Google 最新披露的数据很醒目：SynthID 已经为超过 1800 亿张图像和视频，以及累计 24 万年时长的音频写入水印；Search、Gemini 与 Chrome 内置的验证功能每天处理超过 100 万次请求。前一组数字证明水印写入已经进入大规模生产，后一组数字证明验证服务承受着真实流量。两者都没有回答最大验证容量、尾延迟、硬件成本和人工复核比例。
这正是生产级水印系统的核心差异。写入发生一次，环境由生成平台控制；验证发生在开放世界里，要面对压缩、裁剪、截图、转码、翻译、模型升级、旧水印版本、恶意探测和结果申诉。系统的限速器会从编码器迁移到版本路由、解码器、不确定结果复核或责任处置。
真正有意义的单位并非已经写入多少水印，而是单位时间和成本内，系统能产出多少可用于决策、可以审计的验证结论。
先拆开四种规模证据
水印资料经常用 scalable 同时指代四件不同的事：
| 规模主张 | 能证明什么 | 无法证明什么 |
|---|---|---|
| 累计写入内容量 | 写入链路已经在生产运行 | 验证容量与识别准确率 |
| 基准检测质量 | 特定变换和阈值下的检测表现 | 开放流量、成本与延迟 |
| 实际验证请求量 | 服务处理过已知日流量 | 容量上限与剩余余量 |
| 可持续验证吞吐 | 完整系统在明确负载下满足 SLA | 法律归因与通用覆盖能力 |
2024 年 SynthID-Text 论文分析了接近 2000 万条 Gemini 线上回复的用户反馈。它证明文本水印可以接入生产生成链路，并且在该实验中没有观察到显著质量损失。论文还证明生成开销很低，检测也不需要运行原始大模型。它没有公开在线检测服务的 QPS、p95 延迟和单位成本。
2025 年 SynthID-Image 论文披露，当时已有超过 100 亿张图像和视频帧写入水印。论文明确指出，解码调用可能比编码高几个数量级，检测效率可能成为瓶颈；建议用每秒、每硬件单元的吞吐衡量效率。公开实验主要呈现画质、鲁棒性、固定误报率下的召回表现和 payload 恢复能力，未给出 Google 内部生产验证服务的完整容量。
到 2026 年 10 月，Google 进一步披露内置验证功能每天处理超过 100 万次请求。这是目前最清晰的真实需求信号，但仍然只是聚合后的请求量。缺少模态占比、文件大小、批量策略、硬件、错误率、p95 与 p99 延迟和利用率，就无法反推出容量模型。
同一个 SynthID 品牌对应两套运行时
SynthID 是一个产品家族，各模态并未共享同一套算法。
SynthID-Text 在生成过程中改变 token 采样。检测时根据密钥重新计算文本统计特征，无需调用原始语言模型。Google 公开了加权平均与贝叶斯检测方案；开发者文档给出三种结果：检测到水印、未检测到水印、不确定。彻底改写或跨语言翻译会显著降低置信度，事实性强或熵较低的回复也更难写入足够信号。
SynthID-Image 使用事后编码器与解码器。图像先完成生成，再由独立网络写入水印；验证端面对的对象可能已经被缩放、压缩、裁剪、滤镜处理、叠加其他内容，甚至遭到主动攻击。事后处理让水印系统与具体图像模型解耦，便于支持多个生成模型和不同组织团队，同时也在写入与读取两侧增加了独立的神经网络推理服务。
图像论文最重要的系统观察是需求不对称。一份媒体只编码一次，却可能在上传审核、搜索建库、网页爬取、训练数据清洗、新闻核验和用户查询时多次解码。验证还可能与 C2PA 凭证检查、图像指纹搜索、视频解码和其他预处理一起运行。编码器再快，也无法消除验证端的慢队列。
有效吞吐是一项端到端指标
解码器每秒处理多少张图只是底层指标。生产服务需要一个更严格的分子：
有效验证吞吐 = 单位时间内完成、可用于策略决策且留下审计证据的请求数。
一个请求至少经过七步才应计入有效吞吐：
- 文件被安全接收并完成规范化；
- 模态和可能的水印家族得到识别；
- 请求路由到兼容的检测器和密钥版本；
- 预处理与阈值使用正确的校准口径；
- 系统诚实返回阳性、阴性或不确定；
- 验证证据可以被复核或处理争议；
- 需要升级的请求已完成人工处置。
容量可以近似写成：
有效容量 = min(
上传与预处理容量,
版本路由容量,
解码器容量,
证据账本容量,
人工复核容量 / 升级比例
)
这个公式说明准确率为什么会影响吞吐。即使 GPU 上的解码器很快，只要现实变换让大量请求进入不确定态，系统仍会失速。每次弃权都可能触发第二套检测器、检索比对、人工复核或申诉，瓶颈随即从算力迁移到裁决能力。
验证运行时至少需要八个阶段
1. 准入与防滥用
检查格式、大小、时长、解压风险、恶意文件和租户配额。公开接口存在安全取舍：查询量越大，服务越有用；攻击者也越容易探测检测边界、训练替代模型或搜索去水印策略。SynthID-Image 论文将限流和限制访问列为可用防御。
2. 保留原件的规范化
保留上传原件，为解码生成标准化副本。每次缩放、抽帧、色彩转换、音频重采样和文本规范化都应进入血缘记录，否则后续无法复现分数。
3. 先运行廉价溯源检查
在神经网络解码前检查 C2PA 凭证、签名元数据、已知指纹和相似内容。它们互相补充：C2PA 可以携带完整来源与编辑历史，但元数据可能被删除；隐式水印可能在元数据丢失后继续存在，但其证据具有概率性，也可能因内容变换而减弱。
4. 模态与版本路由
选择正确的检测器家族、密钥、阈值、输入分辨率和预处理链。路由失败不仅浪费容量，还可能静默表现为阴性。
5. 水印解码
在延迟预算允许时批处理，按文件大小和模态隔离负载，并在指定硬件上测量吞吐。平均延迟远远不够，大视频、特殊图像和短低熵文本会形成不同尾部。
6. 校准决策与弃权
至少返回阳性、阴性和不确定三态。每个结论绑定目标误报率与明确的校准总体。阴性应该解释为在当前支持范围与记录条件下未检测到信号，不能解释为内容由人类创作。
7. 验证证据收据
记录输入哈希、检测器和密钥家族版本、阈值、分数或置信区间、预处理血缘、时间戳、已知变换、输出状态与策略版本。核心密钥继续保密，同时保留足够信息供授权人员重放。
8. 复核、申诉与反馈
高影响动作需要责任人和争议处理路径。确认的误报、漏报、新攻击与模糊变换应回流到校准集、路由规则和容量预测。
多版本共存是一笔永久验证税
编码器升级后，已经流入互联网的内容无法被召回。SynthID-Image 论文因此把编码器视为主版本边界。解码器可以持续更新，但每个正式发布过的编码器版本都可能需要长期保留识别能力。
多版本增加的远不止模型存储：
- 更多版本路由；
- 版本未知时并行执行多个检测器；
- 更多校准集与阈值；
- 继承旧编码器的安全弱点；
- 更大的回归与攻击测试集；
- 更复杂的证据解释。
验证成本因此是持续扩张的版本组合，而非固定模型端点。容量规划要纳入内容存活周期、版本分布、退役规则，以及只有旧检测器能够识别时的处置政策。
评测完整服务，而不只评测模型
生产基准需要冻结完整技术栈，至少报告以下字段：
| 维度 | 必要字段 |
|---|---|
| 工作负载 | 模态、文件大小或 token 长度、时长、分辨率、变换组合、版本组合 |
| 准确率 | TPR、FPR、FNR、不确定率、校准总体、阈值 |
| 性能 | 硬件、批量、并发、冷启动与热状态 p50/p95/p99、错误率 |
| 运行 | 重试、队列年龄、版本路由失败、缓存命中率、可用性 |
| 人工层 | 复核比例、单案分钟数、推翻率、申诉积压 |
| 经济性 | 算力、存储、人工成本，以及每个可辩护结论的成本 |
| 安全 | 限流、模型提取探测、去除与伪造测试覆盖 |
测试集要同时覆盖原始内容、常见变换、允许范围内的最坏变换、不支持内容、恶意文件、未知版本和无水印对照；各组结果分别报告，避免用单一平均数隐藏长尾。
Google 的公开证据足以证明 SynthID 已经越过实验室原型阶段，也足以证明验证端需要一套独立架构。目前仍缺少的公开证据是一份完整运行基准，让外部读者能够计算最大可持续验证吞吐、尾延迟、资源利用率和成本。
这并非只针对某一家供应商。任何内容溯源服务最终都需要满足同一份测量合同。
常见问题
怎样检查内容里是否有 SynthID 水印？
Google 通过 Gemini、Search、Chrome 和 SynthID Detector 为受支持的图像、视频和音频提供验证。不同入口的覆盖范围与可用性存在差异。对于文本，如果团队掌握水印配置，可以使用 Google 开源参考实现或 Transformers 中的生产实现构建检测链路。
没有检测到 SynthID，是否代表内容由人类创作？
不能。内容可能来自不支持的生成器、未知旧版本、没有水印的 AI 系统，或已经经历削弱信号的变换。检测到信号可以支持特定来源主张，未检测到不能证明人类创作。
SynthID 的准确率有多高？
准确率取决于模态、水印版本、内容分布、变换方式、阈值和目标误报率。引用 TPR 或 FPR 时必须同时给出这些条件。准确率基准也无法替代生产吞吐基准。
为什么 C2PA 与水印需要一起使用？
C2PA 可以携带签名来源和编辑历史，隐式水印则可能在元数据被删除后继续存在。系统还可以使用图像指纹与检索。多个独立信号可以扩大覆盖并形成更强证据链。
为什么不把所有检测器完全公开？
公开检测器有利于独立访问和生态采用，也可能向攻击者暴露用于模型提取、伪造或去水印的信息。私有、API、合作伙伴与可下载模式对应不同的信任、安全和容量取舍。