为赶在 2026 年 12 月 2 日欧盟《AI 法案》存量系统合规大限前交差，Anthropic 正在分两批给旧款 Claude 模型强行补打文本水印，却在 5 款旧模型上撞出了一个尴尬的技术豁口：只要开发者微调一下 temperature、top_p 或 top_k 这三个常规采样参数，水印就会脱离正常工作状态。更麻烦的是，被公认为 Anthropic 最佳写作模型的 Claude Opus 4.6，不仅被无理由从 11 月 3 日的第一批名单里推迟到 11 月 16 日，还正好落在这批受参数限制的名单里。
根据 Anthropic 在 2026 年 10 月 31 日和 11 月 4 日连发的两封 API 客户邮件，加上已在今年 8 月 2 日后默认带水印出厂的 Claude Opus 5.5，目前各模型的改造排期与限制边界呈现出明显的世代断层：
| 模型版本 | 水印上线时间 | 采样参数限制（temperature / top_p / top_k） |
|---|---|---|
| Claude Opus 5.5 | 出厂自带（8 月 2 日后） | 无限制，改参数依然带水印 |
| Claude Mythos 5 / Opus 4.7 | 2026 年 11 月 3 日 | 无限制，改参数依然带水印 |
| Claude Sonnet 4.6 | 2026 年 11 月 3 日 | 仅默认参数生效 |
| Claude Opus 4.6 | 推迟至 2026 年 11 月 16 日 | 仅默认参数生效 |
| Claude Opus 4.5 / Sonnet 4.5 / Haiku 4.5 | 2026 年 11 月 16 日（新增） | 仅默认参数生效 |
在 Amazon Bedrock 托管平台上，上述上线时间还会再延迟几天。
改参数不是免死金牌，而是双向陷阱
不少海外报道把这次的参数限制解读为开发者可以“一行代码轻松绕过水印”。如果真拿它当反侦察开关去用，大概率会栽跟头。
Anthropic 采用的是 Google DeepMind 开源的 SynthID-Text 变体方案。它不往文本里塞隐藏字符，也不增加额外 token，而是在模型解码选词的那一瞬间，用伪随机密钥微调候选词的概率分布，留下一串肉眼看不出、但统计检验能抓到的选词偏好。因为水印直接寄生在采样器上，而 temperature 等参数恰恰也是用来改动词元概率分布的，给没有原生预留接口的旧模型后天嫁接（retrofit）这套逻辑时，自定义采样很容易把水印的统计信号冲乱。
但信号被冲乱不等于彻底归零。翻看 Anthropic 开发者平台和帮助中心的官方技术文档，里面的原话是修改参数后输出可能无法可靠携带水印（might not carry the watermark）。在工程与法务语境里，这是一句典型的免责声明。
这对 API 客户构成了一个两头不讨好的陷阱：
- 风险.指望靠 Claude 水印来完成自身欧盟合规义务的企业，如果直接调用了第三方客户端 SDK（许多开源框架会自动往请求里塞入
temperature=0.7之类的非默认值），水印就会在不知不觉中失效；反过来，想把temperature改成0.99来躲避审查的团队，面对的也不是绝对干净的文本，长篇输出里依然可能残留足以触发统计阈值的概率痕迹。
更能看出这次改造仓促的，是 Anthropic 内部文档的前后打架。截至 11 月 4 日，其官方支持页面的覆盖率表格里，Opus 4.6 的文本水印两栏依然留着空白，脚注也只提了 Sonnet 4.6 受参数限制；可往下滑到同一页面的限制说明章节，正文却把 Opus 4.6 和 Sonnet 4.6 一起点了名。一边发邮件通知客户推迟上线，一边连公开文档都没对齐，足见往旧模型里硬塞水印的工程阻力有多大。
2026 年 12 月死线前的路线分裂
Anthropic 宁可顶着文档错乱和参数残缺也要在 11 月中旬硬推补丁，根源在欧盟《AI 法案》第 50(2) 条与第 111(4) 条的死线设计：2026 年 8 月 2 日之后发布的新系统必须出厂带机器可读标识，而此前已上市的存量系统只有 4 个月过渡期，必须在 2026 年 12 月 2 日前补齐功课。
面对同一纸法令，硅谷大厂在 API 商业客户面前交出了截然相反的答卷。
OpenAI 在 2026 年 10 月上线自研的 textGrain 水印时，采取了最小化干扰策略：只在欧盟地区的 ChatGPT 和 Codex 消费端默认开启；至于全球 API 客户，默认一律关闭，只留一个可选开关。
Anthropic 则选了最激进的“一刀切”。它把水印焊死在模型权重与推理底层，不管客户是在美国还是欧洲，也不管是通过官方 API 还是 AWS、Google Cloud、Microsoft Foundry 调用，统统强制打标且不提供关闭按钮。
我不太买账的是这种把合规包袱一竿子甩给下游的做法。欧盟《AI 法案》第 50(4) 条原本留了一条人性化豁免：如果生成文本经过了人类审校，或者有明确的主编与出版机构承担编辑责任，部署者就不必向公众做显式 AI 披露。但因为第 50(2) 条要求模型提供者在底层打标，Anthropic 干脆把所有 API 输出全印上了机器戳记。
法律科技媒体 Artificial Lawyer 点出了这事对律所和咨询公司的荒诞后果。很多大客户在合同里严禁外部顾问使用 AI，哪怕律师只是用 Claude 翻译一段条款或润色两句语法，底层不可关闭的水印也会把整份文档染上 AI 标记；如果一份合同经过多方协作修改，不同工具的水印叠在一起，出了事根本分不清哪句话是谁写的。
最佳写作模型的精度账与黑盒检测
把视线拉回这次延期的核心主角 Claude Opus 4.6。为什么开发者对它的水印格外敏感？因为在不少文字工作者的实际体验里，更聪明的旗舰 Opus 5.5 写起文章来反而变得生硬，Opus 4.6 至今仍是 Anthropic 手里文笔最细腻的模型。
科技评论人 John Gruber 一针见血地挑破了统计水印的代价：自然语言里根本不存在两个含义、语感完全等价的同义词。当模型本来觉得某个词在语境里得 95 分、另一个词得 88 分，水印算法却为了凑出统计特征强行推了后者一把，文本的精准度就必然发生肉眼难辨但客观存在的滑坡。也许 Opus 5.5 写作体感的退步，本身就有出厂自带水印的一份功劳。
更讽刺的是，牺牲了选词精度换来的水印，在真正的对抗场景里脆得像一层窗户纸。
防得住守规矩的企业，拦不住改写模型的洗稿。
苏黎世联邦理工学院（ETH Zürich）SRI 实验室早在 2024 年 12 月的测试中就证明，在 0.1% 假阳性率阈值下，针对 SynthID-Text 水印只需过一遍改写攻击，就能实现超过 90% 的擦除率。到了 2026 年，研究人员 Natzir 用 Qwen 生成配合 Llama 改写做的公开复现实验更是显示，100 个英文样本经过二次改写后，SynthID-Text 的检出率直接从 100% 暴跌至 5%（西班牙语样本也跌到了 38%）。
《商君书》里讲“法之不行，自上犯之”，放到技术治理上，则是规矩一旦脱离了物理现实，就会异化成纯粹的免责表演。真正搞垃圾内容农场或恶意欺诈的人，随手挂个开源小模型洗一遍稿，统计特征就荡然无存；反倒是老老实实调 API 写代码的商业公司，要么得排查 SDK 里的默认参数防备“无意违规”，要么得忍受主力写作模型被强行塞进同义词偏好。
况且，Anthropic 至今把自己的水印检测 API 锁在私密预览（private preview）的黑盒里，不接受外界对生产环境真实假阳性率的独立抽检。在日常人工写作占比极高的专业场景里，哪怕 1% 的误报率，抓出来的冤假错案也会远多于真正的违规者。
眼下距离 11 月 16 日的第二批上线只剩十来天，距离 12 月 2 日的欧盟大限也不到一月。重度依赖 Opus 4.6 产出的团队，如果不愿接受默认参数下的选词干预，微调一下 temperature 成了仅剩的合法避风港；但真正待验证的变量在 12 月之后——当欧盟监管机构发现 Anthropic 的旧模型改个参数就丢水印、而 OpenAI 的 API 干脆默认不打标时，这纸要求“稳健且可靠”的法案第 50(2) 条，到底会先把板子打在谁身上。