典型类库与工具

类库 / 工具	语言	说明
Stable Signature（官方仓库）	Python / PyTorch	Meta 开源的 Stable Signature 训练与检测代码
SynthID Text（Google）	Python	Google 开源的 SynthID 文本水印 SDK（`synthid` PyPI 包）
invisible-watermark	Python	Stable Diffusion 原生使用的 DCT 不可见水印库（HiSD / DCTDwt 两种方案）
Tree-Ring Watermark	Python / PyTorch	噪声域水印的开源实现，支持扩散模型
c2pa-python	Python	C2PA 官方 SDK，用于读写内容来源元数据
c2pa-tool（c2patool）	Rust / CLI	C2PA 命令行工具，检查和嵌入 C2PA 凭证
OpenWatermark / WBMI	Python	开源水印评测基准，涵盖多种攻击（JPEG、裁剪、噪声、几何变换）
LLM-watermarking（KGW）	Python / PyTorch	Kirchenbauer 绿名单文本水印的官方实现
DCT/DWT 水印（scipy）	Python	用 scipy.fft 手动实现频域水印的入门方案

术语表

术语	英文	解释
不可见水印	Invisible Watermark	嵌入图像但人眼不可察觉的标记，可被算法提取
频域水印	Frequency-domain Watermark	在 DCT/FFT 变换域的系数中嵌入水印信号
像素域水印	Spatial-domain Watermark	直接在像素值上叠加扰动的水印方案
噪声域水印	Noise-domain Watermark	在扩散模型的初始噪声中植入水印（如 Tree-Ring）
SynthID	SynthID	Google DeepMind 的深度学习水印系统，覆盖图像/音频/文本/视频
Stable Signature	Stable Signature	Meta 提出的在 VAE 解码器权重中植入水印的方法
Tree-Ring Watermark	Tree-Ring Watermark	在初始噪声的傅里叶频域中植入水印环的方法
KGW / 绿名单水印	Green-list Watermark	文本生成中通过偏向特定 token 来嵌入水印的方法
C2PA	Coalition for Content Provenance and Authenticity	内容来源与真实性联盟制定的来源元数据标准
Content Credentials	Content Credentials (CR)	C2PA 附加在文件中的来源与编辑信息包
来源链	Provenance Chain	C2PA 中记录创作与编辑历史的断言序列
断言	Claim	C2PA 中对内容来源或编辑操作的一项签名声明
AI 生成检测器	AI-generated Content Detector	判断图像是否由 AI 生成的二分类器
DeepFake 检测	DeepFake Detection	针对人脸伪造的专项检测技术
鲁棒性	Robustness	水印在压缩、裁剪、加噪等攻击下仍能被提取的能力
嵌入强度	Embedding Strength (alpha)	水印信号的幅度，权衡不可见性与鲁棒性
扩频水印	Spread Spectrum Watermark	将水印信号铺展到多个频率上以降低单点可检测性的方案
DDIM 反演	DDIM Inversion	从生成图像反推回扩散模型初始噪声的过程，用于噪声域水印检测
rPPG	Remote Photoplethysmography	从视频中提取皮肤血流信号的远程生理测量技术，用于 DeepFake 检测
PRNU	Photo Response Non-Uniformity	相机传感器的唯一噪声指纹，AI 生成图像不含此信号
PSNR	Peak Signal-to-Noise Ratio	峰值信噪比，衡量水印对画质的影响程度（越高越好）
LPIPS	Learned Perceptual Image Patch Similarity	基于深度网络的感知图像相似度度量（越低越相似）
对抗鲁棒性	Adversarial Robustness	检测器抵抗对抗攻击（故意设计的扰动）的能力
泛化性	Generalization	检测器对未见过的新生成模型的检测能力