透かしは「AIではない」を証明しない

Anthropicが、EU AI Act第50条(2)の透明性行動規範に署名したことを公表した。サポートページの更新は8月11日。生成AIモデルの提供者としても、生成AIシステムの提供者としても署名している。8月2日以降にローンチされたClaudeモデルは、リリース時点から機械可読マーキングに対応する。テキストには埋め込みウォーターマーク、対応するファイル形式には署名付きプロヴェナンスメタデータ。適用範囲はClaude Platform（API）、Claude、Claude Code、Claude Cowork、Claude Tag、AWS・Google Cloud・Microsoft Foundry経由での利用、そしてClaudeが提供されている全地域に及ぶ。

そのページには但し書きがある。検出されたマークは、その内容がClaudeによって処理された可能性を示すが、確定的ではない。

同じ発表を論文投稿の側から扱った記事が、すでに出ている。「レ点腫瘍学ノート」の8月12日付エントリで、日本語で書いた論文の英訳や英文校正をAIに任せた原稿が全文検出に反応する問題を扱っている。2023年にJAMAへ寄せられた松井健太郎先生らのレター、すなわちLLMは英語が堪能でない著者の投稿を支援できるという主張を引き、その3年分の合意が透かしによって反対側へ押し戻されると論じている。非英語圏と在野の研究者に不利益が偏る、という分配の議論だ。

本稿が扱うのは、その手前の層になる。透かしという技術そのものが何を証明でき、何を証明できないのか。

190社が署名した

規範そのものは2026年6月に公表された。7月8日に欧州委員会が、9日にAI理事会が、この行動規範を第50条(2)(4)(5)の実装を促進する手段として適切だと認定している。7月20日に最終ガイドラインが公表され、初期署名の締切は7月27日に置かれた。署名すればEU全域で通用する唯一の適合ルートになる。

7月末の時点で約190の組織が署名した。IT、通信、教育、小売と業種は広く、半数近くが小規模かつ設立の新しい企業。第1節（提供者向け）の署名企業にはAleph Alpha、Anthropic、Black Forest Labs、Cohere、Google、Meta、Microsoft、Mistral、OpenAI、Synthesiaが並ぶ。第2節（利用者向け）にはBulgari、Fastweb、Getty Images、Iberdrola、Lenovo、Lufthansaといった名前がある。

主要な生成AI事業者はほぼ揃った。ただし規範は技術を指定していない。起草側が明言している。第50条(2)が要求する4つの要件、すなわち有効性、相互運用性、堅牢性、信頼性のすべてを満たせる単一のマーキング技術は現時点で存在しない。

義務の適用開始は8月2日。8月2日より前に市場に出ていたシステムには限定的な猶予が置かれ、マーキングと検出の義務についてのみ12月2日からとされた。8月2日より前に生成されたコンテンツを遡って表示する必要はない。

実装のほうが規制より先を走っていた領域でもある。Googleは2024年にSynthIDをGeminiへ載せており、公表の順序が違うだけで各社は同じ義務の下に置かれた。

どうやって埋めるのか

Anthropicの説明によれば、透かしはモデルのレベルで適用される。どのClaude製品を経由したテキストであっても信号が存在する、という設計だ。

方式は大きく三系統に分かれる。

第一が、ロジット改変型。Kirchenbauerら2023年の論文が起点で、秘密鍵によって語彙を緑リストと赤リストに二分し、生成時に緑側の選択確率を引き上げる。検出は容易だが、出力の質が落ちる。

第二が、分布保存型。AaronsonとKirchnerが同年に提示したGumbel-maxトリックがこれで、確率分布そのものは変えず、どのトークンを選ぶかを決める乱数の側に秘密鍵を仕込む。統計的性質が無透かし時と変わらないため、質の劣化がない。

第三が、意味空間型。先行するトークンの意味埋め込みから透かしのロジックを決める方式で、同義語の置換や言い換えに強い。SemStampはトークン単位ではなく文単位で埋める。

SynthID-Textはトーナメント型のサンプリングで第一と第二を統合したものだ。

一方でOpenAIは、2023年1月31日に公開したAI Text Classifierを同年7月20日に取り下げている。理由は精度の低さだった。公表されていた数字は、AI生成テキストを正しく検出できた割合が26%、人間の書いた文章をAI生成と誤判定した割合が9%。見逃しが多く、誤判定も残る。判定器としての実用に耐えず、透かしを生成時に埋め込む方向へ各社が寄っていった。

Anthropicは方式を公表していない。意味・品質・可読性を変えず、コピー&ペーストしても文章とともに移動し、ある程度の編集にも残りうる、という性質の記述にとどまる。

ファイル側は別系統だ。C2PA標準に従った署名付きメタデータが付与される。この署名は出所を示すだけでなく、ファイルが改竄されたかどうかの検出も担う。テキストの透かしが確率的な信号であるのに対し、こちらは暗号署名にあたる。

どのモデルが対応しているのか分からない

実務上いちばん厄介なのは、対応モデルの一覧が公表されていない点になる。

レ点腫瘍学ノートが指摘しているとおり、Claude Opus 5のリリースは7月24日。8月2日の1週間ほど前で、ローンチ時点から対応が確定しているモデルではなく、移行期間中に順次対応していく側に入る計算になる。

自分が今使っているモデルの出力に透かしが入っているのか、利用者の側から確かめる手段はない。検出器も公開されていない。埋め込む側だけが動いていて、確認する側の道具が存在しない状態が続いている。

埋まらない場所

どの方式も、モデルが選択の自由を持つトークンにしか信号を乗せられない。次に来る語がほぼ一意に決まる箇所には、細工の余地がそもそもない。

引用、数値、固有名詞、条文の文言、定型句。

この性質は概念上の指摘にとどまらない。Leeらのフレームワークは、エントロピーが閾値を超えるトークンにのみ緑赤ルールを適用する設計で、裏返せば低エントロピー箇所を諦めている。Luらの論文は、KGWをz=2の閾値でコード生成に適用した場合の理論上の第二種過誤が84.1%を超えると算出した。低エントロピーな文書では検出が働かない、という見積もりになる。

さらに厄介なことに、単一の閾値では処理しきれない。自然言語向けに調整すればコードには緩すぎ、コード向けに設定すれば文章で検出不能になる。CATMarkの論文はこれを、どちらの要求も満たせない妥協だと指摘している。

私の書き方でいえば、開示請求の番号、議事録の日付、条例の条文、金額。この密度が高い記事ほど、モデルの裁量は小さい。透かしを避ける意図で書いているわけではないが、結果として信号は薄くなる。一次資料に密着した文章ほどマークが乗りにくいというのは、透かしの設計思想からの必然だろう。

消せる

除去攻撃のうち、最も単純で最も効くのが翻訳になる。

Heらの提案したCross-lingual Watermark Removal Attackは、クエリをピボット言語で包んでモデルに投げ、返ってきた応答を元の言語に訳し戻す。それだけで検出AUCが0.95から0.67に落ちる。しかも出力の品質は落ちない。

理由は単純で、統計的ウォーターマークの信号は「どのトークンをどの順で選んだか」に宿っているからだ。翻訳は意味を保存したまま語彙と語順を丸ごと入れ替える操作なので、信号の担体が消える。

翻訳に要約のボトルネックを重ねるCLSAは、さらに深いところまで落とす。防御手法X-SIRに対して、CWRAが0.823のところCLSAは0.53。ほぼランダム推測の水準だ。X-SIR自体、言語横断のトークンクラスタリングを必要とし、モデル固有の追加学習が要る。

GPTZeroのCTOであるAlex Cui氏の解説は、耐性の偏りを分かりやすく示している。ハッシュが直前の限られた範囲に依存するため、冒頭を削って途中から引用する程度の操作では透かしが残る。全文を一文ずつ言い換えて並べ替えれば壊れる。

提供者が書いた限界

以上の脆弱性の大半を、Anthropic自身がサポートページに列挙している。

マークが検出されない場合として挙げられているのは、マーキング対応前のモデルによる生成、大幅な編集・言い換え・翻訳・他の文章への混入、信頼できる信号を得るには短すぎる文章、形式変換や再保存やスクリーンショットによるメタデータの剥落、そして特定のマーキング形式に対応していないプラットフォームや機能を経由した場合。

言い換え、翻訳、短文。研究論文が攻撃手法として実証してきた三つが、そのまま並んでいる。外部の批判と提供者の自己申告が同じ場所を指している。

偽陽性側の記述が、本稿の主題に直接触れる。Claudeが原著者ではない場合がある。校正、翻訳、要約、ファイル変換に使われることは多く、根底にあるアイデア、文章、データが別の出所であっても、出力はClaudeのマークを帯びうる。

マークの有無は、執筆主体を示さない。提供者自身がそう書いている。

偽造

攻撃の系譜は3年で明確に高度化した。2023年のSadasivanらは、透かしの推定に基づく偽造の可能性を提示した段階だった。敵対者が被害モデルの透かしを含む有害なテキストを生成し、そのモデルが出力したかのように見せかけることで評判を毀損する、という筋書き。

チューリッヒ工科大のJovanovićらは、公開APIに限られた回数プロンプトを投げるだけで秘密の透かしルールを推定できることを示した。コストは50ドル未満。除去と偽造の平均成功率は80%を超えている。

2026年、EACLで発表されたDITTOがこの前提をさらに崩した。利用するのは「watermark radioactivity」、すなわち透かし入り教師モデルの出力で学習した生徒モデルが、意図せず透かし信号を継承してしまう現象だ。本来は無断蒸留を検出するための性質を、攻撃側に反転させている。蒸留で透かしを生徒モデルに移し、元モデルとの出力分布の差分から信号を抽出し、任意の攻撃者モデルのロジットに注入する。

論文の主張は明快で、特定の透かしが特定のモデルによる執筆を証明するという前提は危険なほど誤っている、とする。コードはGitHubで公開されている。

偽造の危険性は、Pangらのpiggyback spoofingが端的に示している。透かし入りテキストの1トークンを書き換えるだけで内容全体を誤りに変え、それでも透かしは残る。透かし検出でどのトークンが攻撃者由来かを判別するのは、不可能ではないにせよ困難だとされている。

これも提供者の記述と重なる。マークされたコンテンツは、Claudeが処理した後に改変、抜粋、他の素材との結合が起こりうる。攻撃者を想定しない書き方だが、指しているのは同じ穴だ。

そして、堅牢性と偽造耐性は背反する。偽造を防ぐには署名ベースの脆弱な透かしを併用する必要があるが、署名方式は一箇所の編集で無効になるため除去攻撃に無力だ。片方を上げればもう片方が下がる。

鍵をどうするか

秘密鍵を公開すれば、誰でも除去も偽造もできる。非公開のままにすれば、検出プロセスを第三者に証明できない。

規制が求めているのは第三者による検出可能性なので、後者は要求と衝突する。Anthropicも「規範が要求する通り、利用者および第三者がClaudeのマークを検出できるよう支援する」と書き、詳細は今後の文書で共有するとしている。ゼロ知識証明を使って鍵を明かさずに検証可能にするPVMarkのような提案はあるが、実装は研究段階にとどまる。

公開検出APIを用意すれば第三者は検出できるが、それは攻撃者にとって強力なオラクルになる。何が検出されて何が検出されないかを無制限に試せるからだ。研究者が挙げる現実的な防御策は、クエリのレート制限、異常検知、本人確認といった線に落ち着いている。

ファイル側のC2PAは、テキストとは別の脅威に晒される。想定されている攻撃者は四種類。生成ツールで合成物を作る者、既存のマニフェストを剥ぎ取って別の出自を主張するマニフェストを付け直す者、正規の署名鍵そのものを盗む者、そして再エンコードの過程でマニフェストを落として原作者の署名を消す者。最後の一つは悪意すら不要で、プラットフォームが画像を再圧縮するだけで起きる。

需要は逆を向いている

以上が技術的な事実。ここから先は解釈になる。

AI生成であることを立証したい側は、教育機関、プラットフォーム、規制当局、著作権者。組織であり、数は限られる。

AI生成でないことを証明したい側は、書き手、創作者、報道機関、疑いをかけられた個人。個人が大半で、しかも疑われた時点で立証責任を負わされる。

透かしは片側検査だ。陽性なら関与ありを示唆するが、陰性は無関係の証明にならない。埋まらない箇所があり、翻訳一往復で消え、そもそも対応外のモデルや機能を経由すれば信号がない。技術は前者にしか道具を渡していない。

しかも陽性の側も確定しない。校正に出せばマークが付き、内容は人間のものであり続ける。陽性は「AIが書いた」を意味せず、陰性は「人間が書いた」を意味しない。両側とも証明にならない検査が、透明性の名の下に実装される。

C2PA自身がこれを認めている。クレデンシャルのない情報源も本物でありうるし、クレデンシャルのあるものが欺瞞でないとも限らない。報道の現場が直面しているのは、合成メディアが報道を騙る問題と、都合の悪い実際の報道が証拠なしにフェイクとして片付けられる問題の、両方だ。後者に効く技術は見当たらない。

証明の需要が最も切実な場面として、C2PAの仕様書には人権記録の例が置かれている。抗議行動での警察暴力を撮影した映像にコンテンツ・クレデンシャルが付いていれば、人権団体はその映像がAI生成物を含まないという要件を満たすか検証でき、撮影者の身元は対応する編集ソフトで秘匿したまま署名を維持して、法廷で証拠として採用される可能性を高められる。撮影の瞬間に署名が発生していなければ成立しない話であり、事後の解析では代替できない。

偽造の動機も両方向に立つ。AI由来だと誤帰属させたい者と、自分の書いたものをAI由来に見せかけて責任を逃れたい者。方向は正反対なのに、突く弱点は同じ場所にある。

なお、この発表を「AIに作業者IDが付き始めた」と読み、企業の監査市場が立ち上がると論じる向きもある。ただし透かしにはモデルの識別子も、利用者も、日時も入っていない。出てくるのは「処理した可能性」の一語だけだ。ファイル側のC2PAは来歴の記録を目指した規格なので方向は近いが、テキストの確率的信号とは別物になる。

制度が軽く扱う使い方ほど濃く出る

学術出版の側では、ルールがすでに整備されている。ICMJEはAI自身を著者にはできないと定めた上で、使用したなら申告するよう著者に求めるよう各誌に指示している。

Springer Natureは、リスク水準による三段階の枠組みを公表している。緑は許可される支援的な使用で、科学的・評価的判断に影響を与えずに表現や構成や効率を支えるもの。挙げられている例は、LLMによる言語の推敲、原稿構成やフォーマットの提案、査読コメントの翻訳や整理、方法論の選択肢比較、データクレンジング。開示は義務ではないが、信頼と透明性を高め、人間による責任の所在を明確に示すものと位置づけられている。

琥珀は注意を要する使用で、解釈や枠組みや強調に影響しうるがヒトの管理下にあるもの。分析手法の提案、説明的要約の起草、既存文献との結果比較、大がかりな校正や執筆支援などが入る。人間の監督と検証と開示を伴えば許可される。

赤は不許可。仮説や解析や結論を生成して人間由来として提示すること、データや引用の捏造、開示なしに中核的な研究上の推論をLLMに生成させること、AIに著者性を割り当てること、査読をLLMに委任すること、フォトリアリスティックな画像の生成。

段階を刻んだ設計になっている。ところが検出器が返すのは、段階のない数値だ。

しかも段階と信号の強さが噛み合わない。言語の推敲は緑に置かれた最も軽い使用だが、原稿全体を通してかければ、文字列としては全文がモデルの出力になる。透かしは冒頭から末尾まで乗る。中核的な論証を生成させた原稿を人間が全面的に書き直せば、信号は逆に薄くなる。制度が重く見る使い方ほど検出されにくく、軽く見る使い方ほど濃く出る。

BMC系列の一誌は運用を具体的に示している。AI支援によるコピーエディット目的の使用は原稿本文への記載は不要だが、投稿時のカバーレターには申告すること。編集者から求められれば、AI使用の詳細な証拠を提示できるよう準備しておくこと。

証拠の準備を求められている点が引っかかる。透かしは陰性でも無関係の証明にならないので、この要求に応えられるのは作業履歴のような別系統の記録だけになる。

閾値を誰が決めるのか

数値をどこで区切るかを、誰が決めるのかもはっきりしない。偽陽性を避けたい編集部と、見逃しを避けたい規制当局では、望ましい閾値が違う。検出器が提供者から単一のAPIとして出てくるなら、区切りの位置を握るのは提供者になる。第三者に検出させると言いながら、何をもって陽性とするかの定義を渡さなければ、判定権は移らない。

先例はある。剽窃検出ツールは類似度の数値を返すだけの道具だが、一部の編集部が閾値を決めて機械的に処理する運用を採った。引用や定型的な記載が積み上がっただけの数字でも落ちる。道具は判断していないのに、閾値だけが独り歩きした。

創作の側はさらに扱いにくい。プロットを立て、構成を組み、書かせ、直し、また直す。どこからが生成でどこまでが執筆なのか、線を引く合意がない。それでも応募規定の開示欄には「AI使用の有無」しかなく、一行のプロンプトで丸ごと出させた者と、何往復も改稿した書き手が、同じ欄にチェックを入れることになる。

規範の側にも意識はある。完全にAI生成されたコンテンツとAI支援によるコンテンツを区別する分類法が検討され、それぞれに異なる開示要件を課す方向が示されている。ただし二分類が連続量を捉えられるかは別の話だろう。

関与度は連続量なのに、制度は二値で受け取る。開示すれば減点され、黙っていれば何も起きない。透明性を義務化した規制が、開示しないほうが得だという構造をそのまま残している。

私自身、記事の作成にAIを使っていることは公開している。隠す理由がないからだが、読まずに「AIだろう」と処理されることは頻繁にある。

残ること

EU AI Actが義務づけたのは、マークを付けることであって、検出の精度でも証明の提供でもない。

Anthropicは以上の限界を承知の上で署名し、その限界を自ら文書に書き込んだ。検出の仕組みについては、追って技術文書で共有するとしている。旧モデルへの対応も作業中だという。期限は12月2日。署名者は9月に立ち上がる2つのタスクフォースへの参加を求められており、実装の技術水準そのものがそこで動く。

サポートページに戻る。検出されたマークは、その内容がClaudeによって処理された可能性を示すが、確定的ではない。そして原著者が別にいる場合がある。校正、翻訳、要約、ファイル変換。

提供者が最初に書いていたのは、この技術で何が分かるかではなく、何が分からないかだった。

読んでいただきありがとうございました。
コメント、記事購入、チップ等いつもありがとうございます。
大変感謝しております。
関連記事もありますので、下記サイトマップを参照していただければ幸いです。