Anthropicが自社のClaudeが生成するすべての文章に不可視の電子透かしを組み込んだと発表してから数日のうちに、その電子透かしを除去するための市場が形成されました。GitHub上で4,500以上のスターを獲得したプロジェクトをはじめ、新規登録されたウェブツール群、さらには少なくとも1つの既存のAI検出回避サービスまでもが名乗りを上げています。
ただし、このテキスト電子透かしを解除できるという主張の真偽は、現時点では誰にも検証できません。Anthropicがその仕組みをまだ公表しておらず、除去後の文書に透かしが残っているかどうかを確認できる検出ツールも公開していないためです。
提供元とそのサービス
最大手の一つが、ソフトウェア開発者でMemo創業者のGuillaume Meyer氏によるMITライセンスのツールwatermarks-removerです。
当初はClaude専用のエージェントスキルとして始まりましたが、現在ではClaude、Gemini、SynthID-Text、OpenAIのプロベナンス機能、そしてKirchenbauer方式の電子透かしを使うオープンウェイトモデルまで対応をうたっています。
Meyer氏によるSNS投稿はまたたく間に拡散し、閲覧数は200万回を突破しました。
その周囲にはclaude-watermark-cleaner、remove-ai-watermarks、noai-watermarkといったリポジトリが並び、さらにclaudewatermark.com、claudewatermark.rip、gptcleanup.com、claudewatermarkremover.appなど、その後登場したウェブツール群も存在します。
AI検出回避サービスを提供するStealthGPTは、自社のユースケースページにClaude電子透かし除去機能を追加しました。もう一つのサービスであるHuman Writesは、論文や課題においてTurnitinやGPTZeroを回避できるとうたい、Claudeの電子透かしを除去できると主張する一方、フッターには利用者に対して学術的誠実性ポリシーの遵守を求める文言を掲載しています。
StealthGPT自身の比較表には、「100%の回避を保証するツールは存在せず、検出モデルは定期的に更新されます」という注意書きが添えられています。しかもこの注意書きは、同社がClaudeの電子透かしを除去できるようになったと発表するのと同じページに載っています。
「電子透かし除去ツール」が実際にやっていること
これらのツールは3つの異なる処理を行っており、検証可能なのはそのうちの一部にすぎません。
テキストから隠し文字を取り除く処理は実際に機能しており、その効果は数値で確認できます。対象はゼロ幅文字、双方向制御文字、Unicodeタグ文字、見た目が紛らわしいスペースなどです。
ファイルからC2PA、EXIF、XMPのメタデータを取り除く処理も同様に機能し、PNG、JPEG、SVG、PDF、DOCX、ODT、HTML、Markdownの各形式に対応しています。これはAnthropicの署名付きプロベナンスデータに直接関わる部分ですが、達成としてはさほど大きな意味を持ちません。ファイルのメタデータは、再保存や形式変換、あるいはスクリーンショットを撮るだけで簡単に失われてしまうものだからです。
難しいのは電子透かし本体の除去です。これは隠し文字の中に存在するものではありません。
この電子透かしは「モデルがどの単語を選んだか」という点に埋め込まれています。つまり、これを除去する唯一の既知の方法は、別のモデルを使ってテキストを大幅に書き換えることです。
Meyer氏はこの点について珍しく率直で、水曜日の投稿で自身のツールが現時点ではメタデータの除去しかできないこと、電子透かし本体の除去は将来的に実装されるかもしれないが現時点では利用できないことを明かしています。同氏のREADMEではさらに踏み込み、書き換え処理は元のモデルが選んだ単語をより安価なモデルの選んだ単語に置き換えるだけであり、プレミアムモデルに料金を払っているユーザーが、なぜわざわざその出力を性能の劣るモデルに通す必要があるのかと問いかけています。
商用サイトの説明はそれほど慎重ではありません。複数のサイトが、クリーンで検出不可能な出力を約束していますが、それらが提示するスコアは一般的なAI検出ツールを基準に測定されたものであり、公開された検出ツールが存在しないAnthropicの電子透かしを基準にしたものではありません。
独自の検証によって、すでに不備が明らかになっています。
Pasquale Pillitteri氏は主要なプロジェクトを実際にクローンし、READMEではなくコードそのものを読み込んで検証したところ、あるテキストクリーナーが最も一般的な隠しペイロード手法を全く手を加えずに通過させてしまうことを発見しました。ツールが処理したはずのテキストから、隠しペイロードがそのまま完全な形でデコードできてしまったのです。
そもそもなぜClaudeはテキストに印を付けるのか
Anthropicは今週、自社のアプローチをまとめたサポートページを公開しました。
2026年8月2日以降にリリースされたモデルが生成するテキストには、文章表現そのものに知覚できない電子透かしが織り込まれます。
対応するファイル形式には署名付きのC2PAメタデータが付与されます。この印付けはモデルレベルで実施されるため、API、claude.ai、Claude Code、Claude Cowork、Claude Tagのすべてに及ぶほか、AWS、Google Cloud、Microsoft Foundry経由の利用にも適用されます。
この対応の背景にあるのは、8月2日から施行されたEU AI法第50条です。違反した場合の制裁金は1,500万ユーロ、または世界売上高の3%に達する可能性があります。
また、電子透かしが検出されたとしても、その意味は見た目ほど大きくはありません。Anthropicは、検出された印はコンテンツがClaudeによって処理されたことを示すにすぎず、必ずしもClaudeによって書かれたことを意味するわけではないと認めています。
自分で書いた文章をClaudeに文法チェックや翻訳、要約のために通しただけでも、出力には印が付いてしまいます。
Anthropicのページでは、印が消える方法についても列挙しており、大幅な編集、言い換え、翻訳などが挙げられています。
同社は、EUの透明性規則が求める通り第三者による検出をサポートしていく方針であり、技術文書についても今後公開するとしています。
ネット上の反応は、それほど好意的ではありません。
Meyer氏の投稿に対し、あるユーザーであるEmad Ghorbaninia氏は、電子透かしを「実質的な防御策ではなく、コンプライアンス上のチェック項目にすぎない」と評しました。Meyer氏はこの前半部分については同意し、「EU市場に留まるための純粋なコンプライアンス対応だ」と返信しています。
一方、Ghorbaninia氏によるより強い主張、すなわち単一のツールで3社分のプロベナンス情報を一度に除去できるという説については、当該リポジトリの説明と矛盾しており、実際には成り立ちません。むしろリポジトリの説明はその逆を述べています。
防御側が懸念すべき点
watermarks-removerはエージェントスキルとして提供されており、ディレクトリをローカルのスキルフォルダにシンボリックリンクすることでインストールし、スラッシュコマンドで呼び出す仕組みになっています。オプションのスコアリング機能をセットアップすると、サードパーティの研究用リポジトリがクローンされ、約220MBのアーティファクトがダウンロードされます。
注記: BleepingComputerは、本記事で言及したいずれのツールについても監査や検証を行っていません。読者の皆様は、他の未検証のインターネット上のコードと同様の注意をもって扱うべきです。
ここにこそ、注視すべきパターンがあります。
プロベナンスやプライバシーをめぐる根本的な議論の是非がどうであれ、ユーザーがエージェントのパイプラインに直接組み込み、自らの文書を通してしまうような急拡大中のツール群は、それ自体がサプライチェーン上の攻撃対象になり得るのです。
現時点でこの分野に存在するプロジェクトは、ライセンスを一切付与していないものも含め、少なくともオープンで内容を確認できるものばかりです。
しかし、4,000を超えるスターという実証済みの需要がありながら、購入者側にその主張を検証する手段が存在しないこの市場に、次に押し寄せる波は、そうではないかもしれません。
攻撃者が正規の認証情報を手に入れた後、その行動のうちブロックされるのはわずか37%
防御全体の成功率だけを見ていると、初期侵入後に何が起きているかが見えなくなります。攻撃者が正規の認証情報を使い始めると、防御の成功率は急激に低下します。
The Blue Report 2026は、顧客の実運用環境で実施された3億3,800万件のシミュレーションに基づき、防御策を手法ごとに詳細に測定しています。
