一、传统水印的脆弱点：为何能被“清除”
基于统计的软水印：早期方案通过微妙调整词语选择频率（如特定词汇出现概率）来嵌入水印。攻击者可通过同义词替换或语法改写，在不影响语义的前提下，打乱原有的统计规律，从而实现“清洗”效果。
解码器依赖攻击：部分水印方案只公开了嵌入算法，但解码需依赖密钥。研究者发现，通过大量生成带水印文本，可以反向训练出“对抗样本”，或是用另一个语言模型将带水印文本“重写”一遍，打乱水印信号的分布，使其无法被识别。
二、新型水印的韧性：让“清除”变得更难
深度语义水印（如SynthID-Stage 2）：这类水印不再依赖表层词汇替换，而是在模型内部推理阶段，将水印信号直接编码进生成文本的逻辑结构和深层语义中。简单的同义词替换或句型变换无法抹除，只有大幅改写原意才能消除，而这又会导致内容本身失去价值。
外部水印（内容凭证标准）：以C2PA为代表的下一代标准，直接将水印嵌入文本的元数据与哈希值中。水印作为数字签名与内容深度绑定，一旦被简单复制或截取，数字签名就会失效。即便文本内容被彻底改写，原始元数据链的断裂也会直接标记该内容为“无凭证”。
三、删除水印的代价：信息和安全的权衡
对内容质量的损伤：目前尚无在不显著降低文本质量前提下，能有效移除所有深度水印的通用方法。为了暴力清除，攻击者通常需要引入巨大的随机噪声或大幅重构句子，导致生成内容逻辑不通、事实错误，这种牺牲本质上是得不偿失的。
服务商的政策封堵：包括OpenAI、谷歌、Meta在内的主流AI服务商已通过服务条款，严禁用户对生成内容进行水印清洗。一旦检测到用户进行“改写以逃逸检测”，平台会自动降权、封禁账号，甚至会追溯至API调用源头，大幅提高违规成本。