Nach Claude: Zahlreiche „Wasserzeichen-Entferner“ für KI-Texte im Umlauf

Nur Tage nach Claudes neuem Text-Wasserzeichen kursieren bereits Werkzeuge, die dessen Entfernung versprechen, unüberprüfbar.

Eines der bekanntesten Projekte ist das MIT-lizenzierte, quelloffene Werkzeug watermarks-remover des Softwareentwicklers Guillaume Meyer, das ursprünglich als reines Claude-Werkzeug startete und inzwischen nach eigenen Angaben auch Wasserzeichen von OpenAI, Gemini, SynthID-Text sowie offenen Modellen mit sogenannten Kirchenbauer-Wasserzeichen abdecken soll. Daneben kursieren weitere GitHub-Projekte sowie neu registrierte Webseiten, zusätzlich hat der kommerzielle Anbieter StealthGPT, der sich auf die Umgehung von KI-Erkennungssoftware spezialisiert hat, einen eigenen Claude-Wasserzeichen-Entferner in sein Angebot aufgenommen.

Tatsächlich überprüfbar sind dabei laut dem Fachmagazin BleepingComputer nur zwei der drei angebotenen Funktionen: das Entfernen versteckter, unsichtbarer Zeichen im Text sowie das Löschen von C2PA-, EXIF- und XMP-Metadaten aus Dateien, was ohnehin schon durch ein erneutes Speichern, eine Formatumwandlung oder einen Screenshot geschieht. Das eigentliche Wasserzeichen selbst steckt jedoch nicht in versteckten Zeichen, sondern in der konkreten Wortwahl des Modells, weshalb sich nach bisherigem Kenntnisstand nur durch eine umfassende Neuformulierung mithilfe eines zweiten Modells entfernen ließe.

Meyer selbst räumte dazu öffentlich ein, sein eigenes Werkzeug entferne bislang lediglich Metadaten, eine tatsächliche Entfernung des Wortwahl-basierten Wasserzeichens sei derzeit nicht verfügbar. Eine unabhängige Untersuchung des Sicherheitsforschers Pasquale Pillitteri, der den Quellcode mehrerer Projekte direkt auswertete, fand zudem, dass ein verbreitetes Werkzeug die gängigste Technik zum Verstecken von Nutzdaten im Text vollständig unangetastet ließ.

Hintergrund ist der europäische AI Act

Anthropic hatte am 2. August damit begonnen, von neueren Claude-Modellen erzeugten Text mit einem unsichtbar in die Wortwahl eingewobenen Wasserzeichen zu versehen, unterstützte Dateiformate erhalten zusätzlich signierte C2PA-Metadaten. Auslöser ist Artikel 50 des europäischen AI Act, der seit dem 2. August durchsetzbar ist und bei Verstößen Bußgelder von bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes vorsieht. Anthropic weist selbst ausdrücklich darauf hin, dass ein erkanntes Wasserzeichen lediglich bedeutet, dass ein Text von Claude verarbeitet, nicht zwangsläufig vollständig von Claude verfasst wurde, da bereits ein reiner Grammatik-Check, eine Übersetzung oder eine Zusammenfassung durch das Modell die Markierung auslöst. Nach eigenen Angaben will das Unternehmen künftig externe Detektionsmöglichkeiten unterstützen und weitere technische Dokumentation veröffentlichen.

Eigentliches Risiko liegt in der Software-Lieferkette selbst

BleepingComputer sieht die eigentliche Gefahr weniger in der begrenzten technischen Wirksamkeit der bislang angebotenen Werkzeuge, sondern in deren praktischer Nutzung: Das Projekt watermarks-remover lässt sich etwa direkt als sogenannter Agent Skill in bestehende KI-Agenten-Arbeitsabläufe einbinden und lädt dabei über eine optionale Bewertungsfunktion zusätzlich ein rund 220 Megabyte großes Archiv aus einem Drittanbieter-Repository nach.

Das Magazin betont ausdrücklich, keines der genannten Werkzeuge selbst geprüft oder getestet zu haben, und rät dazu, sie mit derselben Vorsicht wie jeden anderen ungeprüften Code aus dem Internet zu behandeln. Während die aktuell verfügbaren Projekte zumindest offen einsehbaren Quellcode bieten, warnt BleepingComputer, dass eine kommende Welle ähnlicher Werkzeuge angesichts der bereits nachgewiesenen Nachfrage möglicherweise deutlich weniger transparent ausfallen könnte.

(red)