透かしは「AIではない」を証明しない

Anthropicが、EU AI Act第50条(2)の透明性行動規範に署名したことを公表した。サポートページの更新は8月11日。生成AIモデルの提供者としても、生成AIシステムの提供者としても署名している。8月2日以降にローンチされたClaudeモデルは、リリース時点から機械可読マーキングに対応する。テキストには埋め込みウォーターマーク、対応するファイル形式には署名付きプロヴェナンスメタデータ。適用範囲はClaude Platform（API）、Claude、Claude Code、Claude Cowork、Claude Tag、AWS・Google Cloud・Microsoft Foundry経由での利用、そしてClaudeが提供されている全地域に及ぶ。

そのページには但し書きがある。検出されたマークは、その内容がClaudeによって処理された可能性を示すが、確定的ではない。

同じ発表を論文投稿の側から扱った記事が、すでに出ている。「レ点腫瘍学ノート」の8月12日付エントリで、日本語で書いた論文の英訳や英文校正をAIに任せた原稿が全文検出に反応する問題を扱っている。2023年にJAMAへ寄せられた松井健太郎先生らのレター、すなわちLLMは英語が堪能でない著者の投稿を支援できるという主張を引き、その3年分の合意が透かしによって反対側へ押し戻されると論じている。非英語圏と在野の研究者に不利益が偏る、という分配の議論だ。

本稿が扱うのは、その手前の層になる。透かしという技術そのものが何を証明でき、何を証明できないのか。

190社が署名した

規範そのものは2026年6月に公表された。7月8日に欧州委員会が、9日にAI理事会が、この行動規範を第50条(2)(4)(5)の実装を促進する手段として適切だと認定している。7月20日に最終ガイドラインが公表され、初期署名の締切は7月27日に置かれた。署名すればEU全域で通用する唯一の適合ルートになる。

7月末の時点で約190の組織が署名した。IT、通信、教育、小売と業種は広く、半数近くが小規模かつ設立の新しい企業。第1節（提供者向け）の署名企業にはAleph Alpha、Anthropic、Black Forest Labs、Cohere、Google、Meta、Microsoft、Mistral、OpenAI、Synthesiaが並ぶ。第2節（利用者向け）にはBulgari、Fastweb、Getty Images、Iberdrola、Lenovo、Lufthansaといった名前がある。

主要な生成AI事業者はほぼ揃った。ただし規範は技術を指定していない。起草側が明言している。第50条(2)が要求する4つの要件、すなわち有効性、相互運用性、堅牢性、信頼性のすべてを満たせる単一のマーキング技術は現時点で存在しない。

義務の適用開始は8月2日。8月2日より前に市場に出ていたシステムには限定的な猶予が置かれ、マーキングと検出の義務についてのみ12月2日からとされた。8月2日より前に生成されたコンテンツを遡って表示する必要はない。

実装のほうが規制より先を走っていた領域でもある。Googleは2024年にSynthIDをGeminiへ載せており、公表の順序が違うだけで各社は同じ義務の下に置かれた。

どうやって埋めるのか

Anthropicの説明によれば、透かしはモデルのレベルで適用される。どのClaude製品を経由したテキストであっても信号が存在する、という設計だ。

方式は大きく三系統に分かれる。

第一が、ロジット改変型。Kirchenbauerら2023年の論文が起点で、秘密鍵によって語彙を緑リストと赤リストに二分し、生成時に緑側の選択確率を引き上げる。検出は容易だが、出力の質が落ちる。

第二が、分布保存型。AaronsonとKirchnerが同年に提示したGumbel-maxトリックがこれで、確率分布そのものは変えず、どのトークンを選ぶかを決める乱数の側に秘密鍵を仕込む。統計的性質が無透かし時と変わらないため、質の劣化がない。

第三が、意味空間型。先行するトークンの意味埋め込みから透かしのロジックを決める方式で、同義語の置換や言い換えに強い。SemStampはトークン単位ではなく文単位で埋める。

SynthID-Textはトーナメント型のサンプリングで第一と第二を統合したものだ。

一方でOpenAIは、2023年1月31日に公開したAI Text Classifierを同年7月20日に取り下げている。理由は精度の低さだった。公表されていた数字は、AI生成テキストを正しく検出できた割合が26%、人間の書いた文章をAI生成と誤判定した割合が9%。見逃しが多く、誤判定も残る。判定器としての実用に耐えず、透かしを生成時に埋め込む方向へ各社が寄っていった。

Anthropicは方式を公表していない。意味・品質・可読性を変えず、コピー&ペーストしても文章とともに移動し、ある程度の編集にも残りうる、という性質の記述にとどまる。

ファイル側は別系統だ。C2PA標準に従った署名付きメタデータが付与される。この署名は出所を示すだけでなく、ファイルが改竄されたかどうかの検出も担う。テキストの透かしが確率的な信号であるのに対し、こちらは暗号署名にあたる。

どのモデルが対応しているのか分からない

実務上いちばん厄介なのは、対応モデルの一覧が公表されていない点になる。

レ点腫瘍学ノートが指摘しているとおり、Claude Opus 5のリリースは7月24日。8月2日の1週間ほど前で、ローンチ時点から対応が確定しているモデルではなく、移行期間中に順次対応していく側に入る計算になる。

自分が今使っているモデルの出力に透かしが入っているのか、利用者の側から確かめる手段はない。検出器も公開されていない。埋め込む側だけが動いていて、確認する側の道具が存在しない状態が続いている。

埋まらない場所

どの方式も、モデルが選択の自由を持つトークンにしか信号を乗せられない。次に来る語がほぼ一意に決まる箇所には、細工の余地がそもそもない。

引用、数値、固有名詞、条文の文言、定型句。

この性質は概念上の指摘にとどまらない。Leeらのフレームワークは、エントロピーが閾値を超えるトークンにのみ緑赤ルールを適用する設計で、裏返せば低エントロピー箇所を諦めている。Luらの論文は、KGWをz=2の閾値でコード生成に適用した場合の理論上の第二種過誤が84.1%を超えると算出した。低エントロピーな文書では検出が働かない、という見積もりになる。

さらに厄介なことに、単一の閾値では処理しきれない。自然言語向けに調整すればコードには緩すぎ、コード向けに設定すれば文章で検出不能になる。CATMarkの論文はこれを、どちらの要求も満たせない妥協だと指摘している。

私の書き方でいえば、開示請求の番号、議事録の日付、条例の条文、金額。この密度が高い記事ほど、モデルの裁量は小さい。透かしを避ける意図で書いているわけではないが、結果として信号は薄くなる。一次資料に密着した文章ほどマークが乗りにくいというのは、透かしの設計思想からの必然だろう。

消せる

除去攻撃のうち、最も単純で最も効くのが翻訳になる。

Heらの提案したCross-lingual Watermark Removal Attackは、クエリをピボット言語で包んでモデルに投げ、返ってきた応答を元の言語に訳し戻す。それだけで検出AUCが0.95から0.67に落ちる。しかも出力の品質は落ちない。

理由は単純で、統計的ウォーターマークの信号は「どのトークンをどの順で選んだか」に宿っているからだ。翻訳は意味を保存したまま語彙と語順を丸ごと入れ替える操作なので、信号の担体が消える。

翻訳に要約のボトルネックを重ねるCLSAは、さらに深いところまで落とす。防御手法X-SIRに対して、CWRAが0.823のところCLSAは0.53。ほぼランダム推測の水準だ。X-SIR自体、言語横断のトークンクラスタリングを必要とし、モデル固有の追加学習が要る。

GPTZeroのCTOであるAlex Cui氏の解説は、耐性の偏りを分かりやすく示している。ハッシュが直前の限られた範囲に依存するため、冒頭を削って途中から引用する程度の操作では透かしが残る。全文を一文ずつ言い換えて並べ替えれば壊れる。

提供者が書いた限界

以上の脆弱性の大半を、Anthropic自身がサポートページに列挙している。

マークが検出されない場合として挙げられているのは、マーキング対応前のモデルによる生成、大幅な編集・言い換え・翻訳・他の文章への混入、信頼できる信号を得るには短すぎる文章、形式変換や再保存やスクリーンショットによるメタデータの剥落、そして特定のマーキング形式に対応していないプラットフォームや機能を経由した場合。

言い換え、翻訳、短文。研究論文が攻撃手法として実証してきた三つが、そのまま並んでいる。外部の批判と提供者の自己申告が同じ場所を指している。

偽陽性側の記述が、本稿の主題に直接触れる。Claudeが原著者ではない場合がある。校正、翻訳、要約、ファイル変換に使われることは多く、根底にあるアイデア、文章、データが別の出所であっても、出力はClaudeのマークを帯びうる。

マークの有無は、執筆主体を示さない。提供者自身がそう書いている。

偽造

攻撃の系譜は3年で明確に高度化した。2023年のSadasivanらは、透かしの推定に基づく偽造の可能性を提示した段階だった。敵対者が被害モデルの透かしを含む有害なテキストを生成し、そのモデルが出力したかのように見せかけることで評判を毀損する、という筋書き。

チューリッヒ工科大のJovanovićらは、公開APIに限られた回数プロンプトを投げるだけで秘密の透かしルールを推定できることを示した。コストは50ドル未満。除去と偽造の平均成功率は80%を超えている。

2026年、EACLで発表されたDITTOがこの前提をさらに崩した。利用するのは「watermark radioactivity」、すなわち透かし入り教師モデルの出力で学習した生徒モデルが、意図せず透かし信号を継承してしまう現象だ。本来は無断蒸留を検出するための性質を、攻撃側に反転させている。蒸留で透かしを生徒モデルに移し、元モデルとの出力分布の差分から信号を抽出し、任意の攻撃者モデルのロジットに注入する。

論文の主張は明快で、特定の透かしが特定のモデルによる執筆を証明するという前提は危険なほど誤っている、とする。コードはGitHubで公開されている。

偽造の危険性は、Pangらのpiggyback spoofingが端的に示している。透かし入りテキストの1トークンを書き換えるだけで内容全体を誤りに変え、それでも透かしは残る。透かし検出でどのトークンが攻撃者由来かを判別するのは、不可能ではないにせよ困難だとされている。

これも提供者の記述と重なる。マークされたコンテンツは、Claudeが処理した後に改変、抜粋、他の素材との結合が起こりうる。攻撃者を想定しない書き方だが、指しているのは同じ穴だ。

そして、堅牢性と偽造耐性は背反する。偽造を防ぐには署名ベースの脆弱な透かしを併用する必要があるが、署名方式は一箇所の編集で無効になるため除去攻撃に無力だ。片方を上げればもう片方が下がる。

鍵をどうするか

秘密鍵を公開すれば、誰でも除去も偽造もできる。非公開のままにすれば、検出プロセスを第三者に証明できない。

規制が求めているのは第三者による検出可能性なので、後者は要求と衝突する。Anthropicも「規範が要求する通り、利用者および第三者がClaudeのマークを検出できるよう支援する」と書き、詳細は今後の文書で共有するとしている。ゼロ知識証明を使って鍵を明かさずに検証可能にするPVMarkのような提案はあるが、実装は研究段階にとどまる。

公開検出APIを用意すれば第三者は検出できるが、それは攻撃者にとって強力なオラクルになる。何が検出されて何が検出されないかを無制限に試せるからだ。研究者が挙げる現実的な防御策は、クエリのレート制限、異常検知、本人確認といった線に落ち着いている。

ファイル側のC2PAは、テキストとは別の脅威に晒される。想定されている攻撃者は四種類。生成ツールで合成物を作る者、既存のマニフェストを剥ぎ取って別の出自を主張するマニフェストを付け直す者、正規の署名鍵そのものを盗む者、そして再エンコードの過程でマニフェストを落として原作者の署名を消す者。最後の一つは悪意すら不要で、プラットフォームが画像を再圧縮するだけで起きる。