Programmierer hoben Claudes unsichtbares EU-Konformitäts-Wasserzeichen innerhalb von vier Stunden auf

Innerhalb von vier Stunden, nachdem Anthropic bestätigt hatte, dass Claude-Modelle weltweit unsichtbare, maschinenlesbare Wasserzeichen in KI-generierten Text einbetten würden – um dem EU-KI-Gesetz zu entsprechen –, hatte der Entwickler Guillaume Meyer seine Umgehungslösung veröffentlicht. Der Code zum Entfernen von Wasserzeichen aus von Claude generiertem Text wurde auf GitHub viral, sammelte mehr als 20.000 Lesezeichen auf X und über 100 Mitwirkende.

Anthropic versieht Text mit Wasserzeichen, indem es ein Muster in Claudes Wahl von Wörtern und Formulierungen hinterlässt, das für Menschen nicht erkennbar, für Maschinen jedoch nachweisbar ist. Die Technik SynthID wurde von Google entwickelt und ist seit 2023 im Einsatz; OpenAIs Scott Aaronson schlug eine ähnliche Methode vor, die das Unternehmen jedoch nie einsetzte, aus Sorge, Wasserzeichen könnten Kunden abschrecken.

Die Umgehungslösungen nutzen die statistische Natur des Verfahrens aus. Meyers Methode verwendet ein nicht wasserzeichnendes LLM, um Umschreibungen zu erzeugen, indem es Synonyme austauscht und Inhalte neu anordnet. Der Softwareentwickler Erik Hughes baute mit Claude selbst in 15 Minuten ein Werkzeug zusammen, das unsichtbare und ähnlich aussehende Zeichen entfernt, Sätze umstellt und Wörter austauscht. Leon Chlon von Oxford sagt, dass das Verdichten der Antwort oder ihre Übersetzung ins Arabische – mit sehr unterschiedlicher Semantik – und zurück das Muster entfernt; Anthropic räumte ein, dass stark bearbeitete, paraphrasierte oder übersetzte Inhalte möglicherweise kein Wasserzeichen tragen.

Die Vorschriften verpflichten Anbieter, synthetische Inhalte zu kennzeichnen, andernfalls drohen Geldbußen von bis zu 3 % des Jahresumsatzes, und sie untersagen Anbietern die Vermarktung von Umgehungswerkzeugen – doch für unabhängige Werkzeuge besteht keine rechtliche Beschränkung. Anthropic erklärt, das Wasserzeichen verändere „die Bedeutung, Qualität oder Lesbarkeit“ der Antworten nicht, und plant, eine Text-Erkennungs-API auszuliefern, damit Nutzer es selbst überprüfen können.

Ein Wasserzeichen in der Statistik der Wortwahl stirbt bei der ersten Umschreibung: Leitet man den Text durch ein sauberes Modell oder übersetzt ihn und wieder zurück, ist das Muster verschwunden.

Es zeigt die praktische Lebensdauer eines Wasserzeichens auf Basis von Ausgabestatistiken: Stunden, sobald das Verfahren öffentlich ist und das Ökosystem nicht wasserzeichnende Umschreiber enthält.

Die Umgehung erfordert keine exotische Mathematik – Synonymaustausch, Umstellung oder eine Übersetzung hin und zurück –, weil jede Umschreibung genau die Wortwahl neu auswürfelt, in der das Wasserzeichen lebt.

Das regulatorische Design ließ die Tür offen: Anbieter dürfen Umgehungswerkzeuge nicht vermarkten, doch unabhängige Werkzeuge unterliegen keiner Beschränkung.

Anthropics eigenes Eingeständnis, dass bearbeiteter oder übersetzter Text die Kennzeichnung verlieren kann, räumt die Kernschwäche des Mechanismus ein.

Eine Konformität, die von einer statistischen Eigenschaft der Ausgabe abhängt, ist nur so stark wie der schwächste Umschreiber im Ökosystem – ein einziger sauberer Weg macht das gesamte Verfahren optional.

Meyers Werkzeug verbreitete sich weiter, und freiberufliche Autoren sowie Social-Media-Creator baten um dessen Nutzung; 190 Organisationen, darunter OpenAI, Microsoft und Meta, unterzeichneten den Transparenz-Verhaltenskodex der EU, wobei Wasserzeichen ab August in allen neuen Modellen und bis Dezember in bestehenden Modellen erforderlich sind – wobei offen bleibt, wie viele Labore Textwasserzeichen implementieren und ob eines der geplanten Veröffentlichung von Anthropics Erkennungs-API standhalten kann.