Claudes Text-Wasserzeichen arbeitet mit verborgenen Mustern bei der Wortwahl

Anthropic hat genauer erläutert, wie das geplante Wasserzeichen für Claude-Texte funktioniert. Es nutzt weder unsichtbare Zeichen noch Metadaten. Stattdessen entsteht es durch ein geheimes Muster bei der Auswahl von Wörtern. Das Verfahren kann Hinweise darauf liefern, dass Claude einen Text erzeugt oder stark bearbeitet hat. Für belastbare Ergebnisse braucht es jedoch längere Texte. Eine vollständige Neufassung kann das Signal entfernen.

Anthropic setzt nach eigenen Angaben auf eine Variante von SynthID-Text, einer von Google DeepMind entwickelten Methode. Sie fügt keine zusätzlichen Tokens ein und enthält keine Angaben über einzelne Nutzer, Unternehmen oder Chats. In einem offiziellen Beitrag erklärt Anthropic, dass sich die Quelle der Zufälligkeit bei der Textgenerierung ändert. Qualität und sprachlicher Eindruck der Antworten sollen dabei praktisch unverändert bleiben.

Sprachmodelle erzeugen Text Token für Token. An vielen Stellen gibt es mehrere sinnvolle Fortsetzungen. Ein Wasserzeichen nutzt solche offenen Entscheidungen. Ein geheimer Schlüssel und einige vorhergehende Wörter bestimmen, welche der plausiblen Optionen bevorzugt oder ausgewählt wird. Über viele Entscheidungen hinweg entsteht ein statistisches Muster. Wer den Schlüssel besitzt, kann später prüfen, ob dieses Muster in einem Text vorhanden ist.

Ohne Schlüssel keine Prüfung

Leser können das Wasserzeichen nicht sehen. Auch übliche KI-Detektoren, Lehrkräfte oder Redaktionen können es nicht selbst überprüfen, solange Anthropic ihnen keinen Zugang zum Prüfverfahren gibt. Das Unternehmen kündigt eine API zur Wasserzeichen-Erkennung an.

James Padolsey beschreibt das Grundprinzip in seinem Beitrag für declaude als eine lange Folge gewichteter Wortentscheidungen. Bei verbreiteten Verfahren teilt ein geheimer Schlüssel mögliche nächste Wörter jeweils in zwei temporäre Gruppen ein, oft als Grün und Rot bezeichnet. In markiertem Text erscheinen dann mehr Wörter aus der grünen Gruppe, als der Zufall erwarten ließe. Der Detektor berechnet diese Gruppen mit dem Schlüssel erneut und prüft die Abweichung.

SynthID-Text arbeitet laut Padolsey komplizierter als mit einer einfachen Bevorzugung bestimmter Wörter. Das Verfahren lässt mehrere Kandidaten nach den normalen Wahrscheinlichkeiten des Modells antreten und trifft die Wahl in einem geheimen Auswahlprozess. Dadurch soll ein nachweisbares Muster entstehen, ohne die Gesamtwahrscheinlichkeiten einzelner Wörter systematisch zu verschieben. Anthropic vergleicht dies mit einer bekannten Folge zufälliger Zahlen statt gewöhnlicher Würfelwürfe.

Entscheidend ist die Länge. Kurze Texte bieten zu wenige Wahlmöglichkeiten und liefern daher kaum belastbare Hinweise. Auch Faktenlisten, Zitate, stark eingegrenzte Formulierungen und Code tragen weniger Wasserzeichen. Dort gibt es häufig nur eine sachlich oder technisch richtige Fortsetzung. Wer einen menschlichen Text lediglich auf Grammatik und Zeichensetzung prüfen lässt, erzeugt möglicherweise ebenfalls zu wenig neue Formulierungen für einen Nachweis.

Eine vollständige Neufassung beseitigt das Signal

Leichte Änderungen können das Wasserzeichen abschwächen, ohne es vollständig zu entfernen. Viele ursprüngliche Wortfolgen bleiben dabei erhalten. Eine komplette Neufassung greift stärker ein, weil die statistische Spur an erhaltene Reihen von Wörtern gebunden ist. Padolsey verweist auf Tests mit offenen Wasserzeichen-Implementierungen, bei denen umfangreiche Umformulierungen die Erkennung auf Zufallsniveau senkten. Claudes konkretes Verfahren ist jedoch nicht öffentlich. Unabhängige Tests sind daher noch nicht möglich.

Die Methode löst eine Debatte über Textqualität und Nachweisbarkeit aus. John Gruber kritisiert in einem Kommentar auf seiner Seite Daring Fireball, dass selbst kleine Verschiebungen bei der Wortwahl die Präzision beeinträchtigen könnten. Nahezu gleichbedeutende Wörter seien nicht identisch. Er bezweifelt zudem, dass einfache Nutzerbewertungen feine Qualitätsverluste sichtbar machen, und kritisiert, dass nur der Anbieter selbst zuverlässig prüfen kann.

Anthropic widerspricht dieser Einschätzung. Interne Tests hätten keine messbaren Auswirkungen auf Kreativität, Lesbarkeit oder Inhalt gezeigt. Das Unternehmen verweist außerdem auf Untersuchungen von Google DeepMind, bei denen sich die Bewertungen von Nutzern für markierte und nicht markierte Antworten nicht statistisch unterschieden. Ein Treffer belege nach Anthropic nur, dass Claude wahrscheinlich an einem Inhalt beteiligt war. Er beweise weder Urheberschaft noch Eigentum und verrate nichts über Nutzer oder Organisationen.

Quellen

• How AI text watermarking works – declaude
• How Claude’s text watermarking works – Anthropic
• Anthropic’s “Watermark” Text Adulteration in Claude Is a Perversion of Writing – Daring Fireball