Programiści złamali niewidoczne znaki wodne Claude w 4 godziny

Twórcy oprogramowania potrzebowali zaledwie czterech godzin, by obejść niewidoczne znaki wodne, które Anthropic zaczął wbudowywać w treści generowane przez modele Claude. Deweloper Guillaume Meyer opublikował swój kod usuwający znaki wodne z tekstów Claude jeszcze tego samego dnia, w którym firma potwierdziła globalne wdrożenie tej technologii. Projekt trafił na GitHub, zebrał ponad 20 tysięcy zakładek na platformie X i przyciągnął ponad stu współautorów.

Kluczowe wnioski

• Deweloper Guillaume Meyer opublikował narzędzie usuwające znaki wodne z tekstów Claude cztery godziny po ogłoszeniu przez Anthropic globalnego wdrożenia tej technologii.
• Projekt na GitHubie zebrał ponad 100 współautorów i ponad 20 tysięcy zakładek na X; wielu deweloperów włącza go do własnych aplikacji.
• Znaki wodne wynikają z unijnego AI Act – przepisy nakazują dostawcom modeli, jak OpenAI czy Anthropic, oznaczanie syntetycznych treści pod groźbą kar do 3 procent rocznego obrotu.
• Prawo zakazuje dostawcom modeli sprzedawania narzędzi do obchodzenia znaków wodnych, ale niezależne narzędzia deweloperskie nie są objęte tym zakazem.
• Anthropic przyznaje, że mocno edytowany, parafrazowany lub przetłumaczony tekst może nie zachować znaku wodnego, a wykrywacz daje jedynie prawdopodobieństwo, nie dowód.

Skąd wzięła się kontrowersja wokół znaków wodnych

Anthropic ogłosił w minionym tygodniu, że Claude będzie w skali globalnej znakować generowane treści niewidocznym wzorcem, wykrywalnym maszynowo, ale niedostrzegalnym dla czytelnika. Decyzja ta wynika z unijnego AI Act, który wymaga od dostawców modeli – takich jak Anthropic czy OpenAI – oznaczania syntetycznego audio, obrazu, wideo i tekstu w sposób umożliwiający jego maszynowe wykrycie. Firmy, które nie zastosują się do przepisów, mogą zostać ukarane grzywną w wysokości do 3 procent rocznego obrotu. Nowe przepisy wchodzą w życie w tym miesiącu.

Meyer i inni deweloperzy zaczęli badać mechanizm znakowania natychmiast po ogłoszeniu Anthropic. Jak mówi w rozmowie z WIRED, część osób próbuje omijać znaki wodne, ponieważ nie zgadza się z samą ideą, że każda treść generowana przez AI musi być oznaczona. Inni – w tym on sam – przyznają, że po prostu lubią techniczne wyzwanie. Do Meyera zwracali się także freelancerzy piszący treści oraz twórcy w mediach społecznościowych, prosząc o pomoc w wykorzystaniu jego kodu.

Sam Meyer podkreśla, że nie jest przeciwnikiem transparentności czy atrybucji treści. „Uważam po prostu, że samo znakowanie wodne to bardzo słabe rozwiązanie, bo ma poważne wady i ryzyka” – mówi. Jako native speaker francuskiego, regularnie korzysta z Claude i innych narzędzi, takich jak Grammarly, do redagowania własnych tekstów. Obawia się, że wykrywacz nie odróżnia lekkiego wspomagania się AI od pełnego wygenerowania treści, a wykorzystywanie znaku wodnego jako dowodu – nawet gdy sam Anthropic przyznaje, że narzędzie generuje tylko prawdopodobieństwo, że tekst pochodzi z Claude – może prowadzić do niesprawiedliwego odrzucania kandydatów przez pracodawców lub bezpodstawnych oskarżeń badaczy o użycie sztucznej inteligencji.

Jak działa technologia i jej obejścia

Anthropic wykorzystuje technikę SynthID, opracowaną przez Google, która pozostawia w wyborze słów i fraz przez Claude wzorzec niewidoczny dla człowieka, ale wykrywalny przez maszynę znającą metodę wyszukiwania. Google stosuje SynthID do znakowania własnych treści AI od 2023 roku. Informatyk Scott Aaronson zaproponował podobną metodę podczas pracy w OpenAI, jednak firma nigdy jej nie wdrożyła – z obawy, że znaki wodne mogłyby odstraszyć klientów od produktu.

Metoda Meyera polega na wykorzystaniu innego, niedziałającego na znakach wodnych modelu językowego, który generuje wielokrotne przeróbki tekstu, wprowadzając synonimy i lekko reorganizując treść. To rozwiązanie jest jednak obarczone ryzykiem – 190 organizacji, w tym OpenAI, Microsoft i Meta, podpisało unijny kodeks postępowania w zakresie transparentności. Nie wiadomo jeszcze, ile z tych laboratoriów faktycznie wdroży własne znaki wodne, które muszą być obowiązkowe we wszystkich nowych modelach wydanych od sierpnia i zintegrowane z istniejącymi modelami do grudnia.

Inni programiści opracowali własne narzędzia. Erik Hughes, inżynier oprogramowania, w 15 minut stworzył z pomocą Claude narzędzie usuwające niewidoczne i wizualnie podobne znaki, przestawiające kolejność zdań w akapitach oraz zamieniające słowa na synonimy. Leon Chlon, Visiting Fellow na Uniwersytecie Oksfordzkim, twierdzi, że znaki wodne można usunąć, kondensując odpowiedź Claude, tłumacząc ją na dialekt taki jak arabski – którego semantyka bardzo różni się od angielskiej – i tłumacząc z powrotem. Sam Anthropic przyznał, że mocno edytowana, parafrazowana lub przetłumaczona treść może nie nosić znaku wodnego.

Wayne Pan, dyrektor techniczny i współzałożyciel startupu Haimaker z Doliny Krzemowej, włączył otwartoźródłowe narzędzie Meyera do swojej platformy. Choć nie ma jeszcze pewności, czy narzędzie działa – dopóki Anthropic nie opublikuje oprogramowania do wykrywania znaku wodnego – zrozumienie podstawowego mechanizmu SynthID-text daje deweloperom dużą pewność, że metoda skutkuje.

Reakcja Anthropic i co dalej

W oświadczeniu dla WIRED rzecznik Anthropic wyjaśnił: „Dodajemy oznaczenia do wyników Claude, aby spełnić wymogi unijnego AI Act, i inne laboratoria podejmują podobne kroki. Trudno jest zidentyfikować tekst generowany przez AI, a to daje ludziom lepsze narzędzia do identyfikacji. Tekst z obsługiwanych modeli Claude, w tym wyniki Claude Code, będzie nosił niewidoczny znak wodny, który nie zmienia znaczenia, jakości ani czytelności odpowiedzi Claude. Planujemy również udostępnić API do wykrywania tekstu, aby użytkownicy mogli robić to samodzielnie” – jak informowaliśmy w artykule o planach Anthropic dotyczących udostępnienia API do wykrywania znaków wodnych.

Firma pracuje obecnie nad wdrożeniem wykrywania znaków wodnych w tekście i planuje wkrótce wydać odpowiednie narzędzie – dopiero wtedy deweloperzy będą mogli ostatecznie sprawdzić, czy ich metody obchodzenia zabezpieczeń są w pełni skuteczne. Firma kontynuuje też prace nad ulepszaniem samego systemu znakowania, który szeroko wyjaśniła w osobnym oświadczeniu. Jak podsumowuje Pan: „Myślę, że chcieli pokazać, że robią to w dobrej wierze, ale nie sądzę, że można stworzyć znak wodny, który przetrwa wszystko”.

Sprawa pokazuje, że wraz z wejściem w życie unijnych przepisów o transparentności AI, wyścig między dostawcami modeli a społecznością deweloperów szukających obejść dopiero się rozkręca – a skuteczność znaków wodnych pozostaje otwartym pytaniem.