一张 AI 生成的图片，可能自带一段看不见的「身份证」：它记下了这张图由哪个模型、在什么时间生成。这就是 AI 水印。它和我们平时理解的「图片右下角打个标」不完全是一回事——真正被讨论的 AI 水印，更多藏在像素和文件里。本文讲清它有哪些形态、各自怎么实现、能不能被去掉，以及它在真实场景里的能力边界。
先分清两类水印
AI 水印大体分两种。可见水印：直接在画面上标注「AI 生成」的角标或文字，肉眼一眼能认出。不可见水印：藏在文件元数据里，或嵌进画面像素的细微变化中，人眼看不出来，要靠工具读取或检测。两者用途不同：可见水印解决「让看的人知道」，不可见水印解决「事后能查得到」。
三种实现方式各有什么脾气
第一种是元数据标记：在文件的附加信息区里写入生成工具、模型名、生成时间等字段，读取时能看到。它的优点是实现简单、不改变画面，缺点是太容易被清掉——截个图、转一次格式，元数据就可能丢。第二种是隐写水印：把信息编码进像素或文字的细微统计特征里，改动后仍可被检测。它比元数据顽强，但代价是复杂度和对画质的潜在影响。第三种是文本水印：在生成文字时悄悄影响选词或表达偏好，形成一种统计上的「指纹」，适合长文本的溯源。
文件层面的标记，和模型权重文件的格式安全有点相通之处：都是「多写一点信息、多一层保障」。关于权重文件的安全格式，可看 什么是 safetensors。
它能被去掉吗
这是最需要客观看待的一点：水印不是万无一失的防篡改手段。元数据可以被删，隐写水印在截图、压缩、二次编辑后也可能失效，文本水印在改写、翻译后同样可能被稀释。所以它的作用定位是「提高门槛、便于追责」，而不是「让内容绝对无法改动」。把它当成一道锁，别当成一面墙。换句话说，水印提供的是「可追溯」，不是「不可篡改」——这两件事经常被混为一谈。
它在真实场景里能帮上什么
水印的价值在三个方向。让读者知情：看到内容的人能知道它是否由 AI 生成。便于溯源：内容被二次传播后，仍有机会查回生成工具和时间。辅助判断：配合其他信号，帮平台或个人做「这段内容可信度如何」的初筛。需要说明的是，这些能力的落地方式各平台并不一致，具体入口和覆盖范围要以对应产品说明为准。
| 场景 | 水印怎么用 | 判断标准 |
|---|---|---|
| 发布 AI 生成图 | 主动保留或添加可见标注 | 读者一眼能判断来源 |
| 追踪一段转发的文字 | 用文本水印留下统计指纹 | 改写后是否仍可检出 |
| 确认一张图的原始生成工具 | 读取文件元数据字段 | 元数据是否被截断或清空 |
普通人该怎么看「有没有水印」
两个能带走的判断。作为发布者：用了 AI 生成内容，主动标注比被动等待识别更稳妥，也省去后续解释成本。作为读者：看到标识要留个心眼；没看到标识也不代表内容一定真实——水印可能被清掉，也可能压根没加。识别的能力边界，和「普通人该补哪些 AI 能力」是一类问题，可参考 什么是 AI 素养。
关于 AI 水印的三个速查结论
- 可见水印管「知情」，不可见水印管「溯源」，用途不同。
- 元数据最容易被清，隐写更顽强，但没有一种绝对去不掉。
- 没看到水印不等于内容是真人做的，看到水印也不等于其余信息可信。
水印背后的深层问题，是「生成内容该被如何对待」——这既涉及技术，也涉及生成内容是否该经过人工把关的常识。延伸一步可看 「AI 生成内容不用审就能发」错在哪。把它理解成「溯源辅助手段」，你就不会误以为有水印就一定安全、没水印就一定假。
