Il watermark di Claude aggirato in poche ore: cosa rivela sulla provenienza dei testi

Come funzionano i metodi per aggirare il contrassegno

Il watermark testuale di Claude non è composto da caratteri invisibili che si possano semplicemente cancellare. Anthropic lo descrive come un modello statistico incorporato nelle scelte di parole o token del sistema. Un verificatore valuta poi se la sequenza è statisticamente coerente con il processo di generazione di Claude.

Il metodo attribuito a Meyer utilizza un modello linguistico privo di watermark per produrre diverse riscritture: sostituisce sinonimi e riorganizza la formulazione cercando di conservare il significato. In questo modo colpisce proprio il modello di scelta delle parole sul quale si basa il rilevamento.

Altri strumenti accessibili dal browser intervengono invece su elementi diversi del testo generato. Uno rimuove caratteri Unicode invisibili o simili ad altri caratteri, riordina le frasi e sostituisce sinonimi. Tra le tecniche descritte figurano anche la sintesi del testo o la traduzione in un’altra lingua seguita da una nuova traduzione nella lingua originale.

È importante non confondere queste operazioni con la rimozione del watermark testuale di Claude: Anthropic afferma che il contrassegno non consiste in caratteri nascosti né in metadati aggiunti al testo.

Che cosa può dimostrare il watermark di Claude

Anthropic afferma che il sistema si basa su una versione dell’approccio SynthID-Text sviluppato da Google DeepMind. Nelle scelte a basso rischio tra parole successive altrimenti adatte, Claude usa una casualità guidata da una chiave segreta e collegata alle parole precedenti. Un verificatore può quindi stimare se il brano è statisticamente coerente con quelle selezioni.

Il contrassegno è progettato per essere invisibile al lettore, non aggiungere caratteri né token e non produrre effetti pratici su significato, qualità, creatività, leggibilità o costi. Anthropic precisa inoltre che non contiene informazioni identificative e non può essere ricondotto a una persona, un’organizzazione o una specifica chat.

Il risultato è dunque un segnale di attribuzione, non un’impronta digitale personale. Anthropic presenta il rilevamento come una probabilità che Claude sia intervenuto nella scrittura di un passaggio. Il sistema non può stabilire chi abbia scritto il testo, dimostrare che una persona non vi abbia contribuito, identificare l’output di un altro modello o valutare in modo affidabile brani molto brevi.

La distinzione è particolarmente rilevante quando Claude viene usato per correggere bozze, fare modifiche leggere, riassumere o tradurre. Secondo Anthropic, un testo sottoposto a un editing minimo potrebbe conservare il watermark soltanto nelle poche parole selezionate da Claude, lasciando un segnale troppo debole per un rilevamento affidabile.

Perché il rilevamento non equivale alla paternità

La critica riportata di Meyer non riguarda necessariamente l’attribuzione dei contenuti in sé. Lo sviluppatore distingue l’attribuzione del contributo da un contrassegno invisibile che potrebbe essere usato come prova contro una persona. Il timore è che un segnale probabilistico non sappia distinguere tra un contributo sostanziale dell’IA e un aiuto limitato, come la correzione di bozze o l’editing.

Il problema è più ampio e riguarda la provenienza dei contenuti. Un rilevatore può indicare che un brano è statisticamente coerente con un intervento di Claude, ma non può dire quale percentuale del testo finale provenga dal modello, quanto sia stata modificata da una persona o chi abbia avuto l’idea originale.

Dopo una riscrittura ampia, una traduzione, una sintesi o una ricostruzione, diventa inoltre più difficile tracciare un confine netto tra “testo generato dall’IA” e “testo scritto da una persona con l’assistenza dell’IA”.

Le prove disponibili non indicano che il watermark modifichi la titolarità dell’output di Claude o i diritti sostanziali degli utenti. Anthropic presenta il sistema come uno strumento per stimare il possibile coinvolgimento di Claude, non come una rivendicazione di proprietà.

Perché la riscrittura indebolisce i watermark statistici

Un watermark statistico dipende da un modello distribuito su molte scelte lessicali. Se il testo resta quasi intatto, il segnale può accompagnarlo durante il copia-incolla e sopravvivere ad alcune modifiche. Parafrasi estese, traduzioni o riscritture profonde, però, possono alterare una quantità sufficiente di parole da rendere il contrassegno non più rilevabile.

Anche i ricercatori citati da Nature restano scettici sulla capacità dei watermark testuali di scoraggiare in modo affidabile chi sia motivato a riscrivere un output generato dall’IA, anche con l’aiuto di un altro modello. Il segnale potrebbe essere rimosso conservando in larga parte il significato del contenuto.

Questo non significa che il watermark sia inutile. Può fornire un indizio leggibile dalle macchine nei controlli ordinari, soprattutto quando il testo è sufficientemente lungo e vicino alla forma originale generata dal modello. È però una prova molto più debole dell’origine invariata di un testo, in particolare dopo un intervento umano sostanziale.

Che cosa richiede davvero l’AI Act europeo

Il requisito europeo pertinente riguarda principalmente i fornitori: devono integrare soluzioni tecniche capaci di supportare la marcatura e il rilevamento, in formato leggibile dalle macchine, dei contenuti generati o manipolati dall’IA, tenendo conto della fattibilità tecnica. Il testo normativo indica watermark e altre tecniche come possibili approcci, senza garantire che un singolo metodo funzioni in ogni circostanza.

Le fonti disponibili non dimostrano l’esistenza di un divieto generale, previsto dal diritto dell’Unione, per soggetti indipendenti che creino o utilizzino strumenti capaci di rimuovere un watermark. Non spiegano neppure perché Anthropic non abbia inizialmente limitato la funzione agli utenti nell’UE. L’azienda ha scelto invece di applicare la marcatura in tutto il mondo, ovunque siano disponibili i modelli Claude supportati.

Il compromesso pratico è quindi evidente: il watermark può aumentare la trasparenza e facilitare i controlli successivi quando il testo è relativamente intatto. Non può però garantire la provenienza dopo una riscrittura motivata e, da solo, non risolve le questioni di paternità, intenzione o responsabilità.

In sintesi

Il lancio di Anthropic mostra contemporaneamente il valore e la fragilità dei watermark testuali. Il contrassegno può funzionare come segnale probabilistico del possibile contributo di Claude, ma non è metadato nascosto, non identifica l’utente e non dimostra che Claude abbia scritto il testo finale. La comparsa di strumenti di riscrittura, a partire dal progetto di Meyer pubblicato entro quattro ore, spiega perché l’obbligo europeo di marcatura leggibile dalle macchine vada interpretato come una misura di trasparenza, non come una catena di custodia infallibile.