アンソロピックの電子透かしは破られたが失敗ではない｜透かしに何を求めるかの話
はじめに
Anthropic の Claude に電子透かしが入ったが、公開から間もなくその透かしを外すツールが GitHub 上にリリースされた。
私には、この展開自体はそれほど意外ではなかった。透かしを除去する方法が出れば、「こんなに早く突破されるなら意味がない」という反応が出ることも想像できる。
破れないはずの仕組みがすぐ破られたように見えるので、こういった反応は自然だ。Forbes JAPAN もこの件を取り上げ、「破られても業界標準になる理由」という切り口で記事を書いている。
ただ、そこで止まると少し話がズレると思う。私が引っかかっているのは「破られたから失敗なのか？」という点だ。
この記事では、Claude の電子透かしを「破られた＝失敗」ではなく、「そもそも破れないことが要件ではなかった」という前提で整理してみようと思う。
今回の流れ
まずは今回の流れを端的にまとめる。
2026年8月2日、EU AI法 第50条の透明性義務の適用が始まった。第50条2項では、生成AIを含むAIシステムの出力について、機械可読な形でAI生成・操作されたものと検出できるようにすることをプロバイダに求めている。Anthropic を含む大手各社は、これに先立つ自主行動規範にも署名している。
その流れで Anthropic は Claude のテキスト出力に統計的な透かしを埋め込み、対応するファイル形式には C2PA 形式の署名付きメタデータを付けると発表した。これはEU域内だけに限定せず、対応する Claude モデルを世界規模で展開する方針だ。
その直後、テキストから透かしを外すツールが出た。
ここまでが今話題になっている出来事の流れだが、この透かしを外すツールについて補足する。
Anthropic 側のテキスト透かしの本命は、生成時のトークン選択に弱い偏りを入れる統計的な仕組みだ。一方で公開直後に出た除去ツールの中には、Unicode の不可視文字やファイルのメタデータなど、 Anthropic が説明しているテキスト透かしとは別のものを対象にしたものもある。
当然ここは一括りにしない方がよい。Anthropic のテキスト透かしとファイルに付く C2PA の来歴情報は仕組みも役割も別だ。
「破られた」が刺さる理由
なぜこの話が刺さるかというと、多くの人が透かしに「AIが書いたことを後から確定できる印」を期待しているからに他ならない。
AIで書いたことがバレる／バレない。学校の課題や仕事の文章、ネット上の出所論争。そういう場面で「機械が判定できる印」があると想像すると、破れないことが当然の要件になる。破られてしまえばそれが無意味になってしまうからだ。
だが、今回 Anthropic がやっていることの本質はそこではない。
少なくとも今回の導入を公式の説明に沿って読むなら、中心にあるのは規制への対応と、出力に機械可読な印を付けることだ。検出できたとしても「Claude が関わった可能性」を示すものであって、「誰が書いたかを確定するもの」ではないとも書いている。
つまり世間が期待していることとズレてしまっているわけだ。これが「24時間で突破」を必要以上に失敗談に見せている。
透かしの要件は「破れないこと」ではない
ここがこの記事の芯の部分になる。
規制が求めているのは出せる範囲で機械可読にマークすることだ。「技術的に可能な範囲で、効果的・相互運用可能・堅牢・信頼できる」という書き方になっており、どのような加工を受けても永久に残ることまで求めているわけではない。
言い換えると、この透かしの要件は二つに分けられる。
一つは出力した時点で印があること。そしてもう一つはその印があらゆる加工のあとも残り続けること。後者は理想ではあるが、前者と後者は別物だ。
今回の騒動で揺らいでいるように見えるのは主に後者への期待で、前者の要件自体は破られても消えていない。
破られたから無意味ではなく、破れないことが成功条件ではなかったと見た方が実態に近いだろう。
破られやすさは最初から織り込まれている
技術的にもこの構造は想定しやすい。
テキストの統計透かしは、生成時のトークン選択にごく弱い偏りを入れて後から「偏りがあるか」を見るという仕組みだ。軽いコピーや編集には残りやすい一方、言い換えや翻訳、別モデルへの通しといった大胆な書き換えには弱い。
しかも非対称がきついと来ている。
付ける側はユーザーが行うさまざまな加工に耐える必要がある。一方の除去する側はそのうち一つでも有効な方法を見つければよい。この非対称がある以上、公開から間もなく除去ツールが出ることは容易に想像できる。
ファイル側の C2PA メタデータはまた別物で、こちらは中身に埋め込むというより署名付きの出所メモを付けるものだ。剥がしやすいという批判はあるが、役割は「改ざん耐性の永久証明」ではなく「出所の記録」に近い。
何故「標準」になるのか
では、なぜ破られても業界標準になりうるのか。
答えは単純で、規制が「印を付けろ」と言って大手が揃って同じ方向に動いているからだ。
要するに、規制に合わせて「透かしを付けている」こと自体が業界の当たり前になるという話で、破れない透かしを作った会社が勝つ話ではない。
透かしを付けてさえおけば「対応している」と示せるので、破られようが付け続ける理由の方が強くなる。
Forbes の記事が言う「業界標準になる」というのも、私の読みでは規制対応として付けることが標準になるという意味だ。
利用者側で変わること・変わらないこと
では、バイブコーディングや個人開発、普段の文章作成をしている側では何が変わるか。
変わるのは大手モデルの出力に「印」が付きやすくなることだ。Claude で生成したテキストや対応ファイルに、機械可読な痕跡が残る前提で扱う必要が出てくる。特にそのまま提出物や公開物に使用する用途では、以前より「印の存在」を意識せざるを得ないだろう。
変わらないのは「AIで書いたことが必ずバレる」世界にはならないことだ。透かしは除去されうるし、検出できたとしても確定ではない。透かしがないから人間が書いたとも限らないし、別モデルの利用や下書きの大幅編集・手書きの混在で判定はすぐに曖昧になるからだ。
従って、透かし除去ツールを探すより先に用途側で「確定証拠には使えない」と割り切った方が早い。
総括
Claude の電子透かしが短期間で突破された、というのを「失敗した」と読むのはいささか早計だ。
破られたのは「破れないという永久証明」への期待の方だ。規制とプロバイダ側の要件は、出力に機械可読な印を付けることで、透かしが破られてもこの要件自体は消えにくい。 だからこそ技術的に弱くても業界標準になりうるわけだ。
「破られた」と「失敗した」は別の話で、ここを分けて考えない限り透かしの議論はいつまでも「バレる／バレない」だけで評価されてしまうだろう。
