剛剛，Claude水印一夜變廢紙

新智元·2026年08月17日 10:53開源水印移除工具爆火，攻破大模型水印技術 就在剛剛，Anthropic的護城河被踩碎了。今早，一個去水印神器代碼庫在GitHub上徹底爆火，狂攬11,000顆星！Github項目：https://github.com/guillaumemeyer/watermarks-remover 它採用MIT開源協議，不僅能抹除Claude的水印，還讓谷歌的SynthID-Text和OpenAI的隱形標記也難逃一劫。更狠的是，連圖像和PDF文件中的C2PA鑑權數據、EXIF元數據，它也能清得乾乾淨淨。

本來，就在上週，Anthropic還在高調炫技，發了一篇洋洋灑灑的官方博客，詳細拆解了引以為傲的「文本水印追蹤技術」。沒想到才沒過幾天，迴旋鏢就打到自己頭上了。面對這個項目，開發者們一致叫好。大模型的水印防線，就這樣被一腳踩碎了。項目發起人，AI初創Memo的創始人 Anthropic的「絕對防禦」，偷換概率的隱形魔法 要理解這個開源神器的厲害之處，我們首先得看看Anthropic在官方博客裡，是怎麼吹捧自家水印技術的。根據Anthropic工程師的解密，Claude的文本水印堪稱「AI圈最反直覺的秘密」。

在過去，給數字內容加水印：要麼在圖片上蓋個半透明Logo，要麼在文本里塞幾個肉眼看不見、但機器能讀出來的「零寬字符」。這種初級手段，懂點代碼的人用正則匹配一秒鐘就能刪乾淨。但這次，Anthropic採用了基於谷歌的SynthID-Text 方案。這是一種「統計型文本水印」。LLM生成文字的本質是「詞接龍」。每次吐出Token，都是做概率選擇。Anthropic的黑科技就在於：偷偷換掉了這個「骰子」。他們把原本真正的隨機數，替換成了基於官方密鑰和前文內容的「哈希值」。他們在官方博客裡這樣打比方： 想象大家在玩大富翁，原本是靠擲骰子決定走幾步。現在，官方偷偷把骰子換成了一本《圓周率》。

玩家每次走幾步，直接按照圓周率小數點後的數字來。對於玩家來說，每次的步數依然是「隨機」的，文本質量沒有任何下降。但只要官方事後拿著那本《圓周率》（密鑰）去核對你的步數軌跡，就能瞬間抓包：「嘿，這段話是你用Claude生成的！」 Anthropic自信滿滿地表示：沒有額外Token消耗，沒有隱藏字符。只要你不把逐字重寫，哪怕你做輕微的修改，這個統計學上的「圓周率軌跡」依然存在，水印就永遠洗不掉。對此，開源社區給出的答案是：既然你逼我重寫，那我就用魔法打敗魔法！

魔高一尺道高一丈：GitHub神器的「三層扒皮法」 面對Anthropic的「絕對防禦」，這個 watermarks-remover 項目展現出令人驚歎的工程美學。它不僅僅是一個簡單的腳本，而是一個「Agent Skill + 標準Python服務」的複合體。它通過HTTP驅動底層的清洗引擎，完美避開了本地環境的繁瑣配置。為了徹底抹除巨頭們的標記，開發者直接祭出了「三層扒皮法」加「圖像深度淨化」。第一層：手撕物理級隱形魔法 儘管Anthropic宣稱自己不用隱藏字符，但市面上依然存在大量物理層面的標記。watermarks-remover 的 Layer A 會進行極度深度的文本衛生清理。

它不僅清理常規的Invisible Unicode（隱形Unicode字符），連特殊的空白符、雙向文本控制字符等一切可能攜帶Payload的隱藏字符，都會被清理。而且，這步操作是完全無損的。第二層：針對SynthID的終極必殺——「代理重寫洗稿」 Anthropic和谷歌的SynthID-Text把水印藏在了「詞彙分佈的統計規律」裡，怎麼破？作者在項目中一針見血點出關鍵：「剝離統計學水印需要重寫文本的很大一部分——是逐句重寫，而不是逐段重寫。」 既然人力重寫太累，那就讓Agent來幹！Layer B 的核心邏輯，是引入一個非源頭模型作為清洗引擎。

比如，如果你想洗掉Claude的水印，系統會調用本地的Ollama運行Llama 3，或者調用其他的API。它使用特定的Prompt，在儘可能保持原意和專業術語的情況下，對文本進行大面積的釋義和回譯。既然Claude用圓周率走位，那Layer B就直接掀翻棋盤，用Llama 3的概率分佈重新走了一遍。這徹底破壞了原文本的統計學特徵，讓Anthropic的密鑰直接抓瞎。當然，作者也承認：這會給文本帶來一定程度的降級。第三層：文件級元數據大清洗 另外，Anthropic還會給生成的圖片（PNG/JPEG/SVG）和文件（PDF/DOCX/HTML）加入C2PA鑑權數據。

對此，Layer C 展現了極強的「拆彈能力」。它支持幾乎所有主流格式，精準定位文件中的C2PA、EXIF、XMP乃至DOCX/PDF的文檔屬性，並將其直接剝離。尤其值得一提的，是它的防禦性設計：以前的舊版本如果不小心把圖片當作文本去處理，會導致文件損壞。現在的更新中，系統能通過擴展名和Magic Bytes自動檢測文件類型，文本工具會自動拒絕二進制輸入，極其優雅。還有硬核的：圖像像素級洗刷與MarkLLM驗證機制 如果你以為，這個項目僅僅是洗洗文本和文件屬性，那就太小看它11,000星的含金量了。它在圖像像素級脫水和科學驗證上，同樣做到了極致。首先，它對像素級圖像水印進行了暴力重構。

像谷歌的SynthID-media、StegaStamp、Tree-Ring這類圖像水印，是直接把信號打進像素頻域裡的，清掉EXIF根本沒用。為此，項目中集成了極其硬核的外部後端： CtrlRegen 引擎：它使用了25年ICLR最新技術，結合了ControlNet和DINOv2 IP-Adapter。簡單來說，它不是在原圖上塗抹，而是「受控地重新生成」一張高度相似的圖。對於大於512x512的圖片，它會自動進行重疊分塊、處理後再平滑拼接。這等於把帶水印的大樓拆了，用同樣的圖紙原地重建了一棟，水印自然灰飛煙滅。

MarkDiffusion驗證與淨化：它內置了一個針對擴散模型的盲重生成攻擊，來清冼像素水印。而且，過程中完全不用靠猜，它會用MarkLLM進行「科學靶向驗證」。這個項目最讓人歎服的點在於：它不憑感覺說「我刪掉了」，而是引入了清華大學主導的開源框架 MarkLLM 和 MarkDiffusion，作為驗證harness。這實在太極客了。它會在本地進行一場「左右互搏」：先用KGW機制給一段文本打上水印，然後用 Layer B 引擎清洗，最後再用 MarkLLM 嘗試檢測。如果檢測器報出「未發現水印」，才證明清洗已閉環！Claude死活不刪，中國大模型秒搞定 有趣的是，實踐中還出了一件好玩的事。

有網友嘗試讓Claude自己運行這個項目的插件，幫自己清除標記。結果，Claude直接拒絕了。無論用戶怎麼苦口婆心地解釋：「這是我自己的內容，我擁有版權，我只是不想要這些水印」，Claude依然像個冰冷的機器一樣無情拒絕。Anthropic顯然在底層協議裡寫死了限制，禁止自家AI協助用戶移除這些「監管標記」。結果，被惹毛的用戶轉頭就把插件裝到了其他中國大模型身上。結果秒裝成功，把水印徹底清洗。我們為什麼如此反感「賽博烙印」 這個項目為什麼會火得一塌糊塗？因為它切中了全球用戶的痛點：強買強賣的「賽博烙印」。在這11,000多顆Star背後，是全網開發者對大公司傲慢的集體反擊。

事情的起因，是Anthropic為了討好歐盟，遵守那部嚴苛的《歐盟人工智能法案》。歐盟規定：如果你在歐盟提供AI服務，就必須讓人能檢測出內容是不是AI生成的。本來，這只是歐盟的規矩。但Anthropic卻十分簡單粗暴：既然我沒法精準區分誰在歐洲，那我就給全球用戶全部打上水印！哪怕是付費用戶，也沒有關閉這個功能的選項。網友們瞬間炸鍋了：「歐盟自己搞出來的監管焦慮，憑什麼讓全世界幾十億人買單？」 使用一個工具，並不意味著這個工具就是作品的創作者。回顧歷史，人類的思想一直需要「第二雙手」來落到紙面上。愛因斯坦有助手，達爾文有記錄員，但這群打字員、書記員，從來不會留下水印。

今天，AI只不過是一個掌握了龐大語言資源的超級打字機。很多人花了幾十個小時閱讀、構思，只是最後讓Claude潤色一下。而Anthropic卻表示：只要AI參與了一丁點，這件作品的「純潔性」就被汙染了。原本是人類支配工具的過程，徹底被顛倒成了——人類需要向工具證明「我才是真正的作者」。目前，這場貓鼠遊戲遠未結束。watermarks-remover 的作者也坦言，直到各大廠商公佈官方的檢測器和密鑰之前，所有的去除手段都只能說是最大努力。但這正是開源社區的魅力所在——不盲從巨頭，用代碼捍衛控制權。參考資料： https://claude.

ai/code/artifact/803916fd-3bc1-465f-8738-d4ece6fc5071 https://x.com/BrianRoemmele/status/2088983734473339077