Ars Technica最近做了一次实测：用Nano Banana Pro生成一张AI图片，反复压缩、缩放、转存、截图，模拟了整整300轮的“传播损耗”。结果显示，Google的隐形水印SynthID还是能被Gemini读出来。
但研究人员接着做了一个动作：把同一张测试图裁掉边缘约20%。水印立刻检测不到了。裁剪幅度加到50%，图片甚至撑不满300轮，250轮左右就先失效了。
这组数字说明，SynthID比很多水印技术更耐用，扛得住日常转发常见的压缩和缩放。但它也划出一条清楚的边界：一个最简单的裁剪动作，就能让水印失效。Google今年5月在I/O大会上说过，旗下工具几年内已经生成超过1000亿张AI图片和视频——量级摆在这里，水印技术管不管用，直接关系到以后普通人还有没有办法查清一张图是不是AI做的。
扛得住压缩，扛不住裁剪
SynthID的做法是把水印像素打散嵌进整张图。压缩、缩放、加滤镜这类“全图损耗”，很难把水印彻底抹掉，这是它耐用的原因。
裁剪不一样，它是“局部操作”。边缘像素被切掉多了，水印信息跟着丢。Ars Technica这次测试只验证了一张图、一种裁剪方式，不能当成所有AI图片的通用结论，但至少说明裁剪是目前最直接的失效路径。
Google DeepMind科学家Pushmeet Kohli向Ars Technica承认，团队研发时就假设这项技术会被针对性攻击，也做过大量抗压缩、抗滤镜测试。但Google在SynthID的原始论文里写得很清楚：这项技术不打算扛住“对抗性攻击”。裁剪失效不是漏洞曝光，是设计边界本身——Google从没承诺过它无懈可击。
三套水印方案，互不相认
比裁剪更麻烦的是，水印技术本身正变得碎片化。Google自己就在用两套：SynthID藏在像素里，C2PA元数据记录拍摄和编辑过程。Meta今年推出的Content Seal，走的是接近SynthID的像素水印路线。
三套方案各有短板，也互不兼容：
| 方案 | 采用方 | 优势 | 主要短板 |
|---|---|---|---|
| SynthID | Google及OpenAI、Runway、NVIDIA等合作方 | 水印散布全图，抗压缩缩放 | 裁剪会失效；检测入口每天限流约10次，还认不出其他公司的水印 |
| C2PA元数据 | Google（配合SynthID）、Pixel 10相机 | 加密防篡改，记录拍摄/编辑轨迹 | 简单编辑或截图就能把元数据整个剥离 |
| Content Seal | Meta | 类似SynthID的像素水印 | 路透社测试发现，裁剪同样能让它失效 |
Google没有开放公共检测API或网页，唯一入口是让Gemini调用验证器，而且每天大约只能查10次，图片存疑时锁得更快。Google的解释是防止有人靠反复试探摸出绕过规律，这个顾虑说得通，但代价是普通用户和事实核查者想多查几张可疑图，很可能直接被挡在门外。Google对Ars Technica表示，正在和业界推动检测互通，但没给出时间表。
两类人，查证方式都得跟着改
刷到存疑图片的普通用户，别把“没查到水印”当成“这是真的”的证据。SynthID查不到，可能只是图被裁过、压缩过太多轮，也可能这张图压根不是Google系工具生成的。更实际的做法是反向搜图，找到最早发布的账号和时间。
媒体和事实核查机构风险更直接。核实一条爆料配图时，“未检测到水印”只能算“未知”，不能当“已证实”写进报道。稳妥做法是核对图片有没有C2PA凭证，或者直接联系原始发布者要源文件，再决定要不要发。
比起找AI水印，先学会证明“这是真的”
即便Google、OpenAI、Meta都统一了水印标准，问题也没解决：开源模型能在任何人的电脑上跑，不需要谁许可，也不会打任何标记。Starling Lab研究员Adam Rose对Ars Technica说得很直接：真正难对付的不是大公司产品，是普通人自己跑的模型。
AI内容的供给没有上限，真实内容的供给却有物理边界。这意味着，未来验证的重点该从“这是不是AI做的”，转向“这段内容能不能证明自己是真的”。
Google的Pixel 10是目前主流相机里唯一深度集成C2PA的产品，拍摄的照片和视频自带加密溯源信息，能证明拍摄时间、方式，以及有没有被AI修改过。这条路线比大海捞针式排查AI水印现实，但前提是硬件和平台都愿意跟进——目前支持的设备还是极少数。