Claude, a carta escarlate invisível

Os desenvolvedores da comunidade de código aberto e de segurança cibernética já descobriram maneiras de contornar o sistema de marca d'água invisível que a Anthropic começou a implementar em todos os textos gerados pelo Claude a partir de 2 de agosto de 2026. A descoberta, amplamente discutida no GitHub e em fóruns técnicos, expõe uma limitação fundamental do sistema: a marca d'água, criada para atender às exigências da União Europeia sobre transparência de conteúdo de IA, pode ser facilmente removida com técnicas simples de edição, o que levanta questionamentos sobre sua real eficácia contra uso mal-intencionado.

Como funciona a marca d'água do Claude

A marca d'água do Claude utiliza uma variação da tecnologia SynthID-Text, desenvolvida pelo Google DeepMind e publicada na revista Nature em 2024. Diferente de marcas d'água tradicionais baseadas em caracteres invisíveis — como espaços de largura zero ou controladores de direção bidirecional —, o SynthID-Text opera em nível de token. O modelo é treinado para favorecer escolhas de palavras específicas em padrões estatísticos que, combinados, formam um padrão detectável, mas imperceptível para leitores humanos.

A técnica funciona selecionando palavras alternativas com significados semelhantes com base em probabilidades pré-definidas. Quando um usuário gera um texto, o Claude escolhe palavras que se encaixam no padrão da marca d'água sem alterar significativamente a qualidade ou clareza do conteúdo. A detecção é possível porque o sistema sabe exatamente quais probabilidades foram usadas durante a geração do texto, permitindo identificar a presença do padrão invisível.

Segundo a Anthropic, a detecção só pode determinar "se o Claude participou desse texto", sem revelar a identidade do usuário, da empresa ou do segmento específico de chat gerado. O sistema é protegido por uma chave criptográfica que só a Anthropic possui — o Google DeepMind, criador do SynthID-Text, não tem acesso à detecção, e a Anthropic ainda não liberou uma API de detecção para terceiros.

Os contornadores já estão em campo

Menos de uma semana após o lançamento da marca d'água, desenvolvedores começaram a documentar métodos práticos para burlá-la. O mecanismo mais simples consiste em reescrever trechos do texto gerado — uma reescrita mínima já foi suficiente para quebrar a detecção estatística na maioria dos casos testados. Outro método envolve a aplicação de pequenas variações léxicas (sinônimos, reordenação de frases, inserção de caracteres não-alfabéticos) que preservam o sentido original, mas alteram as probabilidades subjacentes que sustentam a marca d'água.

Um projeto no GitHub, chamado Synthid-Bypass, consolidou vários desses métodos em um único gráfico de processamento. A ferramenta foi descrita como "para fins educacionais e de pesquisa em segurança da IA", mas demonstra a vulnerabilidade estrutural do sistema: a marca d'água depende inteiramente de padrões estatísticos no nível do token, e não de qualquer informação criptograficamente selada. Isso significa que, enquanto um caractere oculto pode ser removido por uma busca e substituição simples, a marca d'água do Claude exige que o leitor analise o texto em nível de probabilidade — o que só é possível com acesso à API de detecção proprietária.

A própria Ars Technica, em relatório detalhado publicado em meados de agosto, classificou a abordagem descrita pela UE e implementada pela Anthropic como "infelizmente trivialmente fácil de ser burlada por agentes mal-intencionados". A publicação ainda observou que o sistema pode, paradoxalmente, punir usuários que confiam no sistema para rotular seus outputs como gerados por IA, já que a remoção da marca d'água por um terceiro não altera o fato de que o texto original foi produzido pelo Claude.

O contexto regulatório: a UE empurra, a tecnologia resiste

A marca d'água do Claude existe porque a legislação europeia exigiu. O AI Act da União Europeia, que entrou em vigor em agosto de 2026, determina que conteúdo gerado ou manipulado por IA deve ser marcado de forma legível por máquina. A lei não prescreve uma tecnologia universal para isso — marca d'água é uma das abordagens possíveis —, mas na prática, forçou os principais provedores de IA a implementar soluções.

A Anthropic poderia ter ignorado o requisito, mas a alternativa é mais custosa: penalidades financeiras, restrições de operação na UE e perda de confiança do mercado. A empresa escolheu implementar, mas com ressalvas. Em uma página de suporte, a Anthropic afirmou que "o texto gerado carregará marcas d'água embutidas" e que "arquivos gerados incluirão metadados de proveniência assinados digitalmente onde houver suporte", mas também reconheceu que o sistema não funciona em "algumas plataformas ou recursos" que não suportam a tecnologia.

O problema é que, para o AI Act, a exigência é que a marca seja "fácil de detectar" para plataformas e verificadores. Mas a detecção real exige acesso a ferramentas proprietárias da própria Anthropic, que ainda não estão disponíveis publicamente. Isso cria uma situação paradoxal: a tecnologia foi implementada para atender uma regulação, mas não há como o regulador ou o público verificarem se ela realmente funciona.

O que isso significa para o futuro da detecção de IA

A corrida entre marca d'água e burla é antiga no mundo da segurança da informação. A proteção DRM (Digital Rights Management), que tenta impedir a cópia de conteúdo protegido por direitos autorais, é um exemplo clássico: praticamente toda tecnologia de DRM já foi burlada, muitas vezes em questão de horas ou dias após o lançamento do produto. A marca d'água do Claude segue o mesmo padrão.

O que diferencia a situação atual é o contexto regulatório. Enquanto o DRM é uma barreira comercial entre empresas e consumidores, a marca d'água do Claude é uma barreira entre a produção de conteúdo de IA e a transparência para leitores. Se a tecnologia de detecção é trivialmente burlável, a pergunta que se impõe é: qual o valor de um sistema de transparência que pode ser removido por qualquer pessoa com acesso a um editor de texto básico?

A própria Anthropic parece reconhecer essa limitação. A empresa anunciou que pretende compartilhar os detalhes técnicos do sistema de detecção "no futuro", para oferecer suporte técnico que a lei europeia exige. Mas, até lá, a marca d'água do Claude é mais um símbolo de conformidade do que uma ferramenta real de verificação. E os desenvolvedores que já encontraram as primeiras brechas sabem que a corrida acabou de começar.

Fontes: The Verge, Ars Technica, Super Intelligence News

✓ Fontes independentes cruzadas e verificadas antes da publicação