Claudeのウォーターマーク, その痕跡が存在する場所と、それが証明するもの

8月以降にClaudeのウォーターマークについて書かれてきたものの大半は、Anthropicが実際に提供したものではない仕組みを説明している。一般的な説明では、目に見えない文字が語の間に挟み込まれ、ゼロ幅スペースや見た目が似たUnicodeのグリフが、検出器に見つけられるのを待っているとされる。それはもっともらしい推測ではある。しかし、それは誤りであり、この誤りは学術的な問題ではない。ウォーターマーク除去ツールとして販売されている無料ツールの一群が、この特定の印に対してはまったく効果を持たない理由だからである。

Anthropicの印は、語の選択そのものに宿る。テキストに何かが挿入されるわけではない。これが明確になれば、実際的な問いは自ずと答えを得る。隠れた文字という見方が前提にある限りは答えられない問い、すなわち、どの操作が印を引き継ぎ、どの操作がそれを消し、検出器がヒットを報告するときに実際には何を伝えているのか、という問いである。

以下は、それに関する報道ではなく、Anthropic自身の文書に基づいている。そして、同社自身が述べている制限について、意図的に具体的に述べている。

Anthropicが有効化したものと、その時期

Anthropicは2026年8月11日にClaudeの出力への印付けを開始した。この件に関するヘルプセンターの記事は、テキストの印を「テキストそのものに直接埋め込まれた知覚できないウォーターマーク」と説明し、読者は「それを見ることはなく、意味、品質、可読性も変わらない」と述べている。

対象範囲は広い。2026年8月2日以降にリリースされたモデルには、リリース時点からマーキングが付され、Anthropicは対象面として Claude Platform API、Claude、Claude Code、Claude Cowork、Claude Tag を挙げており、AWS、Google Cloud、Microsoft Foundry を通じて利用される Claude も含まれる。これは世界全体に適用される。8月以前に作成されたものは自動的に免除されると考えるのは賢明ではない。というのも、同社は移行期間を通じて以前のモデルも順次対象に含めると説明しているからである。

これを後押しする規制上の動きは EU AI Act の Article 50 であり、その透明性義務は、生成システムの提供者に対して機械可読な出力に印を付けることを求めている。Anthropic は Article 50(2) の Code of Practice に署名した。注目すべきは、この規則が欧州連合内で使用されるシステムを規律するものであり、世界的適用を強制するような内容は何も含んでいないことである。Anthropic はそれにもかかわらず、どこでも同じ印を適用した。これは法的義務ではなく方針上の選択であり、そのため、クアラルンプールや Chicago の研究者も欧州の規則の対象となる。

この印は、隠れた文字ではなく、語の選択のパターンである

テキストを生成するあらゆる段階で、言語モデルは、自身の統計上ほぼ同等な複数の継続候補の中から選択している。ある語が別の語と同じくらい適切である場合、どこかで同点を解く必要がある。サンプリングによるウォーターマークは、提供者が保持する鍵に従ってその同点を解消するため、妥当な長さのテキストを通じて蓄積された選択が、同じ鍵を持つ検出器が測定できるパターンを形成する。

ページに何かが追加されるわけではない。見つけるべき文字も、テキスト内のメタデータ欄も、書式上の痕跡もない。あなたが読んでいる語そのものがウォーターマークである。ここでいう特定の意味とは、印が、選択肢の中からどの語が選ばれたかの記録であるという意味である。したがって、Anthropic がこの印は意味や可読性に一切のコストを伴わないと言えるのは、その印が散文を歪める必要がなく、ただ受け入れ可能な言い回しの一つを、別の受け入れ可能な言い回しより繰り返し優先するだけでよいからである。

また、それは耐久性についても説明している。Anthropicは、この印が「他の場所にコピーして貼り付けられたときにもテキストとともに移動する」と述べており、その理由は巧妙さではなく構造にある。コピーしても語は保持される。再整形しても語は保持される。フォントを変更すること、PDFに書き出すこと、別のエディタに貼り付けること、プレーンテキストに変換すること, これらはいずれも語の並びを保持し、測定されているのはその語の並びである。

不可視文字クリーナーがそれに効果を持たない理由

現在、多数の無料ツールが自らをAIウォーターマーク除去ツールとして宣伝している。そのほとんどは1つの仕事をするだけである。ゼロ幅Unicode、不可視の空白、見た目が似た字形を探し、見つけたものを削除する。これは実際の問題に対する妥当な答えであった。というのも、一部のシステムは実際に文字の中に出所情報を埋め込んでおり、貼り付けたテキストから余分な書式上の痕跡を取り除くには、それが正しい道具だからである。

サンプリング型のウォーターマークに対しては、まったく何の役にも立たない。Claudeの一節を文字クリーナーにかけると、その中の不可視文字はすべて消えるが、その一節の測定値は以前とまったく同じである。1語も変わっていないからである。この道具は、印がこれまで一度も存在したことのない場所を探しているのである。これは流通している誤解の中で最も重大なものであり、この目的で文字削除ツールに頼る者は、行為のように感じられるが実際には行為ではない結果を得ている。

この一般的な論点は、AI検出器が実際にどのように機能するかというより広い問題と並んで位置づけられるが、鍵付きウォーターマークは統計的分類器とは異なるものである。分類器は文章の形から推測する。ウォーターマークは、意図的に埋め込まれた信号を読み取る。そのため、何を検出しているかについてははるかに正確である一方、誰が文書を書いたのかを示す点ではまったく改善しない。

テキストではなくファイルに適用される第2の機構

Anthropicは2つのシステムを運用しており、報道ではそれらがほぼ一つにまとめられてきた。テキストの透かしに加えて、Claudeによって生成されたファイルには、Content Provenance and AuthenticityのためのCoalition (C2PA) のオープン標準に従う「署名付き来歴メタデータ」が含まれることがある。

この後者は、前者とは逆の働きをする。C2PAメタデータは散文全体に織り込まれるのではなく、ファイルに付与されるため、比較的失われやすい。ファイルからテキストをコピーして取り出せば、メタデータは残される。なぜなら、それは語句そのものの中には最初から存在しないからである。2つのシステムは、強みが反転している。テキストの印は移動されても残り、軽い編集に対しても耐性がある。ファイル署名は正確で検証可能だが、文章の一部を選択して自分の文書に貼り付けるという通常の行為には耐えられない。

陽性検出が実際に確立するもの

"detection"という語が示唆するよりも、はるかに少ない。そしてAnthropicはこの点について異例なほど明確である。同社の文書には、「Claudeの印を検出すると、その内容がClaudeによって処理された可能性があることが分かる」とあり、また「それ自体では、完全な来歴を確認するものではない」と記されている。

ここは注意深く読むべきである。なぜなら、ここでは正確な区別が行われているからである。writtenではなく、processedである。陽性結果は、Claudeが何もないところから下書きした文書と整合的である。同様に、あなた自身が書いた文書をClaudeに整えてもらった場合とも整合的である。この信号にはそれらを区別する方法がない。どちらの場合も、最終的にページ上に現れるトークンをClaudeが生成しているからである。

限界は逆方向にもある。Anthropicは、印は大幅な編集、形式変換、または非常に短い一節では残らないことがあり、印がないことは内容がAI生成でなかったことを示さないと述べている。したがって、陰性結果が示すものはほとんどない。テキストは別のモデル、より前のClaude、あるいは十分な修正を経て信号が消されたClaude由来である可能性がある。検出は第三者に公開されるのではなく、Anthropic自身のインターフェースを通じて行われるよう設計されている。そのため、汎用のAI検出器はこの信号を読み取らず、また読み取れると期待すべきでもない。

操作	テキストの透かしへの影響	理由
コピーして貼り付ける	そのまま引き継がれる	あなたの語句は正確に保持される
再整形、フォント変更、PDF書き出し	そのまま引き継がれる	見た目は変わるが、語順は変わらない
不可視文字の削除	影響なし	その印は、そもそも文字として保存されていなかった
軽いコピー編集	通常はそのまま引き継がれる	大半の語が残るため、パターンの大半も残る
大幅な書き換え	崩れる	新しい語は新しい選択を意味し、元のものとは結び付かない
別の言語への翻訳	崩れる	トークン列は一から再構築される
非常に短い抜粋	いずれの場合も信頼できない	統計的な測定には、何かを結論づけるための十分な長さのテキストが必要である

これが、自分で自分の作品を書いた人々に生じさせる帰属の問題

この発表に対する最も厳しい反応は、機械生成の文章を偽装しようとする者からは出なかった。出たのは、モデルを校正者のように使う法律家、研究者、学者、編集者であり、その印が何を記録しているかに気づいた人々であった。

通常の事例を考えてみる。あなたは一段落を書く。議論はあなたのものであり、証拠もあなたのものであり、構成もあなたのものである。あなたは Claude に、リズムを整え、200語を削るよう依頼する。返ってくるのは、透かしが付いたあなたの段落である。しかしその印は、思考のほとんどと表現の大半が、モデルがそれを見る前からすでにそこにあったことを示せない。もし機関、出版社、または雇用主が、陽性判定を AI 著者性の確定的証拠として扱うなら, それは Anthropic 自身の文言が支えうる解釈よりも強い読み方であり、書き手は、そもそも問われている問いに答えるよう設計されていなかった信号に対して反論することを強いられる。

それは隠蔽の問題ではなく、帰属の問題に関する真正な問題であり、この二つは常に混同されるため、明確に述べる価値がある。自分の議論を自分に帰属させたいということは、文書がどのように作成されたかを隠したいということと同じではない。所属機関の開示方針が何を求めていようとも、それは依然として求めているのであり、マークを消しても、AI使用の申告において読者に対して負う義務は何も変わらない。

何がマークを消し、何がそう見えるだけなのか

一つの原理がこれ全体を支配する。あなたの言葉をそのまま残す操作は、いずれもマークを引き継ぐ。言葉を最初から再生成する操作だけが、それを破る。それ以外はすべてそこから導かれる。

コピー、再フォーマット、ファイル形式の変換、不可視文字の除去は、いずれも言葉をそのまま残すので、すべてマークを引き継ぐ。翻訳と大幅な書き換えは言葉を最初から再生成するので、どちらもそれを破り、Anthropicも、重い編集によってマークが消えることを認めている。手作業で書き換えることは、時間があるなら十分に機能するが、章全体となると、たいていの人にはその時間がない。

これが、私たちのfree Claude watermark removerが基づいている仕組みである。別のモデルを用いて一節を文ごとに再構成するため、すべてのトークンが新たに生成され、Claudeのサンプリングに結び付いたシグナルは、もはや付着先を失う。冒頭は変わり、節の順序も移動する一方で、数値、日付、名前、ヘッジ、分野の語彙は固定され、引用文と参照は言い換えずに正確にそのまま写される。この最後の規則には、事前に知っておく価値のある帰結が一つある。Claudeから取り出した長いブロック引用は、到着時に付いていたマークをそのまま保持する。引用を正確に再現することのほうが、二つの義務のうちより重要だからである。

より長い文書、または一般的な散文よりもレジスターと引用の扱いが重要になる学術的作業では、同じ再構築の手法が TextPulse humanizer における全文の原稿全体に適用される。これは研究執筆向けに特化して作られており、引用、定義済み用語、専門語彙を固定点として扱う。

自分の文章がマーク付きで返ってきた場合

まず、何を見ているのかを正確に把握することから始めるべきである。マークは、Claude がそのテキストをある時点で扱ったことを意味する。それは文書のどの程度が自分のものかを順位づけるものではなく、会話が正式なものになった場合には、Anthropic 自身の表現がその点であなたを支持するはずである。

すでに持っている作業過程の証拠は、そのまま保持すること。下書きの履歴、版ファイル、メモ、アウトラインはいずれも、出所 संकेतでは示せない形で著者性を示し、統計についての議論よりもはるかに説得力がある。自分の名前で提出しなければならず、マークが実際の帰属上の問題を生じさせるなら、その箇所を自分の言葉で再構成すれば解決する。手作業でもツールを使ってもよいが、再構成こそがこの種のマークに触れる唯一の方法であるため、まさにそれによって解決するのである。

Anthropic は今後も詳細を変更し続けるだろう。対象範囲はなお旧モデルへ拡大中であり、検出もなお発展途上であり、その背後にある規制上の状況も技術より新しい。変わりにくい部分はその仕組みであり、マークが隠れた文字ではなく語の選択にあると知ることが、実際に何かを行う一歩と、そう感じるだけの一歩とを分ける。分類器側から同じ問いを見たいのであれば、水印側ではなく、AI による文章だと人間の読者に見抜かれる語彙は別の信号であり、いかなるキーでも測定できない。