Comment Claude insère une marque d’eau de texte invisible : explication de SynthID

Dès ses modèles les plus récents, Claude intégre une signature statistique cachée dans ce qu’il génère. Personne ne peut la voir. Aucun caractère n’est ajouté et la qualité ne change pas de manière significative. Sa seule fonction est de permettre à une personne détenant une clé secrète d’estimer la probabilité que Claude ait écrit, ou modifié de manière substantielle, un passage donné.

Ce système est basé sur la recherche SynthID-Text de Google DeepMind, publiée dans Nature en 2024 et validée sur près de 20 millions de réponses en temps réel. Anthropic ainsi que 190 autres entreprises l’adoptent pour se conformer à la loi européenne sur l’IA, qui exige que les fournisseurs indiquent le contenu généré par des IA à partir du 2 août 2026. Ce mécanisme est suffisamment élégant pour mériter une étude approfondie, et ses limites sont tout aussi importantes que vous écriviez, enseigniez ou gérez des auteurs.

Pourquoi la détection nécessitait une approche différente

La détection du texte généré par l’IA s’est appuyée sur deux types d’outils. La détection basée sur la récupération stocke tout ce que le modèle a jamais produit et compare de nouveaux textes à cet archivage, ce qui oblige le fournisseur à enregistrer chaque interaction et crée des problèmes de coordination ainsi que de confidentialité. La détection a posteriori, utilisée par la plupart des produits commerciaux, entraîne un classificateur ou s’appuie sur des caractéristiques statistiques pour distinguer l’écriture humaine de celle issue d’une machine.

La détection a posteriori présente trois faiblesses structurelles. Elle performe mal avec des textes provenant de domaines sur lesquels elle n’a pas été entraînée. Elle génère davantage de faux positifs pour certains groupes, en particulier les auteurs non natifs de l’anglais, dont la prose soignée et légèrement formelle est perçue comme étant produite par une machine par le classificateur. De plus, elle dépend d’un écart qui se réduit constamment, puisqu’elle ne fonctionne que tant que le texte généré par l’IA est statistiquement distinct du texte humain, et les nouveaux modèles réduisent rapidement cette différence.

La conséquence pratique est désastreuse. Un auteur dont le travail est marqué ne dispose d’aucun élément pour prouver son identité : pas de signature, pas de preuve cryptographique, aucune façon de démontrer qu’un être humain l’a écrit. La culpabilité est supposée jusqu’à preuve du contraire, et les outils permettant de prouver quoi que ce soit n’existent pas.

Le marquage d’eau inverse cette situation. Au lieu d’analyser le texte final à la recherche de motifs similaires à ceux de l’IA, le signal est intégré dès la génération et vérifié par la suite à l’aide d’une clé. Le compromis, décrit ci-dessous, est que cette méthode ne fonctionne que si le fournisseur du modèle coopère.

Où se trouve le marquage d’eau

Tout dépend de la manière dont Claude génère du texte. Il fonctionne de manière autoregressive, émettant un seul token à la fois (un mot ou une partie de mot). Avant chaque token, il évalue tout ce qui a été écrit jusqu’alors et attribue une probabilité à chaque élément de son vocabulaire.

Considérez la phrase « Le temps aujourd’hui était froid et ___. » Le mot à insérer ne sera pas « sucré », mais « gris », « couvert » ou « humide » conviendraient tous, et le lecteur ne pourra pas faire la différence puisque le sens reste identique. Le modèle résout ce cas d’égalité en effectuant un échantillonnage à partir de sa distribution, et lors d’un fonctionnement normal, cet échantillonnage utilise un nombre aléatoire ordinaire.

C’est dans le échantillonneur que la signature est insérée. Un système de marquage d’eau ne touche pas au vocabulaire mais modifie la source de aléatoireité : le choix est calculé à partir d’une clé secrète mélangée aux quelques tokens qui le précèdent. Pour un lecteur, les choix semblent toujours arbitraires, avec « gris » à un endroit et « couvert » quelques phrases plus tard. Statistiquement cependant, toute la chaîne de choix correspond désormais à la clé. Des tests de détection vérifient cette correspondance. En fournissant le texte et la clé à une fonction de scoring, on peut déterminer si les tokens correspondent à ceux que la clé aurait choisis, et avec suffisamment de mots, le résultat cesse d’être aléatoire.

Remarquez ce qui ne change pas. L’eau marquée ne restreint pas les mots que Claude utilisera et ne le pousse pas vers des mots plus rares ou de moindre qualité. Elle se contente de changer la source aléatoire parmi des options tout aussi bonnes. Même vocabulaire, même qualité, mais une source d’aléatoire différente.

L’idée de graine

Certaines étapes ne présentent pas de véritable concurrence. Après « La capitale de l’Allemagne est », le modèle place presque toute sa confiance dans « Berlin », de sorte que n’importe quelle méthode de décision aboutit à « Berlin ». Avec « Le temps aujourd’hui est froid et », plusieurs mots conviennent tout aussi bien : gris, couvert, sombre, nuageux. Un tirage au sort décide alors, c’est pourquoi une même demande peut donner des réponses légèrement différentes à chaque tentative.

Un générateur de nombres aléatoires partant de la même graine produit toujours la même séquence. Pour ceux qui ne possèdent pas la graine, cela semble aléatoire, tandis que pour ceux qui la possèdent, le résultat est entièrement reproductible. Appliquons cela à l’exemple météorologique : avec une certaine graine, le modèle indiquera toujours « couvert », et avec une autre, « gris ». Le choix reste arbitraire, mais il est fixé. L’ajout d’une marque d’eau remplace une graine codée à l’avance par une graine calculée en temps réel à partir d’une clé secrète. Le vocabulaire et la qualité restent inchangés, mais l’ensemble des décisions de détermination est lié à cette clé.

Un seul emplacement ne prouve rien, mais les emplacements se multiplient. Un paragraphe unique peut contenir de nombreux espaces interchangeables : nuageux ou gris, une brise légère ou douce, soufflant à travers les arbres ou à leur milieu, calme ou immobile. Rien que quatre de ces éléments permettent d’obtenir seize paragraphes tout aussi bons, et chaque emplacement supplémentaire double ce nombre. Un modèle sans graine aboutit par hasard à une version donnée. Un modèle à clé suit un itinéraire précis à chaque embranchement, et cet itinéraire constitue l’empreinte digitale.

Détection sans modèle

Une méthode de génération simple basée sur une clé permettrait d’ajouter un filigrane au texte sans problème, mais sa vérification poserait des difficultés. Pour tester un fragment de texte aléatoire trouvé en ligne, il faudrait connaître le modèle qui l’a généré, connaître la prompt initiale et relancer ce modèle pour voir si ses choix correspondent à la clé. La prompt est rarement disponible, ce qui empêche une application à grande échelle. La méthode présentée dans l’article SynthID-Text est conçue de telle manière que la vérification n’a jamais besoin d’utiliser à nouveau le modèle.

Une version simplifiée peut aider. Imaginez trois fonctions dérivées de la clé, G1, G2 et G3. Chacune examine un mot candidat en tenant compte du contexte environnant ainsi que de la clé secrète, et lui attribue un bit pseudo-aléatoire, soit 0 soit 1. Appliquez ces trois fonctions aux quatre mots candidats, et chacun obtiendra une signature courte de trois bits.

Ensuite, les candidats s’affrontent dans un tableau éliminatoire, à l’instar d’un tournoi sportif. Les mots sont associés par paires, et celui qui obtient le score le plus élevé pour ce tour passe au suivant, la clé servant à trancher en cas d’égalité. Le premier tour utilise G1, le deuxième G2, et ainsi de suite. Comme le tableau récompense constamment les scores plus élevés, le mot survivant a généralement obtenu de bons résultats pour la plupart des fonctions. Dans cet exemple, « grey » gagne et devient le mot suivant. En changeant de clé, chaque signature se déplace, ce qui fait que un mot différent remporte le titre.

Puisque les gagnants possèdent des scores plus élevés, un texte marqué est légèrement incliné vers le motif de la clé, ce qui peut être mesuré uniquement à partir du texte lui-même.

Vérification d’un texte suspect

Supposons que vous trouviez un passage en ligne et que vous souhaitiez savoir si c’est Claude qui l’a écrit. À l’aide de la clé et des mêmes fonctions, vous analysez le texte mot par mot en additionnant les bits de chaque mot pour G1, G2 et G3.

Le texte généré avec l’eau de marque présente en moyenne une valeur élevée, peut-être 2,2 sur cette échelle, car ses mots ont été sélectionnés pour contenir de nombreux bits. Imaginez maintenant qu’un éditeur remplace quelques mots par des suppositions, comme « today » par « now » ou « grey » par « overcast ». Ces substitutions ignorent la clé et font baisser la moyenne, peut-être à 1,7. Un seuil entre ces deux valeurs, disons 2,0, permet de distinguer les cas : si la valeur est supérieure, le texte provient probablement de Claude ; sinon, il ne provient probablement pas de lui.

Ce qui rend la détection plus facile ou plus difficile

Deux facteurs déterminent le degré de fiabilité d’une détection.

Longueur. Chaque choix de mot laisse une empreinte ; par conséquent, un passage plus long accumule davantage d’empreintes et permet une conclusion plus ferme. C’est pourquoi un détecteur indique un niveau ou une fourchette de confiance plutôt qu’un simple oui ou non.

Entropie. Il s’agit d’une mesure du degré de liberté réel dont disposait le modèle. Lorsque plusieurs mots suivants sont également pertinents, il existe de la marge pour choisir celui qui est le plus important, et l’empreinte reste marquée. Lorsqu’un seul mot convient, il n’y a pas de possibilité de choix et aucune empreinte n’est laissée.

Les modèles plus gros et plus puissants sont généralement plus certains du mot suivant à choisir, ce qui réduit le nombre de possibilités. Le fine-tuning à l’aide des retours humains a un effet similaire et peut amener le modèle à utiliser presque toujours les mêmes formulations. Les paramètres de génération jouent également un rôle : une température proche de zéro ou un pool de candidats trop restreint ne laissent aucune marge d’action au mécanisme de marquage.

Précision et coût

Une façon simple d’évaluer un détecteur : combien de textes marqués d’une watermark parvient-il à identifier sans accuser fréquemment une personne ? Les chercheurs fixent le taux d’alertes fausses à 1 pour cent, puis comptent la proportion de textes marqués réellement trouvés. Par rapport aux meilleures alternatives dans chaque catégorie, la méthode d’échantillonnage par tournoi de SynthID-Text en découvre davantage. Son plus grand avantage se manifeste dans l’écriture à faible entropie, où les options sont limitées et la détection rencontre généralement le plus de difficultés.

La charge supplémentaire est négligeable. L’étude a mesuré 15,527 ms par token généré sans watermark et 15,615 ms lorsque tous les mécanismes étaient en activité, soit une augmentation d’environ un demi pour cent. Le coût reste globalement constant à mesure que les modèles s’aggrandissent, de sorte qu’il disparaît presque entièrement à des tailles importantes.

Cela affecte-t-il l’écriture ?

Les preuves sont les plus solides sur ce point, et elles indiquent un non. L’équipe de Nature a mené un test en temps réel au sein de Gemini, en dirigeant une proportion aléatoire des requêtes réelles vers un modèle marqué d’une watermark et le reste vers le modèle normal, puis a comparé les taux d’approbation et de désapprobation sur environ 20 millions de réponses. Les votes positifs présentaient une différence de 0,01 % et les votes négatifs de 0,02 %, des différences statistiquement insignifiantes et se situant dans les intervalles de confiance à 95 %.

Dans une étude contrôlée distincte, des personnes ont comparé côte à côte les réponses marquées d’une watermark et celles sans marque, en évaluant la grammaire et la cohérence, la pertinence, la justesse, l’utilité et la qualité globale. Aucune de ces cinq critères n’a montré de différence significative. Les mesures de perplexité et les tests de référence standard étaient en accord, et les rapports internes de test de Claude chez Anthropic indiquent le même résultat.

Que signifie une watermark détectée

Cela signifie qu’il est statistiquement probable que Claude ait participé à la rédaction du texte à un moment donné. Cependant, cela ne vous indique pas :

• Qui a utilisé Claude. La signature ne contient aucune information sur l’utilisateur, l’organisation ou la conversation, et ni la signature ni la clé ne peuvent être rattachées à une personne.
• Si Claude a écrit le texte ou s’il l’a seulement modifié. La rédaction initiale et une réécriture approfondie apparaissent identiques aux yeux du détecteur.
• Que c’est un autre IA qui l’a écrit. Un modèle différent utiliserait une clé différente ou une autre méthode de marquage, donc l’absence de correspondance avec la clé de Claude ne signifie pas pour autant qu’un humain a écrit le texte.
• Que c’est un humain qui l’a écrit. L’absence de marquage n’est pas une preuve d’authenticité humaine, car des textes courts, factuels ou fortement modifiés peuvent tous ne pas laisser de trace.

Il n’est pas indestructible. De petites modifications le laissent probablement intact, mais remplacer chaque élément lors d’une réécriture complète le détruit, et la question se pose alors de savoir si le résultat peut encore être considéré comme du texte généré par l’IA. Faire passer le texte par un autre modèle pour le paraphraser affaiblit également le signal. L’étude elle-même admet que les attaques de vol, de falsification et de suppression contre les marques d’eau génératives font encore l’objet de recherches.

Pourquoi maintenant

Les entreprises n’ont pas ajouté cette fonctionnalité par caprice : c’est une obligation légale. Anthropic et environ 190 autres signataires ont apposé leur nom en juillet 2026 au Code de pratique de l’UE sur la transparence des contenus générés par l’IA, et depuis le 2 août 2026, toute entreprise proposant du texte généré par l’IA sur le marché européen doit le marquer. Claude n’est pas une exception : d’autres développeurs de premier plan ont signé la même promesse et créent leurs propres marques avec leurs propres clés. Anthropic affirme appliquer cette marque d’eau dans le monde entier dès le lancement, faute d’un système de basculement régional fonctionnel pour l’instant, et précise qu’une API permettant de la détecter est en cours de développement.

Que retenir de cela

Jusqu’à présent, la réponse à « Est-ce de l’IA ? » provenait d’outils qui devinaient en se basant sur le style, et ces outils pénalisaient les textes soignés, formels ou rédigés dans une langue étrangère au motif qu’ils semblaient trop ordonnés. L’eau marquée mise sur autre chose : un motif faible, invisible et dépendant d’une clé, inséré pendant la génération du texte puis vérifié par la suite. Sa capacité est délibérément limitée : elle indique que Claude a probablement été impliqué. Elle ne peut pas dire qui l’a utilisé, ne distingue pas la rédaction de l’édition, ne peut pas disculper une personne des soupçons et ne résiste pas à une réécriture complète. Elle est plus honnête que la simple supposition, et ses utilisateurs doivent être à la hauteur de cette honnêteté.