Водяной знак Claude: где находится метка и что она доказывает

Большая часть того, что было написано о водяном знаке Claude с августа, описывает механизм, который не является тем, что выпустила Anthropic. Распространённое объяснение предполагает невидимый символ, вставленный между словами, пробел нулевой ширины или похожий символ Unicode, который ждёт, пока детектор его обнаружит. Это было бы разумным предположением. Однако это неверно, и ошибка не является академической, именно поэтому целая категория бесплатных инструментов, продаваемых как средства удаления водяных знаков, не оказывает на этот конкретный знак вообще никакого эффекта.

Знак Anthropic находится в самом выборе слов. В текст ничего не вставляется. Как только это становится ясно, практические вопросы сами собой получают ответ так, как не могут, пока в игре остаётся представление о скрытом символе, включая то, какие операции переносят знак дальше, какие его удаляют, и что именно сообщает детектор, когда он фиксирует совпадение.

Далее изложено на основе собственной документации Anthropic, а не материалов о ней, и намеренно конкретно в отношении ограничений, которые сама компания указывает.

Что Anthropic включила и когда

Anthropic начала маркировать вывод Claude 11 August 2026. Её статья в центре помощи по этому вопросу описывает текстовую метку как "невидимый водяной знак непосредственно в самом тексте", и говорит, что читатель "не увидит его, и он не изменяет смысл, качество или читаемость".

Охват широк. Модели, выпущенные 2 August 2026 или после этой даты, несут маркировку с момента выпуска, и Anthropic перечисляет поверхности как Claude Platform API, Claude, Claude Code, Claude Cowork и Claude Tag, включая Claude, доступный через AWS, Google Cloud и Microsoft Foundry. Это действует по всему миру. Считать, что всё, составленное до августа, автоматически освобождено, неразумно, поскольку компания описала включение более ранних моделей в течение переходного периода.

Регуляторный импульс, стоящий за этим, это Article 50 of the EU AI Act, чьи требования к прозрачности обязывают поставщиков генеративных систем маркировать машиночитаемый вывод. Anthropic подписала Code of Practice Article 50(2). Стоит отметить, что регулирование охватывает системы, используемые в Европейском союзе, и не содержит ничего, что заставляло бы применять его по всему миру. Anthropic нанесла маркировку везде в любом случае, и это является политическим выбором, а не юридическим требованием, и именно поэтому исследователь в Куала-Лумпуре или Chicago подпадает под действие европейского правила.

Маркировка представляет собой шаблон выбора слов, а не скрытый символ

На каждом этапе генерации текста языковая модель выбирает между несколькими продолжениями, которые по её собственной статистике близки к эквивалентным. Там, где одно слово не хуже другого, что-то должно разрешить ничью. Водяной знак на основе выборки разрешает такие ничьи согласно ключу, которым владеет поставщик, так что на протяжении разумного объёма текста накопленные выборы образуют шаблон, который детектор, располагающий тем же ключом, может измерить.

На страницу ничего не добавляется. Нет символа, который нужно найти, нет поля метаданных в тексте, нет артефакта форматирования. Слова, которые вы читаете, и есть водяной знак, в том конкретном смысле, что маркировка представляет собой запись о том, какие слова были выбраны из числа альтернатив. Именно поэтому Anthropic может утверждать, что маркировка ничего не стоит в смысле значения или читаемости: ей никогда не нужно было искажать прозу, только снова и снова предпочитать одну допустимую формулировку другой допустимой формулировке.

Он также объясняет долговечность. Anthropic утверждает, что метка «будет перемещаться вместе с текстом, когда его копируют и вставляют в другое место», и причина этого структурная, а не связана с какой-либо хитроумной техникой. Копирование сохраняет ваши слова. Переформатирование сохраняет ваши слова. Изменение шрифта, экспорт в PDF, вставка в другой редактор, преобразование в обычный текст: все это сохраняет последовательность слов, а именно последовательность слов и является тем, что измеряется.

Почему очистители невидимых символов не оказывают на это никакого эффекта

Большое число бесплатных инструментов теперь рекламируют себя как средства удаления водяных знаков AI. Почти все они выполняют одну задачу: ищут Unicode с нулевой шириной, невидимые пробелы и похожие глифы, а затем удаляют найденное. Это было разумным ответом на реальную проблему, поскольку некоторые системы действительно встраивают сведения о происхождении в символы, и это правильный инструмент для удаления случайных артефактов форматирования из вставленного текста.

В отношении водяного знака на основе выборки это не дает ровным счетом ничего. Пропустите фрагмент Claude через очиститель символов, и каждый невидимый символ в нем исчезнет, тогда как фрагмент будет измеряться точно так же, как и прежде, потому что ни одно слово не изменилось. Инструмент ищет там, где метки никогда не было. Это самое существенное заблуждение, которое сейчас распространено, и любой, кто полагается на удалитель символов для этой цели, получает результат, который выглядит как действие, но действием не является.

Общий вывод связан с более широким вопросом о том, как на самом деле работают детекторы AI, хотя водяной знак с ключом представляет собой иной механизм, чем статистический классификатор. Классификатор делает вывод по форме текста. Водяной знак считывает сигнал, который был намеренно внедрен, что делает его гораздо более точным в том, что именно он обнаруживает, и ничуть не лучше в том, чтобы сказать вам, кто написал документ.

Второй механизм, который применяется к файлам, а не к тексту

Anthropic использует две системы, и в освещении их в основном свели в одну. Наряду с текстовым водяным знаком, файлы, созданные Claude, могут содержать "signed provenance metadata" в соответствии с открытым стандартом Coalition for Content Provenance and Authenticity (C2PA).

Эта вторая часть работает противоположно первой. Метаданные C2PA прикрепляются к файлу, а не вплетаются в текст, поэтому их сравнительно легко потерять: если скопировать текст из файла, метаданные останутся в нём, поскольку их никогда не было в самих словах. У двух систем противоположные сильные стороны. Текстовый маркер сохраняется при перемещении и устойчив к небрежному редактированию. Подпись файла точна и проверяема, но не сохраняется при обычном действии, когда фрагмент выделяют и вставляют в собственный документ.

Что на самом деле устанавливает положительное обнаружение

Гораздо меньше, чем подразумевает слово "detection", и Anthropic необычно прямо говорит об этом. В её документации указано, что "detecting a Claude mark tells you that the content may have been processed by Claude" и что это "does not, on its own, confirm the full provenance".

Вдумайтесь в это, потому что здесь формулировка выполняет точную работу. Processed, а не written. Положительный результат согласуется с документом, который Claude составил с нуля. Он в равной степени согласуется с документом, который вы написали сами и попросили Claude доработать. Сигнал не позволяет различить эти случаи, потому что в обоих из них Claude сгенерировал токены, которые в итоге оказались на странице.

Ограничения действуют и в обратную сторону. Anthropic отмечает, что маркеры могут не сохраняться при сильном редактировании, преобразовании формата или в очень коротких фрагментах, а отсутствие маркера не означает, что контент не был сгенерирован AI. Таким образом, отрицательный результат почти ничего не устанавливает: текст мог прийти от другой модели, от более ранней версии Claude или от Claude после такого объёма правок, который стёр сигнал. Обнаружение предусмотрено через собственный интерфейс Anthropic, а не предоставляется третьим сторонам, поэтому универсальные детекторы AI не считывают этот сигнал и не могут этого делать.

Операция	Воздействие на текстовый водяной знак	Почему
Копирование и вставка	Сохраняется	Ваши слова сохраняются точно
Переформатирование, изменение шрифта, экспорт в PDF	Сохраняется	Меняется оформление, но не последовательность слов
Удаление невидимых символов	Не влияет	Метка никогда не была сохранена в символе
Лёгкое редактирование	Обычно сохраняется	Большинство слов сохраняется, значит, сохраняется и большая часть шаблона
Существенная переработка	Разрушается	Новые слова означают новые решения, не связанные с оригиналом
Перевод на другой язык	Разрушается	Последовательность токенов перестраивается с нуля
Очень короткие фрагменты	Ненадёжно в любом случае	Статистическое измерение требует достаточно длинного текста, чтобы сделать какой-либо вывод

Проблема атрибуции, которую это создаёт для людей, написавших собственную работу

Самая резкая реакция на объявление исходила не от тех, кто пытался скрыть машинно написанный текст. Она исходила от юристов, исследователей, академических работников и редакторов, которые используют модель так, как использовали бы литературного редактора, и которые заметили, что именно фиксирует эта метка.

Рассмотрим обычный случай. Вы пишете абзац. Аргументация принадлежит вам, доказательства принадлежат вам, структура принадлежит вам. Вы просите Claude исправить ритм и сократить двести слов. В ответ вы получаете свой абзац, помеченный, и эта метка не может сказать, что почти все мысли и большая часть формулировок уже существовали до того, как модель их увидела. Если учреждение, издатель или работодатель рассматривает положительный результат как окончательное доказательство авторства AI, что является более сильным толкованием, чем допускает собственная формулировка Anthropic, автор оказывается вынужден спорить с сигналом, который никогда не был предназначен для ответа на поставленный ему вопрос.

Это подлинная проблема атрибуции, а не проблема сокрытия, и это стоит прямо сформулировать, потому что эти два вопроса постоянно смешивают. Желание, чтобы ваш собственный аргумент был приписан вам, не то же самое, что желание скрыть, как был создан документ. Что бы ни требовала политика раскрытия информации в вашем учреждении, она по-прежнему этого требует: снятие метки ничего не меняет в том, что вы должны читателю в заявлении об использовании AI.

Что снимает метку, а что только выглядит так, будто снимает

Один принцип охватывает все это. Любая операция, которая оставляет ваши слова на месте, переносит метку дальше. Любая операция, которая заново производит слова с нуля, разрывает ее. Все остальное следует из этого.

Копирование, изменение форматирования, преобразование типов файлов и удаление невидимых символов оставляют слова на месте, поэтому все они переносят метку. Перевод и существенное переписывание заново производят слова, поэтому оба действия разрывают ее, и Anthropic признала, что значительное редактирование может сделать метку невидимой. Переписывание вручную вполне работает, если у вас есть на это время, а для целой главы его у большинства людей нет.

На этом механизме построен наш free Claude watermark remover. Он восстанавливает отрывок предложение за предложением через другую модель, так что каждый токен генерируется заново, и сигнал, привязанный к выборке Claude, больше не имеет, к чему прикрепиться. Начальные фрагменты смещаются, порядок придаточных предложений меняется, тогда как цифры, даты, имена, оговорки и терминология области остаются неизменными, а цитируемый материал и ссылки переносятся точно, а не перефразируются. Одно следствие этого последнего правила полезно знать заранее: длинная дословная цитата, извлеченная из Claude, сохраняет ту метку, с которой она была получена, потому что точное воспроизведение цитаты является более важным из этих двух обязательств.

Для более длинных документов, или для академической работы, где регистр и работа с цитированием имеют больший вес, чем в обычной прозе, тот же подход к переписыванию применяется ко всему рукописному тексту в TextPulse humanizer, который был создан специально для исследовательского письма и рассматривает цитаты, определённые термины и техническую лексику как фиксированные точки.

Если ваш собственный текст был отмечен

Сначала точно определите, на что вы смотрите. Отметка означает, что Claude в какой-то момент обработал текст. Она не показывает, какая часть документа принадлежит вам, и собственная формулировка Anthropic подтвердит это, если разговор станет формальным.

Сохраните все имеющиеся у вас доказательства процесса. Черновая история, файлы версий, заметки и планы все свидетельствуют об авторстве так, как не может свидетельствовать сигнал происхождения, и они значительно убедительнее, чем аргумент о статистике. Если ваш текст должен выйти под вашим именем и отметка создаёт реальную проблему атрибуции, переписывание фрагмента своими словами устраняет её, делаете ли вы это вручную или с помощью инструмента, и устраняет её именно потому, что переписывание это единственное, что затрагивает такой тип отметки.

Anthropic будет продолжать менять детали. Охват по-прежнему расширяется на более старые модели, обнаружение по-прежнему развивается, а нормативная картина вокруг этого моложе самой технологии. Часть, которая вряд ли изменится, это механизм, и понимание того, что отметка находится в выборе слов, а не в скрытом символе, отличает шаг, который действительно что-то делает, от шага, который только кажется действенным. Если вы хотите увидеть тот же вопрос со стороны классификатора, а не со стороны водяного знака, лексика, которая выдаёт текст AI человеческому читателю, это уже другой сигнал, и его не может измерить ни один ключ.