클로드 워터마크

Anthropic이 2026년 8월 2일 이후 출시되는 Claude 모델부터 생성 콘텐츠에 마크를 남기기 시작했습니다. 텍스트에는 워터마크를, 이미지·파일에는 C2PA 서명 메타데이터를 붙입니다. Claude Platform(API), Claude 앱, Claude Code, Claude Cowork, Claude Tag 전 제품에 적용되고, AWS·Google Cloud·Microsoft Foundry로 서빙되는 경우도 포함됩니다. 적용 범위는 전 세계입니다.

텍스트 워터마크

Claude가 생성한 텍스트에는 지각할 수 없는 워터마크가 짜여 들어갑니다. Anthropic 도움말은 눈에 보이지 않고, 문장의 의미·품질·가독성을 바꾸지 않는다고 적습니다. 복사해서 다른 곳에 붙여넣어도 유지되고, 어느 정도 편집을 거쳐도 남을 수 있습니다. 워터마크는 모델 단에서 적용되므로 어떤 Claude 제품에서 나온 텍스트든 동일하게 실립니다.

Anthropic은 내부 워터마크 알고리즘을 공개하지 않았습니다. 검출 절차도 "추후 기술 문서"로 남겨 둔 상태입니다. 아래는 Claude 문서가 명시한 성질과, 공개된 LLM 텍스트 워터마크 연구에서 공통으로 쓰는 일반 메커니즘입니다. Claude가 그중 무엇을 쓰는지 단정하지 않습니다.

다음 토큰 샘플링의 통계 편향

LLM은 앞 문맥을 보고 어휘 전체에 대한 확률분포를 만든 뒤, 그 분포에서 다음 토큰을 뽑습니다. 생성형 텍스트 워터마크는 이 샘플링 단계에만 손댑니다. 가중치를 다시 학습하지 않고, 토큰 선택에 비밀키로 결정되는 약한 편향을 얹어 통계 서명을 남깁니다.

대표 계열 하나는 Kirchenbauer 등이 제안한 green list / logit bias입니다. 직전 토큰(또는 짧은 문맥 창)과 비밀키로 어휘를 의사난수 분할해 "선호 집합"과 나머지를 만들고, 선호 집합 토큰의 logit에 작은 상수 δ를 더합니다. 모델이 이미 강하게 확신하는 저엔트로피 자리에서는 편향이 거의 먹히지 않고, 후보가 여러 개로 갈리는 고엔트로피 자리에서만 선택이 선호 쪽으로 기울어집니다. 그래서 문장은 자연스럽게 읽히면서도, 충분히 긴 텍스트를 모으면 선호 토큰이 우연 기대치보다 많아집니다.

다른 공개 계열로는 DeepMind의 SynthID-Text가 있습니다. 역시 학습이 아니라 샘플링만 바꾸며, 토큰 후보에 의사난수 g값 층을 얹고 tournament sampling으로 최종 토큰을 고릅니다. 비왜곡(non-distortionary) 설정에서는 텍스트 품질을 유지하도록 설계됐고, Gemini 서비스에 실제로 올라간 사례입니다. 핵심은 계열마다 구체 수식은 달라도, "다음 토큰 분포에 검출 가능한 통계 서명을 심는다"는 구조가 같다는 점입니다.

왜 의미와 품질을 거의 안 건드리는가

편향을 약하게 잡고, 이미 답이 거의 정해진 자리에서는 거의 개입하지 않기 때문입니다. 사실 질문이나 고정된 인용처럼 선택지가 좁은 구간에서는 신호를 넣을 여지가 작고, 긴 설명·초안·변형 쓰기처럼 표현이 여러 갈래인 구간에서 신호가 쌓입니다. DeepMind도 SynthID-Text가 긴·다양한 응답에서 잘 작동하고, 수도처럼 답이 하나인 프롬프트에서는 약하다고 밝힙니다. Anthropic이 말하는 "의미·품질 불변"은 이런 설계 목표와 같은 축에 있습니다. 다만 Anthropic이 어떤 강도·분할 규칙을 쓰는지는 공개되지 않았습니다.

검출기가 보는 것

검출은 보통 원본 LLM을 다시 돌리지 않습니다. 비밀키(또는 그에 대응하는 검증 재료)로 각 위치의 선호 집합이나 g값을 재계산한 뒤, 실제 텍스트가 그 패턴을 얼마나 따르는지를 집계합니다. green list 계열이면 선호 토큰 비율에 대한 z검정·p값, SynthID-Text 계열이면 g값 평균이나 학습된 스코어 함수가 흔합니다.

기준점은 "사람 글이나 워터마크 없는 모델 글에서는 그 비율이 우연 기대치 근처"라는 가설입니다. 관측이 그 기대에서 충분히 벗어나면 워터마크가 있다고 판정합니다. 토큰이 짧으면 표본이 작아 우연과 구분이 어렵습니다. Anthropic도 아주 짧은 구절은 신뢰할 만한 신호가 부족할 수 있다고 적습니다. 공개 연구에서도 길이가 늘수록 검출력이 올라가는 패턴이 반복됩니다.

복사·가벼운 편집과 바꿔쓰기·번역

워터마크는 별도 메타데이터가 아니라 토큰 선택 이력 자체에 남습니다. 그래서 문자열을 그대로 복사해 붙이면 서명이 따라갑니다. 단어 몇 개를 바꾸거나 앞뒤를 잘라내는 수준의 편집도, 남은 토큰에 쌓인 편향이 임계값을 넘으면 검출이 가능할 수 있습니다. Anthropic은 "어느 정도 편집을 거쳐도 남을 수 있다"고만 적고, DeepMind는 잘라내기·소수 단어 수정·가벼운 바꿔쓰기에서도 어느 정도 버틴다고 설명합니다.

문장을 통째로 바꿔 쓰거나 다른 언어로 옮겼다가 되돌리면 토큰 열이 바뀝니다. 비밀키로 기대하던 위치별 패턴이 깨지므로 신호가 급격히 약해집니다. Anthropic은 강하게 편집·바꿔쓰기·번역·다른 글과 섞인 경우, 그리고 마킹 이전 모델 출력을 검출 실패 사례로 듭니다. 즉 워터마크는 "원문에 가까운 재사용"에는 강하고, "의미를 유지한 재작성"에는 약합니다.

파일의 C2PA 서명

이미지·SVG 같은 생성 파일에는 C2PA 표준을 따르는 서명된 출처 메타데이터가 붙습니다. 파일이 언제 어떤 도구로 만들어졌는지, AI가 관여했는지를 매니페스트로 담고 암호서명합니다. 파일이 조작되면 서명이 깨지기 때문에 변조 여부를 감지할 수 있습니다.

텍스트 워터마크와 원리가 다릅니다. 워터마크는 콘텐츠 자체에 통계 신호를 숨기지만, C2PA는 콘텐츠에 붙는 별도의 서명된 꼬리표입니다. 그래서 꼬리표만 떼어내면 신호가 사라집니다. 실제로 C2PA 메타데이터를 제거하는 도구가 공개적으로 돌아다닙니다. Anthropic도 포맷 변환, 다시 저장, 스크린샷 등으로 메타데이터가 빠질 수 있다고 적습니다.

이 조치는 EU AI Act 50조의 투명성 요구가 배경입니다. 50조는 AI 생성 콘텐츠에 대해 기계 판독 가능한 표시를 의무화합니다. Anthropic은 신규 모델뿐 아니라 과도기 동안 기존 모델에도 소급 적용하기로 했고, 적용 범위를 EU에 한정하지 않고 전 세계로 넓혔습니다. 규제 준수를 위한 최소 대응이 아니라 기본값으로 만든 셈입니다.

Anthropic 스스로도 이 마크가 결론적 증거가 아니라고 못박습니다. 마크가 검출됐다는 건 Claude가 콘텐츠를 처리했을 가능성을 뜻할 뿐이고, Claude가 그 콘텐츠의 원저자라는 뜻은 아닙니다. 반대로 마크가 없다고 해서 AI가 만들지 않았다는 보장도 없습니다.

두 방식의 약점은 성격이 다릅니다. 텍스트 워터마크는 사람이 알아채지 못해도 충분히 손을 대면 패턴이 흐트러질 수 있습니다. 문장을 통째로 바꿔쓰거나, 다른 언어로 번역했다가 되돌리는 식의 편집이 여기 해당합니다. C2PA는 반대로 원본이 그대로 남아 있으면 신뢰도가 높지만, 메타데이터 자체를 떼어내면 아무 흔적도 남지 않습니다. C2PA 문서도 이를 라벨링 시스템이지 방지 시스템은 아니라고 명시합니다. 정직한 제작자가 출처를 남기게 도와줄 뿐, 악의적으로 마크를 지우는 행위를 막을 수는 없습니다.

참고: - How Claude marks AI-generated content - Anthropic pledges to embed watermarks to help discern AI slop in sop to EU - C2PA and Content Credentials Explainer - C2PA FAQ - A Watermark for Large Language Models (Kirchenbauer et al., ICML 2023) - Watermarking AI-generated text and video with SynthID (Google DeepMind) - Scalable watermarking for identifying large language model outputs (SynthID-Text, Nature 2024)