Künftig muss man bei Inhalten, die man von Claude erstellen lässt, darauf achten, dass keine versteckten Hintertüren darin hinterlassen werden.

Ich bin wiedergeboren und zurückgekehrt zu jener Zeit, in der man zur Reduzierung der Plagiatsrate Chinesisch ins Englische, Englisch ins Rumänische übersetzt und dann umständlich wieder zurück ins Chinesische übersetzt.

Nur dieses Mal ist mein Gegner nicht CNKI.

sondern Claude.

Erst gestern hat Anthropic eine offizielle Ankündigung aktualisiert: Die neuen Claude-Modelle, die nach dem 2. August veröffentlicht werden, unterstützen eine maschinenlesbare Inhaltsmarkierung, und der generierte Text wird mit einem Wasserzeichen versehen. (Für die alten Modelle, die vor dem 2. August veröffentlicht wurden, gibt es eine Übergangsfrist.)

Jeder Text, der künftig von Claude generiert wird, trägt ein für das menschliche Auge unsichtbares Wasserzeichen.

01

Diese Maßnahme war ursprünglich von Anthropic ergriffen worden, um die Anforderungen der Europäischen Union zu erfüllen. Unerwarteterweise wurden jedoch alle Claude-Nutzer weltweit unterschiedslos davon betroffen.

Darüber hinaus fallen alle Bereiche, in denen Claude verwendet wird – von Claude, Claude Platform (API), Claude Code, Cowork bis hin zu Claude, das über AWS, Google Cloud und Microsoft Foundry aufgerufen wird – in den Geltungsbereich des Wasserzeichens.

Jedenfalls ist das Internet nach der Veröffentlichung der Nachricht sofort in Aufregung geraten.

Ausländische Nutzer haben direkt spöttische Kommentare abgegeben und Anthropic heimlich als schamlos beschimpft.

Einige haben bereits begonnen, unsere inländischen Modelle in Betracht zu ziehen.

Natürlich sind einige der Meinung, dass dieses Wasserzeichen die Regulierung von KI vorantreiben kann und eine gute Sache ist.

Was die Spaßmacher angeht, so äußern sie keine eigene Meinung, sondern machen nur Witze: Das sogenannte Wasserzeichen sei möglicherweise überhaupt kein High-Tech, sondern nur die typischen Ausdrucksgewohnheiten von Claude.

Man braucht kein Detektor, um es zu erkennen – man erkennt es schon nach ein paar Blicken an dem typischen KI-Stil.

Aber noch interessanter sind unsere pragmatischen inländischen Netznutzer: Sie lassen die Frage beiseite, ob das Wasserzeichen sinnvoll ist, und konzentrieren sich zunächst darauf, wie man es entfernen kann.

Geht es mit Kopieren und Einfügen? Mit Screenshots? Indem man den Text an ein anderes Modell zur Umformulierung weitergibt? Wenn es nicht anders geht, übersetzt man ihn in sieben oder acht Sprachen und übersetzt ihn dann wieder zurück?

Zuerst eine klare Aussage: Die Leute, die glauben, man könne das Wasserzeichen durch Kopieren und Einfügen oder durch Texterkennung aus Screenshots entfernen, können sich gleich ins Bett machen.

Obwohl Anthropic die spezifischen technischen Prinzipien noch nicht veröffentlicht hat, hat es einige grundlegende Funktionsweisen preisgegeben. Es gibt hauptsächlich zwei Methoden: Für Texte wird ein eingebettetes Wasserzeichen verwendet; für Dateien werden Metadaten zur Herkunft mit einer digitalen Signatur genutzt.

Zuerst zu dem Text, der die meisten Leute interessiert.

Nach Angaben von Anthropic fügt das wasserzeichenunterstützende Claude bei der Textgenerierung direkt ein für das menschliche Auge unmerkbares Wasserzeichen in den Text ein.

Dieses Wasserzeichen ändert nicht die Bedeutung, Qualität und Lesbarkeit des Textes.

Da das Wasserzeichen selbst Teil des Textes ist, wird es auch mit übertragen, wenn Sie den Text in Word, den Hintergrund eines öffentlichen WeChat-Kontos kopieren oder an andere senden. Selbst nach einigen Bearbeitungen kann es möglicherweise noch vorhanden sein.

Darüber hinaus wird das Wasserzeichen bereits auf Modellebene hinzugefügt. Egal welches Produkt verwendet wird – solange dahinter ein Modell läuft, das Wasserzeichen unterstützt, bleibt theoretisch das Wasserzeichen erhalten.

Daher funktionieren die Tipps, die die Netznutzer gegeben haben, nicht: Weder durch Kopieren und Einfügen noch durch Texterkennung aus Screenshots, selbst wenn Sie den Text Wort für Wort neu eintippen, können Sie das Wasserzeichen nicht loswerden.

Wie genau Claude eine unsichtbare Zeichenfolge in den Text einfügt, hält Anthropic derzeit streng geheim. Allerdings ist die Methode zum Hinzufügen von Wasserzeichen zu Text in der Wissenschaft keine Neuheit.

In den letzten Jahren haben Forscher viele Methoden entwickelt, um die Ausgabetexte großer Sprachmodelle heimlich zu markieren. Eine der klassischen Vorgehensweisen besteht darin, die Modellauswahl von Wörtern zu beeinflussen.

Bei jedem Token, das das große Sprachmodell ausgibt, gibt es im Hintergrund eine ganze Reihe von Kandidaten.

In einem 2023 auf der ICML veröffentlichten Paper mit dem Titel „A Watermark for Large Language Models“ wurde eine Methode vorgeschlagen: Vor der Generierung jedes nächsten Tokens werden die Kandidaten-Token nach einem geheimen Regelwerk vorübergehend in zwei Gruppen unterteilt, die man einfach als „Grüne Liste“ und „Rote Liste“ bezeichnen kann. Bei der Generierung durch das Modell werden dann die Wörter in der Grünen Liste bevorzugt ausgewählt.

Bei ein oder zwei Wörtern merkt man das natürlich nicht. Wenn der Text aber lang genug ist und das Modell durchweg eher die Wörter aus der Grünen Liste auswählt, tritt allmählich ein statistisches Muster zutage.

Der Detektor prüft den Text nach diesem Regelwerk und stellt fest, ob die Token aus der Grünen Liste deutlich häufiger auftreten als normalerweise. Auf diese Weise kann das Wasserzeichen aus dem scheinbar normalen Text heraus erkannt werden.

Mit anderen Worten: Wenn Satzstrukturen wie „nicht ... sondern ...“ unser Urteil für den typischen KI-Stil sind, dann ist das statistische Muster ein Code, den nur Maschinen verstehen können.

Die Idee von SynthID-Text, das auf Gemini verwendet wird, ist ähnlich.

Darüber hinaus zeigt ein später in Nature veröffentlichtes Paper von Google DeepMind, dass sie mit SynthID-Text Online-Experimente mit fast 20 Millionen echten Interaktionen durchgeführt haben. Die Ergebnisse zeigten, dass das Wasserzeichen die Qualität der Antworten nicht wesentlich beeinträchtigt.

Für uns spricht das Modell weiterhin so, wie es soll – aber das Wasserzeichen wurde bereits hinzugefügt.

Darüber hinaus gibt es eine weitere Forschungsrichtung, bei der das Wasserzeichen auf semantischer Ebene verborgen wird.

Beispielsweise konzentriert sich eine Studie der ICLR 2024 nicht mehr nur auf die ersten paar Token, sondern berücksichtigt auch die gesamten semantischen Informationen des vorherigen Textes. In den letzten zwei Jahren gab es sogar Studien, die Signale direkt im Embedding-Raum, in der Semantik von Sätzen oder sogar in den Ausdruckspräferenzen verschiedener Paraphrasierer kodieren.

Einfach ausgedrückt: Man konzentriert sich nicht mehr darauf, welches Wort genau verwendet wird, sondern verbirgt das Wasserzeichen in der Semantik des gesamten Satzes und verschiedenen Umformulierungen. Bei dieser Idee kann das Wasserzeichen nicht so schnell durch einfaches Ersetzen von Synonymen entfernt werden.

Daher ist es nicht völlig unbegründet, dass einige in der Community vermuten, dass Claude an den Token-Wahrscheinlichkeiten herummanipuliert, oder dass das Wasserzeichen durch bestimmte Formulierungen, Satzstrukturen oder sogar komplexere semantische Strukturen kodiert wird.

Bisher wurde keine der Vermutungen von Anthropic bestätigt. Wie genau das Textwasserzeichen hinzugefügt wird, muss noch von Anthropic selbst offengelegt werden.

Natürlich hat Anthropic neben dem Einfügen von Wasserzeichen in Texte noch eine weitere Markierungsmethode vorbereitet.

Wenn Claude Dateien wie SVG, PNG oder JPG generiert, fügt es in die Dateien „Herkunftsmetadaten“ mit einer digitalen Signatur ein.

Dieses System verwendet den C2PA-Standard. Man kann es sich einfach so vorstellen, dass der Datei eine elektronische Geburtsurkunde beigefügt wird: Wer sie generiert hat und welche Verarbeitungsschritte sie durchlaufen hat, können als Herkunftsinformationen aufgezeichnet werden.

Diese Vorgehensweise ist mittlerweile weit verbreitet. Viele KI-generierte Bilder enthalten ähnliche Herkunftsinformationen, und große Unternehmen wie Adobe, Google und OpenAI unterstützen ebenfalls den C2PA-Standard.

02

Nachdem man das gelesen hat, fragt man sich möglicherweise: Wenn das Wasserzeichen auf einem bestimmten Muster im Text beruht, kann ich dieses Muster dann nicht einfach durcheinanderbringen, um das Wasserzeichen zu entfernen?

Tatsächlich ist die Methode, wie man dieses Muster durcheinanderbringt, sogar offiziell dokumentiert.

Im Abschnitt „Einschränkungen“ der offiziellen Dokumentation erwähnt Anthropic ausdrücklich: Wenn ein Text stark bearbeitet, umformuliert, übersetzt oder mit anderen Texten vermischt wird, kann das Wasserzeichen möglicherweise nicht mehr erkannt werden.

Zu kurze Texte funktionieren nicht, wenn die Metadaten der Datei gelöscht wurden, funktioniert es nicht, und auch Texte, die von Modellen generiert wurden, die keine Textmarkierung unterstützen, können nicht erkannt werden.

Um es klar zu sagen: Die alte Methode zur Reduzierung der Plagiatsrate erlebt bald eine Renaissance.

Das Problem ist nur, dass man nicht genau weiß, wie stark man den Text ändern muss, damit das Wasserzeichen nicht mehr erkannt wird. Bisher hat Anthropic noch kein offizielles Detektionstool veröffentlicht, es wurde nur angekündigt, dass Nutzer und Dritte künftig die Markierungen von Claude prüfen können. Wie genau die Detektion funktioniert, wird erst in den folgenden technischen Dokumenten erläutert.

Eigentlich wollte ich einen praktischen Test zur Entfernung des Claude-Wasserzeichens durchführen und ausprobieren, wie das Wasserzeichen bei 10 % manueller Bearbeitung, 30 % manueller Bearbeitung, Umformulierung durch GPT und Übersetzung zwischen Chinesisch und Englisch jeweils hält.

Jetzt muss dieser Test aber erst einmal verschoben werden.

Aber selbst wenn das Wasserzeichen erkannt wird – was bedeutet das schon?

Anthropic selbst betont ausdrücklich, dass die Erkennung eines Claude-Wasserzeichens nur ein Hinweis darauf ist, dass der Inhalt möglicherweise von Claude verarbeitet wurde. Es beweist nicht, dass der gesamte Text von Anfang bis Ende von Claude geschrieben wurde.

Ich habe