大语言模型的爆发让高质量文本的生成成本降到了几乎为零，随之而来的问题是：面对一篇文章，我们如何判断它是人写的还是机器写的？学术界的论文查重、教育领域的作业审核、内容平台的原创性识别，都对AI内容检测技术提出了迫切需求。目前主流的技术路线主要有三类：基于模型概率特性的DetectGPT、基于统计特征的GPTZero，以及在生成阶段嵌入标记的Watermark水印技术。这三种方案思路截然不同，各有优劣，本文将逐一拆解它们的原理与实现。
一、DetectGPT：基于扰动一致性的零样本检测
DetectGPT是斯坦福大学研究团队在2023年提出的一种零样本检测方法，它的核心洞察是：机器生成的文本在概率空间中呈现一种特殊的局部结构。当一段文本由某个语言模型生成时，它通常位于该模型对数概率函数的一个局部极大值附近，而人类撰写的文本则不具备这种特性。
基于这一特性，DetectGPT的做法是对原文进行小幅度扰动——通常借助另一个掩码语言模型（如T5）把原文中的部分词替换成同义或近义表达，生成若干个扰动版本。然后分别计算原文本和扰动文本在被检测模型下的对数概率。如果原文的概率显著高于所有扰动版本的平均概率，说明原文恰好踩在概率峰值上，大概率是模型生成的；反之则更可能是人类作品。
具体的判定指标可以用一个比值来表示：
import torch
from transformers import AutoTokenizer, AutoModelForCausalLM
def detect_gpt_score(original_text, perturbed_texts, model_name="gpt2"):
tokenizer = AutoTokenizer.from_pretrained(model_name)
model = AutoModelForCausalLM.from_pretrained(model_name)
def log_prob(text):
inputs = tokenizer(text, return_tensors="pt")
with torch.no_grad():
outputs = model(**inputs, labels=inputs["input_ids"])
return -outputs.loss.item() * inputs["input_ids"].shape[1]
# 计算原文与扰动文本平均对数概率的差值
d = log_prob(original_text)
d_hat = sum(log_prob(t) for t in perturbed_texts) / len(perturbed_texts)
return d - d_hat # 值越大，越可能是AI生成DetectGPT的优势在于零样本、无需训练分类器，且理论上可以针对任意目标模型进行检测。它的局限也很明显：计算成本高，每段文本都要生成多个扰动版本并逐一前向计算；此外它对被检测文本的改写和转述攻击比较敏感，一旦经过深度改写，概率峰值特征会被稀释。
二、GPTZero：困惑度与突发性的统计指纹
GPTZero是目前用户量最大的商业化AI检测工具之一，其技术基础主要围绕两个统计学指标展开。第一个是困惑度（Perplexity），它衡量一个语言模型对文本的“惊讶程度”。AI生成的文本往往用词规整、句式流畅，对语言模型来说预测难度低，困惑度数值偏小；而人类写作充满跳跃性的选词和非常规表达，困惑度通常较高。
第二个指标是突发性（Burstiness），它描述文本在不同片段之间统计特征的波动程度。人类写作的句子长短不一、复杂度忽高忽低，突发性明显；机器生成的文本则风格均匀，各句之间的困惑度方差很小。GPTZero通过综合这两个维度给文本打分，并给出句子级别的逐句定位。
困惑度的计算可以简化为对数概率的指数形式，示意代码如下：
import math
def sentence_perplexity(logits, targets):
# logits: 模型输出的词表分布, targets: 真实词id
loss = torch.nn.functional.cross_entropy(logits, targets, reduction="mean")
return math.exp(loss.item())
def burstiness(perplexities):
# 突发性近似为句子困惑度的变异程度
mean = sum(perplexities) / len(perplexities)
var = sum((p - mean) ** 2 for p in perplexities) / len(perplexities)
return math.sqrt(var) / meanGPTZero的优点是速度快、部署成本低，适合大规模内容平台的批量筛查。但它本质上是一个统计分类器，边界模糊地带较多：经过润色的AI文本、非母语作者写的规整英文，都容易造成误判。因此在实际应用中，GPTZero的结论更适合作为参考信号而非最终裁定。
三、Watermark：从生成源头嵌入可验证标记
与前两种事后检测思路不同，水印技术在文本生成阶段就动手脚。代表性方案来自马里兰大学的研究：在模型自回归解码的每一步，先通过一个哈希函数把已生成的前缀映射到一个随机种子，用该种子把词表切分成绿名单和白名单两组。生成时只在绿名单中采样，这样整段文本就会携带一个肉眼不可见、但统计学上可验证的模式。
检测时只需统计文本中落入绿名单的词的比例。由于哈希函数是公开且确定性的，任何人都可以复现同样的名单划分。如果绿名单词占比显著超过随机水平（例如Z分数超过某个阈值），就可以高置信度地判定该文本来自带水印的模型。水印的优势在于检测极其轻量，且误报率可以用统计检验严格控制。
import hashlib
def green_list(prev_tokens, vocab_size, gamma=0.5, seed=42):
# 根据前缀哈希生成绿名单
h = hashlib.sha256(f"{seed}:{prev_tokens}".encode()).hexdigest()
start = int(h, 16) % vocab_size
span = int(vocab_size * gamma)
return set(range(start, start + span))
def detect_watermark(tokens, vocab_size, gamma=0.5, seed=42):
hits, total = 0, 0
for i in range(1, len(tokens)):
if tokens[i] in green_list(tokens[max(0, i-1):i], vocab_size, gamma, seed):
hits += 1
total += 1
ratio = hits / total
# Z分数检验，显著高于gamma则判定含水印
z = (ratio - gamma) / math.sqrt(gamma * (1 - gamma) / total)
return z水印方案的短板在于它要求模型提供方主动配合，只能检测自家或开源水印模型的输出，无法覆盖闭源且不嵌水印的系统。此外水印也面临攻击：对文本进行同义改写、翻译往返都可能稀释绿名单比例，不过只要改写幅度有限，统计学特征往往仍能保留一部分。
四、三种方案的对比与攻防演进
从工程落地角度看，三种技术各有清晰的适用边界。DetectGPT准确率高但算力开销大，适合对单篇重要文本做精细鉴定；GPTZero类统计方案速度快，适合平台级批量初筛；水印技术则把检测成本降到极低，是模型厂商最理想的长期方案，前提是行业形成统一的嵌入标准。
| 方案 | 检测方式 | 是否需要模型配合 | 抗改写能力 | 典型场景 |
|---|---|---|---|---|
| DetectGPT | 扰动+概率对比 | 需访问目标模型 | 中等 | 学术审查、单篇鉴定 |
| GPTZero | 困惑度+突发性 | 不需要 | 较弱 | 内容平台批量筛查 |
| Watermark | 绿名单比例检验 | 生成时嵌入 | 较强 | 模型厂商自证来源 |
攻防层面，检测方与规避方在不断博弈。目前的绕过手段包括深度改写、多模型混合生成、加入人为噪声等，单一检测手段都有被针对的可能。业界逐渐形成的共识是采用多信号融合：统计指标、概率扰动、水印校验甚至风格取证结合使用，交叉验证后再输出结论。同时也要清醒认识到，任何检测都存在误判，AI检测结果的伦理使用边界，如教育场景中是否可以直接据此处罚学生，仍然是技术之外必须审慎讨论的议题。
总体而言，DetectGPT验证了模型生成文本在概率空间的可分辨性，GPTZero把统计指纹工程化成了普惠工具，Watermark则指明了从源头治理的方向。三者叠加构成了当前AI内容检测的完整技术版图，随着生成模型持续进化，这一领域的算法迭代也将长期持续下去。
DetectGPTGPTZeroWatermark检测技术修改时间：2026-09-02 04:52:32