Le filigrane IA de Claude contourné en quelques heures : ce que cela révèle sur l’origine des textes

Comment les contournements visent le signal

Le filigrane textuel de Claude n’est pas une couche de caractères invisibles qu’il suffirait de supprimer. Anthropic le décrit comme un motif statistique présent dans la manière dont le modèle sélectionne certains mots ou tokens. Un système de vérification examine ensuite si la séquence observée correspond statistiquement au processus de génération de Claude.

L’approche attribuée à Meyer s’appuie sur un modèle de langage dépourvu de filigrane pour produire plusieurs versions réécrites du texte. Synonymes, ordre des formulations et structure des phrases sont modifiés tout en essayant de préserver le sens. Ce sont précisément ces choix lexicaux qui peuvent brouiller le motif statistique recherché.

D’autres outils accessibles depuis un navigateur ciblent des éléments différents : suppression de caractères Unicode invisibles ou ressemblants, réorganisation des phrases et remplacement de synonymes. La condensation d’un texte, ou sa traduction dans une autre langue avant une nouvelle traduction vers la langue de départ, sont également présentées comme des moyens de perturber une empreinte statistique.

Il faut cependant distinguer ces techniques. Anthropic affirme que le filigrane de ses textes n’est ni constitué de caractères cachés ni ajouté sous la forme de métadonnées textuelles. Les signatures numériques concernent surtout certains fichiers générés, et non le mécanisme statistique appliqué au texte de Claude.

Ce que le filigrane peut réellement démontrer

Anthropic dit utiliser une version de l’approche SynthID-Text, développée par Google DeepMind. Lors de choix de mots peu déterminants, Claude exploite une part d’aléatoire guidée par une clé secrète et liée aux mots précédents. Un vérificateur disposant de la méthode correspondante peut ensuite estimer si le passage est statistiquement cohérent avec ces choix.

Le dispositif est conçu pour rester invisible, n’ajouter aucun caractère et ne consommer aucun token supplémentaire. Anthropic affirme également qu’il n’a pas d’effet pratique sur le sens, la qualité, la créativité, la lisibilité ou le coût du texte.

Le filigrane ne contient pas d’information permettant d’identifier une personne, une organisation ou une conversation précise. Il s’agit donc d’un signal d’attribution potentiel, pas d’une empreinte personnelle. Anthropic parle d’une probabilité que Claude ait participé à la rédaction d’un passage. Le résultat ne permet pas de déterminer qui a écrit le texte, de prouver qu’aucun humain n’y a contribué, d’identifier la production d’un autre modèle ou d’évaluer de manière fiable un passage très court.

La limite est particulièrement visible lorsque Claude sert à relire, corriger, résumer ou traduire un texte. Selon Anthropic, une intervention légère peut ne laisser le filigrane que sur les quelques mots sélectionnés par Claude, ce qui produit un signal trop faible pour permettre une détection fiable.

Attribution d’un contenu et preuve d’auteur : deux choses différentes

La critique rapportée de Guillaume Meyer ne vise pas nécessairement l’attribution des contenus en tant que telle. Le développeur distingue cette attribution d’un marquage invisible qui pourrait être utilisé comme élément à charge contre une personne. Son objection porte notamment sur l’incapacité d’un signal probabiliste à distinguer une rédaction largement produite par l’IA d’une simple relecture ou d’une aide à la formulation.

Cette distinction renvoie à un problème plus large de provenance. Une détection positive peut indiquer qu’un texte est statistiquement compatible avec une intervention de Claude. Elle ne dit pas quelle part du texte provient du modèle, ce qui a été réécrit par un humain ni qui est à l’origine des idées. Après une traduction, une synthèse, une reformulation importante ou une reconstruction complète, la frontière entre « texte généré par l’IA » et « texte humain élaboré avec l’aide de l’IA » devient difficile à tracer.

Les éléments disponibles n’indiquent pas que le filigrane modifierait la propriété du contenu produit par Claude ou les droits substantiels de ses utilisateurs. Anthropic présente le système comme un outil d’estimation d’une éventuelle intervention de Claude, et non comme une revendication de propriété.

Pourquoi la réécriture fragilise les filigranes statistiques

Un filigrane statistique repose sur un motif réparti entre de nombreux choix de mots. Si le texte reste largement inchangé, ce motif peut être conservé lors d’un copier-coller et résister à certaines modifications. En revanche, une paraphrase approfondie, une traduction ou une réécriture peuvent changer suffisamment le vocabulaire pour rendre le signal indétectable.

Des chercheurs cités par Nature restent eux aussi sceptiques quant à la capacité des filigranes textuels à dissuader une personne motivée de réécrire une production d’IA, y compris avec l’aide d’un autre modèle. Leur inquiétude est qu’il soit possible de supprimer le signal tout en préservant l’essentiel du contenu.

Cela ne rend pas le marquage inutile. Pour des contrôles de routine, sur des textes suffisamment longs et restés proches de leur forme initiale, il peut fournir un indice exploitable par une machine. Mais il constitue une preuve beaucoup moins solide de l’origine inchangée d’un texte, surtout lorsqu’un humain l’a substantiellement retravaillé.

Ce que l’AI Act impose — et ce qu’il ne permet pas d’affirmer

L’obligation européenne vise principalement les fournisseurs de systèmes d’IA. Ceux-ci doivent intégrer des solutions techniques permettant le marquage et la détection, dans un format lisible par machine, des contenus générés ou manipulés par une IA, en tenant compte de la faisabilité technique. Le texte légal cite les filigranes parmi les approches possibles, sans garantir qu’une méthode donnée fonctionnera dans toutes les situations.

Les sources disponibles ici n’établissent pas l’existence d’une interdiction générale, en droit européen, pour des tiers indépendants de créer ou d’utiliser des outils retirant un filigrane. Elles ne précisent pas non plus pourquoi Anthropic n’a pas, dans un premier temps, limité techniquement la fonctionnalité aux utilisateurs de l’Union européenne. L’entreprise a choisi d’appliquer le marquage partout où les modèles Claude concernés sont disponibles.

Le compromis est donc clair : le filigrane peut améliorer la transparence et faciliter des vérifications en aval lorsque le texte reste relativement intact. Il ne garantit ni la provenance après une réécriture motivée, ni l’identité de l’auteur, ni la responsabilité de la personne qui publie la version finale.

À retenir

L’expérience Claude met en évidence à la fois l’intérêt et la fragilité des filigranes textuels. Le marquage peut signaler, de façon probabiliste, que Claude a contribué à un passage. Il n’est ni une métadonnée cachée, ni un identifiant personnel, ni une preuve concluante que Claude est l’auteur du texte final. L’apparition d’outils de réécriture, avec le projet de Guillaume Meyer publié en moins de quatre heures, montre pourquoi l’exigence européenne de marquage lisible par machine doit être comprise comme une mesure de transparence — et non comme une chaîne de traçabilité infaillible.