Depuis quelques jours, X et Reddit font circuler deux idées ensemble : Anthropic va « tatouer » les textes de Claude pour trahir leur origine, et un développeur aurait déjà cassé la protection en publiant un outil sur GitHub. La seconde affirmation semble valider la première, comme si la faille prouvait la menace. En lisant le code de cet outil, puis la note technique d'Anthropic, on trouve tout autre chose. Le programme ne s'attaque presque jamais au filigrane réel, et son propre auteur l'écrit noir sur blanc.

La rumeur et l'outil qui la nourrit

Le point de départ est réel. Début août, Anthropic a annoncé que les textes produits par ses modèles lancés après le 2 août 2026 porteraient une marque invisible, détaillée le 14 août dans une note technique. Le déploiement est mondial, sans possibilité de désactivation, pour se conformer à l'obligation de transparence de l'AI Act européen. ZapNews est déjà revenu sur la fronde que cette décision a déclenchée et les premiers outils de contournement.

L'outil qui a le plus circulé s'appelle watermarks-remover. Il a été publié à la mi-août par Guillaume Meyer, fondateur de la société Memo, sous licence libre. Son dépôt promet de retirer les filigranes de Claude, Gemini et OpenAI, « Unicode et statistiques », ainsi que les métadonnées C2PA des images. C'est ce raccourci, repris par des titres comme « ça n'a tenu qu'un jour, un développeur a déjà sorti un watermark-remover », qui a nourri l'idée d'une protection déjà vaincue. La vérification du code raconte une autre histoire.

Ce que fait vraiment le programme, module par module

Le dépôt se lit en trois blocs distincts, et un seul prétend viser le filigrane de texte.

Le premier bloc est un nettoyage de caractères Unicode invisibles : espaces de largeur nulle, traits d'union conditionnels, marques de direction, sélecteurs de variation, espaces exotiques. Cette opération est parfaitement vérifiable, puisqu'il suffit de comparer le texte avant et après pour constater la disparition des caractères. Le problème est ailleurs. Le filigrane de Claude n'utilise aucun de ces caractères, si bien que ce nettoyage retire des marques que Claude n'a jamais posées.

Le deuxième bloc, celui qui vise la marque statistique, ne l'attaque pas lui-même. Il se contente de déléguer. Le script passe le texte à un autre modèle (une instance Ollama locale ou une API compatible OpenAI) pour qu'il le reformule, génère plusieurs versions et retient la plus éloignée de l'original. Par défaut, il n'exécute même rien et se borne à afficher l'instruction destinée au modèle tiers. Le README le reconnaît sans détour : « aucun outil ne peut honnêtement certifier que ceci échoue au contrôle officiel ». Le dépôt classe d'ailleurs lui-même ses actions en deux catégories, « vérifiables » pour l'Unicode et les métadonnées, « au mieux » pour la réécriture.

Le troisième bloc traite les fichiers image et bureautiques (PNG, JPEG, PDF, DOCX) pour en effacer les métadonnées C2PA, XMP et EXIF. Or c'est justement pour les images, et non pour le texte, que Claude appose une métadonnée signée au standard C2PA. Ce bloc agit donc sur une marque qui existe, mais qui n'a rien à voir avec le « tatouage » des textes que la rumeur vise.

Le vrai filigrane se cache dans le tirage des mots

Pour comprendre pourquoi un nettoyage de caractères invisibles rate sa cible, il faut regarder comment la marque est posée. Quand Claude rédige, il tire chaque mot suivant parmi plusieurs candidats plausibles. Là où « il faisait froid et » pourrait être suivi de « gris » ou de « couvert », Anthropic remplace le tirage au sort par un choix orienté par une clé secrète et par les mots qui précèdent. Le laboratoire compare le procédé à une partie de Monopoly où, au lieu de lancer les dés, on suivrait les décimales de pi. Les coups paraissent aléatoires, mais restent vérifiables après coup par qui détient la clé.

Trois conséquences découlent de ce mécanisme, toutes documentées par Anthropic. La marque n'ajoute aucun caractère ni aucun mot, donc ni surcoût ni ralentissement, et selon les tests du laboratoire aucune dégradation mesurable de qualité. Elle ne contient aucune information permettant d'identifier un utilisateur ou une organisation. Et elle est plus clairsemée là où les choix se raréfient, presque absente sur le code où la sortie doit être exacte, faible lors d'une simple relecture où la plupart des mots viennent de l'auteur humain. Le procédé n'est pas une invention maison. Il reprend SynthID-Text, déployé par Google DeepMind sur Gemini et décrit dans Nature en 2024, lui-même issu d'une proposition de l'informaticien Scott Aaronson en 2022.

Puisque la signature vit dans la suite des mots choisis, aucun caractère caché ne la porte. Effacer des sélecteurs de variation ne peut donc rien y changer. Cette suppression comporte même un risque propre. Ces mêmes caractères servent à afficher certains emoji ou les séquences idéographiques japonaises, si bien que les retirer sans discernement abîme du texte légitime.

C'est aussi pourquoi casser un filigrane de texte diffère de le faire sur une image. Une image offre des millions de pixels où loger et retoucher un signal ; un texte est un support très compressé, où l'on ne peut presque rien modifier sans qu'un lecteur le remarque. La seule attaque robuste reste la paraphrase intégrale, celle que produit n'importe quel modèle faible et non marqué à qui l'on demande de reformuler. Une étude de l'institut SRI de l'ETH Zurich a mesuré cette fragilité sur SynthID-Text : une paraphrase simple fait échouer la détection dans plus de 90 % des cas. L'outil de Guillaume Meyer ne fait donc rien de nouveau sur ce terrain ; il industrialise une reformulation que tout autre chatbot sait exécuter.

Ce qui reste, pour l'instant, invérifiable

Un fait commande tout le reste : Anthropic n'a pas encore publié son détecteur ni sa clé. Sans cet outil de contrôle, personne à l'extérieur ne peut confirmer qu'un texte « nettoyé » a bel et bien perdu sa marque, ni qu'il la porte encore. La promesse la plus large de watermarks-remover est donc, en l'état, impossible à tester. Le dépôt l'admet, en distinguant ce qui se prouve par une simple comparaison (Unicode, métadonnées) de ce qui relève de l'espoir (la réécriture statistique). Le README note aussi que la marque survit au réglage fin d'un modèle et se transmet aux modèles entraînés sur des données déjà marquées, ce qui complique encore toute prétention à l'effacement définitif.

Il faut donc trier ce que l'on sait de ce que l'on suppose. On a vérifié que le code retire des caractères invisibles et des métadonnées, et que ces caractères ne sont pas ceux du filigrane de texte. On a vérifié aussi que la marque de Claude se loge dans le choix des mots, pas dans un caractère caché, et qu'une reformulation complète la dilue. Demeure invérifiable, tant qu'Anthropic ne livre pas son détecteur, la seule question qui compte, celle de savoir si un texte donné passe ou non le contrôle officiel après nettoyage. L'affirmation selon laquelle « un développeur a déjà cassé la protection » tient donc par ce qu'elle décrit, et tombe par ce qu'elle prétend prouver. Anthropic promet une API de détection sans en avoir communiqué la date. Tant qu'elle n'existe pas, ni la solidité du marquage ni l'efficacité des outils qui prétendent l'effacer ne sont mesurables de l'extérieur.