Watermarking de texto da Anthropic divide opiniões: proteção ou distorção

Como a marca é inserida

Embora texto não tenha pixels nem metadados confiáveis após copiar e colar, uma marca d’água pode ser incorporada nas escolhas feitas pelo modelo ao escrever. A cada posição, o sistema seleciona uma palavra entre várias alternativas plausíveis, usando probabilidades. Como muitas dessas opções produziriam frases igualmente boas, essa margem permite introduzir um padrão sem alterar visivelmente o conteúdo.

Na receita clássica, uma chave secreta divide matematicamente as palavras candidatas em grupos “verdes” e “vermelhos” e inclina levemente a seleção para o grupo verde. A classificação depende também de uma sequência curta de palavras anteriores, portanto a mesma palavra pode mudar de grupo conforme o contexto. O Google SynthID usa uma variante baseada em um pequeno torneio entre candidatos, enquanto o esquema desenvolvido na OpenAI deriva os próprios sorteios da chave. Apesar das diferenças, todos seguem o princípio de esconder a marca nas escolhas do modelo, não nos caracteres.

Detecção e efeito da edição

Quem possui a chave pode reaplicar a classificação ao texto e contar quantas palavras caem no grupo verde. Sem a marca ou sem a chave correta, o resultado deve se aproximar de uma distribuição aleatória; com a marca, o grupo verde aparece acima do esperado. O desvio usado em produção é pequeno e exige textos mais longos para se tornar convincente. No modelo ilustrativo da publicação, um texto de 1.500 palavras teria cerca de 55% de palavras verdes, mostrando por que textos curtos são difíceis de avaliar.

A evidência depende de trechos de redação original que permanecem intactos. Como a classificação de cada posição usa uma janela curta de palavras vizinhas, correções leves e paráfrases de uma passagem apenas diluem a marca. Experimentos citados indicam que, com texto suficiente, até paráfrases humanas podem voltar a ser detectáveis após cerca de 800 tokens, aproximadamente 600 palavras. Já uma reescrita completa, recomposta a partir do significado e sem sequências de palavras compartilhadas, elimina essa família de marcas. Em implementações abertas como KGW e EXP, a precisão caiu de praticamente certa para o acaso quando restaram cerca de 0,5% das janelas originais.

Limites e implicações

A Anthropic afirma que novos modelos Claude passaram a marcar texto no nível do modelo em agosto de 2026, com modelos anteriores a seguir, mas seu método de produção ainda não foi divulgado. Por isso, os números de resistência vêm de implementações abertas e não podem ser diretamente testados no Claude. A Anthropic diz que oferecerá ferramentas de detecção; o Google já mantém um portal de acesso antecipado para o SynthID.

A verificação é privada e probabilística: apenas o detentor da chave, ou um serviço operado pelo provedor, pode realizá-la. Ela não equivale a detectores que inferem autoria pelo estilo. Um resultado positivo indica que o texto foi “processado por” um sistema, não necessariamente escrito por ele; revisão ou tradução humanas feitas no Claude também podem receber a marca. A ausência da marca tampouco prova origem humana, pois modelos antigos, textos curtos, conteúdos com poucas escolhas possíveis e edições pesadas podem não deixar evidência. A publicação ressalta ainda que a eficácia varia conforme o desenho da marca: esquemas baseados nas próprias palavras podem sobreviver melhor a reescritas, mas podem ser descobertos se o mesmo padrão for reutilizado muitas vezes. As figuras são modelos didáticos, não representações dos sistemas reais dos provedores.