11月3日起，Anthropic开始给四款旧版Claude补上文本水印：Mythos 5、Opus 4.7、Opus 4.6、Sonnet 4.6。这不是新功能发布，是一次追溯性改造。公司发给API客户的邮件说得很直接，8月2日之后发布的模型从第一天就带水印，之前的模型需要在过渡期内补齐，现在给出了起始日和名单。亚马逊Bedrock上的推送可能晚几天。
Anthropic把它描述为"用词上不可察觉的规律"。它不追加字符，不插入隐藏符号，不改变词元数量，也不影响计费与请求格式，输出速度几乎没有变化，里面不包含任何用户或对话信息。检测方拿到一段文本，只能估计这段文字有没有经过Claude参与，判断依据是词选择的统计偏移，而不是某个可以抠掉的标记。
技术上它延续了Google DeepMind的SynthID文本方案那条路线：在生成时对候选词的采样做极轻微的偏好调整，让结果在统计上留下可检出的偏差，同时保证人读起来自然。代价是信号强度必须压得很低，压到不影响可读性，就意味着它天然脆弱。重写、翻译、大幅编辑都会削弱它，很短的回复可能根本承载不了。这决定了它的定位：一种概率性的来源线索，不是版权凭证。
邮件里写明了一条限制。在Opus 4.6与Sonnet 4.6上，水印只在temperature、top_p、top_k三项全部保持默认值时才生效，改动其中任意一项，输出就可能不带标记。Mythos 5与Opus 4.7没有这条附加条件，按描述应是无条件生效。Anthropic自己的建议也很直白：如果你的合规依赖这个水印，就把这三项留在默认值上。
这个缺口的麻烦在于它不是边角情形。Opus 4.6至今仍是Anthropic写作能力最强的模型之一，不少内容团队恰恰会调高温度来获得更灵活的措辞。也就是说，越是把模型用在创作场景的人，越容易落在没有水印的那一侧。而外部无法从输出本身看出它是否被标记过，检测接口还在私密预览阶段，只对符合条件的机构开放。
对API客户来说，这条限制把一件本来很简单的事变成了需要维护的规则：如果你希望输出被标记，就必须在代码里显式锁住三个参数，并且在每次升级SDK、更换框架默认值时重新核对。任何一次框架升级把温度从默认值改掉，合规就静默失效，而且不会有报错。
驱动这一切的是欧盟AI法案第50条第2款，要求提供方以机器可读的方式标记生成的文本。2026年8月2日之前已经上市的系統有到12月2日的过渡期。Anthropic在8月就签署了欧盟关于标记AI生成内容的业务准则，现在只是把承诺落到了具体型号上。
同一时间线上还有别的动作。SpaceXSI的Grok从11月7日起给七个模型的API输出默认加水印，覆盖grok-4.7、4.6、4.5、4.3与三个grok-4.20型号，带标记的响应会返回一个特定响应头，团队管理员可以按模型关闭，但必须确认适用法律存在例外并自行承担责任，每次开关都进审计日志。OpenAI的做法更窄，ChatGPT侧只对欧盟用户标记，API侧默认关闭。三家在同一部法律下给出了三种覆盖范围，说明合规的执行颗粒度目前仍由厂商自己解释。
最需要说清的一点是举证方向。水印检出只能提示"这段文字可能由Claude参与生成"，它无法证明没有水印的文字就是人写的。这个不对称在实务里很关键：平台用它做批量筛查可以，个体用它自证清白不行。短文本、代码、精确答案、完整重写，都会让信号消失或变弱，而这些恰恰是争议高发的文本类型，也是平台最想追溯的对象。
对内容团队来说，现实的做法是把水印当成一层附加线索而不是免责凭证。真正可用的证据链仍然是版本记录、编辑轨迹与人工署名，水印只是其中最容易被绕过的一环。对采购方来说，需要问的问题很具体：我们依赖水印做合规判断吗，如果是，调用的模型型号与采样参数是否固定在带标记的区间里，检测能力是否已经拿到，跨境与私有部署场景是否同样覆盖。
把水印补到旧模型上，本质是在改一个已经大规模部署的系统的输出分布。任何对采样过程的干预都有微小的质量风险，Anthropic的表述是几乎不影响输出，但没有公布对照测试数据。厂商说"不影响质量"属于自陈，第三方复现之前只能当作待验证的承诺。
更值得盯的是版本矩阵的维护成本。模型越多、水印策略越不一致，企业侧要维护的对照表就越长：哪个型号无条件标记、哪个型号看参数、Bedrock上延迟几天、私有部署是否覆盖。合规部门需要的是可枚举的清单，而现在这份清单还在逐个邮件补充。水印从可选项变成合规项只用了一个季度，把它做成可审计的基础设施，恐怕要更久的时间才能真正落地。