Technisch basiert Anthropics Verfahren nach Unternehmensangaben auf Google DeepMinds Ansatz SynthID-Text. Anders als sichtbare Hinweise oder versteckte Zeichen wird das Wasserzeichen nicht nachträglich in einen fertigen Text eingefügt. Stattdessen greift es direkt während der Textgenerierung ein: Claude verändert bei bestimmten Wortentscheidungen die Quelle der Zufälligkeit, mit der das nächste Token ausgewählt wird.
Anthropic beschreibt das so: Das Wasserzeichen nutze „Entscheidungen mit geringer Tragweite“, die in einem längeren Text vielfach vorkämen, um ein Muster in Claudes Antworten zu hinterlassen. Dieses Muster sei für Leserinnen und Leser nicht erkennbar, aber für Personen oder Systeme mit dem passenden Schlüssel nachweisbar. Die gewählten Wörter blieben dabei zufällig; entscheidend sei, dass die Zufallsquelle aus einem geheimen Schlüssel und einigen vorangehenden Wörtern abgeleitet werde.
Das Ziel ist eine statistische Signatur über den gesamten Text hinweg. Ein Detektor mit Anthropics Schlüssel kann die Wortfolge darauf prüfen, wie stark sie mit den Entscheidungen übereinstimmt, die Claude unter Verwendung des Wasserzeichens getroffen hätte. Daraus lässt sich eine Wahrscheinlichkeit ableiten, dass Claude an der Erstellung des Textes beteiligt war. Anthropic betont allerdings, dass dies kein Beweis dafür ist, wer einen Text geschrieben hat. Das Wasserzeichen könne nur zeigen, dass Claude wahrscheinlich irgendwann an den Inhalten beteiligt war; es unterscheide nicht zwischen „Claude hat das geschrieben“ und „Claude hat den Text stark überarbeitet“.
Nach internen Tests sieht Anthropic keine Auswirkungen auf Kreativität, Lesbarkeit oder den Inhalt der Antworten. Zudem seien keine zusätzlichen Tokens nötig, und der Einfluss auf die Generierungsgeschwindigkeit sei vernachlässigbar. Das Unternehmen hält ausdrücklich fest: „Dem Text wird nichts hinzugefügt, und es gibt keine versteckten Zeichen.“ Auch Mehrkosten sollen dadurch nicht entstehen.
Allerdings wird das Wasserzeichen nicht in jeder Situation angewendet. Wenn eine Ausgabe exakt sein muss und es keine sinnvolle Alternative gibt, greift das Verfahren laut Anthropic nicht ein. Das betrifft etwa faktische Aussagen mit nur einer richtigen Antwort. Als Beispiel nennt das Unternehmen die Fortsetzung von „2 + 2 =“, bei der „4“ die eindeutig richtige Wahl sei. Ähnlich sei es bei Programmcode: Dort könne der Austausch eines Begriffs die Ausgabe beschädigen, weshalb Code im Allgemeinen weniger stark wasserzeichenmarkiert werde als andere Textformen.
Ganz ausgenommen ist Code aber nicht. In Bereichen, in denen beliebige Entscheidungen möglich sind, etwa bei Kommentaren, kann Wasserzeichenmarkierung laut Anthropic weiterhin eingesetzt werden. Der tatsächliche Code solle dadurch aber praktisch nicht beeinflusst werden.
Wie gut sich das Wasserzeichen erkennen lässt, hängt laut Anthropic und dem zugrunde liegenden SynthID-Text-Papier von mehreren Faktoren ab. Längere Texte liefern mehr statistische Hinweise und erhöhen damit die Sicherheit der Erkennung. Weniger zuverlässig wird die Methode bei kurzen Textproben oder wenn ein Sprachmodell auf einen Prompt fast immer dieselbe Antwort gibt. Auch leichte Korrekturen an von Menschen geschriebenen Texten können zu wenig von Claude erzeugtes Material übrig lassen, um eine verlässliche Erkennung zu ermöglichen. Umgekehrt trägt eine von Claude erstellte Übersetzung ein Wasserzeichen, weil Claude dabei jedes Wort selbst auswählt.
Für die Erkennung plant Anthropic eine API, die die Wahrscheinlichkeit schätzen kann, dass Claude an einem Text beteiligt war. Für andere Dateitypen verfolgt das Unternehmen einen anderen Ansatz: Bei erzeugten PNG-, JPG- und SVG-Dateien will Claude kryptografisch signierte C2PA-Herkunftsmetadaten anhängen, die angeben, dass die Datei mit Claude erstellt oder verarbeitet wurde, statt die Datei selbst mit einem eingebetteten Wasserzeichen zu verändern.