Claudeはテキストにウォーターマークをどう埋め込むのか
画像は人間が知覚できない余白に信号を隠せますが、テキストにはその余白がありません。モデルが単語を選ぶ方法を変えて印を埋め込む仕組みと、短い文章やリライトで崩れてしまう限界を整理しました。
AI・テックAnthropicが8月10日に明かしたテキストの印
8月10日、Anthropicがヘルプセンターにひとつの文書を静かに公開しました。2026年8月2日以降にリリースされるClaudeモデルは、生成したテキストに機械が読み取れる印を埋め込むという内容でした。目には見えず、コピー＆ペーストしても残り、ある程度の編集にも耐えるといいます。
画像であればすぐに理解できたはずです。Google DeepMindのSynthIDが、生成画像に見えないウォーターマークを入れることはよく知られていますから。しかし、文章の中に目に見えないものをどうやって隠すのでしょうか。文字の間に特殊文字でも挟み込むのでしょうか。
テキストは、画像のピクセルのように微小に変更しても目立たない部分を見つけるのが困難です。そのためこの技術は、文章に印を付加するのではなく、モデルが単語を選ぶ仕組みそのものをほんの少しずらします。印が文章に別途乗せられるデータではなく、どの単語が選ばれたかの中に込められるわけです。
画像には隠す場所があり、テキストにはありません
まず、画像のウォーターマークがなぜ直感的に理解できるのかから整理してみましょう。
デジタル画像は、数百万個のピクセルによる数値の配列です。そして人間の目は、こうした数値の微細な違いを感知できません。あるピクセルの赤色の値が137であろうと138であろうと、私たちには見分けがつかないのです。音声も同様です。人間の耳には聞き取りにくい周波数帯が存在し、大きな音にかき消される小さな音もあります。
人間の感覚がこうした微細な違いを識別できないおかげで、情報を乗せて運べる余白が生まれます。SynthIDをはじめとする画像ウォーターマークは、この余白に信号を埋め込みます。オリジナルとウォーターマークが入ったバージョンを並べて見ても人間には違いがわかりませんが、専用の検出器はその微細なパターンを読み取ることができます。すでに作成された画像に対して、後から上乗せすることも可能です。
テキストには、この余白がありません。
文章はピクセルの配列ではなく、トークン1の並びです。そして、すべてのトークンが意味を持ちます。「今日は天気がいいです」から一文字を少し変えるだけでも、誤字になったり意味が変わってしまったりします。137を138に変えるような、無害な微調整が原理的に不可能なのです。目に見えないUnicode文字を挿入する方法もありますが、これはウォーターマークというより単なる隠し文字にすぎません。コピーして別のエディタに貼り付ければ大半が消えてしまいますし、見つけ出して削除するのも極めて簡単です。
そのため、テキストのウォーターマーク技術はまったく異なるアプローチを取る必要がありました。書き終えた文章に信号を埋め込むのではなく、文章を書くプロセスそのものに介入する方式です。
そこで単語の選び方を変えました
言語モデルは文章を一気に書くわけではありません。トークンを一つずつ選び出していきます。毎瞬、語彙辞書全体（通常10万個以上）に対する確率分布を計算し、そこから一つをサンプリングします。そして、重要な事実が一つあります。ほとんどの場所で、正解は一つではないということです。
「この問題の原因は技術ではなく___」といった文を考えてみてください。ここに「制度」「構造」「設計」「慣行」のどれが入っても、文としてまったく問題ありません。「そのため」の代わりに「したがって」、「この点」の代わりに「この部分」を使っても、読者は違いをほとんど感じません。このように、どちらを選んでも差し支えのないゆとりが毎トークンに存在します。情報理論ではこれをエントロピー2と呼びます。
テキストの電子透かしは、このゆとりを通信チャネルとして使います。ピクセルの余白の代わりに、選択の余白を使うのです。
Google DeepMindが2024年10月に『Nature』誌で発表したSynthID-Textの論文が、この仕組みを最も明確に示しています。その仕組みはこうです。
| 直前トークン ＋ 秘密鍵 → ハッシュ → 乱数シード → スコアリング関数 g1・g2・g3 | ||||||||
| 候補8個 | 制度 | 構造 | 設計 | 慣行 | 方式 | 体系 | 枠組み | 原理 |
| g1で対戦 | 構造 | 設計 | 方式 | 原理 | ||||
| g2で対戦 | 設計 | 原理 | ||||||
| g3で対戦 | 設計 | |||||||
| オレンジ色のマスが実際に出力されたトークンです。論文のデフォルト設定は30層ですが、ここでは3層に簡略化しています。 | ||||||||
まず秘密鍵と直前いくつかのトークンを一緒に入力し、ハッシュ関数を実行して乱数シードを生成します。このシードをもとに、語彙辞書のすべてのトークンに0または1を割り振るスコアリング関数を複数生成します。次にモデル本来の確率分布から候補トークンをいくつか抽出し、トーナメントを行います。2つずつペアにしてスコアリング関数のスコアが高いほうが勝ち上がり、次の層で別のスコアリング関数で再度競い合い、最後に生き残ったトークンが実際の出力となります。論文のデフォルト設定は30層です。
候補トークン自体はそもそもモデルの本来の確率分布から抽出されているため、生成物の品質はほぼそのまま保たれます。 しかし鍵を知っている人から見れば、ある一つの偏りが見えてきます。出力されたトークンがことごとく、その鍵が生成したスコア表で点数の高い側に偏っているのです。
検出はここから極めてシンプルになります。モデルも、原文も必要ありません。同じ鍵を使って観測されたテキスト上でスコアリング関数を再実行して平均スコアを算出し、「人間が書いた文章なら偶然このレベルに達する確率」を計算します。統計的検定です。人間が書いた文章はまさに偶然の範囲にとどまりますが、電子透かしが入った文章は統計的に浮き彫りになります。
コストもほとんどかかりません。同論文において、トーナメントサンプリングによる遅延時間の増加は**0.57%**と測定されました。この方式が実際の商用サービスに導入され得た理由です。実際、GoogleはこれをGeminiに組み込みました。
Anthropicが正確にこの方式を使っているかどうかは、まだ分かっていません。同社が実装の詳細を公開していないためです。 ただし、「文章自体に織り込む」「コピペしても付いてくる」「一部の編集に耐える」「品質に影響を与えない」という4つの説明は、この系統の手法の特性と完全に重なります。この系統の原型は2023年にキルヒェンバウアー（Kirchenbauer）らの研究チームが提案したグリーンリスト・レッドリスト方式であり、トーナメントサンプリングはその改良版にあたります。
限界もすべて同じ原理から生じています
この構造を理解すると、Anthropicのドキュメントに記された限界のリストがすべて1行で説明できます。会社が慎重を期して付け加えた免責条項ではなく、原理上そうならざるを得ないものなのです。
コピー＆ペーストを生き残る理由は、標識がファイルの属性ではなく単語の選択そのものだからです。テキストを移せば、標識も一緒に移されます。メタデータのように切り離される部分がそもそもありません。
一部の編集に耐えられる理由は、シグナルが何百回もの選択に薄く散りばめられているからです。文章をいくつか修正しても統計値が下がるだけで、ゼロにはなりません。
短い文章で失敗する理由も同じです。統計検定であるため標本が必要です。SynthID-Textの実測を見ると、50トークンの長さでは誤検知率1%基準で検知成功率が0.3近くまで落ち込みます。10文前後の文章では判定が難しいということです。
パラフレーズ3や翻訳で崩れる理由は特に興味深いです。人間や他のモデルが文章を書き直すと、トークンの選択がそのキーとは無関係なプロセスによって再抽選されます。シグナルが消去されるのではなく、上書きされるのです。
そして、ドキュメントには書かれていない限界がもう1つあります。私はこれが最も重要だと考えています。**電子透かしが保持できる情報量は、生成のエントロピーに縛られているのです。**選択肢が1つしかない場所には何も埋め込めません。候補がすべて同じなら、トーナメントを開く理由がないからです。
そのため、短いコード片、定型化された表の出力、引用文、計算結果のように答えがほぼ決まっているテキストには、標識がほとんど付きません。逆説的ですよね。AIによる著作かどうかが最も激しく争われる領域で、この技術は最も弱くしか機能しないのです。
韓国ではすでに1月から表示義務が存在
今回の発表は、欧州の規制だけに関係する話ではありません。韓国国内にもすでに表示義務が存在します。
『人工知能発展および信頼基盤造成等に関する基本法』とその施行令が2026年1月22日に施行されました。第31条は生成AI事業者に対し、生成物がAIによって生成されたという事実を表示するよう義務付けています。ここには二つの区分があります。一般的な生成物は人間が認識できる表示またはウォーターマーク・メタデータのような機械可読方式の中から選択でき、ディープフェイクには人間が明確に見分けられる可視的な表示のみが認められています。テキストも対象に含まれています。
問題は二つありました。第一に、義務を負うのは個人ユーザーではなくAI事業者だという点です。第二に、機械可読方式を選びたくても利用できる標準技術が事実上存在しなかったことです。そのため韓国政府は最低1年以上の指導期間を設け、最大3,000万ウォンの過料の賦課は事実上2027年以降へと先送りされています。
Anthropicの今回の措置は、まさにこの空白と関連しています。モデルレベルで印が付くということは、Claudeを活用して製品を作る韓国の事業者にとっては、機械可読表示がデフォルトで付いてくることを意味するからです。標準が存在しないという理由は一つ減るわけです。
ただし、ここで法律が求めることと技術が示すことに食い違いが生じます。韓国の法律が求めているのは「AIが作成したという事実を表示すること」ですが、このウォーターマークが語っているのは正確にはそれではありません。同社自身が明らかにしているとおり、Claudeが原著者でなくても印は付きます。 校正、翻訳、要約、形式変換を経た文章もすべて「Claudeが処理した」として表示されます。欧州側のガイドラインが単純な文法校正のような補助的機能を表示義務から除外していることと比較すると、技術が法律よりも広く表示してしまっている状況です。
つまり、この印はClaudeがその文章を書いたという証明ではなく、そのテキストがClaudeを経由して処理されたという記録なのです。印が付いているという事実だけでClaudeが文章を書いたと断定すると誤解が生じます。
Oswarldの視点
技術そのもの以上に私が長く考えさせられたのは、検出キーを誰が持つのかという問題でした。
この電子透かしはキーがなければ読み取ることができません。しかし、キーを公開してしまえば誰でも透かしを逆算して消すことができてしまいます。どのトークンのスコアが高いかが分かれば、そのトークンだけを選んで差し替えれば済むからです。かといって非公開のままにしておけば、「この文章をAIが書いたのか」という判定権限がモデル企業一社に集中してしまいます。
EUの行動規範は第三者が検出できるようにすることを求めていますが、この二つは原理的に衝突します。現実的な解決策は企業が運営する検出サービスでしょうが、そうなると判定を受けるために検査対象のテキストをその企業へ送らなければならなくなります。採用担当者が応募者の志望動機書を、学校が学生の課題レポートをモデル企業のサーバーへアップロードして初めて判定が出るという意味です。透明性のために作られた仕組みが、新たなデータ集中を生み出す構造なのです。
私がGTM戦略を策定する中で何度も目にしてきたパターンがあります。企業がAIツールを検討するときは性能の比較表から作成するものですが、実際に契約の決め手となったのは、決まってその表には載っていなかった項目でした。今回の電子透かしもまさにそうした項目です。Claude APIを使って文書処理プロダクトを開発している企業であれば、顧客が自身の原稿を入力したのに、出力された成果物に検出可能なシグナルが付与されて出てくるという項目に気を配らなければなりません。利用規約や告知文言を見直すべき事案だからです。
ただし、その実効性については冷静に見極める必要があります。消したいと考える人なら一度書き直せば済みますし、透かしを施さないモデルを使えばそれだけのことです。結局のところ、印が付けられるのはルールを守る側なのです。ですから私は今回の措置を、悪用を摘発するための装置というよりは、ルールを守る事業者が生み出すごく普通のコンテンツに、機械可読の標識がデフォルトで付与されるようにするインフラとして捉えています。
おわりに
整理すると、次のようになります。
第1に、画像には人間が知覚できない余白があるため信号を隠せますが、**テキストにはその余白がありません。**そのためテキストの電子透かしは、完成した文章に印をつけるのではなく、モデルが単語を選ぶ方法を少しずつ変化させます。
第2に、この原理から残りの特性がすべて導かれます。コピー＆ペーストしても印はそのまま残り、短い文章や答えがほぼ決まっているテキストには印がほとんどつかず、文章を書き直すと印が上書きされて消えてしまいます。
第3に、残された問題は技術そのものよりも、検出キーを誰が保持し、誰が判定するのかという点にあります。キーを公開すれば誰もが電子透かしを消去できるようになり、公開しなければ判定の権限がモデル企業1社に集中します。この記事で取り上げた印とは、別個のファイル情報ではなく、単語の選択に現れる統計的なパターンのことです。
今すぐ試せることは、意外にもシンプルです。今、ご自身の組織でAIを経由して外部へ出ているテキストを1行ずつ書き出してみてください。プレスリリース、製品の詳細ページ、顧客対応の文面、契約書のドラフト。その中で「AIが処理したという印がついても困らないもの」とそうでないものを分類してみると、今後整備すべきポリシーの輪郭がひとまず見えてきます。
皆さんは実務において、AIで文書を作成したり推敲したりして外部に出されていますか？ その成果物に「AI処理済み」という印がついた場合、最も困る文書は何でしょうか。ぜひコメントでお聞かせください。事例が集まったら、次号で文書の類型ごとに印がどのようなリスクになるのかを整理してみたいと思います。
💬 印がつくと最も困る文書は何でしょうか。ぜひコメントでお聞かせください。次号に反映してみたいと思います。 📨 コンテンツ・法務・開発を担当されている同僚の方がいらっしゃいましたら、ぜひこの記事をシェアしてください。
参考資料と関連リンク
主要出典
- Anthropic, “How Claude marks AI-generated content”, Claude Help Center, 2026年8月10日. 文書を見る ・・・ 今回の記事の出発点です。短いので原文で読まれることをお勧めします。特に「Limitations」の項目は、同社が何を約束していないのかを示してくれます。
- Sumanth Dathathri et al., “Scalable watermarking for identifying large language model outputs”, Nature, Vol. 634, 2024年10月24日、 pp. 818–823. 論文を見る ・・・ 今回のメカニズム解説の根拠です。Fig. 2のトーナメント図を見るだけでも原理がつかめます。ちなみに、この論文を第631巻755ページとして引用している二次資料が複数ありますが、それは別の論文の書誌情報です。
- John Kirchenbauer et al., “A Watermark for Large Language Models”, ICML, 2023. 論文を見る ・・・ この系統の原形です。グリーンリスト・レッドリストという最もシンプルな形なので、概念を把握するにはむしろこちらのほうがわかりやすいでしょう。
- 『人工知能発展および信頼基盤造成等に関する基本法』第31条および同法施行令、2026年1月22日施行. 法令を見る ・・・ 韓国国内における表示義務の根拠条項です。ディープフェイクと一般的な生成物の表示方法がどのように分かれているかが核心です。
- European Commission, “Transparency obligations under Article 50 of the AI Act”, 2026. 公式FAQを見る ・・・ 第50条の適用時期（2026年8月2日）と実践規範の位置づけを一次資料でご確認いただけます。
背景知識
- Coalition for Content Provenance and Authenticity, C2PA Specification. 仕様を見る ・・・ ファイル側の標識における標準規格です。署名構造がどうなっているかを一瞥するだけでも、「剥がしてしまえば終わり」である理由が見えてきます。
- Nikola Jovanović, Robin Staab, Martin Vechev, “Watermark Stealing in Large Language Models”, ICML, 2024. 論文を見る ・・・ ウォーターマークを逆推定して消去または偽造する攻撃を扱っています。今回の記事の「検出キー」問題を技術的に掘り下げてみたい方は、まずこちらからどうぞ。
📝 用語解説
각주
-
トークン（Token）：言語モデルが文章を扱う際の最小単位です。単語1つの場合もあれば、単語の構成要素である場合もあります。モデルは文を丸ごと書くのではなく、このトークンを1つずつ繋ぎ合わせる方式で文章を生成します。 ↩
-
エントロピー（Entropy）：ある位置に入り得る選択肢がどれほど多様であるかを測定する値です。次に続く単語の候補が複数あればエントロピーは高くなり、事実上1つに定まっていれば低くなります。ウォーターマークは、この値が高い位置にしか潜むことができません。 ↩
-
パラフレーズ（Paraphrase）：意味はそのままに、表現だけを変えて言い換えることです。人間が手作業で書き直すケースも、別のAIにかけて変換するケースも、すべてこれに該当します。 ↩