使用 AI 水印时，LLM 对有害提示的响应会有所不同

判断

要上 SynthID 的模型方现在得把「拒答率」和「工具调用正确性」列进上线门槛：水印不是只改措辞，它把安全护栏的代价转移给下游 agent（智能体）的每一次调用。

依据

Lasso Security 的 Andrea Siposova 对 Ars 说，水印会改变模型行为，尤其在对抗条件和 agent 调用工具时。她拿 Hugging Face 未修改的水印处理器 SynthIDTextWatermarkLogitsProcessor，向六个开源权重模型喂有害提示，对比开水印和关水印的响应。SynthID-Text 是 Google 开源的水印方案，用密钥微妙改变下一个词的选择；机制上把常规采样加上随机种子生成器、采样算法和评分函数，核心是 tournament sampling（锦标赛采样）：用密钥给大量候选 token 打分，两两比较，高分者晋级，直到选出最终 token。后果是拒答行为改变，提示注入（prompt injection）下更明显；同一批抽样 token 还会决定 agent 调用哪个工具、传什么参数，作者称为 sampling drift（采样漂移）。取舍在于，为满足欧盟溯源要求加的水印，可能让本来会被拒绝的有害请求被执行，且不同密钥结果不同，所以只看整体准确率会漏掉单次工具调用正确性的变化。