工作室交付一条已授权的角色视频，文件中同时存在两方权利——拥有角色的权利人，以及完成作品的制作方。随后它被上传到平台，平台重新编码，所有指向这两方的元数据随即消失。
这正是我们搭建这套离线保护服务要解决的问题。而真正有意思的地方不是加水印本身，而是我们发现：那个最直觉的做法根本行不通。
为什么不能给一条视频打两次水印
「两方、一个文件」的直觉解法，是把水印器跑两遍，一方一次。这行不通，而且后果比什么都不做更糟。
视频水印检测器每个素材只能恢复出一条消息。水印以残差信号的形式分布在像素中。跑第二遍嵌入，它会覆盖掉第一遍的残差；你拿回的是一个混合结果，解出来既不是甲方也不是乙方。你并没有得到两个标记，而是毁掉了原本那一个。
所以跑两遍严格劣于跑一遍。任何绑定两方的方案，都必须在单次嵌入内完成。
解法：拆分载荷，而不是拆分嵌入
载荷是 256 位。我们不把它当作一条消息，而是拆成两个独立的一半：
| 比特位 | 槽位 | 承载 |
|---|---|---|
| 0–127 | 槽位 A | 权利人绑定密钥 |
| 128–255 | 槽位 B | 制作方 / 被许可方绑定密钥 |
每一半都是为该方、在该素材上单独签发的 128 位密钥。检测时把恢复出的载荷一分为二，各自与自己的槽位独立比对——因此即使另一半已损坏到无法恢复，任何一半单独都能识别出对应方与该素材。
一次嵌入，无额外画质代价，两个可独立存活的标记。一个 128 位半载荷在误码率 ≤ 0.25 时被接受，其随机碰撞概率约为每候选 6×10⁻⁸。
若无需标注制作方，槽位 B 会改为承载第二个独立的权利人绑定——即纯冗余，而非浪费一半空间。
三层防护，各自能扛住什么
| 层 | 是什么 | 可存活于 | 作用 |
|---|---|---|---|
| C2PA 清单 | 标明双方的签名记录 | 直到平台转码为止 | 正式、不可抵赖的记录 |
| 水印 | 写入像素的双方载荷 | 重编码、二次上传、降分辨率、压缩 | 真正耐久的标记——维权时解码的就是它 |
| 指纹 | 服务端保存的感知帧哈希 | 一切——因为它根本不在文件里 | 最后手段的视觉比对 |
分层顺序本身有含义。C2PA 是法院或平台版权团队会去读的一层，同时也是最先阵亡的一层。水印才是真正能挺过分发的。而指纹连被剥得干干净净的文件都能应对，因为它从未存在于文件之中，而是在我们的登记库里。
许可条款与绑定密钥同样不随文件传播。清单中只包含一个不透明的内容 ID、双方名称，以及对载荷的密码学承诺。
面对真实的平台攻击会怎样
我们把一条 720×1280 的交付文件，按平台二次上传的真实行为处理了一遍：剥离元数据、降采样至 406×722、以 CRF 30 重编码——体积比原文件小 87%。
| 干净交付件 | 攻击之后 | |
|---|---|---|
| C2PA 清单 | 有效 | 已销毁——符合预期 |
| 水印槽位 A（权利人） | 误码率 0.000 | 误码率 0.016 → 匹配成功 |
| 水印槽位 B（制作方） | 误码率 0.000 | 误码率 0.016 → 匹配成功 |
| 指纹 | 距离 0 | 距离 2 → 匹配成功 |
在元数据全部丢失的情况下，两方仍被独立解析出来，且误码率约为匹配阈值的十五分之一。不可感知性实测 44.2 dB PSNR，峰值像素偏差 11/255。该素材的完整作业在 CPU 上耗时 43 秒。
有一点值得直说：这类工具的默认水印强度是按「纯粹不可见」调的，只能扛住轻度转码。我们把强度调得更高——仍低于可见差异阈值，但足以挺过上述攻击。撑不过分发的不可见性，不构成保护。
如何把「看不见的东西」展示给客户
这是没人会提前提醒你的现实难题。客户为一个看不见的标记付了钱，而文件看上去和他交过来的一模一样。「相信我们，它在里面」不是一份交付物。
因此每个作业都会生成一份证据包：
- 不可见性证明——原始件、交付件，以及两者差异放大三十倍后的图像。那个结构化的图案就是水印。两帧均直接取自嵌入张量，因此呈现的残差只有标记本身，不掺杂编码噪声。
- 每方一张比特卡——将各自的 128 位密钥渲染为比特阵列：上方是嵌入内容，下方是从交付件中恢复的内容，翻转位以红框标出，并标注误码率与阈值的对比。
- 机器可读的作业记录，供客户自行归档。
追踪是哪一份拷贝泄露的
第二个槽位最有价值的用法，不是标注制作方，而是标注接收方。
让槽位 A 固定为权利人，槽位 B 按接收方变化——同一母版为每一个发行方、影展或平台各生成一份标记副本。当某份拷贝出现在不该出现的地方，槽位 B 会指出是谁的那一份泄露了。
我们用同一套攻击验证过：某发行方的副本在重编码到槽位 A 已经失效之后，仍能精确解码到该发行方。
由此得出的是一条流程规则而非技术规则：如果把同一份标记文件发给所有人，这种可追溯性就不存在了。按接收方分别标记，才是整个机制本身。
跨法域的登记就绪审计
证据只有在能据以行动时才有价值，这意味着你得知道角色在哪些法域已登记、哪些平台的版权计划会受理主张。服务包含一份 17 项经核验的清单，覆盖美国、中国、中国香港、欧盟、日本、韩国与英国，以及五大平台版权计划——YouTube Content ID、TikTok 知识产权保护中心、抖音、快手与哔哩哔哩。每一行都附有查询链接与提交链接，并在报告日期当天验证可达。
我们负责核查与指路，但不代为提交。其中若干法域要求由持牌本地代表代为申报，因此交付物是一份登记就绪度审计，而非代办服务。
清单中有两项结论，即便你从不使用这项服务也值得知道：中国香港根本没有版权登记簿——保护是自动产生的，这意味着一份溯源证据包本身就是你的证据；而美国登记，是唯一会实质改变诉讼可获赔偿范围的那一次提交。
这套方法做不到什么
水印存在于这些像素之中。它能证明某个文件源自一份受保护素材，并指出与之绑定的双方。
但它无法抓住那些从零重新生成一个相似角色的人。那个文件从未携带标记，再高的水印强度也改变不了这一点。要打击的若是模仿而非再分发，需要的是角色与人脸的相似度匹配——那是另一套系统，且有其自身的隐私前提。
这是两个不同的问题。权利人在购买其中一种方案之前，应当先弄清自己面对的究竟是哪一个：自有交付文件被再分发，是溯源问题；被模仿，是相似性检索问题。
常见问题
能不能给一条视频打两次水印，一方一次？
不能。检测器每个素材只恢复一条消息，第二次嵌入会覆盖第一次的残差，得到的混合结果两方都解不出。绑定双方必须在单次嵌入中，将一个载荷拆成可独立比对的两半。
上传到平台之后水印还在吗？
在。在剥离元数据、降采样至 406×722、CRF 30 重编码的测试下，两个槽位均以 0.016 的误码率匹配成功（阈值 0.25）。
水印看得见吗？
看不见。实测 44.2 dB PSNR，峰值像素偏差 11/255。证据包会把残差放大三十倍，让客户看到究竟嵌入了什么。
C2PA 清单会怎样？
平台第一次转码就会销毁它。这符合预期，也正是它只作为三层之一、而非全部方案的原因。
能查出是哪个发行方泄露的吗？
如果每个接收方拿到的是各自的标记副本，就可以。槽位 B 按接收方变化，恢复出的载荷会指明那是谁的副本。
有人用自己的 AI 模型复刻我的角色，能抓到吗？
不能。重新生成的相似角色从未携带标记。那属于相似度匹配问题，不是溯源问题。
上述数据为交付素材上的验证实测结果，而非厂商标称参数。本服务为本地控制台运行的离线服务，不连接任何生成式 API。平台监测仍在建设中：识别桥接与看板已完成，采集端尚未构建。