2023年3月，一张特朗普被警察围捕的照片在 Twitter 上疯传。那是我第一次看走眼：光线、构图、皮肤纹理都在正常范围里，我盯了十秒，居然没找到任何“AI味”。后来是网友放大局部，才有人指出某些边缘细节一塌糊涂。
你可能觉得，这事说明我们缺一个更灵灵的 AI 检测器。但我后来想通了一个更底层的问题：检测器只能“猜”，不能“证明”。就算你拿到 99% 的置信度，你能说清它是哪个模型生成的吗？发布之后有没有被改过？这些问题靠分类器回答不了。
这正是生成式 AI 溯源技术要解决的。它不是一个单点工具，而是一条从像素级到语义级的技术光谱。下面我按这条光谱，把主流方法逐个拆开。
像素级溯源：在图像的“皮肤”上找证据
最自然的思路是直接看像素。如果一张图是 GAN 生成的，它的采样过程会在频域里留下规则的网格伪影；如果是扩散模型生成的，由于它是从随机噪声一步步“猜”出画面，高频细节通常偏弱，能量衰减曲线会和真实照片有细微差异。检测器做的事情，本质上是学习生成器留下的统计指纹。
但这件事有一个致命弱点：生成器迭代太快。你在旧模型上训出 99% 准确率的检测器，遇到一个新扩散模型，表现可能跌回抛硬币。被动检测是“事后猜”，不是真正意义上的“溯源”。
与其猜，不如在生成那一刻留记号
主动溯源的想法是：图片生成时就把身份信息写进去。目前有两个主要流派：
- 隐写水印：把签名调制到人眼不可见的像素噪声或纹理模式里。Stable Signature 把签名嵌进扩散模型的生成过程，SynthID 则在输出端叠加水印，经过剪裁、压缩后仍能读出一部分。
- 密码学元数据：C2PA 给内容从拍摄、编辑到发布的每一步签名，验证者可以展开一张“来源卡”，看到谁在什么时候改了什么。它不修改像素，而是加了一层不可伪造的外部证书。
我最早以为，有了主动水印就万事大吉。直到我看到一个简单的攻击：把一张带水印的图片发到社交平台，平台服务器会重新压缩、裁剪缩略图，水印立刻缺胳膊少腿；如果再有人截个图，水印可能就彻底没了。C2PA 的签名也怕转码，因为大部分编辑软件根本不会维护来源链。
更不讲武德的是，破坏水印的方案几乎跟着水印同步出现：对抗噪声、图像重绘、扩散净化，都能把水印抹掉。所以水印的准确定位是：增加伪造者的成本，而不是封死伪造路径。
模型级溯源：给生成器造一个户口本
像素级溯源追踪的是“这一张图”，模型级溯源追踪的是“谁生成了这一张图”。每个模型由随机种子、初始化权重和训练顺序共同塑造出的行为模式，会在输出中留下非常细微的偏差。你可以把这套偏差看成模型的“行为指纹”，用预先设计的触发样本去激活它，也可以从大量输出里统计它。
这层能力的价值在取证：当你发现一批可疑图像时，可以直接判断它们是否来自同一个被泄露的模型权重，而不是某个“随手找的 AI 网站”。但它也有代价——你必须先拿到嫌疑模型的访问权限，建立指纹库。如果对方完全封闭，你只能靠行为统计做模糊判断。
语义级溯源：把标记写进“意思”里
图像有像素，文本没有像素。文本内容的溯源得从“长相”进入“语义”。
目前最主流的文本水印思路是 KGW 方案：生成时用一个密钥把词表随机分成“绿名单”和“黑名单”，然后暗中抬高绿名单词的概率。读者不拿密钥，看不出任何异常；检验者拿密钥一数，发现绿词出现比例远高于随机水平，就能判断文本是否来自某个生成器。
这已经把水印从字符表层挪到了概率层，但它仍不是真正的语义级。你只要让人把文本改述/改写一遍，绿名单统计就会崩塌。于是就有了语义水印：在语义向量空间里嵌入一个标记，让改写后的句子仍然携带身份。这个方向现在还不成熟，很多所谓“语义水印”换个说法、变个结构就失效。
语义级溯源的另一个分支，是追溯 AI 的“记忆”。给定一段疑似模型生成的文本，把它做成向量，去训练语料库中找最相似的原文。如果距离足够近，就有理由怀疑这段内容是模型背出来的训练数据。跟水印不同，这一招给出的是具体证据，而不是统计猜疑。
一张表理清四类机制
| 层级 | 核心思路 | 代表方法 | 适用内容 | 主要弱点 |
|---|---|---|---|---|
| 像素级·被动 | 分析图像统计伪影 | GAN/扩散检测器 | 图像 | 新生成器一换代就失效 |
| 像素级·主动 | 生成时嵌入不可见信号 | Stable Signature、SynthID | 图像、音频 | 压缩、截图、净化可以抹掉 |
| 元数据级 | 密码签名维护来源链 | C2PA | 图像、视频 | 软件不支持就断链 |
| 模型级 | 识别生成器独特的行为指纹 | 触发样本、噪声指纹 | 图像、文本 | 需要嫌疑模型的对照 |
| 语义级 | 在语义空间嵌入/匹配标记 | KGW 文本水印、语义水印、数据追溯 | 文本、跨模态 | 改写攻击、短内容无效 |
几个最容易被绕晕的问题
AI 检测器准确率不是挺高吗？为什么还要溯源？
检测器返回的是“像不像 AI 生成”的分数，而不是来源证据。它不知道具体是哪个模型，也不知道内容经过什么处理。而且检测器的训练数据普遍滞后，面对新一代扩散模型时表现大幅下降。
给 AI 生成内容强制加一个不可见水印不就行了？
理论上是，但现实里没人能强制所有生成器。即使强制了，用户也可以截图、压缩、转格式，破坏水印信号。水印的作用是增加伪造者的操作成本，而不是绝对锁死。
语义溯源是不是最终答案？
不是。语义级方法目前缺少统一的鲁棒基准，尤其对一次性的短内容——一句话、一个标题，语义信息太少，水印根本嵌不进去。而且面对“让人类总结一下再重写”这种极端改写，任何技术都很难兜底。
别指望一个方案包打天下
从像素级到语义级，这个演进路线容易给人一种错觉：新技术会取代旧技术。
真实的工程判断是：这三层是叠加关系，不是替代关系。像素级检测仍然便宜、快速，适合做前置过滤；主动水印适合内容平台自动登记；模型级指纹适合执法取证；语义级水印适合长文本和跨模态场景。未来能落地的溯源体系，大概率是把 C2PA 签名、生成器内置水印和平台检测器拼成一个组合。
它也有明确的能力边界：如果攻击者拿到一段 AI 生成文本后彻底手工重写，或是用另一个生成器把图像完全“重画”一遍，现有溯源方案基本都失效。也就是说，溯源能拦住粗心的人，拦不住铁了心要伪造的人。但在网络信任崩塌的今天，让每一份内容至少携带一个来源声明，已经是人类能做出的最理性让步——即使它不显眼，也比没有强。
原创文章，作者：guanweilu，如若转载，请注明出处：https://guanweilu.cn/article/2140.html