水印有新演变叫间谍标记（spymark）。水印（watermark）是可见标记，间谍标记是隐藏信号，能在不知情下追踪作品。间谍标记正悄悄潜入互联网，谷歌（Google）的 SynthID（合成标识）便是其一，它将人不可感知信号嵌入图像、音频、文本、视频，可编码数据库标识符映射身份，含用户记录、全名、IP地址、出生日期等。其 SynthID-O 变体能在 512x512 像素图像编码 136-bit 负载，够 64-bit 标识符加 72-bit 纠错。开放人工智能（OpenAI）等也在开发。

“水印”出现了一个狡猾的新变种，我们不妨叫它——间谍标记（spymark）。

水印是嵌入物理或数字载体中、用于验证真伪或声明所有权的可见标记。

间谍标记则是一种隐藏信号，能在你不知情或不同意的情况下，使你的作品可被追踪。

间谍标记正悄悄潜入互联网

Google 的 SynthID 是一种间谍标记，它将“人类无法感知”（谷歌原话）的隐藏信号嵌入图像、音频、文本和视频。这些信号能编码映射到你身份的数据库标识符，包括用户记录、全名、IP 地址、出生日期、住址、政党倾向等。

谷歌的 SynthID-Image 论文报告，其 SynthID-O 变体可在 512x512 像素图像中编码 136 位载荷，足够容纳 64 位数据库标识符，余下 72 位用于纠错。

SynthID 并非首个间谍标记系统，也远非唯一在开发的。OpenAI 等许多科技公司正大规模研发。它们声称这能帮助识别 AI 生成内容，却已超越简单水印，内建了强健追踪机制。社交媒体、内容生产工具和智能手机可能很快遍布此类算法，将信号偷偷塞进你发布的每件东西。

例如，图像可在频域被无形修改，携带如用户数据库 ID 的追踪信息：

这是原图的间谍标记版本，可读取像素恢复载荷，仅为示例，非 SynthID。

为何起个新名字？

“水印”一词已成统称，涵盖历史防伪标记、钞票安全特征、版权浮层以及媒体中的隐藏追踪信号。最后这种用法掩盖了某些现代“水印”带来的隐私风险。

多数人对隐私讨论感到厌倦，认为复杂重复、与日常无关。我们不能每次都得解释统计追踪工具的技术细节还指望人听。

“说出名字即控制事物。”——厄休拉·勒古恩，《名字的规则》

只需改个术语，就能把隐私担忧摆在前面，将此问题钉进对话：

• Spy-（间谍）—— 秘密监视、非自愿披露
• -mark（标记）—— 嵌入信号

由此区分友好水印与令人担忧的新技术，借熟悉词源，用一个新词省去反复说明技术细节的力气，清晰直接。隐私担忧已内嵌于词中。

“间谍标记”堪称隐私界的“侏儒怪”。

更多间谍标记示例

以下是更多间谍标记形式。

音频间谍标记原理类似图像，通常听不见。有的在时域微调波形，有的改频域特征，有的结合两者，可编码含个人信息的标识符。

上图来自 LJ Speech 数据集真实音频的频谱图，未加水印为参考。其他算法包括时域、频域和混合方法。这些方案设计得鲁棒，常能扛住压缩重编码。

开源工具 audiowmark 始于 2018 年，能在音频藏 128 位载荷并用密钥保护，无钥匙无法解码。这类工具早于生成式 AI 就已蔓延。

甚至能把个人信息隐形编入文本！SynthID 通过引导用词选择，制造可检测的统计模式来编码追踪载荷。示例文本中高亮词对应比特，组合成数据库密钥，可含数据库 ID、作者名、日期、政治倾向等（仅为展示用玩具示例）。

水印无害，间谍标记不然

水印易被用户察觉，通常无恶意。

有时水印防伪：

有时声明所有权：

有时只是烦人：

但这些水印不追踪你。

打印机追踪点则是早期间谍标记，可溯至 1980 年代：

必须明确：间谍标记是你知之甚少、无法控制的元数据，目的完全与你对立。

EXIF、ID3 等标准元数据虽可能暴露 GPS 等敏感信息，但可检查、编辑、删除。你能剥离标准标签，但嵌入像素、音频或用词中的间谍信号对你不可见，即便编辑文件仍可能留存。

标签利于维护歌曲名或曝光设置，间谍标记却编码对你完全不透明无用的用户追踪标识符。这些信号能熬过元数据清除和部分编辑，使副本在传播中仍可追踪。

让文件免于被监视

难以想象未来连自己的文件都不能信，可悲哀的是已开始。

间谍标记对吹哨人或不愿因言论、立场受迫害者绝非好事，无论立场如何，它都能被用来对付你和你关心的人。

试想每设备被认证、每社交帖带账户关联间谍标记，每个待分享文件都嵌信号。结合账户记录和副本出现位置，标识符能重构传播路径。那时从一张 JPEG 或推文揪出人，或追踪“危险思想”流转的人际网，易如反掌。

这未来介于现在与《1984》之间。我们别走上那条时间线。

间谍标记就是字面意思：用来监视你及你所有联络人的间谍工具。

用法

spy·mark/ˈspaɪmɑːrk/ 名词 复数 spymarks

嵌入媒体的隐藏信号，在用户无实质控制下追踪其来源、工具或传播历史。

“这些间谍标记将每份副本绑定到不同接收者。”

spymark 动词，及物 spymarked；spymarking；spymarks

在文件或媒体中嵌入间谍标记。

“社交网络给每张上传图片打上间谍标记。”

spymarking 名词 嵌入间谍标记的做法。

“平台在用户不知情下引入了间谍标记。”

spymarked 形容词 含有间谍标记的。

“清除文件元数据后图像依然带有间谍标记。”

社区对“spymark”概念反应分化，多数人认为其只是隐形水印或隐写术的负面包装，部分人担忧助长监控与广告追踪，少数人质疑技术清除难度或认为反对者反应过度。

认为“spymark”只是隐形水印或隐写术的负面叫法

• 指出隐形水印并非总是恶意，如防伪钞，且 SynthID 等技术不损害文本质量，正面价值明显（较多人）。文章未提隐写术，其实更接近隐写标记（较多人）。数字商品与电影审片早有类似溯源水印（较多人）。 > 隐形水印不一定是负面的，比如钞票防伪就是正面例子（@pavo-etc）

担忧 spymark 将加剧全民监控与商业剥削

• 从现有智能电视、汽车、眼镜摄像头联想到社会已进入随时被监视状态，未来设备更小（较多人）。认为低端设备会内置驱动扫描屏幕像素并上报，大幅优化广告归因，除苹果因商业模式外厂商都会推行（较多人）。 > 我们似乎进入了无时无刻不被间谍的时代，未来间谍设备会更小（@shevy-java）

质疑标记易被模拟复制或语义改写清除

• 图片经模拟拷贝可净化，文本仅复制内容或经AI润色即可去除；用词选择编码比特可能因自然文本已有相同模式而失效，强行替换会扭曲语义（少数人）。 > 如果是文本，只复制文字而非文件，再用AI按摩一下，标记不就消失了（@silverFork）

认为术语荒谬且批评者反应过度

• 指出没人会偷窥普通生成内容，区分人机只是满足基本知情权，AI实验室也需避免训练低质循环，不解为何有人恼火（少数人）。 > 没人想间谍你的垃圾内容，只是有人想知道看到的是不是人类产的（@in_absentia）

主张以开源本地方案防御中心化追踪

• 因闭源工具不可信，有人开发开源抗篡改水印供普通人证明出处，但担心被误解；另有人更关心本地AI与硬件可负担性，恐惧中心化垄断（少数人）。 > 我做了透明开源水印工具作为防御，但感觉现在没人会这么看（@minimaxir）

有价值的补充

• 技术愿景：常驻浏览器扩展可按 AI 写作置信度让文本更透明，而非刺眼高亮，已有类似项目方向（@pavo-etc）
• 冷知识：数字下载商品和电影审片版早已嵌入溯源水印，并非新现象（@viccis）
• 精巧类比：用词水印若强制替换“curving”为“winding”会闹出“轻轻蜿蜒的大腿”笑话，说明语义约束比想象难（@Morromist）