Водяные знаки статистического текста против учетных данных C2PA в выводе Claude
Узнайте, как функционируют водяные знаки текста Claude на основе SynthID и учетные данные файлов C2PA, что могут подтвердить детекторы, и как оценить любые инструменты, заявляющие об их удалении.
Источники: Claude Watermarks Explained: How They Work, What They Reveal, and What You Can Remove
Вставьте ответ Claude в редактор простого текста, измените шрифт и уберите форматирование — тогда абзац будет выглядеть как обычный текст. То, удастся ли таким образом убрать водяной знак, полностью зависит от того, какой именно знак там был. Ошибочное форматирование, криптографически подписанные учетные данные файла и статистическая закономерность, встроенная в формулировки, — это три независимых механизма; инструмент может устранить один из них, оставив остальные нетронутыми и не дав никакой информации об них. В этой статье объясняется, как работает каждый механизм, к чему может и не может прийти детектор, как редактирование и переписывание влияют на сигналы, а также какие вопросы следует задать перед тем, как доверять любому «удаляющему водяные знаки» или «проверяющему ИИ» инструменту. Детали продукта здесь отражают публичную документацию по состоянию на сентябрь 2026 года, поэтому уточните актуальные данные на соответствующих страницах.
Что компания Anthropic публично подтвердила
По словам Anthropic, маркировка текста Claude основана на адаптированной версии SynthID-Text от Google DeepMind. Эта технология изменяет способ применения случайности в процессе генерации текста, чтобы позже можно было проверить статистические закономерности. Anthropic подчеркивает, что никаких скрытых символов не вставляется. Их технический отчет был опубликован 14 августа 2026 года и пересмотрен 1 сентября.
Согласно статье в Центре помощи Claude о маркировке контента, поддерживаемыми моделями являются Fable 5.1 и Mythos 5.1. Модели, выпущенные 1 августа 2026 года или позже, поддерживают маркировку с самого начала, а функционал для более ранних моделей по-прежнему развивается. Для поддерживаемых моделей маркировка действует во всех приложениях Claude, API, инструментах для программирования и облачных партнерах во всех регионах, хотя конкретные функции маркировки файлов могут отличаться.
Эти детали легко упустить из виду. Утверждения о том, что «весь текст в Claude» имеет водяной знак, размывают различия между поколениями моделей, а более ранние описания функции обнаружения как просто «скоро» относятся к периоду до запуска приватной предварительной версии, о котором говорится ниже.
Как обычные слова могут нести скрытый сигнал
Модель языка генерирует токены — единицы, которые могут быть целыми словами, фрагментами слов или другими частями текста. На каждом шаге у неё существует распределение вероятностей для возможных следующих токенов, и она выбирает один из них.
По словам команды, разработавшей этот метод, водяной знак добавляется именно на этом этапе выбора. Сигнал возникает в результате паттернов выборов, которые делает модель, а не из какой-либо добавленной позже метки.
Упрощённая иллюстрация
Возьмём предложение, начинающееся со слов «Команда описала запуск как». Можно использовать несколько вариантов окончания, таких как «многообещающим», «обнадёживающим» или «успешным». Это не совсем точные синонимы, и речь не идёт о реальной таблице вероятностей какой-либо модели; суть в том, что в естественном языке у модели часто есть реальный выбор.
В объяснении компании Anthropic говорится, что секретный ключ в сочетании с предыдущим текстом используется для формирования предпочтений в процессе таких выборов. Это не означает, что Claude систематически отдаёт предпочтение какому-либо определению. Предвзятость зависит от контекста и становится заметной только при накоплении информации в течение всего текста.
Аналогия может помочь. Представьте двух человек, идущих по городу и выбирающих разумные улицы. Один делает выбор импульсивно; другой каждый раз следует тайному, последовательному правилу, когда два или более маршрута выглядят одинаково хорошо. Наблюдение за одним поворотом ничего не раскрывает. Однако наблюдение за сотнями поворотов при знании правила может выявить закономерность. Настоящее генерирование включает в себя гораздо более сложные вероятностные модели, чем простая сеть улиц, поэтому рассматривайте это как интуитивное понимание накопленных данных, а не как описание способа реализации SynthID.
Что показывают исследования
В статье SynthID-Text, прошедшей рецензирование и опубликованной в журнале Nature в октябре 2024 года, представлен метод изменения процесса выборки данных без переобучения модели. В ней приводятся результаты тестирования на эталонных данных, сравнения человеческих предпочтений и результаты прямого эксперимента с участием почти 20 миллионов ответов от Gemini. Полученные выводы касаются исследуемой в статье системы; они не являются независимой оценкой всех моделей Claude.
Три разных вида так называемой «водяной знак Claude»
Прежде чем доверять какому-либо инструменту проверки, выясните, какой именно из этих вариантов он на самом деле анализирует.
Статистический водяной знак текста
Это сигнал этапа отбора проб, о котором говорилось ранее. Для его обнаружения требуется детектор, специально разработанный для этой цели и имеющий доступ к соответствующей конфигурации. Поиск необычных символов Unicode в тексте совсем не позволяет измерить этот сигнал.
Следы копирования-вставки и форматирования
Вставленный текст может содержать «невидимый багаж»: пробелы без разрыва строки, символы нулевой ширины или оставшиеся атрибуты HTML, например имена классов, указывающие на исходное приложение. Их можно непосредственно проверить: их видно в шестнадцатеричном формате или с помощью нескольких строк кода. Их удаление является законным действием по очистке, но их следует тщательно анализировать. Невидимые символы часто выполняют важные функции; например, символы нулевой ширины необходимы для формирования некоторых эмодзи и корректного отображения определенных шрифтов. Типографские элементы вроде дефисов и кавычек с завитками также не являются доказательством авторства ИИ.
Сертификаты содержимого C2PA
Это подписанные записи происхождения, прилагаемые к файлам. Они отвечают на совершенно другой вопрос, чем статистический детектор текста, и рассматриваются в отдельном разделе ниже.
Быстрая проверка работоспособности любого инструмента: попросите его назвать найденные доказательства. «Три пробела без разрыва в этих позициях» — это конкретное наблюдение. «Это определенно написано Клодом» — это гораздо более серьезное утверждение, которое невозможно подтвердить на основе одного лишь наблюдения.
Что может и чего не может установить детекция
При представлении новых моделей компания Anthropic также объявила, что её API для обнаружения в тексте доступен только в режиме приватного предварительного тестирования, открытого для соответствующих организаций, таких как исследователи, СМИ, образовательные учреждения, регулирующие органы и некоторые предприятия. Это не то же самое, что общедоступный инструмент проверки, который могут использовать все желающие.
Результаты представляют собой вероятности, а не окончательные выводы
Обнаружение по своей природе является вероятностным, как четко указывает Google для разработчиков, использующих SynthID. Его встроенный детектор возвращает один из трех результатов (с водяным знаком, без водяного знака или неопределено), причем выбранные пороговые значения позволяют сбалансировать ложноположительные и ложноотрицательные результаты. Эти концепции полезны для понимания процесса обнаружения в целом, но они не представляют собой официального описания того, что возвращает API Anthropic.
В той же документации подчеркивается, что настройки водяных знаков должны оставаться секретом. Поэтому один только код для добавления водяных знаков с открытым исходным кодом не позволяет стороннему веб-сайту проверить наличие водяного знака у Claude. Любому стороннему сайту, утверждающему, что он может это сделать, следует спросить, как именно.
Детекторы водяных знаков — это не классификаторы текста, созданные с помощью ИИ
Общий классификатор определяет, похож текст ли на категории, на которых он обучался. Детектор водяных знаков ищет признаки сигнала, который кто-то намеренно встроил. Оба инструмента выдают оценки, имеющие разное значение, и их нельзя заменять друг на друга.
Авторство — это не просто сигнал
Возьмем писателя, который разрабатывает идею, проводит исследования и пишет черновик, а затем просит ИИ переписать несколько параграфов. Положительный результат для этих параграфов ничего не говорит о том, кто придумал идеи. С другой стороны, отрицательный результат не позволяет восстановить процесс создания документа. Редакторы и преподаватели должны рассматривать результат детектора как один из нескольких источников информации, а также учитывать черновики, источники, правки и соответствующие правила перед тем, как превращать вероятность в обвинение.
C2PA: происхождение, принадлежащее файлу
Бесплатный инструмент проверки в браузере от Anthropic ищет в файлах сертификаты содержимого, выданные Claude. Компания утверждает, что он работает локально в вашем браузере, и прямо указывает, что не проверяет текст на наличие статистической водяной знаки.
Сертификат, выданный Claude, может подтверждать, что файл был создан или обработан им. В документации к инструменту в качестве примеров форматов, способных содержать такие сертификаты, приводятся PNG, JPEG и SVG. Следует иметь в виду: то, что формат принимается инструментом проверки, не гарантирует, что каждый процесс в Claude будет выдавать файлы именно в этом формате с приложенными сертификатами.
C2PA сам по себе представляет собой стандарт для привязки истории происхождения к контенту и возможности для кого угодно подтвердить целостность этой истории; его обзорный документ является понятным введением в этот стандарт. В нём также четко указано: информация о происхождении не говорит о том, является ли контент правдивым. Наличие действительной записи о том, что изображение прошло через определённый инструмент, ничего не говорит об accuracy описания рядом с ним.
Метаданные также могут быть удалены — намеренно или в результате обычной обработки, такой как перекодирование или сделка скриншота. Следовательно, отсутствие учетных данных не является доказательством того, что файл был создан без использования ИИ, и инструмент для очистки метаданных должен указывать, какие поля были изменены, а не предполагать, что уже выяснено происхождение файла.
Как редактирования и переписывание влияют на каждый сигнал
Каждый тип изменения влияет на разный уровень документа:
- Изменение шрифта влияет только на внешний вид.
- Удаление HTML-класса изменяет структуру маркировки.
- Нормализация пробелов влияет на отдельные символы.
- Переписывание абзаца меняет сам язык, в котором находится статистический водяной знак.
По данным Google, сигнал SynthID в тексте обычно устойчив к частичному обрезанию, незначительным правкам и легкой перефразировке, в то время как серьезное переписывание или перевод могут снизить надежность обнаружения. Это описывает ограничения технологии; это не гарантия того, что какой-либо конкретный сервис переписывания текста сможет ее обойти.
Короткие или сильно ограниченные по объему ответы также оставляют меньше возможностей для добавления водяного знака. Руководство для разработчиков Google отмечает, что фактические ответы предоставляют меньше возможностей для корректировки результатов генерации без снижения точности, поэтому сигнал в таком тексте изначально слабее.
Честная оценка переписанного текста
Полезно разделять два вопроса, которые часто путают.
- Качество текста можно оценить самостоятельно. Изменил ли переписанный вариант дату, устранил ли определенные уточнения, превратил ли возможность в нечто несомненное или искажал ли цитату?
- Возможность обнаружения водяного знака требует соответствующего инструмента проверки и четко определенной процедуры тестирования. Качественно переписанный текст и уверяющая зеленая галочка не могут заменить собой такую оценку.
В частности, низкий балл от общего классификатора ИИ ничего не говорит о специальном детекторе водяных знаков Claude.
Идентифицирует ли водяной знак пользователя?
Компания Anthropic утверждает, что водяной знак не содержит никакой информации, позволяющей идентифицировать пользователя, организацию или ход разговора, и повторяет это в своем объявлении о модели в сентябре. Однако это утверждение слишком узкое: оно не делает текст анонимным — имена, адреса электронной почты, личные детали и другая информация в самом тексте всё равно могут кого-то идентифицировать.
Прежде чем вставлять черновик в любую службу, включая инструменты проверки и очистки, узнайте, что получает эта служба и как она обрабатывает данные. Как спроектирован водяной знак и как сторонняя служба обращается с вашим текстом — это разные вопросы.
Почему маркировка появляется сейчас
Фактором, стимулирующим принятие регуляций, является раздел о прозрачности в Законе ЕС об ИИ. Согласно толкованию Европейской комиссии, обязанности, предусмотренные статьёй 50, вступили в силу 2 августа 2026 года, при этом соблюдаются обычные оговорки относительно того, какие системы попадают в сферу действия и какие периоды перехода применяются. В разделе часто задаваемых вопросов Комиссии к её Кодексу практики в области прозрачности разграничиваются требования к маркировке с стороны поставщиков и обязанности по маркировке определённого публикуемого контента.
Этот кодекс предоставляет добровольный способ подтверждения соответствия. Он не является самим законом, а также не требует от каждого поставщика использования одного и того же алгоритма. Практическим следствием этого является то, что понятие «водяной знак ИИ» будет всё чаще охватывать множество различных реализаций, и нельзя предполагать, что метод, ключ, детектор или удостоверение одного поставщика будут работать для другого.
Законные причины для проверки или очистки контента
Если не учитывать вопрос авторства, существуют обычные инженерные причины для работы с этими слоями. Разработчику может понадобиться выяснить, почему вставленная строка нарушает работу парсера или сравнение строк, что часто связано с неразрывными или нулевой ширины символами. Автор может захотеть улучшить форматирование или исправить неуклюжие формулировки. Человек, публикующий изображение, может захотеть узнать, какие метаданные оно содержит, прежде чем решить, какие из них сохранить.
Каждая из этих задач является конкретной, и каждая из них требует подробного описания того, что было изменено. Если вы используете инструменты для очистки или переписывания текста, сохраняйте оригинал, сравнивайте результат с ним и проверяйте переписанный текст на смысловую полноту и точность. Абсолютное удаление соединительных и других невидимых символов может повредить законный текст на некоторых языках и нарушить работу определенных эмодзи, поэтому выбирайте каждую операцию, понимая ее последствия.
Четыре вопроса к любому инструменту для удаления или проверки водяных знаков
Вместо того чтобы доверять названию продукта или его маркетингу, задайте себе следующие вопросы:
- Какой именно сигнал он анализирует?
- Что именно он изменяет?
- Проверяет ли он свой результат с помощью соответствующего детектора, и вообще может ли он до него добраться?
- Какие выводы остаются неопределенными?
Эти вопросы одинаково актуальны как для независимых инструментов, так и для официальных проверочных программ, а также для всего, что вы создаете сами.
Основные выводы
- Водяной знак Claude представляет собой статистическую ошибку при выборке токенов, зависящую от ключа и контекста; в нем нет скрытых символов.
- Следы форматирования, статистические водяные знаки и учетные данные C2PA — это отдельные слои. Удаление одного из них ничего не говорит о других.