Im Internet ist wenige Tage nach der Ankündigung von Anthropic, unsichtbare Wasserzeichen in sämtlichen von Claude verfassten Texten zu aktivieren, ein schnell wachsender Markt für Tools entstanden, die angeblich Wasserzeichen aus von künstlicher Intelligenz erzeugten Texten entfernen. Zu diesem Markt gehören ein Open-Source-Projekt mit mehr als 4500 Sternen auf GitHub, eine Reihe kürzlich registrierter Websites sowie kommerzielle Dienste, die auf die Umgehung von Tools zur Erkennung KI-generierter Inhalte spezialisiert sind.
Die Behauptungen dieser Tools über die Entfernung des Textwasserzeichens lassen sich derzeit jedoch nicht überprüfen, da Anthropic bislang keine Einzelheiten zur Funktionsweise veröffentlicht und auch kein öffentliches Erkennungstool bereitgestellt hat, mit dem sich feststellen ließe, ob ein bereinigter Text weiterhin das Wasserzeichen enthält.
Mehrere Projekte und Dienste
Zu den bekanntesten Projekten gehört das unter der MIT-Lizenz veröffentlichte Tool watermarks-remover, das von Guillaume Meyer, dem Gründer von Memo, entwickelt wurde. Das Tool begann als spezielle Fähigkeit für einen Claude-Agenten und kündigte anschließend Unterstützung für Claude, Gemini und SynthID-Text sowie für die Herkunftsnachweis-Oberflächen von OpenAI und Open-Weight-Modelle an, die Wasserzeichen nach dem Verfahren von Kirchenbauer verwenden.
Daneben gibt es weitere Repositorien wie claude-watermark-cleaner, remove-ai-watermarks und noai-watermark sowie kürzlich erschienene Websites, darunter claudewatermark.com, claudewatermark.rip, gptcleanup.com und claudewatermarkremover.app. StealthGPT, ein Dienst, der Tools zur Umgehung der Erkennung KI-generierter Inhalte verkauft, hat seinen Leistungsseiten ebenfalls ein Tool zum Entfernen des Claude-Wasserzeichens hinzugefügt. Human Writes wiederum wirbt damit, Turnitin und GPTZero bei Aufsätzen und Hausaufgaben zu umgehen, und behauptet, das Claude-Wasserzeichen zu entfernen, obwohl der Dienst einen Hinweis enthält, der zu einer Nutzung im Einklang mit den Richtlinien zur akademischen Integrität auffordert.
Was entfernen diese Tools tatsächlich?
Die Tools befassen sich mit drei verschiedenen Arten von Daten. Das Entfernen unsichtbarer Zeichen, etwa Zeichen mit null Breite, bidirektionaler Steuerzeichen, spezieller Unicode-Zeichen und Leerzeichen, die normalen Leerzeichen ähneln, lässt sich überprüfen und messen. Gleiches gilt für das Entfernen von C2PA-, EXIF- und XMP-Metadaten aus PNG-, JPEG-, SVG-, PDF-, DOCX-, ODT-, HTML- und Markdown-Dateien. Diese Daten bleiben jedoch normalerweise nicht erhalten, wenn die Datei erneut gespeichert, in ein anderes Format konvertiert oder ein Screenshot erstellt wird.
Das eigentliche Textwasserzeichen befindet sich dagegen nicht in unsichtbaren Zeichen, sondern ist mit den vom Modell ausgewählten Wörtern verbunden. Die bekannte Methode, damit umzugehen, besteht daher darin, den Text mithilfe eines anderen Modells umfassend umzuschreiben. Meyer erklärt, dass sein Tool derzeit nur Metadaten entfernt und die Entfernung der eigentlichen Wasserzeichen später folgen könnte, derzeit aber nicht verfügbar ist.
Einige kommerzielle Websites versprechen, sauberen und nicht erkennbaren Text zu erzeugen, während manche Ergebnisse anhand allgemeiner Erkennungstools und nicht anhand des Anthropic-Wasserzeichens gemessen werden, für das es kein öffentliches Erkennungstool gibt. Pasquale Pillitteri stellte nach dem Klonen der Projekte und der Durchsicht des Quellcodes außerdem fest, dass eines der verbreiteten Tools zur Textbereinigung eine gängige Technik zum Tragen versteckter Daten unverändert ließ: Die Nutzlast konnte entschlüsselt und wiederhergestellt werden, nachdem das Tool behauptet hatte, den Text zu bereinigen.
Grund für die Kennzeichnung und Risiken in der Lieferkette
Anthropic erklärte, dass Texte aus Modellen, die am 2. August 2026 oder danach veröffentlicht wurden, ein nicht wahrnehmbares, in die Formulierung eingebettetes Wasserzeichen tragen, während unterstützte Dateitypen mit signierten C2PA-Daten versehen werden. Die Kennzeichnung wird auf Modellebene über die API, claude.ai, Claude Code, Claude Cowork und Claude Tag sowie über AWS, Google Cloud und Microsoft Foundry angewendet.
Diese Maßnahme steht im Zusammenhang mit Artikel 50 des europäischen Gesetzes über künstliche Intelligenz, dessen Anwendung am 2. August wirksam wurde und bei Verstößen Strafen von bis zu 15 Millionen Euro oder 3 % des weltweiten Umsatzes vorsieht. Anthropic erklärt, dass die Erkennung des Wasserzeichens bedeutet, dass der Inhalt von Claude verarbeitet wurde, nicht unbedingt, dass er vollständig von Claude verfasst wurde; das Wasserzeichen kann auch erscheinen, wenn das Modell für Sprachkorrektur, Übersetzung oder Zusammenfassung verwendet wurde. Das Unternehmen wies außerdem darauf hin, dass umfangreiche Bearbeitung, Umschreibung und Übersetzung das Wasserzeichen entfernen können, und erklärte, künftig die Erkennung durch Dritte zu unterstützen und später technische Dokumentation zu veröffentlichen.
Diese Entwicklungen machen auch auf Risiken in der Lieferkette aufmerksam. Das Tool watermarks-remover wird als Fähigkeit für einen Software-Agenten installiert und kann so eingerichtet werden, dass es ein Forschungsrepository eines Dritten klont und eine etwa 220 Megabyte große Datei herunterlädt. BleepingComputer hat die genannten Tools weder getestet noch geprüft. Daher sollten sie als nicht vertrauenswürdiger Code aus dem Internet behandelt werden, insbesondere weil eine unabhängige Möglichkeit fehlt, ihre Versprechen zu überprüfen.