Невидимая метка Claude теперь везде — и её нельзя отключить

С понедельника у пользователей Claude не осталось запасного выхода. 3 ноября Anthropic включила невидимый текстовый водяной знак в четырёх моделях прошлых поколений — Mythos 5, Opus 4.7, Opus 4.6 и Sonnet 4.6. Новые модели компании помечают свой текст ещё с августа, но многие команды сознательно сидели на старых версиях именно ради «чистого» вывода. Теперь эта лазейка закрыта: водяной знак работает глобально, на всех поверхностях — от API до Claude Code — и выключить его нельзя ни на одном тарифе. А почти одновременно, 2 ноября, исследователи Anthropic выложили под Apache 2.0 прототип FlashProve — криптографическую систему доказательства того, что ответ действительно сгенерирован конкретной моделью.

Что именно произошло 3 ноября

Хронологию стоит восстановить точно, потому что заголовки её путают. Водяной знак Anthropic включила ещё 2 августа 2026 года — в день, когда вступили в силу требования статьи 50 европейского AI Act о машиночитаемой маркировке синтетического контента. С того момента помечается текст всех новых моделей: Opus 5.5, Sonnet 5.5, Haiku 5.5, Fable 5, Mythos 5.1 и далее. Модели старших поколений попали под переходный период — европейский Digital Omnibus отвёл им срок до 2 декабря 2026-го.

В конце октября Anthropic разослала API-клиентам письмо: с 3 ноября метка распространяется ещё на четыре модели. На момент публикации официальная таблица поддержки подтверждает её работу в Mythos 5, Opus 4.7 и Sonnet 4.6; статус Opus 4.6 в таблице остаётся неоднозначным — в сносках указано, что у моделей 4.6 метка может не ставиться при нестандартных значениях temperature, top_p или top_k. Так или иначе, Anthropic закрывает маркировку линейки на месяц раньше дедлайна — и, в отличие от OpenAI, чей текстовый знак textGrain действует только в ЕС, применяет её по всему миру. Объяснение компании прямолинейно: «У нас пока нет надёжного способа ограничить её по регионам». Через два дня, 7 ноября, текст в API начнёт помечать и xAI.

Как работает метка

Anthropic не скрывает, что использует версию технологии SynthID-Text от Google DeepMind, восходящей к идее Скотта Ааронсона 2022 года. В текст не добавляется ничего: ни скрытых символов, ни метаданных. Вместо этого меняется сам процесс генерации — когда у модели есть несколько почти равноценных вариантов следующего слова, выбор между ними делает не случайность, а псевдослучайная функция от секретного ключа и предыдущих слов. Статистический след этого выбора и есть водяной знак.

Из устройства метки следуют её пределы, которые Anthropic честно перечисляет. Детекция вероятностная: чем длиннее текст, тем выше уверенность. Короткие фрагменты, сухие фактические ответы и правки чужого текста распознаются плохо. Хуже всего с кодом — там мало «равноценных» вариантов токенов, и метка живёт в основном в комментариях и именах переменных. Лёгкое редактирование знак не стирает, полный пересказ своими словами — стирает. Важная деталь для параноиков: по заявлению компании, метка не содержит никакой идентифицирующей информации — ни пользователя, ни организации, ни чата. Положительный результат детектора означает «Claude, вероятно, участвовал», а не «этот текст написал вот этот человек».

Насколько метка устойчива — вопрос открытый. CTO детектора GPTZero Алекс Цуй по итогам своих тестов был краток: «Интенсивное перефразирование водяные знаки не переживают, особенно если комбинировать атаки на лексику и синтаксис». Академический фон ему в помощь: работа «Watermarks in the Sand» доказывает, что стойкие водяные знаки принципиально удаляемы без большой потери качества. На GitHub за считанные дни расплодились «удалятели водяного знака Claude» — включая плагин для Claude Code с 19 тысячами звёзд, который вычищает скрытые символы. Проблема в том, что скрытых символов в метке нет, так что все эти инструменты не делают ничего.

Асимметрия, которая злит сильнее всего

Главная претензия сообщества — не к самой метке, а к тому, кто может её увидеть. Детектор доступен через API только по заявкам и только одобренным категориям: регуляторам, правоохранителям, медиа, фактчекерам, исследователям, образовательным организациям. Публичный инструмент Content Checker проверяет лишь C2PA-метаданные в файлах — текстовый знак он не видит.

Получается конструкция, которую один из комментаторов r/ClaudeAI сформулировал за всех: «Claude теперь помечает всё, что пишет, — а проверить это не можешь именно ты». Фрилансер не может убедиться, что сдаёт клиенту текст без метки. Студент не может проверить собственное эссе до преподавателя. Агентства поставляют клиентам маркированный текст, на который те не подписывались. Anthropic объясняет закрытость детектора резонно — публичный доступ позволил бы итеративно подбирать обходы, и Цуй с этим согласен: «Выпустив детектор публично, они убьют собственный водяной знак». Но осадок асимметрии это не снимает: обязательства — всем, прозрачность — избранным.

FlashProve — это не про водяной знак

Второй анонс недели в пересказах слился с первым, и зря: это разные проекты, решающие разные задачи. FlashProve — исследовательский прототип «доказуемого инференса» на zkSNARK, опубликованный 2 ноября вместе с кодом, формальными доказательствами на Lean и технический отчётом под Apache 2.0. Он не ищет метки в тексте. Он позволяет провайдеру криптографически доказать, что конкретный ответ сгенерирован именно той моделью, чьи веса были зафиксированы заранее, — не раскрывая самих весов.

Цифры для прототипа впечатляющие. Демонстрация шла не на Claude, а на открытой Llama 4 Maverick (400 млрд параметров, MoE): генерация с доказательством на одной H100 — около 110 токенов в секунду, доказательство на запрос в 1024 токена весит ~19 МБ и проверяется на обычном CPU за 17–21 секунду. Накладные расходы — в 70–95 раз дороже обычного инференса, что звучит чудовищно, пока не вспомнить, что предыдущий открытый рекорд на той же модели — 0,02 токена в секунду с доказательствами по 93 гигабайта. Отдельная пикантность: значительную часть системы написал сам Claude, а корректность его работы аудировалась формальной верификацией на Lean.

Зачем это нужно: проверять, что API-провайдер не подменяет дорогую модель дешёвой, что на сервере инференса никто не вмешался в веса, и — в перспективе регулирования — что лаборатория действительно запускает ту модель, которую задекларировала. До продакшена далеко: контекст ограничен 1024 токенами, работает только жадное декодирование, архитектура модели не скрывается. Но направление понятно: водяной знак отвечает на вопрос «писал ли это ИИ», FlashProve — на вопрос «тот ли это ИИ, за которого себя выдают».

Что это значит

Для обычного пользователя Claude с этой недели действует простое правило: любой сгенерированный текст статистически помечен, и надеяться на старые модели больше нельзя. Паниковать при этом рано — на коротких текстах и после серьёзной редактуры детекция ненадёжна, а личность автора метка не раскрывает по построению.

Для индустрии важнее прецедент. Anthropic первой из больших лабораторий применила текстовый водяной знак глобально и без опций — там, где OpenAI ограничилась Евросоюзом. Ставка рискованная: если конкуренты не последуют, «чистый» вывод станет конкурентным преимуществом чужих API, и история OpenAI, положившей свой водяной знак на полку ещё в 2023-м из страха потерять пользователей, повторится с обратным знаком. Если последуют — к чему склоняет календарь xAI, — немаркированный текст фронтирных моделей закончится как класс примерно к декабрьскому дедлайну AI Act.

Самый недооценённый сюжет здесь — FlashProve. Водяные знаки, скорее всего, так и останутся дырявыми: перефразирование побеждает статистику. А вот криптографическое доказательство происхождения ответа дыр не имеет по построению — вопрос только в цене. Снижение накладных расходов с четырёх порядков до двух за один прототип намекает, что «проверяемый инференс» может стать обязательной инфраструктурой быстрее, чем кажется.