Watermark в AI-тексте: как нейросети метят свои тексты и что эту метку стирает

Что именно объявила Anthropic

Компания обновила свою справку «How Claude marks AI-generated content». Коротко, по пунктам её же формулировок:

Повод внешний: со 2 августа 2026 в ЕС применяется статья 50 AI Act — поставщик генеративной системы обязан помечать вывод машиночитаемым способом. Anthropic включила маркировку глобально, а не по региону: держать две ветки поведения дороже, чем одну.

Публичного детектора нет. Anthropic пишет, что «работает над возможностью обнаружения» и опубликует детали позже. То есть проверить чужой текст на метку Claude сегодня нельзя — ни вам, ни площадке, ни суду.

Шесть способов пометить текст, и только один работает после копипаста

«AI-метка» — не одна технология. Под этим словом живут вещи с разной физикой и разной живучестью.

Отдельно от них стоят AI-детекторы и стилометрия: там метки нет вовсе, есть догадка по стилю. Путать эти две вещи — главная ошибка в разговоре про «проверку на ИИ», и ниже я разберу её отдельно.

Почему метаданные и C2PA не спасают текст

Метаданные — служебные сведения внутри файла: чем создан, когда, что с ним делали. C2PA поверх этого добавляет криптографическую подпись, поэтому историю нельзя подделать. Но её очень легко потерять.

Отсюда правило, из которого растёт вся текстовая маркировка: контент, который живёт копипастом, метится только изнутри. Для картинок C2PA работает, для текста в вебе — почти нет.

Невидимые символы Unicode — не то, что ищут детекторы

В Unicode есть символы нулевой ширины: программа их видит, человек нет.

Ими можно закодировать хоть последовательность битов — это текстовая стеганография, приём старше нейросетей. Именно его чаще всего имеют в виду, когда в соцсетях советуют «прогнать текст через чистильщик и метка слетит».

Слетит — но не та. Невидимые символы хрупкие: их снимает нормализация Unicode и любая чистка управляющих знаков. Поэтому современные текстовые метки на них не строят, и «очистка от zero-width» ничего не говорит о статистическом watermark.

Статистический watermark: метка без единого лишнего символа

Модель пишет текст не словами, а токенами — кусками слов. На каждом шаге она выбирает следующий токен из распределения вероятностей:

Алгоритм маркировки заранее делит словарь на «зелёную» часть и остальное, а потом чуть-чуть двигает вероятности в пользу зелёной:

На одном предложении разницы нет — смысл и стиль не пострадали. Но на сотнях токенов накапливается перекос: там, где по случайности ждали пятьдесят зелёных токенов из ста, детектор видит семьдесят. Насколько такой перекос неслучаен, считают z-оценкой — числом стандартных отклонений от ожидаемого. Чем длиннее текст, тем увереннее ответ; на твите уверенности не будет никогда.

Схему с зелёным списком и z-оценкой предложили Кирхенбауэр и соавторы в работе A Watermark for Large Language Models. Открытый работающий пример — SynthID Text от Google: он встраивается в генерацию как обработчик логитов, то есть вмешивается ровно в тот момент, когда модель выбирает следующий токен. Код открыт и лежит в Hugging Face Transformers.

Что метку стирает, а что нет

Короткий ответ: метаданные снимаются одной командой, невидимые символы — чисткой Unicode, а статистический watermark не стирается ничем, кроме переписывания текста заново.

flowchart LR
    A["Текст из модели:<br/>метка в выборе токенов"] --> B["Копипаст, смена шрифта,<br/>разметка и заголовки"]
    A --> C["Правка отдельных слов,<br/>перестановка абзацев"]
    A --> D["Парафраз, перевод,<br/>смешивание с чужим текстом"]
    A --> E["Фрагмент<br/>в пару предложений"]
    B --> F["Метка на месте:<br/>сигнал пережил правку"]
    C --> F
    D --> G["Метки нет:<br/>доказывать нечего"]
    E --> H["Метка есть,<br/>но статистика молчит"]
    classDef alive fill:#E7F0FD,stroke:#0B5FD7,stroke-width:1px,color:#10151C
    classDef gone fill:#F6F8FB,stroke:#DDE3EA,stroke-width:1px,color:#828A96
    class F alive
    class G,H gone

Отсюда честный вывод, который редко пишут: наличие метки — сильный сигнал, отсутствие — ноль информации. Текст без метки мог написать человек, старая модель, конкурент Claude или тот же Claude, но с последующим переводом.

AI-детектор и детектор watermark — разные приборы

Их постоянно путают, и цена путаницы высокая: на выводе AI-детектора увольняют, снимают с публикации и снижают оценки.

У классификаторов это не детская болезнь, а свойство метода. OpenAI закрыла свой AI Text Classifier ещё летом 2023 года — из-за низкой точности, о чём написала сама. С тех пор общедоступного текстового классификатора с доказанной точностью не появилось, а платные сервисы своей точности не показывают на воспроизводимых выборках.

Картинки: здесь проверка уже работает

С изображениями ситуация лучше, чем с текстом. С 19 мая 2026 OpenAI ставит на картинки из ChatGPT, Codex и API сразу два сигнала — подпись C2PA и watermark SynthID, а на поддерживаемое аудио — SynthID. Проверить можно самому:

Подробный разбор маркировки картинок — в отдельной статье: как маркируются изображения ИИ. Здесь только то, что нужно проверить прямо сейчас.

flowchart LR
    A["Генератор ставит<br/>подпись C2PA и SynthID"] --> B["Скачали файл целиком"]
    A --> C["Сделали скриншот"]
    A --> D["Пересохранили<br/>конвертером или редактором"]
    A --> E["Провели через соцсеть"]
    B --> F["Подпись на месте:<br/>происхождение доказуемо"]
    C --> G["Подписи нет,<br/>SynthID в пикселях иногда жив"]
    D --> G
    E --> G
    classDef alive fill:#E7F0FD,stroke:#0B5FD7,stroke-width:1px,color:#10151C
    classDef gone fill:#F6F8FB,stroke:#DDE3EA,stroke-width:1px,color:#828A96
    class F alive
    class G gone

1. Откройте проверку OpenAI

   Инструмент openai.com/verify принимает изображения и аудио. Текст он не проверяет — для текста таких инструментов пока нет ни у кого.

2. Загрузите файл целиком

   Не скриншот и не пересохранённую копию: и то, и другое срезает C2PA. SynthID в пикселях переживает сжатие и обрезку, поэтому иногда отвечает даже там, где подпись потеряна.

3. Прочитайте пустой ответ правильно

   «Сигналов не найдено» не значит «сделано человеком». Значит: подписи нет или её срезали по дороге — соцсетью, конвертером, скриншотом.

Что это меняет для сайта

Раньше площадка могла только гонять тексты через классификатор и получать вероятность. Теперь вопрос смещается: не «похоже ли это на ИИ», а «есть ли в тексте машиночитаемый сигнал конкретной системы». Практических следствий три.

1. Спрашивать про ответственность, а не про происхождение. Вопрос автору «писал ли ИИ» бессмысленный: проверить нельзя, а после перевода метка исчезнет. Спрашивайте, кто отвечает за факты и источники, — это проверяется.
2. Отменить санкции по выводу AI-детектора. Пока нет детектора метки, любое обвинение строится на догадке. Один ложный срыв публикации у живого автора стоит дороже десяти пропущенных машинных текстов.
3. Сохранять провенанс своих материалов. Для картинок это уже рабочая практика: подпись C2PA — ваш аргумент в споре об авторстве. Проверьте, переживает ли она вашу же оптимизацию изображений.

Поисковикам метка не мешает: Google оценивает пользу материала, а не способ производства, и отдельного «фильтра за watermark» нет. Опасность не в ранжировании, а в доверии читателя и в спорах об авторстве.

Главное

Единой «AI-метки» не существует. Под этим словом прячутся шесть разных механизмов — от приписки в конце текста до статистики по токенам, — и живучесть у них отличается на порядки.

Поэтому вопрос «как удалить метку ИИ» не имеет ответа, пока не назван её тип. Метаданные снимаются одной командой, невидимые символы — чисткой Unicode, статистический watermark — только переписыванием текста заново, то есть работой, которую и пытались сэкономить.

А главный практический вывод обратный тому, который обычно делают из новости: метка не про то, чтобы ловить авторов. Она про то, чтобы у площадки появился проверяемый сигнал происхождения там, где раньше были только догадки.