앤스로픽이 클로드 워터마크의 작동 방식을 공식 문서로 내놨다. 8월 14일이다.

사흘 전 보도로 알려졌던 내용과 갈리는 대목이 있다. 특히 '교정'이 그렇다.

글자를 넣는 게 아니다

앤스로픽은 요약에서 이렇게 못 박았다. 텍스트에 무언가가 추가되지 않고, 숨은 문자도 없다.

그럼 어디에 표식이 남나. 단어를 고르는 순간이다.

모델은 한 번에 한 단어씩 만든다. 다음 단어를 정할 때 후보 목록에서 하나를 고른다. 공식 문서가 든 예가 "오늘 날씨는 춥고…"다. 다음에 '달콤한'이 올 가능성은 거의 없지만, '흐린'이나 '잿빛'은 둘 다 자연스럽다.

어느 쪽을 골라도 상관없는 이런 선택이 한 글에서 수없이 일어난다. 워터마킹은 그 선택들에 패턴을 남긴다. 독자는 알아챌 수 없고, 키를 가진 쪽만 감지할 수 있다.

그래서 지폐나 문서에 찍는 워터마크와는 성격이 다르다. 눈에 보이라고 만든 게 아니다.

방식 자체는 새로 만든 게 아니다. 구글 딥마인드가 2024년 네이처 논문으로 낸 SynthID-Text의 한 버전이고, 2022년 스콧 애런슨의 제안까지 거슬러 올라가는 계열이다.

속도와 비용도 그대로다. 토큰이 더 들지 않아 값이 오르지 않는다고 밝혔다.

어디에 붙고 어디에 안 붙나

여기가 이번 문서의 알맹이다. 워터마크는 클로드가 고른 단어에만 붙는다.

사람이 쓴 글을 클로드에 맡겨 문법과 구두점만 고치게 하면, 표식이 붙을 수 있는 곳은 그 몇 안 되는 수정 부분뿐이다. 앤스로픽은 그 양이 감지되기에는 너무 적을 수 있다고 적었다. 거의 모든 단어가 사람 것이기 때문이다.

반대로 번역은 붙는다. 번역문은 모든 단어를 클로드가 고른 것이라서다.

코드도 갈린다. "2 + 2 =" 다음에는 '4' 말고 똑같이 좋은 답이 없다. 선택의 여지가 없는 자리에는 워터마크가 붙지 않는다. 다만 주석처럼 표현을 고를 수 있는 곳에는 붙을 수 있고, 실제 코드에 미치는 영향은 미미하다고 했다.

사실을 다루는 문장에서도 성기다. "뉴턴의 가장 유명한 저작은 프린키피아…" 다음에 올 단어는 정해져 있다. 틀리면 안 되는 자리에는 고를 여지가 없다.

지우는 것도 정도의 문제다. 가벼운 편집으로는 완전히 지워지지 않을 것이라고 했고, 모든 단어를 바꾸는 전면 재작성이면 지워진다고 했다. 다만 그 경우엔 그 글을 여전히 AI가 만든 것이라 부를 수 있는지가 논쟁거리라고 덧붙였다.

그래서 무엇을 증명하나

워터마크가 답해주는 건 하나다. 어느 시점에 클로드가 관여했을 가능성. 앤스로픽은 이것이 "클로드가 썼다"와 "클로드가 대폭 편집했다"를 구분하지 못한다고 명시했다.

사람이 썼다는 걸 확인해주지도 않고, 다른 AI가 썼는지도 알 수 없다. 키로 물을 수 있는 질문은 '이 글에 클로드가 부분적으로 관여했을 확률은?' 하나뿐이다.

추적도 안 된다. 워터마크에도 키에도 사용자·조직·대화를 알아낼 수 있는 정보가 들어 있지 않다고 밝혔다.

왜 하느냐는 EU AI법 때문이다. 8월 2일부터 EU 시장에 서비스하는 AI 제공자는 AI가 만든 콘텐츠를 표시해야 한다. 앤스로픽은 2026년 7월 EU의 AI 생성 콘텐츠 투명성 실천 강령에 서명했고, 서명 주체는 약 190곳이다.

그러니 클로드만의 일이 아니다. 다른 주요 모델 개발사들도 같은 강령에 서명했고 각자 워터마크를 넣을 예정이다.

확인 도구는 아직이다. 워터마크 탐지 API를 곧 내놓겠다고 했고, 구현 세부는 정리 중이라고 했다.

이미지나 파일은 방식이 다르다. png·jpg·svg 같은 형식에는 파일 메타데이터에 암호로 서명된 메모를 붙인다. C2PA라는 개방 표준이고, 카메라 제조사와 사진 편집 소프트웨어가 이미 쓰는 것이다. 파일 내용 자체는 바뀌지 않는다.

덧붙일 게 있다. 이 블로그가 8월 11일에 쓴 글은 국내 보도를 근거로 했고, "사람이 쓴 글을 교정하거나 번역만 해도 표식이 남을 수 있다"고 적었다.

공식 설명을 보면 번역은 맞지만 교정은 다르다. 문법만 손보는 정도라면 붙을 게 거의 없다는 것이 앤스로픽의 설명이다. 해당 기사는 이에 맞춰 고쳤다.

표식이 늘어나는 방향은 그대로다. 다만 그 표식이 말해주는 범위는 생각보다 좁다..

출처 · Anthropic 공식블로그 — How Claude's text watermark works · 동아일보 — AI로 교정만 해도 흔적 남는다…클로드, 모든 글에 '워터마크' 도입

Anthropic has published an official explanation of how Claude's text watermark works, dated August 14.

Parts of it diverge from what was reported three days earlier — the proofreading case most of all.

Nothing is inserted into the text

Anthropic states it plainly in the summary: nothing is added to the text, and there are no hidden characters.

So where does the mark live? In the moment a word is chosen.

The model writes one word at a time, picking from a list of candidates. The documented example is "The weather today was cold and…". The next word is very unlikely to be "sugary," but "overcast" and "grey" are both natural.

Choices like that — where either option is equally fine — occur many times across a piece of text. Watermarking leaves a pattern in them. A reader cannot detect it; only someone holding the key can.

Which makes it unlike the watermarks on banknotes or documents. It is not meant to be seen.

The method is not new. It is a version of SynthID-Text, published by Google DeepMind in a Nature paper in 2024, from a family of approaches going back to a 2022 proposal by Scott Aaronson.

Speed and cost are unchanged. Because no extra tokens are produced, the model costs the same to serve and use.

Where it attaches, and where it does not

This is the core of the document: the watermark applies only to words Claude chooses.

Hand Claude a piece of your own writing and ask it to fix only grammar and punctuation, and the mark can live only in that handful of corrections. Anthropic writes that this might be too few to register, because nearly all the words are still yours.

Translation is the opposite case. A translation carries a watermark, because every word in it was chosen by Claude.

Code splits too. After "2 + 2 =" there is no equally good alternative to "4," and where there is no choice there is no watermark. It can appear in places like comments, where wording is arbitrary, with negligible effect on the code itself.

Factual passages are sparse for the same reason. After "Isaac Newton's most famous work was called Principia…" the next word is fixed. Where being wrong is not an option, there is nothing to choose.

Removing it is a matter of degree. Light editing probably will not remove the watermark completely; a full rewrite replacing every word will. In that case, Anthropic adds, it is arguable whether the text can still be called AI-generated at all.

What it actually proves

The watermark answers one question: whether Claude was likely involved at some point. Anthropic states it cannot distinguish "Claude wrote this" from "Claude heavily edited this."

It does not confirm that a human wrote something, and it cannot tell whether a different AI did. The only question the key answers is how likely it is that Claude was partly involved.

Nor can it be traced. Anthropic says neither the watermark nor its key contains anything that would identify a user, an organization, or their chats.

The reason is the EU AI Act. As of August 2, AI providers serving the EU market must mark AI-generated content. Anthropic signed the EU Code of Practice on Transparency of AI-Generated Content in July 2026, alongside around 190 signatories in total.

So this is not a Claude-specific change. Other major model developers signed the same code and will implement watermarks of their own.

The checking tool is not out yet. Anthropic says a watermark detection API is coming and that implementation details are still being worked out.

Images and files work differently. For supported types such as png, jpg and svg, Claude attaches a cryptographically signed note in the file's metadata. That is C2PA, an open standard already used by camera makers and photo-editing software, and the file contents themselves do not change.

One correction. The article this blog published on August 11 drew on Korean press coverage and said a mark could remain even when Claude only proofread or translated human writing.

Against the official explanation, translation holds but proofreading does not. If Claude only fixes grammar, there is very little for the mark to attach to. That article has been corrected.

The direction has not changed — more marking is coming. What the mark can tell you is narrower than it sounds..

Sources · Anthropic Blog · The Dong-A Ilbo