Claudeのテキスト透かしの仕組みと検出の限界

Claude のテキスト透かしとは

Claude のテキスト透かしは、モデルが単語を選ぶ際に適用される偏りです。ファイルに付加されるタグではありません。また、正規表現で削除できる不可視の Unicode 文字列でもありません。Anthropic は、2026年8月14日付の Claude のテキスト透かしの仕組みで、これは「単語の候補から選択する際に使う乱数の生成元だけを変更する」方式だと説明しています。選択には秘密鍵と直前の数語が使われます。透かしは選択された単語に現れるため、コピーや貼り付けをしても維持されます。一方、単語を変更すると失われます。

この仕組みから、検索される理由となる2つの点が分かります。検出は統計的検定であり、意味のある結果を得るには大量の単語が必要です。そのため、1文だけでは有用な判定ができない場合があります。また、陰性結果からは何も証明できません。Anthropic のヘルプセンターにも、「検出された透かしがないからといって、そのコンテンツが AI によって生成または処理されていないことを意味するわけではない」と記載されています。

2026年8月18日に確認したヘルプページ Claude が AI 生成コンテンツに付ける印には、対象となる環境として「Claude Platform (API)、Claude、Claude Code、Claude Cowork、Claude Tag」が挙げられています。AWS、Google Cloud、Microsoft Foundry 経由の利用も含まれます。2026年8月2日以降にリリースされたモデルは、リリース時点で機械可読なマーキングに対応します。それ以前のモデルについては、対応を進めていると説明されています。この日付は偶然ではありません。EU AI Act の第50条は2026年8月2日から適用され、合成テキストを生成するシステムの提供者に対し、出力を「機械可読形式で、人工的に生成または操作されたものとして検出可能な形で」マーキングするよう求めています。Anthropic は、EU 向けのトラフィックだけでなく、世界全体でマーキングを適用すると説明しています。

ファイルの仕組みは異なります。ヘルプページによると、対応する生成ファイル（「.svg、.png、または .jpg」）には、C2PA (Coalition for Content Provenance and Authenticity) 標準に従った暗号署名済みの来歴メタデータが付加されます。これはファイル内容の変更ではなく、内容に付随するメタデータです。そのため、簡単に削除できます。

トークン選択におけるウォーターマークの偏り

各ステップで、言語モデルは次に出力できるすべてのトークン（トークンとは、単語または単語の一部です）について確率を生成します。サンプラーはその中から1つを選びます。通常、この選択に使う乱数は一般的な乱数源から取得します。ウォーターマーク付きサンプラーは、その乱数源を鍵付き擬似乱数関数に置き換えます。入力は秘密鍵と直前の数個のトークンです。そのため、鍵を持つ人には選択を再現できますが、それ以外の人には通常のばらつきに見えます。

広く引用されている最初の公開方式は、Kirchenbauer らによる ICML 2023 の A Watermark for Large Language Models です。各トークンの前に、鍵とそれまでのトークンから語彙の擬似乱数的な「green」部分集合を選びます。次に、サンプラーがそのトークンのスコアへ小さなボーナスを加えます。禁止されるトークンはないため、文章の流暢さは保たれます。ただし、green トークンは偶然の場合より少し高い頻度で現れます。

Anthropic の投稿によると、その実装は SynthID-Text に基づいています。SynthID-Text は Google DeepMind が 2024 年 10 月に Nature で発表した Scalable watermarking for identifying large language model outputs であり、この系統の考え方は Scott Aaronson による 2022 年の提案にさかのぼります。SynthID-Text は、モデル自身の分布から複数の候補トークンを抽出し、鍵付き関数でスコアを付けた勝ち抜き戦を実行します。そのため、最後まで残るトークンは鍵が好むものになりやすくなります。候補はモデル自身の分布から選ばれます。公開評価で品質の測定可能な低下が報告されていないのは、このためです。

重要な結果はエントロピーに関係します。偏りが機能する余地があるのは、モデルに実際の選択肢があった場合だけです。次に来る正しいトークンが Paris だけなら、文章を誤りにせずに変更できる方式はありません。Anthropic はこの点を明確に述べています。ウォーターマークは「文章の正確性を下げずに選択できる余地が少ない事実記述では、より疎になります」。また、コードは通常正確でなければならないため、「他の形式の文章よりウォーターマークが少ないのが一般的」です。信号密度はモデルの選択の自由度に応じて変わります。そのため、自由記述の長い文章には強い痕跡が残りますが、短い事実回答にはほとんど残りません。

ここまでの説明には、明確な限界があります。2026 年 8 月 18 日時点で、Anthropic が公開しているのは、その方式が属する系統であり、パラメータや検出器のしきい値ではありません。このセクションの仕組みは、引用した論文に基づいています。Anthropic が示している公開設計として読んでください。Claude の正確な構成を説明したものではありません。

検出は断定ではなく仮説検定です

検出器はテキストと鍵を受け取ります。テキストを順に調べ、各位置でその鍵が選びやすくした結果を再計算し、各トークンをスコア化して合計します。帰無仮説は、そのテキストが鍵付きサンプラーを使わずに書かれたというものです。この場合、スコアはコイントスのように振る舞い、合計は期待値の近くに収まります。ウォーターマーク付きのテキストでは、合計がその値を上回る方向にずれます。出力されるのは p 値です。これは、ウォーターマークのないテキストで、それほど高い合計が得られる確率を示します。「検出済み」という判定は、その p 値を誰かが設定したしきい値と比較した結果です。

この設計には、実際の運用で感じる影響が2つあります。長さが増えるほど確信度は高まります。トークンが1つ増えるたびに、弱い証拠が1つ加わるためです。Anthropic は次のように説明しています。「ウォーターマークの検出は、単語の選択肢が少なく、判断材料となる情報も少ない短いサンプルでは、うまく機能しません。」しきい値の設定もトレードオフです。段落を検出できるほど低く設定すると、人間が書いた段落も偶然検出し始めます。

現時点では、この検定を自分で実行することはできません。Anthropic の投稿では、「まもなくウォーターマーク検出 API を提供する予定」であり、「実装の詳細を詰めている段階」とされています。したがって、18 August 2026 時点では、公開された Claude ウォーターマーク検出器はありません。特定の文章にその印が付いているという主張を、Anthropic 外部の人が確認したり反証したりすることもできません。

この空白が重要なのは、人々が代わりに別のものへ頼るからです。学校や編集者向けに販売されている商用の「AI 検出器」は、文章のスタイルを学習した分類器です。これらは鍵を保持せず、この種の検定も実行しません。失敗の仕組みは記録されています。GPT 検出器は英語を母語としない執筆者に対して偏りがあります（Liang et al., Patterns, 2023）。この研究では、広く利用されている検出器が、英語を母語としない執筆者による TOEFL エッセイのサンプルの半数超を AI 生成と判定した一方、母語話者のサンプルは正しく分類しました。ウォーターマーク検出器とスタイル分類器は別の仕組みです。後者を前者と称して渡そうとする人を信用しないでください。

ウォーターマークを除去する方法

短い出力。 1 行の回答では、統計的な検出結果を変えるのに必要な選択肢が少なすぎます。これは実装上の不足ではなく、検査自体の性質によるものなので、対策はありません。

書き直し。 Anthropic によると、軽微な編集ではマークを読み取れる場合がありますが、「すべての単語を置き換える完全な書き直し」によって除去できます。置き換えた単語は、鍵では説明できなくなった単語です。

別のモデルを介した言い換え。 2 番目のモデルは、独自の sampler と鍵なしの状態で各 token を選び直します。そのため、出力には、そのモデルにウォーターマークがあればそのマークが付き、Claude のマークは付きません。

例外付きの翻訳。 Claude の英語を別の translator で実行すると、新しい sampler がすべての訳語を選ぶため、信号は失われます。Anthropic は逆方向になるケースも説明しています。「Claude が生成した翻訳にはウォーターマークが付きます。この場合、すべての単語を Claude が選ぶためです。」

コードは基本的に対象外。 正しいコードでは、置き換え可能な選択肢がほとんどありません。TechCrunch は 2026 年 8 月 15 日、Anthropic が「実際に生成されるコードへの影響は無視できる程度」と見込んでおり、マークはコメントに現れやすいと報じました。これは公開されたドキュメントではなく、企業の発表に関する報道です。そのため、コメントに現れやすいという詳細は未確認情報として扱ってください。パッチ内で実際に選択の余地があるのは、コメントと identifier 名です。

ファイルではメタデータを除去する。 C2PA の来歴情報は画像データの外側に格納されます。そのため、保持するよう指定しない限り、ファイルを再エンコードする処理で通常は削除されます。通常の静的サイトのビルドで使用する画像 optimizer も該当します。Anthropic の help page では、マークが失われる理由の 1 つとしてメタデータの除去を挙げています。

検出されたマークが実際に示すこと

「watermark」という言葉から想像されるほど多くはありません。Anthropic の投稿は率直に、「watermark で判定できるのは、そのコンテンツに Claude が何らかの時点で関与した可能性が高いことだけです。『Claude がこれを書いた』のか、『Claude がこれを大幅に編集した』のかを区別することはできません」と説明しています。ヘルプページにも、「Claude が元の著者とは限らない」と記載されています。ユーザーが自分で作成した文章の編集に Claude を使うことがあり、Claude が処理した後にコンテンツが変更される場合もあるためです。

Anthropic が公開している資料には、アカウント単位またはユーザー単位の信号についての記述はありません。公開資料で説明されているマークが示すのは、Claude model が関与したことです。watermark によって、どのユーザーまたはどの API key が文章を生成したかが分かるという説明は、2026年8月18日時点の一次資料にはありません。

AI 支援コードをサーバーから公開する場合、この変更の影響はありますか？

コードについては、技術的な答えはほぼ「いいえ」です。理由はすでに説明した2つです。正確なコードに含まれるシグナルは弱く、公開された検出器も存在しません。公開できるかどうかを決めるのはポリシーであり、ポリシーは変わっていません。オープンソースプロジェクトは、AI 支援によるコントリビューション向けに独自のルールを定めています。そのルールを適用するのは、トークンを検出器で調べる仕組みではなく、メンテナーがプルリクエストを確認する運用です。

サーバーが生成する文章については、特定の点で答えは「はい」です。API 呼び出しでリリースノートや製品ページを作成する場合、その文章は Claude が生成したものなので、マークは文章に含まれます。Markdown を HTML に変換しても、minify しても、結果を Postgres に保存しても、CDN から配信しても、文章自体は変わりません。そのため、マークも維持されます。マークを弱めるのは、人間の編集者が文を書き換えることです。

プロンプトでウォーターマークを消すことはできません。ウォーターマークはモデルが生成するテキストの下層にあるサンプリング層で付与されるため、「この文章にはウォーターマークを付けないでください」のような指示が作用する対象はありません。これは、エージェントがあなたの書いた指示を無視する通常の理由とは異なります。後者では、指示はモデルに届いたものの、別の要因に負けています。2026年8月18日時点で、API 顧客向けに文書化されたオプトアウト方法はありません。

Claude を文章作成ではなくサーバー運用に使う場合、この変更による影響はほとんどありません。シェルコマンドや設定の断片は短く、制約も多いため、含まれるシグナルはほぼありません。また、マークの付与がサーバー上で実行される処理に影響することもありません。Claude を使った日常的な sysadmin 作業では、別の問題が生じます。それは、最初に何がマシンの外へ送られるかという点です。コーディングエージェントが実際にサーバーから送信する内容を確認してください。

開示すべき事項

開示は検出の問題ではなく、規則の問題です。ウォーターマークがあるからといって開示義務が生じるわけではありません。また、ウォーターマークがその義務を果たすわけでもありません。自分に適用される規則を確認し、検出される可能性の有無にかかわらず従ってください。

EU AI Act では、この作業を2つに分けています。Article 50(2) は提供者である Anthropic に表示義務を課しており、今回の展開で対応する義務はこれです。Article 50(4) は展開者に義務を課します。AI 生成テキストを「公共の利益に関する事項について一般の人々に知らせるため」に公開する者は、それが人工的に生成されたことを開示しなければなりません。ただし、「AI 生成コンテンツが人によるレビューまたは編集上の管理を受け、自然人または法人がその公開について編集責任を負う場合」には例外があります。いずれも 2 August 2026 から適用されます。名前のある編集者が確認した記事は、人が読まずに公開するフィードとは異なる扱いになります。これは規則の文言に基づく解釈であり、法的助言ではありません。

法律より広い範囲に及ぶ規則もあります。雇用契約、顧客との契約、パッチを送るプロジェクトの contributing guide、執筆する媒体のポリシーは、それぞれ追加の開示を求めることがあります。実際に確認されるのも、こうした規則です。

開示する場合は、モデルが行ったことと、自分で検証したことを示してください。「Claude で下書きを作成し、公開前にクリーンな Ubuntu 24.04 のインストール環境ですべてのコマンドを実行して確認した」と書けば、技術読者に具体的な情報が伝わります。単に「AI を使用」と表示しても、十分な情報にはなりません。モデルに代わって人が行うべきなのは、内容の確認だからです。

また、ウォーターマークの結果を告発の根拠にしてはいけません。陽性結果は、誰かが書いた文章の編集を含め、どこかの段階で Claude モデルが関与した可能性を示すだけです。陰性結果からは、何も判断できません。

FAQ

Claude のテキスト透かしを無効にできますか？

2026年8月18日時点で、文書化されたオプトアウト方法はありません。Anthropic のヘルプページでは、Claude、Claude Platform (API)、Claude Code、Claude Cowork、Claude Tag におけるマーキングについて説明しており、AWS、Google Cloud、Microsoft Foundry 経由のアクセスも含まれますが、無効化する設定は記載されていません。モデルに回答へ透かしを入れないよう指示しても効果はありません。透かしは指示に従うモデルではなく、トークンを選択する sampler によって付与されるためです。

Claude が生成するコードにも透かしは現れますか？

ほとんど現れません。透かしは、どれも許容できる複数の選択肢から選ぶことで機能しますが、正しいコードには通常、そのような選択肢が多くありません。Anthropic は、コードは通常正確でなければならないため、「他の一部のテキスト形式より透かしが一般に少ない」と説明しています。TechCrunch は 2026年8月15日、Anthropic がコード自体への影響は無視できる程度と見込んでおり、透かしはコメントに現れやすいと報じました。ただし、これは公開文書ではなく、発言に関する報道です。変更の余地がある部分は、コメントと識別子名です。

検出器が透かしを見つけなければ、人間が書いた証拠になりますか？

いいえ。これは透かしについて最もよくある誤解です。Anthropic 自身のページにも、「検出されたマークがないことは、そのコンテンツが AI によって生成または処理されていないことを意味しない」と記載されています。テキストが短すぎて検査できない場合があります。編集または言い換えが行われている場合もあります。マーキングが導入される前にリリースされたモデルの出力である可能性や、別のベンダーによる出力である可能性もあります。この検査は一方向です。Claude が関与した可能性を高めることはできますが、Claude が関与していないことを示すことはできません。

言い換えや翻訳で透かしは消えますか？

別のモデルを通して言い換えると透かしは消えます。そのモデルが独自の sampler と鍵を使わずに、すべての単語を再選択するためです。外部ツールで翻訳した場合も、同じ理由で透かしは消えます。例外は逆方向です。Anthropic は、「Claude が生成した翻訳には透かしが付く。この場合、すべての単語が Claude によって選択されるため」と説明しています。したがって、自分の文章を Claude で翻訳すると、元の文章にはなかったマークが追加されます。

自分で文書の Claude 透かしを確認できますか？

まだできません。検出には鍵が必要なため、テキストを読むだけでは確認できず、オフラインツールでも実行できません。Anthropic は「近く透かし検出 API を提供する」と述べ、詳細を引き続き検討しています。そのため、2026年8月18日時点で公開された検出器はありません。現在 Claude 検出器として販売されているものは、style classifier です。これは別の仕組みであり、第一言語が英語ではない人の文章に対する偽陽性の問題が文書化されています (Liang et al., Patterns, 2023)。