Водяний знак Claude зламали за кілька годин: що це означає для походження тексту

Запровадження водяного знака в текстах Claude швидко перетворилося на перевірку того, наскільки життєздатним є маркування ШІ-контенту в реальному світі. Менш ніж за чотири години після підтвердження Anthropic розробник Гійом Мейєр опублікував відкритий спосіб обходу системи. Ця історія показує головне обмеження статистичних водяних знаків: вони можуть допомагати під час стандартних перевірок, але стають вразливими після достатньо масштабного переписування тексту.

Що змінилося після 2 серпня 2026 року

Anthropic повідомляє, що підтримувані моделі Claude, запущені від 2 серпня 2026 року, маркують згенерований контент уже під час запуску. Маркування застосовується всюди, де доступні такі моделі Claude, — у всьому світі. Згенерований текст отримує непомітний для людини водяний знак, а підтримувані файли можуть містити цифрово підписані метадані про походження.

Компанія пояснює це рішення вимогами прозорості, пов’язаними з Актом ЄС про штучний інтелект (EU AI Act). Документ передбачає технічні рішення, які дають змогу позначати та виявляти у машинозчитуваному форматі контент, створений або змінений системою ШІ, якщо це технічно можливо.

Майже одразу після глобального запуску з’явилися публічні спроби зламати текстовий сигнал. За даними WIRED, Мейєр оприлюднив свій спосіб видалення водяного знака протягом чотирьох годин. Згодом проєкт залучив понад 100 учасників, а його поширення додали в закладки в X понад 20 000 разів. Доступні публікації не дають змоги надійно встановити загальну кількість зірок на GitHub, завантажень або користувачів.

Як працюють способи обходу

Водяний знак Claude — це не шар невидимих символів, який можна просто стерти. Anthropic описує його як статистичний шаблон у виборі моделлю слів або токенів. Перевіряльник із відповідним методом виявлення оцінює, наскільки послідовність тексту статистично узгоджується з процесом генерації Claude.

Підхід Мейєра використовує немарковану мовну модель для створення кількох перефразувань: змінюються синоніми, перебудовується формулювання, але зберігається загальний зміст. Такі зміни спрямовані безпосередньо на шаблон вибору слів, у якому й міститься сигнал.

Інші браузерні інструменти, описані в публікаціях, працюють з іншими характеристиками згенерованого тексту. Один із них видаляє невидимі або схожі на звичайні Unicode-символи, змінює порядок речень і замінює синоніми. Серед можливих способів також називають стискання тексту або переклад іншою мовою з подальшим перекладом назад.

Водночас ці методи не слід плутати з видаленням основного текстового водяного знака Claude: Anthropic заявляє, що він не складається з прихованих символів чи доданих текстових метаданих.

Що водяний знак може показати — і чого не може

Anthropic каже, що її технологія ґрунтується на підході SynthID-Text від Google DeepMind. Під час вибору наступного слова з кількох прийнятних варіантів Claude використовує керовану секретним ключем випадковість, пов’язану з попередніми словами. Потім перевіряльник може оцінити, чи відповідає отриманий уривок статистично цьому процесу вибору.

Знак має бути невидимим для читача, не додавати символів і не потребувати додаткових токенів. За даними Anthropic, він не повинен практично впливати на зміст, якість, креативність, читабельність або вартість генерації.

Водяний знак також не містить ідентифікаційної інформації та не дає змоги відстежити конкретну людину, організацію чи чат.

Отже, це сигнал атрибуції, а не персональний «відбиток пальця». Anthropic трактує виявлення як імовірність того, що Claude брав участь у написанні уривка. Така перевірка не встановлює, хто саме створив текст, не доводить, що людина не писала його, не визначає авторство іншої моделі й ненадійна для коротких уривків.

Це особливо важливо, коли Claude використовують для коректури, легкого редагування, резюмування або перекладу. Anthropic зазначає, що після незначного редагування водяний знак може залишитися лише на кількох словах, вибраних Claude, — і цього сигналу буде недостатньо для надійного виявлення.

Чому розробники не хочуть вважати виявлення доказом авторства

За повідомленням WIRED, критика Мейєра спрямована не проти атрибуції як такої. Він розрізняє визначення участі системи у створенні контенту та невидимий знак, який можуть використати як доказ проти конкретної людини. Його побоювання полягає в тому, що імовірнісний сигнал не завжди відрізняє суттєве авторство ШІ від обмеженої допомоги — наприклад, коректури чи редагування.

Це частина ширшої проблеми визначення походження тексту. Детектор може встановити, що уривок статистично узгоджується з участю Claude, але не покаже, яка частина фінального тексту належить моделі, скільки змінила людина і хто запропонував початкові ідеї.

Після суттєвого переписування, перекладу, скорочення або відновлення тексту межа між «згенерованим ШІ» та «написаним людиною за допомогою ШІ» стає менш чіткою.

Надані джерела не свідчать, що водяний знак змінює право власності на результат роботи Claude або інші змістовні права користувачів. Anthropic представляє систему як спосіб оцінити можливу участь Claude, а не як претензію на право власності.

Чому переписування послаблює статистичні водяні знаки

Статистичний водяний знак залежить від шаблону, розподіленого між численними виборами слів. Якщо текст залишається майже незмінним, цей шаблон може зберегтися під час копіювання та вставлення й пережити частину редагувань. Але масштабне перефразування, переклад або повторне написання здатні змінити достатню кількість формулювань, щоб сигнал став невидимим для детектора.

Дослідники, яких цитує Nature, так само скептично оцінюють здатність текстових водяних знаків стримати мотивовану людину від переписування результату ШІ, зокрема за допомогою іншої мовної моделі. На їхню думку, сигнал можна прибрати, значною мірою зберігши зміст.

Це не означає, що водяні знаки цілком марні. Вони можуть бути машинозчитуваною підказкою для звичайних перевірок, якщо текст достатньо довгий і близький до початкової версії. Однак як незаперечний доказ незмінного походження вони значно слабші — особливо після суттєвого людського редагування.

Що вимагає EU AI Act — і чого джерела не підтверджують

Відповідна вимога ЄС покладає основний обов’язок на постачальників: вони мають впроваджувати технічні рішення для машинозчитуваного маркування та виявлення контенту, який створив або змінив ШІ, з урахуванням технічної здійсненності. Закон називає водяні знаки та інші методи можливими підходами, але не гарантує, що одна технологія працюватиме в будь-яких обставинах.

Надані джерела не підтверджують існування загальної заборони в праві ЄС на створення чи використання незалежними третіми сторонами інструментів для видалення водяних знаків. Вони також не пояснюють, чому Anthropic не могла спочатку обмежити функцію лише користувачами з ЄС. Натомість заявлений компанією підхід передбачає глобальне маркування всюди, де доступні підтримувані моделі Claude.

На практиці це створює компроміс. Водяні знаки можуть підвищити прозорість і спростити подальше виявлення відносно незміненого тексту. Але наявні дані не дають підстав вважати їх гарантією походження після навмисного переписування. Так само позитивний результат перевірки сам по собі не вирішує питання авторства, наміру чи відповідальності.

Висновок

Запуск водяних знаків Claude продемонстрував одночасно їхню користь і крихкість. Такий знак може бути імовірнісним сигналом того, що Claude долучився до створення уривка, але це не приховані метадані, не персональний ідентифікатор і не остаточний доказ авторства Claude.

Поява інструментів переписування — починаючи з проєкту Мейєра, опублікованого протягом чотирьох годин, — показує, чому вимогу EU AI Act про машинозчитуване маркування варто розуміти як захід прозорості, а не як безпомилковий ланцюжок підтвердження походження тексту.