Un filigrane Claude peut persister sur un document bien après l’opération qui l’a introduit. Un rédacteur rédige un article, demande une reformulation de trois phrases, et se retrouve avec un fichier dont le signal de provenance indique seulement que Claude en est l’auteur.
Pour le contenu qui vous appartient, supprimer un filigrane Claude se fait en trois étapes : éliminer les points de code Unicode suspects, réécrire le texte avec un modèle non-Claude, et supprimer les métadonnées de provenance fermement liées des fichiers pris en charge. Pour cela, vous pouvez utiliser le skill open source remove-ai-marks, l’API de Haimaker et un modèle de votre choix. Deux des trois étapes sont directement vérifiables. Malheureusement, la réécriture ne l’est pas, car Anthropic ne publie pas son détecteur.
Claude applique désormais des filigranes au texte et aux fichiers
Claude utilise au moins deux canaux de provenance confirmés sur ses sorties. Le texte reçoit une marque invisible appliquée au niveau du modèle, et les fichiers pris en charge reçoivent des métadonnées C2PA signées numériquement. Anthropic indique que les modèles commercialisés à partir du 2 août 2026 sont livrés avec le marquage activé par défaut ; le déploiement sur les anciens modèles se poursuit.
Le marquage ne se limite pas à l’application web Claude. L’annonce d’Anthropic couvre Claude Platform, Claude, Claude Code, Claude Cowork, Claude Tag, les partenaires cloud et toutes les régions où Claude est disponible. Les marques textuelles peuvent survivre au copier-coller et aux modifications légères. Le marquage des fichiers s’active lorsque le produit et le format le prennent en charge, avec .svg, .png et .jpg parmi les formats cités par Anthropic.
Anthropic n’a publié ni l’algorithme de marquage textuel ni de détecteur. Cette lacune prive tout guide de suppression d’un moyen de vérification définitif. Une expression comme « tissé dans le texte » ne révèle pas si la marque repose sur des caractères de largeur nulle, un biais de sélection de jetons, une structure sémantique, ou une combinaison de techniques.
Certaines transformations sont connues pour affaiblir la détection. Anthropic énumère les modifications importantes, la paraphrase, la traduction, la combinaison avec d’autres textes, les extraits courts, la conversion de format, le réenregistrement et les captures d’écran. Elles justifient une chaîne de nettoyage par couches, mais ne garantissent pas que la sortie soit indétectable.
La détection indique un traitement, pas une paternité
Un filigrane Claude détecté ne permet qu’une seule conclusion, limitée : un modèle Claude compatible a peut-être traité le document. Cela ne signifie pas que Claude a produit chaque mot, idée, fait ou choix de conception. Anthropic mentionne explicitement la relecture, la traduction, la synthèse et la conversion de fichiers comme des opérations pouvant laisser une marque sur un travail créé par un humain.
Prenons un rédacteur qui rédige un article et demande à Claude de retoucher trois phrases. Le résultat lisible par machine ne peut pas distinguer cette demande d’une génération complète du document. Cette impossibilité d’attribuer précisément le contenu a suscité de nombreuses réactions : notre échantillon actuel sur 30 jours a recensé 15 fils de discussion Reddit pertinents totalisant 8 138 upvotes et 2 633 commentaires, beaucoup portant sur la question de la propriété et les déductions qu’une étiquette générique pourrait entraîner.
La réciproque est vraie. Un document sans marque détectée n’est pas nécessairement rédigé par un humain. Les modèles non pris en charge ou plus anciens peuvent ne pas marquer la sortie, et les modifications ordinaires peuvent réduire la détectabilité. Un détecteur fournit un indice ; ce n’est ni un test de plagiat ni un verdict définitif sur la paternité.
Le nettoyage préserve également les faits de fond. Si un contrat, une politique scolaire, une règle de plateforme ou une loi exige la divulgation de l’assistance IA, cette obligation persiste. Ce pipeline répond à un besoin de confidentialité et d’hygiène pour le contenu qui vous appartient, en particulier lorsqu’une étiquette générique « Claude a traité ceci » masque la répartition réelle du travail.
Chaque couche de filigrane nécessite un traitement différent
Le texte, les métadonnées du conteneur et les signaux intégrés au contenu se trouvent à des endroits différents et laissent des traces distinctes. Un scan Unicode peut énumérer les points de code exacts. Un outil C2PA peut afficher un manifeste signé. Aucun outil indépendant ne peut vérifier la suppression de la marque textuelle statistique de Claude tant qu’Anthropic n’aura pas publié un détecteur et une spécification technique.
| Couche | Emplacement | Action de nettoyage | Confiance après nettoyage |
|---|---|---|---|
| Unicode invisible | Caractères et espacements du texte | Normaliser les caractères de largeur nulle, bidi, de balise et les espaces exotiques | Vérifiable en rescannant les points de code |
| Motif textuel au niveau du modèle | Choix de mots et de jetons, méthode exacte non divulguée | Réécrire chaque phrase avec un modèle non-Claude | Best-effort, sans garantie |
| C2PA et métadonnées fermement liées | Conteneurs PNG, JPEG, SVG, PDF, DOCX, ODT, HTML ou Markdown | Supprimer les métadonnées C2PA, EXIF, XMP, les propriétés de document et les métadonnées IA prises en charge | Vérifiable pour les champs et manifestes supprimés |
| Signal faiblement lié ou signal pixel | Contenu lui-même ou lien vers un manifeste distant | Hors périmètre de ce pipeline | Risque résiduel persistant |
La ligne Unicode du tableau est volontairement prudente. Anthropic n’a jamais déclaré que son nouveau filigrane textuel utilise des caractères cachés. Le nettoyage des caractères invisibles corrige néanmoins de vrais problèmes : diffs cassés, recherches échouées, bugs de collage, et il supprime les caractères introduits par d’autres logiciels. C’est une hygiène déterministe, pas une preuve que la marque privée de Claude a disparu.
Les métadonnées de fichier fournissent une preuve plus solide. Anthropic indique que les fichiers générés pris en charge reçoivent des métadonnées signées basées sur le standard ouvert C2PA, que des outils indépendants peuvent inspecter. Même là, il faut nuancer : un manifeste C2PA peut être intégré, stocké dans un sidecar ou référencé à distance. La suppression d’un manifeste intégré ne dit rien sur un sidecar ou un signal au niveau du contenu que l’outil n’a jamais touché.
Pipeline de nettoyage en trois étapes
Ce pipeline supprime le bruit connu au niveau des caractères, régénère le texte via un modèle non-Claude, nettoie la sortie du modèle, puis élimine les métadonnées de fichier prises en charge. Chaque étape a un rôle unique. Le nettoyage déterministe reste ainsi séparé de la réécriture, qui ne peut pas être certifiée face au détecteur non publié d’Anthropic.
Le dépôt open source watermarks-remover de Guillaume Meyer fournit la base. Le skill remove-ai-marks répartit le travail en :
- Couche A – Nettoyage Unicode
- Couche B – Réécriture statistique
- Couche C – Suppression des métadonnées propres à chaque format
Le dépôt ne contient ni détecteurs ni clés propriétaires. Il ne peut pas garantir le contournement de la détection.
Pour la couche B, nous recommandons de faire transiter le texte via Haimaker vers un modèle non-Claude configuré. Haimaker donne accès à des centaines de modèles qui ne passent pas par le mécanisme de filigrane de Claude, via un endpoint compatible OpenAI. Vous pouvez ainsi changer le modèle de réécriture sans modifier le pipeline de nettoyage.
Nos préférences de modèles testés
Quel modèle choisir ? Nous recommandons de faire passer le même corps de texte à travers plusieurs modèles jusqu’à trouver celui qui correspond à votre style éditorial et à vos goûts. À ce jour, voici les modèles qui ont donné les meilleurs résultats. Rappel : il ne s’agit pas d’un score de détecteur, et cela ne signifie pas qu’un modèle supprime un filigrane privé plus efficacement qu’un autre.
| Rang | ID de modèle Haimaker |
|---|---|
| 1 | z-ai/glm-5.2 |
| 2 | qwen/qwen3.7-plus |
| 3 | moonshotai/kimi-k3 |
| 4 | deepseek/deepseek-v4-pro |
| 5 | minimax/minimax-m3 |
| 6 | deepseek/deepseek-v4-flash |
Une réécriture peut endommager le Markdown même lorsque le texte se lit bien. Avant l’appel au modèle, le wrapper du projet masque le frontmatter YAML, les titres, le code en bloc et inline, le HTML, les tableaux, les liens, les URL et les données numériques. Il charge également le profil stylistique du projet afin que la réécriture modifie les motifs statistiques sans tomber dans un texte générique. Après l’appel, le wrapper rejette les placeholders manquants ou réordonnés, les nouveaux blocs de code, les sorties vides et les changements drastiques de longueur. Le fichier original reste intact si une vérification échoue.
Installation et configuration du skill de nettoyage
Installez le dossier remove-ai-marks sous .claude/skills, puis configurez son hook de réécriture compatible OpenAI pour pointer vers Haimaker et sélectionnez un modèle non-Claude disponible sur votre compte. Conservez la clé API dans une variable d’environnement ou un gestionnaire de secrets. Une clé intégrée dans SKILL.md, versionnée dans le dépôt ou passée en clair sur la ligne de commande transforme une étape de nettoyage en fuite d’identifiants.
git clone https://github.com/guillaumemeyer/watermarks-remover.git
mkdir -p .claude/skills
cp -R watermarks-remover/skills/remove-ai-marks .claude/skills/
export WATERMARKS_REWRITE_BACKEND=openai-compatible
export WATERMARKS_REWRITE_BASE_URL=https://api.haimaker.ai/v1
export WATERMARKS_REWRITE_MODEL=provider/model-id
export WATERMARKS_REWRITE_API_KEY="$HAIMAKER_API_KEY"
Inspectez l’entrée avant de la modifier. L’état de référence consigne ce qui était réellement présent et empêche qu’une commande réussie soit confondue avec une preuve que le fichier contenait une marque :
SCRIPTS=.claude/skills/remove-ai-marks/scripts
python3 "$SCRIPTS/inspect_file.py" --json draft.md
python3 "$SCRIPTS/clean_file.py" draft.md -o draft.layer-a.md
python3 "$SCRIPTS/rewrite_text.py" draft.layer-a.md \
-o draft.rewritten.md --strength paraphrase \
--voice-print .claude/reference/voice-print.md
python3 "$SCRIPTS/clean_file.py" draft.rewritten.md -o draft.cleaned.md
python3 "$SCRIPTS/inspect_file.py" --json draft.cleaned.md
Le Markdown de production doit passer par un wrapper avec protection des placeholders plutôt que par le hook de réécriture générique montré ci-dessus. Pour le code source, limitez-vous au nettoyage déterministe Unicode, puis lancez son formateur de code. Réécrire du code pour attaquer une marque statistique incertaine crée un risque plus grand et plus immédiat : un changement de comportement qu’un diff d’apparence fluide peut masquer.
Une réécriture distante envoie le texte du document à l’API configurée. Ne soumettez que les contenus que votre organisation autorise ce fournisseur à traiter ; le contenu à usage strictement interne doit rester sur un modèle auto-hébergé approuvé. Choisir une famille de modèles différente réduit le risque de re-marquage, mais ne remplace pas la politique de gestion des données.
LANCER LA RÉÉCRITURE VIA UN MODÈLE NON-CLAUDE
La vérification comporte trois niveaux de confiance
Un bon rapport de vérification distingue trois résultats : l’Unicode et les métadonnées intégrées dont la suppression est vérifiable, le texte qui a subi une réécriture statistique sans garantie de résultat, et les canaux de provenance que le pipeline n’a pas pu inspecter. Fusionner ces constats en un seul résultat « filigrane supprimé » reviendrait à affirmer plus que ce que les preuves permettent de conclure.
L’inspection avant/après fournit une trace. Les scripts comptent les points de code suspects, rapportent les champs EXIF ou XMP supprimés et identifient les segments C2PA pris en charge. Si c2patool est disponible, il peut inspecter les données de manifeste sur les fichiers pris en charge. Un nouveau scan propre n’a de sens que pour ces champs précis, et pas pour d’autres.
Pour le texte, la conclusion doit être plus prudente. Anthropic n’a pas publié le détecteur, et les méthodes modernes de filigranage peuvent résister à des attaques qui déjouent les simples schémas de biais de jetons. Une évaluation WaterPark de 2025 a testé 10 méthodes de filigrane contre 12 attaques et a constaté que la robustesse varie considérablement selon la conception. Des recherches antérieures présentées à ICLR ont montré qu’une paraphrase humaine agressive peut laisser un signal détectable dans un texte suffisamment long. La réécriture prouve que le texte a changé. Elle ne prouve pas que le signal a disparu.
Consignez le modèle, l’intensité de la réécriture, les fichiers traités, le nombre de régions protégées, les comptages de caractères, le profil stylistique appliqué et les étapes de nettoyage déterministe. Puis listez explicitement le risque résiduel : le détecteur propriétaire de Claude (basé sur une clé secrète), la provenance faiblement liée, les filigranes au niveau des pixels ou des médias, et les futurs changements de détecteur restent en dehors du résultat.
Questions fréquemment posées
Claude peut-il marquer un texte rédigé à l’origine par un humain ?
Oui. Anthropic indique qu’une marque détectée peut signifier que Claude a traité le contenu, et non qu’il a rédigé chaque idée ou chaque phrase. La relecture, la traduction, la synthèse ou la conversion d’un document humain peuvent produire une sortie marquée lorsqu’un modèle pris en charge est utilisé.
La suppression des métadonnées C2PA supprime-t-elle le filigrane textuel de Claude ?
Non. Ce sont des canaux distincts. C2PA correspond à des métadonnées de provenance signées attachées aux fichiers pris en charge, tandis que le filigrane textuel de Claude est intégré au niveau du modèle. Un workflow de nettoyage complet traite les métadonnées de fichier et le texte comme des couches séparées.
Une réécriture peut-elle garantir que le filigrane de Claude est indétectable ?
Non. Anthropic n’a publié ni son détecteur ni son algorithme de marquage. Une réécriture intensive avec un modèle non-Claude constitue une démarche raisonnable de type best-effort, et Anthropic mentionne les modifications importantes et la paraphrase parmi les raisons pour lesquelles une marque peut ne plus être détectable. Pour autant, aucun outil tiers ne peut certifier la suppression face à un détecteur non publié.