11月7日起,Grok给文字加水印:不藏字符,改采样

11 月 7 日起，Grok 回给你的每一段文字里都会带一个标记，而你在屏幕上找不到它。

xAI 开发者文档站多了一页「Output Watermarking」，页面标注最后一次更新是 10 月 31 日。里面写得很直白：自 2026 年 11 月 7 日起，受支持的 Grok 模型返回文本默认加水印，理由是遵守欧盟《人工智能法案》。

生效名单是 7 个模型：grok-4.7、grok-4.6、grok-4.5、grok-4.3，加上 grok-4.20 的 reasoning、non-reasoning、multi-agent 三个变体。覆盖 Responses API 和 Chat Completions，连结构化输出和工具调用参数都算在内，所有区域端点一并生效。开发者不用改一行代码，响应里只多一个 x-watermark 头，值为 true 就说明这次输出是带水印生成的。

水印不在文字里，在选词的偏好里

文字水印是模型在生成时留下的一个统计偏好，不是文本里的字符、空格或者元数据。

模型生成每个词元，都是从概率分布里抽样选出来的。水印的做法是在抽样之前，按一套只有自家系统能复现的规则把候选词分成两组，让其中一组被选中的概率略微抬高；单看一句话，词还是那些词，句子照样读得通顺。可一篇 1500 字的稿子里，这些偏好词的命中次数会明显偏离随机分布，检测方拿同一套规则回算一遍，就能给出带水印、不带水印或不确定三种结论。文档的原话是它"会轻微影响模型挑选哪些词元，因此不会向响应添加任何字符、标记或隐藏文本"。

具体到使用场景，信号强度差别很大：一段两百字的微信回复，弱到算不准；一份两千字的产品文档，足够让检测器下判断。文档自己也写了一句"文本越长信号越强"，这句话同时划定了这套方案的适用边界。

想关掉它，得先签一份责任自负

文档给了退出通道，但门槛比想象中高。

只有团队管理员能在控制台的团队设置页看到「Model output watermarking」这一行，状态分全开、全关和自定义三档，自定义要按模型逐个取消勾选，保存之后还得再点一次 Opt Out 确认，改动最长 5 分钟作用到新请求。但有些模型会被锁定成强制开启。

真正要留意的是退出前那道确认：管理员需要声明"适用法律下的例外情形适用于你的使用"，并承诺之后的标记、披露或其他法律义务由自己承担，每一次开和关都会写进团队审计日志。这个设计说明水印不是一项可有可无的默认设置，它更像一份可以被追责的合规凭证。

两个容易想错的地方

第一个误区是“加的是隐藏字符或元数据”。这个联想很自然，毕竟图片和 PDF 的水印一直这么干，塞个像素或者写进文件属性就行。但它解释不了这套水印为什么复制进记事本、转成 Word、重新排版都不掉，因为它压根不在字符层。更准确的位置在词的分布上，文本怎么搬运它都跟着走。

第二个误区是“带了水印就能证明这段是 AI 写的”。它确实提高了判断力，可当溯源工具用会高估它。今年 ICML 收录的 RLCracker 给了一个不太客气的数字：3B 的小模型只学 100 条短样本，就能在 1500 词元的水印文本上做到 98.5% 的去除成功率，语义几乎不变，全程不需要接触检测器；同样条件下，GPT-4o 直接改写只有 6.75% 的成功率。水印挡得住顺手复制的人，挡不住专门做这件事的人。