Cómo Claude incrusta un sello de agua de texto invisible: Explicación de SynthID

A partir de sus modelos más recientes, Claude incluye una firma estadística oculta en lo que genera. Nadie puede verla. No se añaden caracteres y la calidad no cambia de manera significativa. Su única función es permitir que una persona que posee una clave secreta estime cuán probable es que Claude haya escrito, o editado sustancialmente, un pasaje determinado.

El sistema se basa en el trabajo SynthID-Text de Google DeepMind, publicado en Nature en 2024 y validado con cerca de 20 millones de respuestas reales. Anthropic y otros 190 firmantes lo están adoptando para cumplir con la Ley de IA de la UE, que exige que los proveedores marquen el contenido generado por inteligencia artificial a partir del 2 de agosto de 2026. Este mecanismo es lo suficientemente elegante como para merecer una atención detallada, y sus limitaciones son igualmente importantes si se escribe, se enseña o se gestiona a escritores.

Por qué la detección necesitaba un enfoque diferente

La detección de texto generado por IA se ha basado en dos tipos de herramientas. La detección basada en recuperación almacena todo lo que un modelo ha generado alguna vez y compara el texto nuevo con ese archivo, lo que implica que el proveedor debe registrar cada interacción y genera problemas tanto de coordinación como de privacidad. La detección posterior, utilizada por la mayoría de los productos comerciales, entrena un clasificador o se apoya en características estadísticas para diferenciar la escritura humana de la generada por máquinas.

La detección posterior presenta tres debilidades estructurales. Rende mal con textos de dominios en los que no fue entrenada. Produce más falsos positivos en ciertos grupos, especialmente en escritores no nativos de inglés, cuya prosa cuidadosa y ligeramente formal parece producto de una máquina para un clasificador. Además, depende de una brecha que se reduce constantemente, ya que solo funciona mientras el texto generado por IA sea estadísticamente distinguible del texto humano, y los modelos más recientes acortan esa distancia rápidamente.

La consecuencia práctica es desastrosa. Un escritor cuyo trabajo es marcado como sospechoso no tiene nada con qué defenderse: ni firma, ni prueba criptográfica, ni forma de demostrar que fue un ser humano quien lo escribió. Se asume su culpabilidad hasta que se demuestre lo contrario, y no existen herramientas para probar nada.

El uso de marcas de agua invierte esta situación. En lugar de inspeccionar el texto final en busca de patrones similares a los de la IA, la señal se incorpora durante la generación y luego se verifica con una clave. El compromiso, que se explica a continuación, es que solo funciona cuando el proveedor del modelo coopera.

Dónde se encuentra la marca de agua

Todo depende de cómo Claude genera texto. Funciona de forma autoregresiva, emitiendo un único token a la vez (una palabra o parte de ella). Antes de cada token, evalúa todo lo escrito hasta el momento y asigna una probabilidad a cada entrada de su vocabulario.

Considere la oración “El clima hoy fue frío y ___.”. El espacio en blanco no será “dulce”, pero “gris”, “nublado” o “húmedo” serían opciones válidas, y el lector no podrá distinguir la diferencia ya que el significado se mantiene. El modelo resuelve este empate tomando muestras de su distribución, y en una ejecución normal esa toma de muestras utiliza un número aleatorio común.

El muestreador es donde se establece la firma. Un esquema de marca de agua deja intacto el vocabulario y modifica la fuente de aleatoriedad: la selección se calcula a partir de una clave secreta mezclada con los pocos tokens que la preceden. Para un lector, las elecciones siguen pareciendo arbitrarias, con “gris” en un lugar y “nublado” unas frases después. Sin embargo, estadísticamente toda la cadena de elecciones ahora coincide con la clave. Existen pruebas de detección para esa alineación; al introducir el texto y la clave en una función de puntuación, esta verifica si los tokens son los que la clave habría elegido, y con suficientes palabras el resultado deja de ser cuestión de azar.

Observe lo que no cambia. La marca de agua no restringe las palabras que usará Claude ni lo inclina hacia palabras más raras o peores. Solo cambia la fuente de aleatoriedad entre opciones igualmente buenas. Mismo vocabulario, misma calidad, diferentes métodos de selección.

La idea de la semilla

Algunas preguntas no tienen realmente competencia. Después de “La capital de Alemania es”, el modelo deposita casi toda su confianza en “Berlín”, por lo que cualquier método para resolver empates da como resultado “Berlín”. En el caso de “El clima hoy es frío y”, varias palabras encajan igualmente bien: gris, nublado, sombrío, cubierto de nubes. Una selección aleatoria decide, y por eso una misma pregunta puede generar respuestas ligeramente diferentes en distintas intentonas.

Un generador de números aleatorios que parte de la misma semilla produce siempre la misma secuencia. Para quien no posee la semilla parece aleatorio, mientras que para quien la tiene es completamente reproducible. Apliquemos esto al ejemplo del clima: con una semilla el modelo siempre indica “nublado”, y con otra, “gris”. La elección sigue siendo arbitraria, solo fija. El sistema de marcas de agua reemplaza una semilla predefinida por una que se calcula en tiempo real a partir de una clave secreta. El vocabulario y la calidad permanecen inalterados, pero todo el proceso de resolución de empates queda vinculado a dicha clave.

Un único espacio no demuestra nada, pero los espacios se multiplican. Un solo párrafo puede contener muchos lugares intercambiables: nublado o gris, una brisa ligera o suave, que pasa entre los árboles o sopla a través de ellos, tranquilo o en calma. Solo cuatro de esos elementos generan dieciséis párrafos igualmente buenos, y cada espacio adicional duplica esa cantidad. Un modelo sin semillas llega por casualidad a una versión determinada. Un modelo con clave sigue un camino específico en cada bifurcación, y ese camino es su huella digital.

Detección sin el modelo

Un sistema de extracción basado únicamente en claves permitiría marcar el texto adecuadamente con agua, pero verificarlo sería un problema. Para probar un fragmento de texto aleatorio encontrado en línea, habría que saber qué modelo lo escribió, conocer la instrucción original y volver a ejecutar el modelo para ver si sus decisiones coinciden con la clave. Dado que rara vez se dispone de la instrucción original, este método no puede escalar. El enfoque presentado en el artículo SynthID-Text está diseñado de tal manera que la verificación nunca requiere volver a utilizar el modelo.

Una versión simplificada ayuda. Imagina tres funciones derivadas de la clave: G1, G2 y G3. Cada una analiza una palabra candidata junto con el contexto cercano y la clave secreta, asignándole un bit pseudoaleatorio, ya sea 0 o 1. Se aplica este proceso a las cuatro palabras candidatas y cada una recibe una firma corta de tres bits.

A continuación, los candidatos compiten en un formato de eliminatorias, similar a un torneo deportivo. Las palabras se emparejan en pares, y la que obtiene un valor de bit más alto en esa ronda avanza, siendo la clave el factor que resuelve cualquier empate. La primera ronda utiliza G1, la segunda G2, y así sucesivamente. Dado que el formato sigue recompensando los valores de bit más altos, la palabra que sobrevive suele obtener buenos resultados en la mayoría de las funciones. En este ejemplo, “grey” gana y se convierte en la siguiente palabra. Al cambiar a otra clave, todas las firmas cambian, por lo que otra palabra obtiene el título.

Dado que los ganadores tienen valores de bit más altos, un texto con marca de agua finalizada tiende ligeramente hacia el patrón de la clave, algo que se puede medir únicamente a partir del texto.

Verificación de un texto sospechoso

Supongamos que encuentras un pasaje en línea y quieres saber si lo escribió Claude. Con la clave y las mismas funciones analizas el texto palabra por palabra y sumas los bits de cada palabra en G1, G2 y G3.

El texto generado con la marca de agua suele tener un valor alto, quizás 2.2 en esta escala, ya que sus palabras fueron seleccionadas por tener muchos bits. Ahora imagina que un editor reemplaza algunas palabras por suposiciones, como cambiar “today” por “now” o “grey” por “overcast”. Esos cambios ignoran la clave y reducen el promedio, quizás a 1.7. Un umbral entre estos dos valores, digamos 2.0, sirve para distinguir los casos: por encima de él, es probable que el texto provenga de Claude; por debajo, probablemente no.

Qué hace que sea más fácil o difícil detectarlo

Hay dos factores que determinan cuán confiable puede ser cualquier detección.

Longitud. Cada elección de palabra deja una huella, por lo que un pasaje más largo acumula más marcas y genera un veredicto más contundente. Por eso el detector indica un nivel o rango de confianza en lugar de un simple sí o no.

Entropía. Esta es una medida de cuánta elección real tuvo el modelo. Cuando varias palabras siguientes son igualmente adecuadas, existe margen para orientarse hacia la clave y la marca se mantiene. Cuando solo cabe una palabra, no hay posibilidad de orientación y no se marca nada.

Los modelos más grandes y potentes suelen estar más seguros de la palabra siguiente correcta, lo que deja menos opciones posibles. El ajuste fino con retroalimentación humana tiene un efecto similar y puede hacer que el modelo opte casi siempre por la misma formulación. También influyen los parámetros de generación: una temperatura cercana a cero o un conjunto de candidatos demasiado restringido impiden que la marca de agua tenga espacio para actuar.

Precisión y costo

Una forma sencilla de evaluar un detector es determinar cuántos textos con marca de agua logra detectar sin acusar erróneamente a las personas con frecuencia. Los investigadores fijan la tasa de alarmas falsas en el 1 por ciento y luego cuentan la proporción de textos con marca de agua reales que se encuentran. En comparación con las mejores alternativas en cada categoría, el muestreo por torneos de SynthID-Text detecta más casos. Su mayor ventaja se observa en la escritura de baja entropía, donde hay pocas opciones con las que trabajar y la detección suele enfrentar mayores dificultades.

La carga adicional es insignificante. El estudio midió 15,527 ms por token generado sin marca de agua y 15,615 ms cuando se activa todo el sistema, lo que representa un aumento de aproximadamente medio por ciento. El costo se mantiene más o menos constante a medida que escalan los modelos, por lo que desaparece entre los valores insignificantes en tamaños avanzados.

¿Afecta esto a la escritura?

La evidencia en este punto es la más contundente, y indica que no. El equipo de Nature realizó una prueba en tiempo real dentro de Gemini, dirigiendo una proporción aleatoria de consultas reales a un modelo con marca de agua y el resto al modelo normal, para luego comparar las tasas de aprobación y desaprobación en aproximadamente 20 millones de respuestas. Las votaciones positivas difirieron un 0,01% y las negativas un 0,02%, valores ambos estadísticamente insignificantes y dentro de los intervalos de confianza del 95%.

En un estudio controlado separado, las personas compararon lado a lado respuestas con marca de agua y respuestas normales, evaluando su gramática y coherencia, relevancia, corrección, utilidad y calidad general. Ninguno de los cinco criterios mostró una diferencia significativa. Los análisis de complejidad y las pruebas estándar coincidieron, y los propios informes internos de pruebas de Claude de Anthropic arrojaron el mismo resultado.

Qué significa una marca de agua detectada

Esto significa que es estadísticamente probable que Claude estuviera involucrado en la creación del texto en algún momento. No indica lo siguiente:

• Quién utilizó a Claude. La firma no contiene información sobre el usuario, la organización ni la conversación, y ni la firma ni la clave pueden rastrearse hasta una persona específica.
• Si Claude lo escribió o solo lo editó. Redactar y reescribir ampliamente se ven idénticos para el detector.
• Que otro AI lo escribió. Un modelo diferente utilizaría una clave distinta o otro método de marca de agua, por lo que la falta de coincidencia con la clave de Claude no implica que un humano haya escrito el texto.
• Que un humano lo escribió. La ausencia de marca de agua no es prueba de autoría humana, ya que los textos cortos, factuales o ampliamente editados también pueden no mostrar marca de agua.

No es indestructible. Pequeñas modificaciones probablemente lo dejen intacto, pero reemplazar cada elemento en una reescritura completa lo destruye por completo, y entonces surge la pregunta de si el resultado aún se puede considerar texto generado por IA. Pasar el texto por otro modelo para parafrasearlo también debilita la señal. El propio artículo admite que los ataques de robo, suplantación y eliminación contra las marcas de agua generativas siguen estando en estudio.

¿Por qué ahora?

Las empresas no añadieron esta función por capricho. Es una obligación legal. Anthropic y unos 190 otros firmantes pusieron sus nombres en julio de 2026 al Código de Prácticas de la UE sobre Transparencia del Contenido Generado por IA, y desde el 2 de agosto de 2026 cualquier persona que ofrezca texto generado por IA en el mercado de la UE debe marcarlo. Claude no es especial en este sentido; otros desarrolladores líderes también firmaron la misma promesa y están creando sus propios sellos con sus propias claves. Anthropic afirma que aplica la marca de agua a nivel mundial desde el lanzamiento, ya que aún no existe una opción de cambio regional, y que se está desarrollando una API para detectarla.

Qué sacar de esto

Hasta ahora, la respuesta a “¿es esta IA?” provenía de herramientas que adivinaban basándose en el estilo, y penalizaban los textos cuidadosos, formales o escritos en un segundo idioma por parecer demasiado pulcros. El sistema de marcas de agua apuesta por algo distinto: un patrón tenue, invisible y dependiente de una clave que se inserta mientras se genera el texto y se verifica posteriormente. Su capacidad es deliberadamente limitada: indica que es probable que haya participado Claude, pero no puede decir quién lo utilizó, no distingue entre escritura y edición, no puede exonerar a una persona de sospecha ni sobrevive a una reescritura completa. Es más honesto que las conjeturas, y quienes lo usan deben corresponder a esa honestidad.

Lecturas relacionadas

• Envenenamiento de datos RAG: Hackear un pipeline sin tocar el LLM — Cómo los atacantes envenenan las bases de conocimiento RAG a través de documentos, metadatos e inyección indirecta de prompts, y los controles del ciclo de vida de los datos que realmente lo previenen.
• Ingeniería de prompts: Dirigir LLMs sin fine-tuning — Utiliza roles, ejemplos de pocos casos, razonamiento en cadena y restricciones de formato para guiar a los modelos; además, aprende cuándo el uso exclusivo de prompts alcanza sus límites frente al fine-tuning.