Claude がテキストに電子透かしを入れ始めたので、LLM ウォーターマーキングの仕組みを調べた

2026年8月、Anthropic が「Claude の生成テキストに機械可読なマーク（電子透かし）を埋め込む」と発表しました^[1]。EU AI Act 第50条の透明性規範（Code of Practice on Transparency of AI-Generated Content）に署名したことに伴うもので、2026年8月2日以降にリリースされるモデルは、EU 圏内に限らず世界中でテキストに透かしを入れて出力するとのことです。

https://support.claude.com/en/articles/16266773-how-claude-marks-ai-generated-content

https://www.itmedia.co.jp/news/article/2608/12/2000000497/

https://x.com/i/trending/2086954986722763247

自分がテキストへの電子透かしという研究アイデアを初めて聞いたのは、修士を修了する間際の2023年2〜3月頃でした。当時の正直な感想は「面白いけど、実用化は無理だろう」というものでした。画像なら画素値をわずかに揺らす余地がいくらでもありますが、テキストは離散的なトークンの列であり、1単語変えれば意味が変わってしまうためです。

ところが調べてみると、Google はすでに SynthID-Text という手法を Gemini に実運用しており^[2]、Anthropic の今回の発表はそれに続く形になります。 3年で「無理だろう」が「もう動いている」に変わっていたわけで、この間に研究がどう進んだのかが気になり、調べてみることにしました。

テキストの透かしは「単語選択の癖」として埋め込む

そもそも、テキストのどこに情報を埋め込むのでしょうか。

答えは 「LLM が次の単語を選ぶときの揺らぎ」 です。LLM は次のトークンを確率分布からサンプリングしており、「ここは this でも that でも自然」という場面が文章中に何度も現れます。このどちらでもよい選択を、秘密鍵から導いたルールでほんの少し偏らせる。1回の選択では何も分かりませんが、数百トークン分の偏りを集計すると、人間の文章では統計的にあり得ない 「癖」 が浮かび上がります。これがテキストウォーターマーキングの基本的な考え方です。

この分野の出発点とされるのが、2023年の Kirchenbauer らによる KGW 法です^[3]。直前のトークンから疑似乱数で語彙を「グリーンリスト（透かしとして優遇する語群）」と「レッドリスト」に二分し、グリーンリスト側のロジットに小さなボーナスを加えて生成します。検出側は、テキストだけを見て 「グリーンリストの語が全体の何割を占めるか」を数え、その比率が偶然では説明できない水準（z 検定で有意）なら AI 生成 と判定します。モデル本体にアクセスできなくても、秘密鍵さえあれば検出できるのがポイントです。

私が2023年に聞いたのは、ちょうどこの KGW 法の話でした。そして「無理だろう」と思った理由も、実はそのまま研究コミュニティが取り組むことになった課題と一致していました。鍵を埋め込むことによりテキストの品質が下がるはずという点と、単語を言い換えられたら鍵となる情報が消えるはずという点です。以降は、この2つの課題（と、そこから派生した2つのテーマ）がどう解かれてきたかを軸に整理します。

「鍵を埋め込むことによりテキストの品質が下がるはず」という課題への対処

KGW 法のようにロジットへ直接ボーナスを加えると、本来選ばれにくい単語が選ばれやすくなり、生成分布そのものが歪みます。低エントロピーな場面（コードや事実の記述など、答えがほぼ一意な場面）では、この歪みが品質劣化として表面化しやすくなります。

これに対して、生成分布を数学的に一切変えずに透かしを入れる distortion-free（歪みなし） な手法群が登場しました。代表が Gumbel-Max トリックを使う系統です^[4]。サンプリングに使う乱数を「真の乱数」から「秘密鍵由来の疑似乱数」に差し替えるだけで、どのトークンが選ばれる確率は元の分布と完全に一致したまま、検出者だけが乱数列との相関を検証できます。乱数の出どころをすり替えるだけなので、定義上、品質は1ミリも劣化しません。

実運用まで到達したのが、冒頭で触れた Google DeepMind の SynthID-Text です^[6]。候補トークンを秘密鍵由来のスコアで勝ち抜き戦にかける Tournament sampling を用いており、non-distortionary な設定では出力分布を保存したまま、KGW 系より高い検出力を達成したと報告されています。2,000万件規模の本番トラフィックでの評価まで論文に含まれており、「実用化は無理だろう」という2023年の自分の予想は、この論文でほぼ完全に否定されたことになります。

「単語を言い換えられたら鍵となる情報が消えるはず」という課題への対処

もう1つの、そしておそらく本命の課題が「言い換え」問題です。

KGW 法も Gumbel 系も SynthID-Text も、透かしの実体は「表層のトークン選択の偏り」です。つまり、別の LLM に「この文章を言い換えて」と頼めば、意味を保ったままトークン列だけが総入れ替えになり、透かしは薄まります。実際、2023年の時点で「パラフレーズモデルを1回通すだけで既存の検出器がほぼ全滅する」ことが実証されており^[8]、この攻撃は今でもテキスト透かしの最大の弱点です。

この問題への研究コミュニティの回答が、透かしを埋め込む場所をトークンから 意味空間（embedding space） へ移すというアプローチです。

先駆けの SemStamp^[9] は、文単位で動きます。生成した候補文を埋め込みモデルでベクトル化し、LSH（局所性鋭敏ハッシュ）で意味空間を領域分割して、秘密鍵が指定する「当たり領域」に落ちる文だけを採択します（外れたら生成し直す棄却サンプリング）。言い換えられても文の意味ベクトルは近い位置に留まるため、当たり領域から出にくく、透かしが生き残るという理屈です。

さらに2026年の PASA^[10] は、意味クラスタに秘密鍵由来の共有乱数を紐付けることで、「distortion-free であること」と「言い換え耐性」を理論的な枠組みごと両立させたと主張しています。検出精度と頑健性と歪みの三者のトレードオフを定式化した上で、強い言い換え攻撃の下でも語彙空間ベースの既存手法を上回る検出性能を示しており、品質保存と言い換え耐性という2大課題の合流点として注目しています。

最新の研究動向①: 「AIが生成したか否か」だけではなく「誰が生成したか」を埋め込む

ここまでの手法が答えるのは「AI が生成したか否か」という1ビットの問いです。これを拡張し、ユーザー ID やタイムスタンプのようなビット列（ペイロード）そのものを埋め込むのがマルチビットウォーターマーキングです。

USENIX Security 2025 の Qu らの手法^[11]では、テキストを疑似乱数でセグメントに割り当て、各セグメントがペイロードの特定のビットを担当するよう生成を偏らせます。検出時はテキストからビット列を復号し、誤り訂正符号で編集によるノイズを訂正します。人間の文章から復号すると意味のないランダムなビット列にしかなりませんが、透かし入りのテキストからは「ユーザー ID: 22」のような構造を持つデータが復元できるわけです。

これが実用に乗ると、「AI が書いたか」ではなく「どのアカウントに対して生成された文章が流出したか」まで追跡できることになります。コンテンツの出所追跡（content source tracing）という文脈で、企業のリーク対策や API の不正利用検出の本命と目されている方向性です。

最新の研究動向②: モデルの中身をいじらずに透かしを入れる

ここまでの手法は、程度の差はあれ生成時のサンプリング過程（ロジットや乱数）への介入を前提としていました。つまり API 越しにしか使えないクローズドなモデルには適用できません。これを解決するのが post-hoc 型で、NeurIPS 2025 の SAEMark^[12] が代表例です。

SAEMark は、モデルの解釈可能性研究で使われる Sparse Autoencoder（SAE） を特徴抽出器として流用します。API からテキスト候補を複数生成させ、各候補を SAE に通して特徴量の統計値を測り、秘密鍵から導いたターゲット値に最も近い候補だけを採択します。モデルのロジットには一切触れず、出力の選び方だけで透かしを入れるため、ブラックボックスの API モデルにそのまま適用でき、しかも英語だけでなく中国語やコードでも動くと報告されています。

Claude はどの方式なのか

ここまで読むと当然「Claude の透かしはどの方式なのか」が気になりますが、Anthropic は技術的詳細をまだ公開しておらず、検出ツールも「今後ドキュメントとともに提供する」という段階です。
分かっているのは次の点だけです。

• モデルレベルでの埋め込みである：アプリや API といった経路を問わず、対応モデルの出力すべてに透かしが入る
• テキストの意味や品質、読みやすさを変えないとされている：distortion-free 系の性質を意識した記述に読める
• コピペしても透かしはテキストと一緒に移動し、ある程度の編集には耐えるとされている

一方で限界として、大幅な編集や言い換えや翻訳で消えうること、短いテキストでは信号が足りないこと、そして「マークの検出は Claude が処理したことを示すだけで、Claude が著者であることの証明にはならない」ことが明記されています。人間が書いた文章を Claude に校正させただけでも透かしは付くので、透かし検出を「AI が書いた証拠」として扱うのは誤りだ、と提供者自身が念を押している格好です。学校や職場が検出結果を証拠として濫用する未来が容易に想像できるだけに、この但し書きがどこまで読まれるかは気掛かりです。

言い換えで消えうるという点を踏まえると、少なくとも現行の透かしは意味空間型の言い換え耐性を完全には備えていない、と推測するのが自然そうです。
本記事で見てきた通り、distortion-free と言い換え耐性の両立はまさに2026年現在の研究の主戦場なので、商用システムがそこに追いつくのはこれからなのだと思います。

……と書いたところで公式から答え合わせが出たので、次節に追記します。

2026/08/15 追記: Anthropic 公式の説明

本記事の公開直後、Anthropic が技術的な補足ブログを公開しました。

https://www.anthropic.com/news/claude-text-watermark

前節では「方式は非公開」と書きましたが、ここで明確に答えが出ています。

Claude’s text watermark is a version of the SynthID-Text approach published by Google DeepMind in a Nature paper in 2024.

Claude の透かしは SynthID-Text の一種でした。本記事で Tournament sampling のコラムを書いて解説した手法です。「distortion-free 系の性質を意識した記述に読める」という前節の推測は当たっていたことになります。ブログでは Scott Aaronson の2022年の提案に遡る系統である点にも触れられており、本記事で辿った歴史の筋がそのまま公式の説明に出てきます。

品質への影響についても、Nature 論文の大規模評価（Gemini の本番トラフィックでの thumbs-up/down 比較で統計的有意差なし）が根拠として引かれた上で、Anthropic 自身の内部テストでも内容・創造性・読みやすさへの影響は見られなかったとしています。生成されるトークン数が増えないので、速度も価格も変わらないとのことです。

乱数の出どころを差し替える、というモノポリーの比喩

公式ブログには、本記事で r_i^{1/p_i} の表を使って説明した「乱数の出どころをすり替える」という発想を、数式なしで説明した比喩が載っています。これが上手いので紹介します。

モノポリーで、サイコロを振る代わりに円周率の数字の並びを使うとします。小数点以下100万桁目あたりから始めて、以降は各プレイヤーが次の桁を「出目」として使う。プレイ体験は何も変わりませんし、ゲームの結果にも影響しません。しかし後から全ての手を並べて円周率と照合すれば、「この試合は円周率を使っていたらしい」と判定できます。この試合は、いわば透かし入りなわけです。

透かしが「品質を落とさないのに検出できる」理由は、結局これに尽きます。くじの公平さは保ったまま、くじの中身だけを検出者が答え合わせできる状態にしている。

「AI が書いた証拠」にはならない、を公式も繰り返している

電子透かしという手法の限界の説明は、前節で紹介した内容よりさらに踏み込んでいます。

• 鍵で答えられるのは「Claude が部分的に関与した尤度」だけで、人間が書いたことの確認にも、別の AI が書いたかの判別にも使えない
• 短いテキストでは選択の機会が少なく検出が効かない。長くなるほど確信度が上がる
• 事実を述べる箇所では透かしが薄くなる。例として「ニュートンの主著は Principia…」の次の語は Mathematica しかなく、透かしが介入する余地がない
• 校正・編集させただけの場合、ほとんどの語は人間のものなので、透かしが乗る先がほとんどない
• 完全な書き換え（全ての語の置換）をすれば透かしは消える。もっともその場合、それを AI 生成物と呼べるかは議論の余地がある

「透かしの検出＝AI が書いた証拠」という誤読への釘刺しが、公式ブログでも繰り返されています。What does a watermark actually prove? という項では、「Claude が書いた」と「Claude が大幅に編集した」を区別できないと明記されました。

コードと翻訳についての補足

コードについては、正確さが要求される箇所には透かしを適用しないと明言されています。2 + 2 = の次に来るべきトークンには最良の選択が一つしかないので、そもそも「ナッジ」を掛けない。一方、コード中のコメントのように任意性のある箇所では透かしが機能しうるが、コード自体への影響は無視できる程度だとのことです。

翻訳については逆に、Claude に翻訳させた文章には透かしが入ります。翻訳では全ての語を Claude が選んでいるからです。本記事で紹介した「翻訳で透かしが消える」（CWRA 攻撃）は、透かし入りテキストを別の手段で翻訳した場合の話なので、混同しないよう注意が必要です。

追跡型ではない

本記事では「誰が生成したか」を埋め込むマルチビット型を紹介しましたが、Claude の透かしはその方向ではありませんでした。公式ブログは、透かしにも鍵にも個人・組織・チャットを特定する情報は含まれないと明言しています。1ビット（Claude が関与したか否か）に徹する設計です。

なお、画像などのファイルには透かしではなく C2PA（カメラメーカーや写真編集ソフトが使う業界標準）の content credential をメタデータとして付けるとのことです。こちらはファイル自体を一切変更しない点で、テキストの透かしとは性質が異なります。

そして肝心の検出手段ですが、検出 API を近く提供予定、実装の詳細は調整中とのことです。2026年8月2日より前にリリースされたモデルへの適用も、EU 法の経過措置期間の中で今後数ヶ月かけて展開されるそうです。

おわりに

2023年に「実用化は無理だろう」と思った技術が、3年後には規制対応という追い風を受けて商用 LLM に標準搭載されつつある、というのが今回調べて分かったことです。一方で、言い換え攻撃という根本的な弱点は残ったままで、透かしを消す攻撃と消されない透かしのいたちごっこは当分続きそうです。

ところで、白状すると、この記事の下書きは Claude に手伝ってもらいました。つまり本文のどこかに、秘密鍵由来の統計的な偏りが今まさに埋まっているはずです。どの単語がグリーンリストなのか、書いた本人（？）にも読んでいるあなたにも分からないというのが、この技術のよくできたところであり、少し不気味なところでもあります。 もっとも、下書きは私がだいぶ編集してしまったので、透かしはもう薄れているかもしれません。検出 API が公開されたら、真っ先にこの記事を投げてみるつもりです。

参考文献

• Anthropic, How Claude marks AI-generated content
• Kirchenbauer et al., A Watermark for Large Language Models (ICML 2023)
• Kuditipudi et al., Robust Distortion-free Watermarks for Language Models
• Dathathri et al., Scalable watermarking for identifying large language model outputs (Nature, 2024)
• Krishna et al., Paraphrasing evades detectors of AI-generated text, but retrieval is an effective defense (NeurIPS 2023)
• Hou et al., SemStamp: A Semantic Watermark with Paraphrastic Robustness for Text Generation (NAACL 2024)
• Ai & He, PASA: A Principled Embedding-Space Watermarking Approach for LLM-Generated Text under Semantic-Invariant Attacks (ICML 2026)
• Qu et al., Provably Robust Multi-bit Watermarking for AI-generated Text (USENIX Security 2025)
• Yu et al., SAEMark: Multi-bit LLM Watermarking with Inference-Time Scaling (NeurIPS 2025)
• Liu et al., A Survey of Text Watermarking in the Era of Large Language Models (ACM Computing Surveys, 2024)

脚注

1. 発表と同時期の報道として Fast Company の記事 や Euronews の記事 があります。 ↩︎

2. SynthID-Text は2024年10月に Nature 誌で発表され（Dathathri et al.）、論文の時点で Gemini および Gemini アプリでの本番運用が明記されていました。 ↩︎

3. Kirchenbauer et al., "A Watermark for Large Language Models" (ICML 2023)。著者名の頭文字から KGW 法と呼ばれます。 ↩︎

4. OpenAI の Scott Aaronson が2022年に講演で提案したアイデアが起源とされ、Kuditipudi et al., "Robust Distortion-free Watermarks for Language Models" などで定式化されました。 ↩︎

5. 論文では \arg\min_i (-\log r_i)/p_i という同値な形（指数分布の競争）で書かれることも多いです。ここでは Aaronson の定式化に倣って r_i^{1/p_i} の最大化で書いています。 ↩︎

6. Dathathri et al., "Scalable watermarking for identifying large language model outputs" (Nature, 2024)。コードも公開されています。 ↩︎

7. なお2026年には、透かし付きの生成を繰り返して候補を集め、攻撃者側で g 値の低い語を勝たせる追加のトーナメントを重ねることで平均スコアを 0.5 に押し戻す layer inflation attack も提案されています（"On Google's SynthID-Text LLM Watermarking System", 2026）。実運用に到達した手法が今度は攻撃研究の標的になる、という健全ないたちごっこが始まっています。 ↩︎

8. Krishna et al., "Paraphrasing evades detectors of AI-generated text, but retrieval is an effective defense" (NeurIPS 2023)。攻撃用に作られた11Bパラメータのパラフレーズモデル DIPPER が有名です。 ↩︎

9. Hou et al., "SemStamp: A Semantic Watermark with Paraphrastic Robustness for Text Generation" (NAACL 2024)。 ↩︎

10. Ai & He, "PASA: A Principled Embedding-Space Watermarking Approach for LLM-Generated Text under Semantic-Invariant Attacks" (ICML 2026)。 ↩︎

11. Qu et al., "Provably Robust Multi-bit Watermarking for AI-generated Text" (USENIX Security 2025)。 ↩︎

12. Yu et al., "SAEMark: Multi-bit LLM Watermarking with Inference-Time Scaling" (NeurIPS 2025)。 ↩︎