Claude 水印一夜被废？开源工具 watermarks-remover 的技术拆解

Claude 水印一夜被废？开源工具 watermarks-remover 的技术拆解

一个名为 watermarks-remover 的代码库突然冲上 GitHub 热门榜（截至发稿时已获超 1.1 万星），项目采用 MIT 协议，旨在检查和清理多家 AI 产品留下的来源标记。这直接引发了关于“Claude 水印被废”的广泛讨论。

项目地址：https://github.com/guillaumemeyer/watermarks-remover

一、Claude 水印的工作原理

要理解工具的破解方式，首先需要厘清 Claude 水印的技术本质。它并非传统的可见 Logo 或零宽字符，而是基于 统计分布 的隐形标记。

大模型生成文本时，每个词都在候选 Token 中依概率选择。Claude 的水印机制会在生成过程中微调候选 Token 的概率分布，使得大量词语选择共同形成一种可识别的统计信号。单看一句话无异样，但足够长的文本组合起来，就能被特定检测方法识别。

这种方法比简单插入不可见字符更难移除，因为信号直接嵌入在“措辞选择”本身。

二、watermarks-remover 的三层清理策略

该项目采用分层清理策略，针对不同水印类型采用不同的技术路径，并非万能药。

第一层：字符与格式水印清理（确定性操作）

这是最直接的一层，清理可见代码和不可见字符痕迹：

• 清理对象：零宽字符、罕见空白符、双向文本控制符等可能携带信息的 Unicode 内容。
• 处理方式：规则扫描并删除，属于确定性操作，可统计命中情况。
• 效果：只要规则设计精确，正文意思不受影响。

第二层：统计型文本水印对抗（最佳努力）

针对 Claude 采用的统计分布水印，清理器采用“以 AI 对抗 AI”的思路：

• 核心方法：使用非来源的大语言模型（如本地 Ollama 中的开源模型）对文本进行逐句大幅重写，以此打乱原始文本中的词语选择分布。
• 局限性：项目明确将其标记为 best-effort（尽最大努力） 。这种方式会改变原文的文风，可能导致专业词汇走样，且无法保证能使厂商检测器彻底失效。

第三层：文件容器元数据剥离（确定性操作）

清理图片、PDF、办公文档中携带的来源信息：

• 清理对象：EXIF、XMP、C2PA 等元数据，以及 PDF 的内部结构信息。
• 处理方式：针对不同格式进行相应元数据拆除，PDF 会借助 qpdf 重新整理结构。
• 依赖：会依据文件扩展名和 Magic Bytes 判断文件类型，避免误操作。

可选扩展：图像像素水印处理（外部依赖）

针对嵌入图像像素的 SynthID 类水印，主项目并未直接内置功能，而是接入了可选的外部后端 CtrlRegen：

• 原理：利用 ControlNet 和 DINOv2 IP-Adapter 重新生成一张视觉上相似的图片，在重建过程中破坏像素级水印信号。
• 代价：该过程依赖大量外部模型文件和 GPU 资源，且重建强度越高，画面偏离原图的风险越大。

验证工具的局限性

项目接入了 MarkLLM 等实验工具用于验证清理效果。但验证通过只能说明在特定已知水印方案和密钥下清理成功，无法代替对 Anthropic 或 Google 私有检测器的测试。因为厂商的检测器和密钥并未公开。

三、争议焦点：透明标签 vs 作者身份

此次事件引发广泛讨论的核心，在于内容标记的透明度与作者权利的冲突。

• 用户感受：付费用户可能对“自己的内容仍被打上 AI 标记”感到不满，尤其是当 AI 仅用于润色或校对时。
• 官方立场：Anthropic 指出，此举是为遵循欧盟《人工智能法案》的透明度要求（自 2026 年 8 月 2 日起适用）。同时明确：检测到标记只表示内容可能经过 Claude 处理，不能据此判断 Claude 就是原始作者；反之，未检测到标记也不能证明内容从未经过 AI。
• 核心争议：一枚机器标记究竟是在说明 “工具参与过”，还是在暗示 “作品属于机器” ？若平台、学校或客户将此信号等同于“AI 创作”，很可能对仅用 AI 校对的原创作者造成误伤。

四、结论：攻防仍在继续

watermarks-remover 的走红，证明了用户对内容和文件控制权的在意，也清晰地展示了“AI 水印”的多样性及应对思路。但“Claude 水印一夜被废”的说法为时过早：

1. 分层应对：字符元数据清理是确定性的，但统计信号重写和像素重建均伴随质量损失，无法确保完全失效。
2. 信息不对称：没有厂商的私有检测器和密钥，任何外部工具都无法给出“官方也一定检测不到”的保证。
3. 动态博弈：这是一场持续的攻防。厂商会优化水印，社区会寻找新边界，监管则需要定义标记的准确用途。

对创作者而言，更务实的关注点或许是：推动平台明确区分 “AI 处理过” 和 “AI 创作” ，并确保用户知悉内容被添加了何种标记、如何检测以及有何选项。技术可以留下线索，但不应替人决定谁是作者。