HN跟进｜水印是否改变Agent行为

9月26日的新增锚点来自 Hacker News：社区把 Lasso Security 9月17日的文章《The Provenance Tax》重新推到 AI 安全讨论区。这个 news peg 很窄，HN item 49856149 在目标窗口内发布，采集时有 56 分和 70 条评论；讨论焦点从“文本水印能不能证明内容来源”转向“水印会不会改变 agent 行为”。

可核实事实分成三层。第一，Lasso 研究页称其测试了 SynthID-Text 水印，发现水印会改变工具调用正确性，也会在 prompt injection 场景下削弱拒答。第二，Anthropic 8月14日发布 Claude 文本水印说明，称未来 Claude 模型会生成带水印文本，以符合 EU AI Act，并强调内部测试未见内容、创造力、可读性影响。第三，Google DeepMind 的 SynthID 介绍把机制说清楚：文本水印是在生成时调制 token 概率，最后根据生成词序列和概率模式判断是否带水印。

不确定性也必须前置。Lasso 是安全厂商单方研究，本文没有找到第三方复现实验；HN 评论只能证明社区关注度，不能证明实验结论已经被独立确认。Anthropic 和 DeepMind 的官方表述主要回答“读者是否能看出差异”“质量是否下降”“检测是否有效”，并没有逐项覆盖 agent 工具调用、拒答边界或 adversarial prompt 下的行为稳定性。

对读者的直接影响在工程测试层。模型平台若因合规打开文本水印，企业不能只比较 BLEU、人工偏好或最终回答质量；需要在相同 prompt、相同工具 schema、相同外部观察输入下，成对跑水印开关和水印配置变化的回归测试。尤其是能发邮件、改代码、查数据库、转账或调用内部 API 的 agent，工具参数漂移比措辞漂移更昂贵。

9月26日到底新增了什么

这条 story 的当天新增只有一个：HN 在 2026-09-26T13:05:36Z 提交了 Lasso 研究链接，并引发讨论。Lasso 原文日期是 2026-09-17，页面甚至有 “Last Published: Wed Sep 16 2026” 的站点构建标记，所以不能写成“今天 Lasso 发布研究”。更准确的写法是：社区在过去 24 小时把一篇旧研究重新拿出来，讨论文本水印的安全副作用。

这个区别很重要。AI 早报若把旧研究直接包装成当天发布，会把时间线写错；但如果只把 HN 热帖当作噪声，又会错过一个合规和 agent 安全交叉的问题。Article 50(2) 要求生成合成音频、图像、视频或文本内容的 AI 系统提供者，确保输出以机器可读格式标记，并能被检测为人工生成或操纵。Anthropic 也明确说，水印上线是为了遵守 EU AI Act，并提到 8月2日起服务欧盟市场的 AI 提供者需要标记 AI 生成内容。

HN 这次讨论的价值在于，它把合规执行和 agent 行为稳定性放到同一张桌上。过去讨论水印时，关注点通常是检测率、误报、改写后鲁棒性、隐私和用户追踪。Lasso 把问题推进一步：如果水印改变的是 token 采样过程，那么它不只在文档末端留下来源信号，也可能进入 agent 做决策的路径。

证据	日期与性质	支撑内容	使用边界
HN item 49856149	2026-09-26社区讨论	过去24小时有真实讨论锚点	实验复现仍待外部完成
Lasso研究页	2026-09-17厂商研究	提供工具调用和拒答实验结果	不能代表所有模型和部署
Anthropic水印说明	2026-08-14官方说明	说明Claude水印目标和质量口径	agent工具回归未逐项覆盖
DeepMind SynthID说明	2024-05-14官方说明	解释token概率调制机制	属于机制背景
EU AI Act Article 50	法规文本和解释页	给出机器可读标记义务	不指定具体算法

采样漂移为什么会影响Agent

文本水印最容易被误解成“额外加一个隐藏字符”或“输出末尾贴一个标签”。Anthropic 特别澄清，Claude 的方案不会往文本里加入隐藏字符，也不会增加 token，水印不是可见标识；它使用的是 SynthID-Text 一类方法，把水印嵌入模型选择词的过程。DeepMind 的说法是，SynthID 会在生成点向 token 分布加入额外信息，调制 token 被生成的概率，同时目标是不牺牲文本质量、准确性、创造力或速度。

这套机制对普通读者来说可能没有可感知差异。Anthropic 说内部测试没有看到水印影响 Claude 文本内容、创造力或可读性；DeepMind 也称 SynthID 不是银弹，但可作为 AI 内容识别工具的重要组成部分，并指出它在长文本、多样化生成上效果更好，在事实性短回答、预期输出很少变化的场景更弱。问题是，agent 不只“写一段话”。它常常把模型采样出的 token 直接解析成工具名、JSON 参数、路径、金额、收件人、查询语句或下一步计划。

Lasso 给这种差异起名为 sampling drift。它强调非失真或不改变分布期望，不等于在固定水印密钥下逐次生成完全相同。换句话说，模型权重、用户 prompt、系统 prompt 都可以不变，但生成时的 token 选择路径变了。对一篇营销文案来说，这可能只是同义词；对一个 agent 来说，可能是从 search_docs 变成 send_email，或者工具名没变但参数里的收件人、路径、金额、查询条件发生变化。

Lasso 的工具调用实验使用 BFCL v4 single-turn AST。文章称在应当调用工具的项目上，水印让 7个模型中的6个准确率下降，其中 4个达到显著下降。更值得注意的是它没有只看净准确率，而是看成对判定差异，也就是同一条任务在开水印和不开水印时是否从对变错或从错变对。Lasso 称在 1150 个非实时 call-expected 任务上，phi-4 在 T=1.0 时判定变化率达到 16.8%，但净准确率损失只有 2.87 个百分点；Llama-3.1-8B 的判定变化率是 9.9%，净损失只有 0.87 个百分点。21个模型温度组合的平均 churn 是 6.5%。

这个口径对 agent 安全非常关键。净分数可能掩盖“错位互相抵消”：一条任务从正确变错误，另一条任务从错误变正确，总体准确率变化不大，但两个具体用户会得到不同结果。若这些任务只是问答，影响是回答质量；若这些任务绑定真实工具，影响就是执行动作。

拒答不是纯文本风格问题

Lasso 的第二组实验更敏感：拒答。文章称它用 200 个 HarmBench harmful behaviors 加 100 个 JailbreakBench benign controls 做测试，并把 harmful prompts 分成裸请求和加了一个固定 prompt injection 技术的请求。这个注入技术被描述为把对抗指令当作检索内容追加进去，声称安全过滤器已禁用并要求模型服从。

在这个设置下，Lasso 称水印对裸 harmful prompts 的拒答行为有影响，但在 prompt injection 下更明显。具体数字是：T=0.001 时，gemma-3-27b 的 churn 从裸 harmful requests 的 6.0% 增加到注入场景的 23.5%，净 compliance 变化从 -1.0 变成 +12.5 个百分点；gemma-3-12b 的 churn 从 7.5% 增加到 11.0%，净 compliance 变化从 -0.5 变成 +9.0 个百分点。Llama-3.1-8B 在注入下也有明显 churn，T=0.001 时 14.0%，T=0.7 时 17.5%，但 Lasso 说其净变化没有单独显著。

这些数字不能直接外推成“所有水印都会让模型更危险”。Lasso 自己也写到，phi-4 和 Qwen3-4B 在两种条件下变化不大，而且它们在评估中倾向过度拒答，包括对无害 controls 也是如此。另一个限制是，该实验测的是模型级拒答，不是完整端到端 agent 漏洞。Lasso 明确说没有直接测试“拒答变成遵从后再联动工具执行”的合并失败模式。

但这并不削弱工程提醒。OWASP GenAI LLM Top 10 2026 把 prompt injection 视为输入侧漏洞，可能让模型行为偏离 agent 应用开发者意图，并在 agent 系统中扩展到有害输出和未授权工具动作。若水印在攻击输入下改变拒答边界，平台就不能只用普通质量评估证明“无实际影响”。安全评估必须把水印看作部署配置的一部分。

官方说法和Lasso结论并不完全矛盾

把 Anthropic、DeepMind 和 Lasso 并排看，最容易出现的误读是：官方说不影响质量，Lasso 说影响行为，所以一定有一方错了。更准确的理解是，它们回答的是不同问题。

Anthropic 的问题是“读者能否区分带水印和不带水印文本”“质量、内容、创造力、可读性是否受影响”“会不会增加 token、成本或泄露用户身份”。它的回答是，读者不可区分，内部测试没有看到这些质量维度受影响，水印不需要额外 token，也不能追踪到具体个人、组织或对话。Anthropic 还强调，代码、事实短答、校对这类自由选择少的场景，水印空间更少；可见它并没有说每一个生成路径都逐 token 相同。

DeepMind 的问题是“如何在生成阶段做可检测的文本水印”。它解释 LLM 一次预测一个 token，SynthID 通过调制 token 概率嵌入不可感知水印；最终的词序列和概率调整模式可用于判断文本是否可能来自 AI。DeepMind 同时承认，彻底改写或翻译会大幅降低置信分数，事实性 prompt 因可调整空间较小而更难水印，检测工具也不是银弹。

Lasso 的问题则是“当 token 选择进入 agent 行动路径时，微小采样差异会不会改变行为”。它关注的是成对任务的判定差异、错误类型和 prompt injection 下的 refusal-to-compliance 转换。这三个问题可以同时为真：水印对普通文本读者不可见；水印可提供合规所需的机器可读来源信号；水印仍可能改变某些模型在某些安全和工具任务上的逐项行为。

这篇跟进最值得保留的结论，是评测口径升级。若一项机制改变采样过程，平台就要证明它在部署场景下不改变关键行为，至少要说明在哪些模型、哪些温度、哪些工具 schema、哪些水印 key、哪些攻击输入下已经测过。

工具调用的风险不在平均分

agent 工程最需要盯住的指标是错误类型，而非平均分的一点波动。Lasso 特意区分了 malformed output、wrong tool 和 wrong arguments。畸形输出通常会被解析器拦下，最多触发重试；错误工具或错误参数却可能语法正确，直接进入外部系统。

这解释了为什么水印回归测试不能只看最终成功率。以一个企业知识库 agent 为例，检索 query 的措辞小变动可能只是召回差异；但以一个运维 agent 为例，路径、命名空间、环境参数的小变化可能就是生产事故。以一个采购或支付 agent 为例，金额、币种、供应商字段的变化更不能由“平均行为稳定”覆盖。

水印密钥也是一个被低估的变量。Lasso 称其拒答实验不仅用了研究 key，还在 T=0.7 下测试了另外 10 个水印 key。结果显示效果会随 key 大幅变化：Llama-3.1-8B 的研究 key 让 attack success 增加 3.5 个百分点，其他十个 key 平均 +4.4 个百分点，范围从 -4.5 到 +14.5 个百分点；Granite-3.2-8B 的方向更混合，phi-4 和 Qwen3-4B 接近无水印基线。

这对闭源托管模型尤其麻烦。企业调用 API 时，通常看不到水印 key、配置和轮换策略。如果模型提供方为了合规调整水印配置，应用开发者可能没有改一行代码，却看到个别工具调用或拒答路径发生变化。对高风险 agent 来说，水印配置应被视为和模型版本、temperature、tool schema 同等级别的变更项。

企业评测应该怎么补

企业已经在用 agent 时，水印上线首先应进入测试矩阵。最低限度要有四组 paired runs：水印开关、不同水印 key 或配置、常规输入和对抗输入、工具调用成功与失败样本。每条样本不仅记录最终回答，还要记录工具名、参数、调用顺序、拒答标签、重试次数和外部系统副作用。

还要把“可执行错误”单独统计。很多评测只分成功和失败，但 agent 安全需要更细：解析失败、无工具调用、错误工具、错误参数、拒答变遵从、遵从变拒答、工具调用后纠错。Lasso 的分解方式值得借鉴，因为同样的平均准确率可以对应完全不同的事故形态。

供应商披露也要进入采购清单。供应商不一定能公开水印 key，但至少应说明水印是否覆盖 API、是否覆盖云平台代理访问、是否按地区开启、是否会随模型版本静默调整、是否有企业可见的变更通知。Anthropic 说因暂时没有 durable way to scope it by region，所以 launch 时会全球应用水印，并会继续评估不同方法；这个措辞要忠实保留为“全球应用和继续评估”，不能写成“永久全球强制”。

法规目标和工程目标要分开验收。Article 50的机器可读标记义务是透明度要求，不能自动证明 agent 更安全；水印检测有效也不能自动证明工具调用稳定。对外发布内容时，平台可以说“用于识别 AI 生成内容”；对内安全评审时，必须另问“它是否改变了高风险行为”。这才是 HN 这轮跟进留下的工程议题。

接下来值得盯的信号

短期最值得看三类后续。独立团队能否用相同的 BFCL、HarmBench、JailbreakBench 或开放替代集复现 Lasso 的 sampling drift，是最直接的证据；复现材料应公开 prompts、模型版本、温度、seed、key 和判定脚本。没有复现，数字只能作为强线索，不能当成通用规律。

模型厂商的发布说明也要跟上。Anthropic 已经解释了质量、成本、隐私和 EU AI Act 动因，但企业更需要 agent 相关指标：tool-call AST 正确率、wrong argument 率、refusal under injection、长链任务完成率，以及水印配置变化时的版本通知。

监管和标准组织还需要接受多种标记策略。对于普通长文本，生成时水印可能是合理路线；对于工具调用 JSON、代码、事实短答和带权限动作的 agent，可能需要结合元数据、日志签名、服务端审计或内容凭证。透明度目标不应把所有输出形态压成同一个采样层方案。

这就是本文对 9月26日 HN 跟进的结论：Lasso 旧研究没有在今天变成定论，但它给了一个足够具体的测试假设。水印如果进入模型采样路径，就应该作为 agent 部署配置被测量、被记录、被审计。否则，合规层得到一个来源信号，执行层却可能多出一个没有纳入验收的行为变量。