Anthropic publicó el domingo los detalles de cómo funciona la marca de agua invisible que lleva ahora todo lo que escribe Claude. Un repositorio de GitHub dedicado a borrar exactamente ese tipo de marcas acumula ya 12.900 estrellas y 1.400 forks.
Se llama watermarks-remover, lo mantiene Guillaume Meyer, va con licencia MIT y está en la versión 0.5.0.
Puntos clave
- 12.900 estrellas y 1.400 forks, licencia MIT.
- Ataca las marcas de Claude, de Gemini y SynthID-Text, de modelos de OpenAI y de modelos abiertos con marcas tipo Kirchenbauer.
- Funciona en tres capas: caracteres invisibles, reescritura estadística del texto y limpieza de metadatos en ficheros.
- Cubre PNG, JPEG, WebP, BMP, GIF, TIFF, SVG, PDF, DOCX, EPUB, ODT, HTML y Markdown.
- El propio README admite que quitar la marca de un texto exige reescribirlo y degrada la prosa.
Cómo funciona por dentro
Las tres capas no son lo mismo ni cuestan lo mismo.
La primera capa borra caracteres Unicode invisibles: espacios de ancho cero, marcas bidireccionales, caracteres tag. Es trivial y es el equivalente a quitar una pegatina. Cualquier sistema que dependa solo de eso está roto desde el primer día.
La segunda es la interesante. Las marcas de agua de texto de verdad no van en caracteres ocultos, van en cómo se eligen las palabras: el modelo sesga su muestreo de tokens hacia una lista secreta, y luego un verificador mide si el texto tiene más palabras de esa lista de las que cabría esperar por azar. Para borrar eso hay que reescribir el texto lo bastante como para romper la estadística. La herramienta lo hace.
La tercera capa no toca texto, limpia ficheros: quita C2PA, EXIF, XMP y propiedades de documento de imágenes, PDF, DOCX, EPUB y compañía.
Técnicamente corre como un servidor HTTP en Python 3.10 o superior, con endpoints para inspeccionar, limpiar y consultar capacidades. Admite backends externos opcionales, como CtrlRegen para píxeles y MarkLLM o MarkDiffusion para verificar resultados.
Lo que admite el propio repositorio
El README es más honesto que muchos titulares sobre el tema. Dice con todas las letras que las marcas de agua de texto viven en la redacción misma, así que quitarlas exige reescrituras sustanciales que degradan la calidad de la prosa. Y avisa expresamente contra usarlo para fraude académico o para atribuirse trabajo ajeno; el marco declarado es contenido del que uno es dueño.
Ese matiz es lo que hace útil la herramienta como termómetro. No demuestra que las marcas de agua no sirvan, demuestra dónde está el coste de saltárselas: hay que estropear el texto.
Dónde encaja esto
Esta pieza cierra una semana de movimientos sobre lo mismo. El 11 de agosto Anthropic empezó a meter marcas de agua invisibles en todo lo que escribe Claude. El 15, Google dejó quitar la marca visible de Gemini y Flow, manteniendo SynthID por debajo. Y el 16, Anthropic detalló que su marca aguanta la edición ligera y flojea con la reescritura.
El repositorio ataca justo esa debilidad admitida.
Por qué importa
Si en tu empresa alguien está pensando en usar detectores de contenido generado como control (para trabajos de proveedores, para candidatos, para material de agencia), este es el dato que necesita antes de montarlo: la marca sobrevive a la edición ligera y no sobrevive a una reescritura, y la herramienta para reescribir está publicada con licencia MIT y tiene 1.400 forks.
Eso no significa que las marcas de agua sean inútiles. Sirven para el caso mayoritario, que es contenido generado y publicado sin más. Fallan justo con quien tiene intención de esconderlo, que es precisamente contra quien las querrías usar.
La conclusión práctica es aburrida y es la de siempre: no montes una política de proveedores ni de personal sobre la salida de un detector. Monta la política sobre lo que puedes comprobar tú, que es el resultado del trabajo.
Relacionado
