生成式水印能否从不可能走向可审计合规？

第50(2)条要求的是有条件的标记

欧盟《人工智能法案》第50(2)条要求生成合成音频、图像、视频或文本的系统提供者，使输出以机器可读方式标记并可被检测为人工生成或操纵。论文强调这不是绝对命令：该条款以技术可行性、实施成本、内容特定限制和现有技术水平，对有效性、互操作性、稳健性和可靠性作出限定。

正是这种限定使可审计设计成为可能。由于义务是有情境的，技术证书可以界定其覆盖的内容类型、长度、语言、变换和运行点，而不是宣称通用检测。论文还区分了三份法律效力不同的文件：具有约束力的第50(2)条标准、2026年6月10日定稿的自愿性《行为准则》，以及2026年7月20日通过的欧盟委员会第50条指南。遵守《行为准则》并非合规的确凿证据，也不产生第40条赋予协调标准的那种合规推定。

《行为准则》为签署方增加了具体承诺，包括跨内容长度和使用情境的可靠性测试，针对词汇替换、字符插入或删除、改写和翻译循环的稳健性测试，须在2027年2月2日前实现的检测器互操作访问，以及可下载的数字签名检测结果。对于自由格式文本，《行为准则》要求对超过200个token的文本施加不可感知水印，同时承认该长度下的可靠性可能低于超长文本。

自适应移除下强水印无法成立

论文并不否认它所依据的不可能性结果。在广泛的、可借助预言机的威胁模型下，无法阻止高效对手在保持输出质量的同时移除一个非平凡水印。另外，对于人类文本分布和机器文本分布，任何检测器的AUROC上界为二分之一加上总变差距离再减去其平方的一半，因此当两个分布趋近时，该上界趋近于纯随机取值。

这是两种不同的边界，论文将它们区分开来。不可能性结果针对的是拥有质量和扰动预言机的主动对手；总变差上界针对的是即使没有对手也存在统计可分性。两者都没有说已部署的水印无用，而是说不能假定存在非平凡、保持质量且普遍抗移除的保证。

论文还指出一个测量陷阱。单一AUROC在各阈值上取平均，掩盖了文本的长度和领域，对已移出评估分布的文档说明甚少。平均基准指标的置信区间不会变成对后续单个条目的覆盖保证。

描述长度画像取代未确定的熵常数

第一项技术贡献是描述长度稳健性画像。上下文播种水印从密钥和一段前序token窗口导出伪随机种子，检测器把有界贡献聚合为分数。论文把水印证据比特定义为最小描述长度装置，因此该画像陈述的是在某一具名变换后有多少来源特定证据存活，而不是笼统断言稳健性。

一个有限样本界表明，可检测偏差会衰减，所需样本量随衰减率的平方倒数增长。该构造用碰撞熵取代了未确定的香农熵常数，并把token编辑距离与语义损失保持在两个独立轴上。论文为这一层设定的目的是可证伪性：稳健性主张成为在具名常规与对抗变换上的可测曲面，而不是一个笼统属性。

共形集区分误归因与误排除

第二项贡献是双侧共形程序。标签条件共形预测集使用分别设定的误归因和误排除水平，返回三种状态之一：“水印得到支持”“不支持”或“不确定”。覆盖作为有限样本结果获得，并在可交换性下具有类别条件性。

这一设计选择之所以重要，是因为两类错误不是同一种错误。目标水印的误归因与真正被标记文本的误排除获得分别选定的容差，模糊或异常情形被导向不确定状态，而不是被强行归入二元裁决。论文明确指出，这一层不对单个文本赋予后验概率，也不分配法律举证责任；举证责任由适用的实体法和程序法提供，并由主管决策者适用。检测报告绝不能把原始分数、共形p值或分类器置信度表述为“这段文字由AI写作的概率”。

存活token规则高估可容忍编辑约两倍

论文报告了一个小型可复现的锦标赛水印模拟。补充代码有三个文件：一个实现带密钥伪随机函数、下一token模型、锦标赛生成、替换信道、检测器、共形p值、决策规则和诊断量；一个运行实验并写出图形和机器可读结果文件；一个断言命题所假设的性质。主种子为20260902，种子窗口长度为4。规划水平为0.01和0.05；运行水平为误归因0.01、误排除0.10。分层A使用K∈{2,4,8,16}，q*在(.55,.97)上均匀分布；分层B使用K∈{2,4,8}，q*在(.80,.99)上均匀分布。

模拟证实了这两项主张，并表明存活token规则把可容忍编辑率高估约两倍，且高估程度随种子窗口长度增长。论文自己的表述是：常规编辑抹除证据的速度快于存活token计数所暗示的程度。

另外两项发现可直接进入实践。省略编辑带的校准单元在编辑文本上不会优雅退化：它对几乎所有真正被标记的文档都报告“不支持”。并且，假设采用200个token阈值，编辑已经使大多数真正被标记的文档处于不确定状态。论文直接给出这一区分：《行为准则》要求签署方施加水印的时点，应与所得证据足以支持分类归因的时点区分开来。标记义务不是可检测性的保证。

证书、签名报告与再校准使主张可核查

该框架把其量映射到三个治理对象：上市前证书、签名检测报告和上市后再校准协议。机器可读报告至少应包含：精确输入字节的加密哈希以及归一化或分词程序；提供者、生成器或采样器、水印、检测器和校准集标识符；时间戳、所测密钥纪元、声明单元、输入长度和范围内状态；原始检测器分数、两个p值、两个错误水平、相关样本计数和决策统计量；三态自然语言结论；活跃漂移或完整性警告及适用证书版本的链接；以及检测器服务的数字签名和验证信息。

论文还把第50(2)条的四个属性转化为提供者可产出的证据，并说明每项不能确立什么。有效性的证据是范围内输出的覆盖、可检测长度分布，以及在声明错误水平下的真阳性和弃权率，但不能证明对豁免、截断、不支持或外部生成内容的普遍标记。可靠性的证据是声明单元内的标签条件错误控制、子组结果和签名可复现报告，但不能证明对争议文档的逐点确定性或未测漂移后的有效性。稳健性的证据是在具名变换上的描述长度和性能曲面，但不能证明对每一种自适应、保持质量的移除策略的抵抗。互操作性的证据是版本化检测器发现、认证访问、通用模式、签名和退役通知，但不能证明不同提供者分数或密钥之间的语义等价。

阳性结果识别的是配置而非作者

论文把其假设定义得很窄。目标是输入是否在声明配置下包含目标提供者的活跃水印；其补集包括人类文本、其他模型的输出、未带目标标记的提供者输出，以及标记已被移除的文本。两个假设都不等同于“AI写作”对“人类写作”，因为混合作者身份、检索、引用、提供者侧豁免和生成后编辑都会打破这种等价。

该框架交付的结果是带有特定提供者、模型或采样器版本、检测器版本和密钥纪元水印的文本。阴性结果不能确立人类作者身份，阳性结果也不能确立是谁提交、编辑或认可了该文本。论文指出，通用AI检测器对非母语英语写作表现出严重的错误差异；提供者特定的水印检测器避免了一些基于特征的偏差，但长度、语言和主题仍可能改变其分数分布。

论文还记录了一项激励方面的告诫：较低的可靠性可能为更严格的检测器访问限制提供理由，而检测器性能的改进可能减少提供者的监管裁量空间。这一问题部分是内生的，因为触发限制的技术局限本身受提供者在检测器开发、验证和部署方面选择的影响。

演示是合成的，框架是分析性的

论文声明它发展的是一个分析与治理框架，未报告新的经验数据集、人类参与者实验或专有系统评估。演示所依据的全部数据都是合成的，由随附代码从记录的种子确定性重新生成。代码仅依赖numpy、scipy和matplotlib，可在单核上几分钟内复现演示中的每个图形和数字。

这一边界决定了这些数字能走多远。可容忍编辑被高估两倍、省略编辑带的校准单元失效，以及200个token阈值附近的不确定结果，都是在所述种子、分层和运行水平下的模拟发现，而不是对已部署生产水印的测量。论文自身的立场是：该架构并未推翻不可能性定理，也不对单个文本赋予后验概率；其价值在于使主张可证伪，从而监管者可以把“在技术可行范围内稳健可靠”解读为可跨提供者、跨时间比较的证据，提供者也可以披露失效区域，而不把每一项局限都视为不合规。

本文引用的文献