Znaki wodne tekstów statystycznych a certyfikaty C2PA w wynikach Claude’a
Dowiedz się, jak działają znaki wodne tekstu oparte na SynthID oraz dane autoryzacyjne plików C2PA w Claude, co potrafią wykryć detektory oraz jak ocenić narzędzia twierdzące, że potrafią je usunąć.
Źródła: Claude Watermarks Explained: How They Work, What They Reveal, and What You Can Remove
Wklej odpowiedź Claude do edytora tekstu prostego, zmień czcionkę i usuń formatowanie – wtedy akapit będzie wyglądał jak każdy inny tekst. To, czy usunięto znak wodny, zależy wyłącznie od tego, jaki rodzaj oznaczenia tam istniał. Błąd w formatowaniu, kryptyograficznie podpisany plik z danymi uwierzytelniającymi oraz wzorzec statystyczny wpleciony w tekst to trzy niepowiązane ze sobą mechanizmy; narzędzie może usunąć jeden z nich, pozostawiając pozostałe nietknięte i nic o nich nie mówiąc. Ten artykuł wyjaśnia, jak działa każdy z tych mechanizmów, co detektor może, a czego nie może stwierdzić, jak edycje i przepisywanie wpływają na sygnały oraz jakie pytania należy zadać przed zaufaniem jakiemukolwiek „usuwaczowi znaków wodnych” lub „sprawdzaczu AI”. Szczegóły produktu przedstawione tutaj odnoszą się do dokumentacji publicznej z września 2026 roku, dlatego sprawdź aktualne informacje na podanych stronach.
To, co Anthropic potwierdziło publicznie
Zdaniem Anthropic, znakowanie tekstu Claude’a opiera się na zmodyfikowanej wersji SynthID-Text stworzonej przez Google DeepMind. Ta technika modyfikuje sposób stosowania losowości podczas generowania tekstu, aby później można było sprawdzić istnienie określonego wzorca statystycznego. Anthropic jasno stwierdza, że nie wstawia żadnych ukrytych znaków. Ich opis techniczny ukazał się 14 sierpnia 2026 roku i został zaktualizowany 1 września.
Zgodnie z artykułem w Centrum Pomocy Claude dotyczącym oznaczania treści, obsługiwane są modele Fable 5.1 i Mythos 5.1. Modele wydane 1 sierpnia 2026 roku lub później obsługują oznaczanie treści od samego początku, natomiast funkcjonalność ta jest nadal rozwijana dla starszych modeli. W przypadku obsługiwanych modeli oznaczanie treści jest dostępne we wszystkich aplikacjach Claude, w API, narzędziach programistycznych oraz u partnerów chmurowych we wszystkich regionach, choć konkretne funkcje oznaczania plików mogą się różnić.
Tych szczegółów łatwo przeoczyć. Twierdzenia, że „cały tekst w Claude” ma znak wodny, zatruwają rozróżnienie między różnymi generacjami modeli, a starsze opisy funkcji wykrywania jako jedynie „wkrótce dostępne” pochodzą z czasów przed uruchomieniem wersji w przeglądzie prywatnym, o którym mowa poniżej.
Jak zwykłe słowa mogą przenosić ukryty sygnał
Model językowy wytwarza tokeny – jednostki, które mogą być całymi słowami, fragmentami słów lub innymi częściami tekstu. Na każdym kroku posiada rozkład prawdopodobieństw dla potencjalnych kolejnych tokenów i wybiera jeden z nich.
Znakowanie wodne odbywa się dokładnie na tym etapie wybierania tokenów, zgodnie z zespołem, który je opracował. Sygnał powstaje na podstawie wzorca wyborów dokonywanych przez model, a nie z powodu późniejszego dodania etykiety.
Spośród uproszczonych ilustracji
Weźmy zdanie, które zaczyna się od „Zespół opisał start jako”. Może do niego pasować kilka zakończeń, takich jak „obiecujący”, „motywujący” lub „udany”. Nie są to dokładne synonimy, a nie chodzi tu o rzeczywistą tabelę prawdopodobieństwa żadnego modelu; chodzi jedynie o to, że język naturalny często daje modelowi prawdziwy wybór.
Wyjaśnienie firmy Anthropic mówi, że tajny klucz, w połączeniu z poprzedzającym tekstem, służy do wpływania na losowość takich wyborów. To nie oznacza, że Claude systematycznie faworyzuje określony przymiotnik. Uprzedzenie to zależy od kontekstu i staje się wykrywalne dopiero wtedy, gdy gromadzi się ono w ciągu całego tekstu.
Analogia może pomóc. Wyobraź sobie dwie osoby idące po mieście, obie wybierające rozsądne ulice. Jedna decyduje impulsywnie; druga zawsze stosuje tajną, spójną zasadę, gdy dwa lub więcej wariantów wydają się równie dobre. Obserwacja pojedynczego skrętu nic nie ujawnia. Obserwacja setek skrętów, przy znajomości tej zasady, może odkryć wzorzec. Rzeczywiste generowanie obejmuje znacznie bogatsze prawdopodobieństwa niż prosty układ ulic, więc traktuj to jako intuicję opartą na zgromadzonych dowodach, a nie jako opis sposobu implementacji SynthID.
Co pokazują badania
Przemyślana praca SynthID-Text, która ukazała się jako artykuł w Nature w październiku 2024 roku, przedstawia metodę modyfikacji próbek bez konieczności ponownego szkolenia modelu. Zawiera ona wyniki testów benchmarkowych, porównania preferencji ludzkich oraz żywy eksperyment obejmujący prawie 20 milionów odpowiedzi Gemini. Te ustalenia opisują system badany w artykule; nie stanowią one niezależnej oceny każdego modelu Claude.
Trzy różne rzeczy nazywane „znakiem wodnym Claude”
Zanim zaufasz jakimkolwiek narzędziu do weryfikacji, sprawdź, które z tych elementów faktycznie bada.
Statystyczny znak wodny tekstu
To jest sygnał z etapu próbkowania, o którym mówiono wcześniej. Jego wykrycie wymaga detektora specjalnie do tego przeznaczonego, posiadającego dostęp do odpowiedniej konfiguracji. Skanowanie tekstu w poszukiwaniu nietypowych znaków Unicode w ogóle nie pomaga w zmierzeniu tego sygnału.
Slady kopiowania i formatowania
Zakopowany tekst może zawierać niewidzialne elementy: np. spacze nieprzerywające, znaki o zerowej szerokości lub pozostałe atrybuty HTML, takie jak nazwy klas odnoszące się do aplikacji, z której pochodzi tekst. Można je bezpośrednio sprawdzić: widać je w widoku heksadecymalnym lub za pomocą kilku linijek kodu. Usunięcie ich jest uzasadnionym zadaniem oczyszczania, ale należy je interpretować ostrożnie. Niewidzialne znaki często pełnią konkretne funkcje; na przykład elementy o zerowej szerokości są potrzebne do tworzenia niektórych emotikon i prawidłowego wyświetlania określonych pism. Typografia, taka jak ukośniki i nawiasy kręcone, również nie jest dowodem na to, że tekst został stworzony przez sztuczną inteligencję.
C2PA Content Credentials
To są podpisane zapisy pochodzenia plików. Odpowiadają one na zupełnie inny pytanie niż detektor tekstu statystycznego i są omówione w osobnym rozdziale poniżej.
Szybka weryfikacja dla każdego narzędzia: poproś je o podanie nazwy znalezionych dowodów. „Trzy spacje nieprzerwane w tych pozycjach” to konkretna obserwacja. „Zdecydowanie napisane przez Claude’a” to znacznie szersze twierdzenie, którego obserwacja nie może potwierdzić.
Czego detekcja może, a czego nie może ustalić
Gdy wprowadzano nowsze modele, Anthropic ogłosiło również, że jego API do wykrywania w tekście jest dostępne jedynie jako prywatna wersja próbna, otwarta dla uprawnionych organizacji, takich jak badacze, media, instytucje edukacyjne, organy regulacyjne oraz niektóre przedsiębiorstwa. Nie jest to to samo co publiczny narzędzie do weryfikacji, którego może używać każdy.
Wyniki to prawdopodobieństwa, a nie orzeczenia
Detekcja ma z natury charakter probabilistyczny, co Google jasno wyjaśnia dla programistów korzystających z SynthID. Jego detektor referencyjny zwraca jeden z trzech wyników (z znakiem wodnym, bez znaku wodnego lub niepewne) przy czym wybrane progi pozwalają pogodzić fałszywie pozytywne wyniki z fałszywie negatywnymi. Koncepcje te są przydatne do rozumienia zasad detekcji w ogóle, ale nie stanowią opisu tego, co zwraca API firmy Anthropic.
Ta sama dokumentacja podkreśla, że konfiguracje znaków wodnych muszą pozostać tajne. Sam kod do umieszczania znaków wodnych o otwartym kodzie źródłowym nie pozwala zatem stronie trzeciej sprawdzić znaku wodnego Claude’a. Każda strona trzecia twierdząca, że potrafi to zrobić, powinna wyjaśnić, w jaki sposób.
Detektory znaków wodnych to nie klasyfikatory tekstu napisanego przez AI
Klasifikator ogólny ocenia, czy tekst przypomina kategorie, na których został wyszkolony. Detektor znaków wodnych szuka dowodów na sygnał celowo umieszczony przez kogoś. Oba narzędzia generują wyniki, które oznaczają różne rzeczy i nie mogą być ze sobą zamieniane.
Autorstwo to coś więcej niż sygnał
Rozważmy pisarza, który opracowuje argumenty, przeprowadza badania i sporządza pierwszy szkic, a następnie prosi AI o przepisanie kilku akapitów. Pozytywny sygnał z tych akapitów nic nie mówi o tym, kto stworzył te pomysły. Z drugiej strony negatywny wynik nie pozwala odtworzyć procesu powstania dokumentu. Redaktorzy i nauczyciele powinni traktować wynik detektora jako jeden z wielu źródeł informacji i zanim przekształcą prawdopodobieństwo w oskarżenie, sprawdzić szkice, źródła, zmiany oraz obowiązujące zasady.
C2PA: pochodzenie dokumentu
Bespołeczny narzędzie do sprawdzania w przeglądarce od Anthropic szuka w plikach certyfikatów Content Credentials wydanych przez Claude. Firma twierdzi, że narzędzie działa lokalnie w twojej przeglądarce i wyraźnie nie sprawdza tekst pod kątem statystycznego znaku wodnego.
Certyfikat wydany przez Claude może potwierdzić, że to Claude stworzył lub przetworzył dany plik. Dokumentacja narzędzia wymienia PNG, JPEG i SVG jako przykłady formatów generowanych, które mogą zawierać takie certyfikaty. Należy pamiętać o różnicy: fakt, że dany format jest akceptowany przez narzędzie, nie gwarantuje, że każdy proces realizowany przez Claude wygeneruje ten format z dołączonymi certyfikatami.
C2PA to standard umożliwiający dołączanie historii pochodzenia treści oraz pozwalający każdemu potwierdzić, że historia ta jest nienaruszona; jego dokument przeglądowy stanowi łatwy do przeczytania wprowadzenie. Określa on również kluczową kwestię: historia pochodzenia nie informuje o tym, czy treść jest prawdziwa. Ważny zapis wskazujący, że obraz przeszedł przez określone narzędzie, nic nie mówi o dokładności opisu obok niego.
Metryki również mogą zostać usunięte, celowo lub w wyniku zwykłej obróbki, takiej jak ponowne kodowanie lub robienie skrynkotek. Brak danych uwierzytelniających nie jest zatem dowodem na to, że plik został stworzony bez użycia sztucznej inteligencji, a narzędzie do czyszczenia metadanych powinno wskazywać, które pola zmieniło, zamiast sugerować, że ustaliło źródło pliku.
Jak edycje i przepisywanie wpływają na poszczególne sygnały
Każda forma zmiany wpływa na inny poziom dokumentu:
- Zmiana czcionki wpływa jedynie na wygląd prezentacji.
- Usunięcie klasy HTML zmienia strukturę kodowania.
- Normalizacja odstępów wpływa na poszczególne znaki.
- Ponowne napisanie akapitu zmienia sam język, w którym znajduje się statystyczny znak wodny.
Zgodnie z Google, sygnał SynthID w tekście jest odporny na częściowe przycięcie, drobne edycje i lekkie parafrazowanie, natomiast intensywne przepisywanie lub tłumaczenie może obniżyć pewność wykrycia. To opisuje ograniczenia tej techniki; nie gwarantuje ona, że jakakolwiek usługa przepisywania będzie w stanie ją obejść.
Krótkie lub ściśle określone odpowiedzi również pozostawiają mniej miejsca na umieszczenie znaku wodnego. Wytyczne dla programistów Google wskazują, że odpowiedzi faktograficzne oferują mniej możliwości dostosowania treści bez pogorszenia dokładności, więc sygnał w takich tekstach jest od początku słabszy.
Ocena ponownego napisania w sposób uczciwy
Pomaga rozróżnić dwie kwestie, które często są mylone ze sobą.
- Jakość tekstu możesz ocenić sam. Czy ponowne napisanie zmieniło datę, pominęło jakieś określenie, przekształciło możliwość w pewnik lub zniekształciło cytat?
- Detekowalność znaku wodnego wymaga odpowiedniego narzędzia weryfikacyjnego oraz zdefiniowanej procedury testowej. Płynne ponowne napisanie i uspokajająca zielona ikona nie mogą zastąpić tej weryfikacji.
W szczególności niższa ocena uzyskana przez ogólny klasyfikator AI nic nie mówi o oddzielnym detektorze znaków wodnych Claude’a.
Czy znak wodny identyfikuje użytkownika?
Anthropic twierdzi, że znak wodny nie zawiera żadnych informacji identyfikujących użytkownika, organizację ani rozmowę, i powtarza to w swoim komunikacie o nowym modelu z września. To stwierdzenie jest zbyt ograniczone – nie czyni tekstu anonimowym: imiona, adresy e-mail, osobiste anegdoty oraz inne szczegóły w samym tekście nadal mogą kogoś zidentyfikować.
Zanim wkleisz szkic do jakiejkolwiek usługi, w tym tych służących do sprawdzania i czyszczenia tekstu, sprawdź, co otrzymuje ta usługa i w jaki sposób przetwarza dane. Sposób projektowania znaku wodnego oraz sposób, w jaki usługa third-party traktuje twój tekst, to dwie odrębne kwestie.
Dlaczego oznakowanie pojawia się teraz
Czynnikiem napędowym regulacji jest rozdział dotyczący przejrzystości w unijnym ustawie o sztucznej inteligencji. Zgodnie z interpretacją Komisji Europejskiej, obowiązki wynikające z artykułu 50 weszły w życie 2 sierpnia 2026 roku, z typowymi zastrzeżeniami dotyczącymi tego, które systemy podlegają temu przepisowi oraz jakie obowiązują okresy przejściowe. FAQ Komisji dotyczące jej Kodeksu postępowania w zakresie przejrzystości oddziela oznakowanie ze strony dostawcy od obowiązków związanych z etykietowaniem określonych publikowanych treści.
Ten kodeks stanowi dobrowolny sposób na udowodnienie zgodności. Nie jest ani samym prawem, ani wymogiem, aby każdy dostawca stosował ten sam algorytm. Praktyczną konsekwencją jest to, że „znak wodny AI” będzie coraz częściej obejmował wiele różnych implementacji, a nie należy zakładać, że metoda, klucz, detektor lub certyfikat jednego dostawcy będą działać w przypadku innego.
Uzasadnione powody inspekcji lub czyszczenia treści
Odkładając na bok kwestię autorstwa, istnieją zwyczajne powody inżynieryjne, by pracować z tymi warstwami. Programista może potrzebować ustalić, dlaczego wklejony ciąg znaków powoduje błędy w parserze lub przy porównywaniu ciągów, co często wynika z znaków nieprzerywających tekstu lub o zerowej szerokości. Autor może chcieć oczyścić formatowanie lub poprawić nieudolne sformułowania. Osoba publikująca obraz może chcieć sprawdzić, jakie dane towarzyszą mu, zanim zdecyduje, które metadane zachować.
Każda z tych czynności to konkretne zadanie, a każde z nich wymaga szczegółowego opisu tego, co dokładnie zostało zmienione. Jeśli używasz jakiegoś narzędzia do czyszczenia lub przepisywania tekstu, przechowuj oryginał, porównaj wynik z oryginałem i sprawdź przepisywane teksty pod kątem sensu i dokładności. Masowe usuwanie znaków łączących oraz innych niewidzialnych znaków może uszkodzić prawidłowy tekst w niektórych językach oraz spowodować problemy z niektórymi emotikonami, dlatego wybieraj każdą operację, ponieważ rozumiesz jej skutki.
Cztery pytania do każdego narzędzia do usuwania lub sprawdzania znaków wodnych
Zamiast ufać nazwie produktu lub jego reklamie, zadaj następujące pytania:
- Jaki dokładnie sygnał jest analizowany?
- Cozę modyfikuje?
- Czy sprawdza swój wynik za pomocą odpowiedniego detektora, a w ogóle może do niego dotrzeć?
- Które wnioski pozostawia niepewne?
To dotyczy zarówno niezależnych narzędzi, oficjalnych sprawdzaczy, jak i wszystkiego, co sam stworzysz.
Główne wnioski
- Znak wodny Claude’a to statystyczna asymetria w próbkowaniu tokenów, zależna od kontekstu i klucza; nie zawiera ukrytych znaków.
- Slady formatowania, statystyczne znaki wodne oraz dane C2PA to odrębne warstwy. Usunięcie jednej z nich nic nie mówi o pozostałych.
Literatura pokrewna
- Co oznaczają wystrzegawcze sygnały dotyczące bezpieczeństwa SZI od byłych badaczy z Anthropic dla rozwojowców — Ten artykuł wyjaśnia, dlaczego ostrzeżenia badaczy na temat zagrożeń związanych z SZI są istotne dla zwykłych programistów, oraz jak autonomia agentów i luki w ich dostosowaniu powinny kształtować praktyczne nawyki bezpieczeństwa.
- Od celu do zabezpieczonych działań: pętle, weryfikacja i uprawnienia w agentach SZI — Dowiedz się, jak agenci SZI przekształcają cel w wywołania narzędzi za pomocą pętli planuj-dział-obserwuj, oraz dlaczego weryfikacja, poziomy autonomii i warstwy uprawnień decydują o ich bezpieczeństwie.