Tatouage de Claude, Gemini et GPT : on a vérifié le code censé casser la protection, voici ce qu’on a trouvé
Depuis quelques jours, X et Reddit répètent qu’Anthropic va « tatouer » les textes de Claude pour savoir qu’ils ont été écrits par une IA et qu’un développeur aurait déjà cassé la protection. On a fait lire son code… à Claude. Ligne par ligne : c’est faux, et le vrai fonctionnement est bien plus surprenant.
Depuis quelques jours, la discussion s’emballe sur X et Reddit : Anthropic va « tatouer » les textes produits par Claude, son assistant IA, comme le fait déjà Google sur Gemini depuis mai 2024 (hors API). Des utilisateurs annoncent résilier leur abonnement, et un développeur a mis en ligne un outil censé effacer la marque, relayé par des milliers de comptes. Sauf que l’essentiel de ce qui circule est faux ou mal compris.
Le filigrane (watermark en anglais) de Claude n’est encore déployé sur aucun modèle, personne ne peut le détecter, et l’étude censée l’avoir « cassé » n’a jamais touché à Claude. Reprenons dans l’ordre.
D’abord, de quoi parle-t-on ? Un watermark, ou filigrane numérique, est une marque censée identifier l’origine d’un contenu. Pour une image, cela peut passer par des métadonnées signées, comme le standard ouvert C2PA. Pour du texte, c’est une autre histoire.
Comment ça marche : le filigrane, ce sont les mots eux-mêmes
Quand Claude écrit « le temps était froid et… », plusieurs mots suivants font aussi bien l’affaire : « gris », « couvert », « humide ». D’habitude, le modèle en choisit un au hasard. Le filigrane ne change pas la liste des mots possibles, il change la source de ce hasard : au lieu d’un tirage vraiment aléatoire, une règle secrète, la « clé », tranche entre les candidats.
Le texte se lit exactement pareil, mais celui qui connaît la clé peut vérifier après coup si la suite des choix lui correspond. Anthropic l’explique sans détour : rien n’est ajouté au texte, pas de caractère invisible, pas de métadonnée cachée.
Le modèle travaille par tokens, les fragments de texte qu’il manipule : un mot, ou un bout de mot. De là découle une conséquence contre-intuitive : plus le texte laisse de liberté, plus la marque est forte. Un roman, où mille tournures se valent, est fortement marqué. Une réponse factuelle l’est beaucoup moins, puisqu’après « la capitale de la France est » il n’existe qu’un seul mot possible. Le code informatique, lui, est à peine marqué, parce qu’il doit rester exact pour fonctionner.
Deuxième surprise, à rebours de l’intuition : plus le texte est long, plus la détection est fiable. Vouloir « noyer » la marque dans un gros document produit donc l’effet inverse. La technologie derrière tout ça s’appelle SynthID ; elle a été mise au point par Google DeepMind et publiée dans la revue Nature en 2024, et Anthropic en utilise une version. Pour comprendre la mécanique en détail, on l’a déjà décortiquée.
Gemini, Claude, ChatGPT : où on en est vraiment
Sur le papier, tout le monde en parle ; dans les faits, très peu de choses tournent. Gemini, l’IA de Google, marque ses textes depuis mai 2024, mais uniquement dans l’application et sur le web, pas via son interface pour développeurs. Google ne communique d’ailleurs jamais de chiffre ou d’API pour savoir si le texte généré provient de Gemini.
Du côté d’Anthropic, le filigrane est annoncé, mais aucun de ses modèles ne le porte encore. Quant à ChatGPT, d’OpenAI, il n’embarque à ce jour aucun filigrane texte public.
Pourquoi cette agitation maintenant ? À cause de l’AI Act, le règlement européen sur l’IA. Son article 50, applicable depuis le 2 août 2026, oblige à rendre les contenus générés par IA détectables pour les nouveaux modèles sortis depuis cette date. Fait notable, Anthropic applique la mesure à l’échelle mondiale, faute de moyen fiable de la limiter à l’Europe.
Non, personne n’a cassé le filigrane de Claude
Venons-en au fameux outil qui aurait tout fait tomber. Le dépôt baptisé claude-awm, pour « Claude anti-watermarking », promet dans son nom de s’attaquer à Claude. On l’a cloné sur une machine en local et fait lire par Claude : une seule occurrence du mot « Claude » dans tout le code, dans un simple commentaire. Aucun appel à Claude, aucune clé, aucun texte produit par l’IA d’Anthropic.
En réalité, l’auteur réimplémente SynthID avec ses propres clés, puis attaque le résultat. Les modèles testés sont des modèles ouverts, des Qwen et un gpt-oss, sans inclure de modèle propriétaire comme Claude. Sur 294 mesures, une seule descend sous le seuil de détection fixé à 2,33, et seulement en supprimant 40 % des mots du texte le plus court.
Remplacer la ponctuation, retirer le formatage ou passer d’un anglais à un autre ne suffit pas à effacer la marque. La seule méthode qui fonctionne, c’est détruire le texte.
On a aussi recompté un chiffre parlant dans ses données : sur un même texte, le score de détection grimpe d’environ 26/100 pour un court passage à plus de 100 pour un long document. L’attaque vedette, elle, insère des caractères invisibles dans le texte.
En lisant le code, on a repéré que le script censé prouver que ces caractères ne se voient pas ne couvre justement pas ceux qu’utilise l’attaque principale, de quoi faire réapparaître, sur un texte long, des symboles transformés en émojis. On a lu le code sans pouvoir l’exécuter. N’importe quel développeur peut refaire la vérification en quelques minutes.
À son crédit, l’auteur est honnête : il rappelle lui-même que personne hors d’Anthropic ne détient la clé, que son échantillon est petit, et il refuse de livrer une recette de contournement clé en main.
L’étude elle-même n’est pas en cause. Le souci vient du nom du dépôt et les messages qui l’ont relayée. La fronde s’organise d’ailleurs autour d’outils qui prétendent nettoyer un filigrane, comme le détaillent nos confrères de Numerama, alors qu’ils retirent souvent quelque chose qui n’existe pas.
À ce stade, aucun outil public ne permet de vérifier quoi que ce soit : Anthropic promet une interface de détection « bientôt », sans date, et sans la clé du fabricant, personne ne peut lire un filigrane texte.
La marque, quand elle existera, ne contiendra aucune information permettant de remonter à une personne, une organisation ou une conversation. Pour ceux qui craignent une baisse de qualité, l’expérience menée par Google sur des millions de réponses de Gemini n’a montré aucune différence de satisfaction entre textes marqués et non marqués.