Sebastian Raschka erklärt Claudes Text-Wasserzeichen-Technik
Sebastian Raschka erklärt in seinem Blogbeitrag den konkreten Mechanismus hinter Claudes Inferenz-Zeit-Wasserzeichen: Ein geheimer Schlüssel wird mit einem Fenster zuletzt generierter Token kombiniert, um einen pseudozufälligen Seed zu erzeugen. Dieser Seed vergibt zusätzliche Scores an Kandidaten-Token, die das Sampling zugunsten bestimmter Token verschiebt – ohne dass die Textqualität messbar leidet, weil nur unter gleichwertigen Kandidaten gewählt wird. Wiederholt sich dieser Prozess über viele Token-Positionen, entsteht ein statistisch nachweisbares Muster, das durch Kombinatorik mit hoher Wahrscheinlichkeit auf künstliche Herkunft hinweist. Raschka diskutiert dabei auch die regulatorische Begründung Anthropics: Da Claude auf dem EU-Markt angeboten wird, greift Artikel 50 des EU AI Act, der eine Kennzeichnung zum Generierungszeitpunkt vorschreibt. Anthropic argumentiert, dass zum Zeitpunkt der Generierung nicht bekannt ist, wo die Ausgabe letztlich verwendet wird – eine geografische Segmentierung nach Nutzer oder Standort sei deshalb keine zuverlässige Compliance-Strategie. Raschka hinterfragt diese Auslegung kritisch und vergleicht sie mit einem Pharmaunternehmen, das ein Medikament global zurückhalten müsste, nur weil es potenziell in einen Markt exportiert werden könnte, wo es nicht zugelassen ist. Er schlägt vor, dass stattdessen der Exporteur – nicht der Hersteller – die Haftung tragen sollte.
- Wasserzeichen-Pipeline: Schlüssel + Token-Kontext → pseudozufälliger Seed → veränderte Kandidaten-Scores → biasiertes Sampling.
- De-Wasserzeichen durch moderates Umformulieren via eines anderen, nicht-wasserzeichnenden LLM ist möglich, kann aber Textqualität verschlechtern.
- Da die wassergezeichneten Positionen unbekannt sind, müsste ein effektiver Angriff viele Textstellen verändern – nicht nur die betroffenen.
- Anthropic beruft sich auf Art. 2 und Art. 50 EU AI Act: Als Anbieter auf dem EU-Markt greife die Transparenzpflicht beim Anbieter, nicht beim Endnutzer.
- Raschka stellt klar, dass die Technik ohne Retraining oder separates Modell auskommt und rein zur Inferenzzeit angewendet wird.
Frag die KI zum Artikel
Folgefragen zu Headline, Quelle und Volltext — Antwort streamt in wenigen Sekunden.
Verwandte Beiträge
Sebastian Raschka erklärt Claudes Text-Wasserzeichen-Technik
Sebastian Raschka erklärt in seinem Blogbeitrag den konkreten Mechanismus hinter Claudes Inferenz-Zeit-Wasserzeichen: Ein geheimer Schlüssel wird mit einem Fenster zuletzt generierter Token kombiniert, um einen pseudozufälligen Seed zu erzeugen. Dieser Seed vergibt zusätzliche Scores an Kandidaten-Token, die das Sampling zugunsten bestimmter Token verschiebt – ohne dass die Textqualität messbar leidet, weil nur unter gleichwertigen Kandidaten gewählt wird. Wiederholt sich dieser Prozess über viele Token-Positionen, entsteht ein statistisch nachweisbares Muster, das durch Kombinatorik mit hoher Wahrscheinlichkeit auf künstliche Herkunft hinweist. Raschka diskutiert dabei auch die regulatorische Begründung Anthropics: Da Claude auf dem EU-Markt angeboten wird, greift Artikel 50 des EU AI Act, der eine Kennzeichnung zum Generierungszeitpunkt vorschreibt. Anthropic argumentiert, dass zum Zeitpunkt der Generierung nicht bekannt ist, wo die Ausgabe letztlich verwendet wird – eine geografische Segmentierung nach Nutzer oder Standort sei deshalb keine zuverlässige Compliance-Strategie. Raschka hinterfragt diese Auslegung kritisch und vergleicht sie mit einem Pharmaunternehmen, das ein Medikament global zurückhalten müsste, nur weil es potenziell in einen Markt exportiert werden könnte, wo es nicht zugelassen ist. Er schlägt vor, dass stattdessen der Exporteur – nicht der Hersteller – die Haftung tragen sollte.
- Wasserzeichen-Pipeline: Schlüssel + Token-Kontext → pseudozufälliger Seed → veränderte Kandidaten-Scores → biasiertes Sampling.
- De-Wasserzeichen durch moderates Umformulieren via eines anderen, nicht-wasserzeichnenden LLM ist möglich, kann aber Textqualität verschlechtern.
- Da die wassergezeichneten Positionen unbekannt sind, müsste ein effektiver Angriff viele Textstellen verändern – nicht nur die betroffenen.
- Anthropic beruft sich auf Art. 2 und Art. 50 EU AI Act: Als Anbieter auf dem EU-Markt greife die Transparenzpflicht beim Anbieter, nicht beim Endnutzer.
- Raschka stellt klar, dass die Technik ohne Retraining oder separates Modell auskommt und rein zur Inferenzzeit angewendet wird.
Frag die KI zum Artikel
Folgefragen zu Headline, Quelle und Volltext — Antwort streamt in wenigen Sekunden.