AI生成テキストの「透かし」が埋め込まれる仕組み

AIが生成したコンテンツに目印を埋め込んで区別できるようにする「ウォーターマーク」が注目されており、OpenAIが試験的に導入したりAnthropicが導入を発表したりしています。画像と違ってデータを隠すためのピクセルがないテキストにはどのようにウォーターマークを入れるのかという仕組みについて、人間とAIの関係性について調査・研究するNOPEが解説しています。

How AI text watermarking works: a visual guide
https://declaude.org/watermarking/

AI企業のAnthropicが、AIチャットボット「Claude」が生成した文章に「人間の目には見えない透かし」を埋め込む方針を2026年8月11日に発表しています。2026年8月2日以降にEUでリリースされる新しいClaudeモデルではリリース時点から透かしを付与する機能がサポートされるほか、それより前に公開された既存モデルについても、順次透かしへの対応を進めるとしています。

Claudeの生成した文章に「目に見えない透かし」を埋め込むとAnthropicが発表、日本を含めた全世界で適用される予定 - GIGAZINE

テキストには画像やコードのようにデータを隠すためのピクセルがなく、文字はすべて目の前にそのまま表示されます。さらに、メタデータもコピー＆ペーストで消えてしまいます。しかし、そのようなテキストの中にもはっきり目に見えない形でウォーターマークが存在するとNOPEは説明しています。

ここで重要なのは、大規模言語モデル(LLM)が文章を生成するときの仕組みです。LLMは次に来る1単語を正確に予測するのではなく、次に来る可能性のあるすべての単語を列挙し、それぞれに「確率」を割り当てています。この「次に続く単語のランク付け」を繰り返すことで文章を作成しますが、ランク付けした際の最高ランクの単語を常に選択すると創造性のないフラットな文章になるため、「あえて崩す」ような形でランクが低い単語が選ばれることもあります。

ChatGPTは何をしていてなぜ機能するのか？を理論物理学者が解説 - GIGAZINE

AIテキストのウォーターマークは、この「複数の候補からどれを選ぶか」という「生成の幅」を利用しています。例えば、通常通りに文章を生成する場合に「単語ごとに4つ」の候補が割り当てられるとしたら、4単語の文章は「4×4×4」で「64通り」生成される可能性があります。ウォーターマークでは、ここに候補となる単語を2つのグループに分けてそのうち片方のグループが選ばれる確率をほんの少しだけ高くする「秘密鍵」を適用します。

以下はNOPEが示した秘密鍵の例。「The results of the study were quite(この研究結果はかなり)」という文章に続く単語として、「important(重要な)」「significant(意義深い)」「substantial(実質的な)」「notable(注目すべき)」という4単語に確率が割り当てられています。そのうち「important」「substantial」を緑、「significant」「notable」を赤とグループ分けし、緑のグループのみ「単語が選ばれる確率」を高く設定。すると、緑のグループの単語が文章に含まれる可能性が高くなります。

どの単語が「緑」に分類されるかは単語そのものに固定されているわけではなく、その直前に並んでいる単語などを秘密鍵付きの計算に入力して決定されます。そのため、同じ単語でも前後の文章が違えば異なるグループに分類されます。

テキストのウォーターマーク検出機は、「生成に使われた秘密鍵」を使って文章をもう一度計算することで、それぞれの単語が「緑」「赤」のどちらに分類されるかを調べます。ウォーターマークが存在しなければ、2つのグループに入る単語の割合はおおむね半々になります。一方、ウォーターマークが埋め込まれていれば、一方のグループが偶然とは考えにくいほど多く現れるため、統計的に判定できます。

つまり、テキストのウォーターマーク検出器は文章を読んで「AIらしい表現かどうか」を推測しているわけではなく、秘密鍵を使って文章の単語選択を再計算し、「偶然では説明しにくい統計的な偏りがあるか」を調べているというわけです。チャットAIが台頭した際に公開された、文章を書いたのが人間なのかAIなのかを見分けるツール「GPTZero」の仕組みは文章のスタイルから推測するものであり、ウォーターマークとは仕組みが異なります。

文章を書いたのが人間なのかAIなのかを見分けるツール「GPTZero」の精度はどれほどなのか？ - GIGAZINE

テキストのウォーターマーク検出は確率の偏りを見ているため、文章が長いほど検出しやすくなります。また、コードや引用文、箇条書きのように、「次に使える単語の選択肢が少ない文章」では、ウォーターマークを埋め込む余地そのものが小さくなります。

また、単語自体を基準としたウォーターマーク手法は、周囲の単語を基準とした手法よりもはるかに優れた効果を発揮するとNOPEは指摘しています。仮にAIが生成した文章を言い換えや表現の変化で書き換えた場合でも、意味が同じであれば十分な数の単語が残るため、特徴の大部分が維持されす。

注意すべき点として、ウォーターマークが検出された場合に示しているのは「AIによって処理された」という意味であり、「AIによって書かれた」ということを意味するわけではありません。Anthropicの公式ドキュメントには、「Claudeが校正または翻訳しただけの人間のテキストでもウォーターマークが検出される」と記載されています。逆に、ウォーターマークが付いていない古いAIモデルで生成した文章は、最新の検出器でもAIによって書かれたということを判断できない可能性があります。

NOPEの説明は測定可能な公開実装から得られたものであるということにも注意が必要です。GoogleやAnthropicはウォーターマークを生成する方式を公開していないため、実際にどのような仕組みで行われているかテストを実行することはできません。検出は秘密鍵を設定した所有者のみが確認できるため、Claudeを使用した場合はAnthropicの検出器、Geminiを使用した場合にはGoogleの検出器を使用する必要があります。

NOPEはこのようなウォーターマークの仕組みを利用して、Claudeで生成した文章を入力することで同じ内容を通常の文章として返す「declaude.」というアプリケーションを公開しています。

declaude: rewrite AI-flavored text as plain prose
https://declaude.org/