生成AIの電子透かしはどう機能するのか

1.はじめに

AIが書いた文章と人間が書いた文章、見分けられますか？ 少し前までは日本語の言い回しに違和感がありましたが、 最近の文章は自然で見分けが付かないことも多いです。

そんな中、2026年8月にAnthropicがClaudeの生成テキストへの電子透かし導入を発表しました。 見た目にはまったくわからないのに、どうやって「AIが生成した」ことを示すのでしょうか。

先に要点を書きますと、LLMの電子透かしは「単語選択のわずかな偏り」として埋め込まれます。 文章の見た目や品質は変わらず、秘密鍵を持つ人だけが統計的に検出できる仕組みです。 ただし言い換えで消えるなどの仕組み上の限界があり、すでに除去ツールとのいたちごっこも始まっています。

なお、この分野は変化が速いため、2026年8月時点の情報で記載します。

2.対象読者

• 生成AIを日常的に使っているエンジニアの方
• AIが生成した文章を見分ける仕組みに興味がある方

3.電子透かしの全体像

3.1.電子透かしとは

電子透かしは、コンテンツ(画像・テキスト・ファイル)に情報を埋め込む技術の総称です。 人間に見える「可視透かし」と、見えない「不可視透かし」があります。 目的は、作った人の表示(帰属表示)や著作権の保護、改ざんの検出などです。 近年は、生成AIが作ったコンテンツであることを示す電子透かしも登場しました。

3.2.種類の整理

「透かし」とひとまとめにすると話が混乱しやすいため、まず種類を整理します。

「低コントラストの隠し文字」は、電子透かしと混同されがちですが別物です。 これは本来の透かしではなく、文書を読み込んだ他者のLLMに狙った動作をさせる「プロンプトインジェクション」に悪用されるものです。 本記事で扱うのは、最下段の「生成AIの電子透かし」、なかでもLLMの電子透かしの仕組みです。

4.LLMの電子透かしの仕組み

4.1.基本原理

LLMは、次のトークン(単語のかけら)を確率分布から1つずつ選び出して(サンプリングして)文章を生成します。 LLMの電子透かしは、この「次のトークンを選ぶときの揺らぎ」を秘密鍵でわずかに偏らせ、数百トークン分の統計的な癖として情報を埋め込みます。

「thisとthatのどちらでも自然」という自由度のある場面で、秘密鍵から導いたルールに沿って特定の候補をほんの少し優遇するイメージです。 人の目には自然な文章にしか見えませんが、鍵を持つ人だけが偏りを統計的に見抜けます。

4.2.主要な埋め込み手法

代表的な3系統を比較します。

表中のグリーンとレッドは、秘密鍵をもとに単語の候補を2つのグループへランダムに振り分けたときの呼び名です。 グリーンは透かしとして選ばれやすく優遇する側、レッドは優遇しない側を指します。 色自体に意味はなく、信号機の「進め/止まれ」になぞらえた単なるラベルです。

Claudeが導入したLLMの電子透かしは、このTournament Sampling(SynthID-Text)を実装したものとされています。

4.3.検出の仕組み

どの方式でも、検出は最終的に統計的検定で行います。 埋め込みで生じた偏りが「偶然では説明できない水準か」をz検定で判定します。 つまり透かしの検出とは、「この文章の単語選択は、偶然にしては偏りすぎている」と統計的に示すことです。

ここで使う統計の用語を簡単に補足します。

たとえばコインを100回投げて表が60回出たとき、z値は+2.0です。 「偶然にしては表が多すぎる」という感覚を、数値で示せるようにしたものと考えてください。

z値の計算もシンプルで、次の式で求められます。

z値 = (観測した回数 - 期待値) / 標準偏差

先ほどのコインの例なら、期待値は50回(100 / 2)で、標準偏差は5回(√100 / 2)です。 実際の60回は期待値より10回多いので、z値は(60 - 50) / 5 = +2.0と計算できます。 続く4.4節のデモも、同じ式でz値を計算しています。

4.4.透かしあり・なしを見比べてみる

イメージをつかむため、KGW法を手作業でまねた簡単なデモを紹介します。 鍵はデモ用として適当に作ったもので、実在のベンダーの秘密鍵ではありません。 ルールは次の2つです。

• 各単語の選択箇所で、秘密鍵から候補を「グリーン」と「レッド」に半分ずつ分ける
• 透かしを入れる場合は、グリーン側の候補を少しだけ優遇する

透かしなしの文(鍵と無関係に生成した場合)は次のとおりです。太字は、もう一方の文と選ばれた単語が異なる箇所です。

生成AIは、確率にもとづいて単語を順に選ぶ。電子透かしは、その一手ごとに、秘密鍵で候補をわずかに偏らせる。意味は変わらないまま、統計的な癖として情報が刻まれる。読み手には、単に自然な文章としか映らない。その偏りは、あとから同じ鍵で確かめられる。検出の手順も、原理はいたって単純である。文章のなかで言い換えのきく場所を拾い出し、鍵が示す側の単語が選ばれた回数を数える。その回数が偶然の範囲を超えて多ければ、透かし入りと判定する。文章が長いほど数えられる場所は増え、判定の確かさも上がっていく。反対に短い文章では、数えられる場所が少なく、判定は不安定になる。一文だけの短い答えなどは、その典型である。実際の検出器が、数百トークン以上の長さを目安にするのはこのためである。この仕組みには弱点もある。別の言い回しに置き換えられると、積み上げた偏りは崩れてしまう。答えが決まりきった文では、単語を選ぶ余地が乏しく、信号を埋め込みにくい。透かしは万能の証明ではなく、出どころを確かめる手がかりのひとつにすぎない。それでも、見た目を保ったまま情報を残せる点は、この技術の大きな魅力である。

透かしありの文(鍵のグリーン側を優遇して生成した場合)は次のとおりです。

生成AIは、確率にしたがって単語を一つずつ選ぶ。電子透かしは、その一手ごとに、秘密鍵で候補を少しだけ偏らせる。意味は変わらないまま、統計的な癖として情報が残る。読み手には、ただ自然な文章としか映らない。その偏りは、あとから同じ鍵で確かめられる。検出の手順も、原理はいたって単純である。文章のなかで言い換えのきく場所を拾い出し、鍵が示す側の単語が選ばれた回数を数える。その回数が偶然の範囲を超えて多ければ、透かし入りと判定する。文章が長いほど数えられる場所は増え、判定の確かさも上がっていく。反対に短い文章では、数えられる場所が少なく、判定は不安定になる。一文だけの短い答えなどは、その典型である。実際の検出器が、数百トークン以上の長さを目安にするのはこのためである。この仕組みには弱点もある。別の言い回しに置き換えられると、積み上げた偏りは消えてしまう。答えが決まりきった文では、単語を選ぶ余地が小さく、信号を埋め込みにくい。透かしは万能の証明ではなく、出どころを確かめる手がかりのひとつにすぎない。それでも、見た目を変えないまま情報を残せる点は、この技術の大きな魅力である。

どちらも約500文字の自然な文章で、意味も同じです。 違いは、「もとづいて/したがって」「順に/一つずつ」のような言い換えのきく20箇所で、どちらの候補が選ばれたかだけにあります。 グリーン側の割合を数えると、透かしなしは20箇所中9箇所、透かしありは20箇所中17箇所でした。

この偏りをz検定にかけると、透かしなしはz値が-0.4で「偶然の範囲」、透かしありは+3.1で「偶然では説明しにくい偏り」と判定されます。

z > 2は統計学で「有意」とされる一般的な目安です。 一方のz > 4はKGW法の原論文が採用する検出閾値で、誤検知率(人間の文章をAI生成と誤判定する確率)が約0.003%になる水準です。 そのため上記のサンプルでは、目安の閾値(z > 2)は超えるものの、検出器が実際に使う厳しい閾値(z > 4)には届きません。 これは「短いテキストでは検出が安定しない」という弱点の1つです。

なお、鍵を知らない読み手には、上の2文のどちらが透かしありかを判別する手がかりはありません。 検出には、同じ鍵でグリーン/レッドを再計算することが必須になります。

4.5.攻撃と限界

こうした透かしの根本的な弱点が、言い換え(パラフレーズ)攻撃です。 単語を言い換えられると、偏りの信号が消えてしまいます。

• パラフレーズ攻撃: 別のLLMで文章を言い換え、鍵情報を消す
• Layer Inflation Attack(2026年): Tournament Samplingの統計量を偶然の水準へ押し戻し、検出を回避する

対策として、透かしを単語ではなく「意味」の空間へ移す研究(SemStampやPASA)が進んでいます。 言い換えても文の意味は近い位置に留まることを利用して、耐性を上げる仕組みです。 ただし、パラフレーズ耐性はまだ解決しきれておらず、当面はいたちごっこが続くと見られます。

5.Claudeの実装

5.1.2つの方式の併用

AnthropicはEU AI法第50条(2)に対応するため、Claudeの出力へのマーキングを開始しました。 性質の違う2つの方式を組み合わせています。

• LLMの電子透かし(公式名はテキスト埋め込み型ウォーターマーク): SynthID-Text(Tournament Sampling)方式。分布を保つため品質・速度・価格に影響せず、コピーしてもテキストに残る
• 署名付きプロベナンスメタデータ: コンテンツの出どころ(来歴)と本物であることを示すオープン標準のC2PAに準拠。主にファイル(SVG/PNG/JPGなど)の来歴を記録し、改ざんを検出できる

対象はすべての生成テキストと対応するファイル形式で、Claude APIやClaude Codeを含む全プラットフォームで提供されます。 コードについては、動作にかかわる箇所には適用されず、書き方に自由度のあるコメント部分に透かしが載ります。 2026年8月2日以降に日本を含む、Claudeが提供されている世界中の出力に適用されます。

5.2.検出の限界

Anthropicは第三者が透かしを検出できる仕組みを準備中としていますが、判定には仕組み上の限界があります。

• 言い換えや翻訳で消える
• 短いテキストでは信号が足りない
• 事実を述べる箇所では透かしが薄くなる(答えが1つに決まる場面では単語を選ぶ余地が小さく、偏りを入れにくいため)
• 透かしが検出されても、文章全体をAIが書いた証拠にはならない(人間が校正・編集した文章と区別できないため)

透かしは見た目に一切現れず、確認にはAnthropicの検出器(鍵)が必要です。

6.透かし除去とのいたちごっこ

Anthropicの発表直後、MITライセンスのOSS「watermarks-remover」が登場しました。 Claude・Gemini・OpenAIの複数モデルに対応し、透かしを除去できるとするツールです。 除去のやり方は大きく2つあります。

• 文章の再生成: AIで文章自体を書き換え、単語選択の統計的な偏りを崩す
• メタデータの除去: ファイルに記録された「いつ・どのAIで作られたか」という情報(C2PAなどの来歴情報)を取り除く

なお開発者は、このツールが「自分が権限を持つコンテンツ向けであり、学術不正や人間が書いたと偽る用途ではない」と明記しています。 あわせて「ベンダーの検出器から逃れられる保証もない」とも述べています。 検証技術と除去技術の競争が、早くも本格化していると言えそうです。

7.まとめ

LLMの電子透かしの仕組みを整理すると、次のようになります。

• 透かしは「単語選択のわずかな偏り」として埋め込まれ、見た目や品質には現れない
• 検出は統計的検定によるもので、秘密鍵を持つ人だけが行える
• 言い換えに弱く、短い文章や事実を述べる箇所では信号が薄いなど、仕組み上の限界がある
• 透かしがあっても文章全体をAIが書いた証拠にはならない
• 除去ツールとのいたちごっこも始まっている

実務の目線では、「透かしがあるからAI生成と断定できる」わけでも「ないから人間が書いた」わけでもない点が重要だと感じました。 透かしはあくまで、コンテンツの出どころを確かめる手がかりのひとつです。 この分野は動きが速いので、本記事の内容も半年後には状況が変わっていそうですね。

8.参考資料

• Claude公式サポート「Claudeがどのようにして生成AIコンテンツをマークするか」
• Zenn「Claudeがテキストに電子透かしを入れ始めたので、LLMウォーターマーキングの仕組みを調べた」(Kaito Sugimoto、2026年8月)
• テクノエッジ「Anthropicの電子透かし導入発表直後に登場した透かし剥がしOSS『watermarks-remover』がClaude・Gemini・OpenAIに対応」(2026年8月)