模型加了水印之后，agent 开始调错工具

你在没有水印的模型上测过 agent 的抗注入能力，通过了。上线时厂商默认开了水印，同一个攻击，它开始照做。

一、发生了什么

2026 年 9 月 17 日，安全公司 Lasso Security 发布了一项研究，作者 Andrea Siposova。触发点是两件事：Anthropic 宣布将在未来的 Claude 输出中嵌入不可见水印，技术来自 Google DeepMind 的 SynthID-Text；欧盟人工智能法案第 50 条第 2 款要求合成文本以机器可读方式标记。

研究者提出的概念叫「采样漂移」。SynthID-Text 采用的是锦标赛采样，它在生成每一个 token 时就介入，而不是生成完再做后处理。这意味着水印会改变模型在每一步的选择。而对 agent 来说，选择 token 就是选择调用哪个工具、传什么参数、要不要拒绝。

实验设置比较扎实：用配对设计，同一条样本分别在开、关水印下生成，其余条件完全相同。工具调用测的是 BFCL v4 的单轮任务，用于翻转率统计的是其中 1150 条，温度取 0.001、0.7、1.0。拒绝行为测 HarmBench 的 200 个有害请求，加 JailbreakBench 的 100 个良性对照，分别在「裸请求」和「固定注入」两种条件下跑。模型包括 Llama-3.1-8B、phi-4、Granite-3.2-8B、gemma-3-12b、gemma-3-27b、Qwen3-4B 等。

结果有三层。

第一层，工具调用准确率下降。七个模型里六个下降，四个降幅显著。

第二层，也是更值得看的：翻转率远大于净变化。在二十一个「模型乘温度」组合里，平均有 6.5% 的判断在开关水印后结果不同。phi-4 在温度 1.0 时翻转率 16.8%，但净准确率只掉 2.87 分；Llama-3.1-8B 翻转率 9.9%，净掉 0.87 分。正负相互抵消，平均分看着没事，具体决策已经换了一批。

第三层，攻击条件下放大。裸的有害请求，水印带来的翻转率只有 6% 到 7.5%；加上固定的提示注入后，gemma-3-27b 的翻转率升到 23.5%，对有害请求的服从度从 −1.0 分变成 +12.5 分，gemma-3-12b 从 −0.5 分变成 +9.0 分。作为对照，同样条件下由温度引起的翻转率是 13.5% 和 6%，水印的影响更大。

还有一个细节值得记住：换水印密钥，结果会变。同一个模型，研究用的密钥让攻击成功率升 3.5 分，另外十个密钥平均升 4.4 分，区间从降 4.5 分到升 14.5 分。而密钥由模型提供方控制。

作者明确说，她不是反对水印，而是主张把水印当成 agent 部署配置的一部分来评测。研究也有局限：它测的是模型级的拒绝行为，没有直接测「拒绝失效加工具行动」的组合。

二、跟你有什么关系

做 agent 的人：你的评测结果绑定在你测的那个模型版本和配置上。厂商换水印方案或密钥，你的结论就过期了。

采购模型的企业：合同里要写清水印是否默认开启、能否关闭、变更是否提前通知。这不是溯源问题，是行为一致性问题。

做合规的人：标记合成内容是硬要求，但满足要求的方式会影响系统行为。别把「加了水印」当成一个纯格式动作。

三、怎么用

1. 用正式配置重跑。评测环境里关掉水印跑出来的分数，不能代表线上。上线前用默认配置、默认密钥再跑一遍工具调用和拒绝测试。
2. 报告翻转率，不只看平均分。同一批样本配对比较，统计有多少条判断发生了改变。平均分掩盖的东西，翻转率会露出来。
3. 在提示注入下测，不只在干净输入下测。这项研究里，裸请求看起来几乎无影响，加了注入才露出问题。
4. 锁版本。把模型版本、水印方案、密钥标识写进配置清单，任何一项变更都触发回归测试。

四、三个别信的说法

「水印是非失真的，所以不影响输出质量。」 非失真指的是在水印随机性上的期望性质，不保证固定密钥下行为不变。这项研究测的正是固定密钥下的实际差异。

「平均准确率没降，说明没影响。」 phi-4 的例子最典型：净掉不到 3 分，翻转率接近 17%。对你的业务来说，重要的是那 17% 里有没有关键判断。

「水印密钥是厂商的事，跟我的 agent 无关。」 密钥换了，工具调用和拒绝行为都可能变，而你的 agent 正跑在上面。你控制不了密钥，但可以控制什么时候重测。

五、一句话结论

水印解决的是「这话是谁说的」，但它同时改了「模型下一步做什么」——后者没人替你测。

信息来源

• The Provenance Tax: Understanding the Impact of LLM Watermarking on AI Agent Behavior（Lasso Security，2026 年 9 月 17 日）

功能与价格以官方公告为准。本文写于 2026 年 10 月 19 日。