Dissemos Que Texto Não Podia Carregar Marca D'Água. A Anthropic Lançou Uma

Em agosto de 2026, a Anthropic lançou marca d’água estatística por escolha de palavras em todos os novos modelos Claude. Nós havíamos publicado o argumento de que um mandato de marca d’água em texto era inexequível. O fornecedor mais associado a engenharia de segurança acaba de testar essa afirmação em produção, e o movimento honesto é avaliar a nossa própria tese contra o lançamento. Uma metade dela morreu. A outra metade foi confirmada pelo próprio mecanismo.

O motor regulatório é explícito. A Anthropic cita o Código de Prática da União Europeia sobre Transparência de Conteúdo Gerado por IA, com cerca de 190 signatários, como a razão de a funcionalidade existir. Isso importa para a leitura de tudo o que vem abaixo: a marca d’água foi construída para cumprir um compromisso de transparência, e as escolhas de engenharia derivam desse objetivo, e de um modelo de ameaça adversarial elas não derivam.

O Que Foi Lançado

O mecanismo enviesa escolhas de palavras estatisticamente, invisível para o leitor, detectável por quem detém a chave. Três propriedades definem o escopo, todas conforme reportado pelo Daring Fireball:

Aplica-se a texto acima de 200 tokens.
Marca texto que o modelo gerou e também texto que o modelo apenas processou, o que inclui revisão gramatical e sumarização de um rascunho humano.
Somente a Anthropic detém as chaves de detecção. Nenhum terceiro consegue verificar de forma independente.

Sobre a qualidade do texto, a evidência do deployment vizinho do Google tranquiliza. O estudo de usuários do SynthID mediu um delta de 0,01% na taxa de aprovação e de 0,02% na de reprovação entre modelos com e sem marca d’água. Marcação estatística por escolha de palavras, ao menos nessas escalas, passa despercebida pelos usuários.

A marca é real, é barata e acompanha o uso normal. A pergunta que decide se algo disso serve para governança é o que custa removê-la.

A Metade da Nossa Tese Que Morreu

Nosso texto original argumentava que texto era um meio maleável demais para segurar qualquer marca. Essa afirmação sucumbiu ao lançamento.

Contra cópia casual, o mecanismo resiste mais do que previmos. O número mais forte vem da análise de mecanismo do declaude.org: texto parafraseado por um humano volta a ser detectável a partir de cerca de 800 tokens, algo em torno de 600 palavras. Leia isso operacionalmente. Um funcionário que cola a saída do Claude em um documento e a reescreve à mão, frase por frase, ainda produz um artefato detectável quando a passagem é longa o suficiente. O sinal estatístico acumula ao longo do texto inteiro, então edições locais o diluem sem apagá-lo.

Para a população de usuários honestos, que é a maior parte de qualquer empresa, a marca d’água funciona. Um estudante editando de leve uma redação gerada, um consultor remodelando um relatório gerado, alguém de marketing retocando uma copy gerada: em comprimentos realistas de documento, a detecção é provável. O que quer que tenhamos escrito sobre a impossibilidade de marcar prosa, o produto em produção falsifica nesse patamar.

A Metade Que Foi Confirmada

A mesma fonte carrega os dados do colapso. Sob recomposição total, quando o texto é reescrito em vez de editado, cerca de 0,5% das janelas marcadas sobrevivem, e a precisão do detector cai de uma AUC de 0,99 para aproximadamente 0,5. Uma AUC de 0,5 é um cara ou coroa. O detector, nesse ponto, carrega zero informação.

Uma ressalva antes de pesar esses números: o autor do declaude.org, James Padolsey, constrói uma ferramenta de remoção de marca d’água, então ele tem interesse comercial declarado em a marca parecer fraca. Os números dele vêm dos dados MarkLLM KGW/EXP, e por isso os citamos, mas o interesse fica registrado ao lado da citação.

O próprio interesse comercial é a segunda confirmação. Uma ferramenta de remoção existia antes de existir ferramental público de detecção. A economia da corrida armamentista está visível na sequência de lançamento: quem quer remover a marca lançou primeiro, e quem quer checar a marca ainda hoje consegue apenas pedir à Anthropic, porque só ela detém as chaves. Nossa afirmação original, de que marca d’água em texto é inexequível contra engano deliberado, agora tem o mecanismo do próprio fornecedor como evidência. Qualquer pessoa motivada a esconder autoria de IA roda um passe de reescrita completa e atravessa o detector com probabilidade de cara ou coroa.

Detecção Sem Atribuição

A regra de escopo merece mais atenção do que os números de robustez, porque é onde programas de compliance vão machucar as próprias pessoas primeiro.

A marca d’água se aplica a texto processado, acima de 200 tokens, tanto quando o Claude escreveu quanto quando apenas tocou no texto. Uma marca encontrada significa, portanto, que o texto passou pelo Claude. Autoria do Claude é uma conclusão que a marca sozinha jamais sustenta. Um funcionário que redige um relatório do zero e pede ao Claude uma revisão gramatical produz um documento marcado. Uma política guiada por detector que trata “marca encontrada” como “escrito por IA” vai classificar errado exatamente os funcionários que usaram a ferramenta da forma mais defensável.

Essa é a mesma distinção entre detecção e proveniência que percorremos no precedente do PhotoDNA para infraestrutura de proveniência: um sinal de que algo passou por um sistema é um objeto diferente de uma afirmação sobre quem foi o autor, e todo o modo de falha mora em confundir os dois. O design de chave única agrava o quadro. Como somente a Anthropic roda a detecção, você fica impedido de auditar um resultado positivo, de reproduzi-lo e de contestá-lo com ferramental próprio. Qualquer consequência de política atrelada à marca repousa sobre uma etapa de verificação que você nem executa nem inspeciona.

O Controle Que Pega o Honesto e Erra o Adversário

Junte as duas metades e o formato é familiar para quem já operou um programa de compliance. A marca d’água pega com confiabilidade o usuário casual e honesto: a pessoa que colou, editou de leve ou pediu revisão de um rascunho. E erra estruturalmente o enganador deliberado, que reescreve e derruba a detecção ao acaso. A população que você já governava por política e cultura é a população que o instrumento enxerga. A população para a qual o instrumento foi construído fica fora do alcance dele.

Essa inversão nasce da física que os dados do colapso descrevem: o sinal mora na escolha de palavras, e a recomposição total troca todas as palavras. Qualquer marca d’água estatística em texto herda a mesma assimetria. Por isso a resposta certa é corrigir a linguagem da sua política agora, antes que a marca d’água de um fornecedor apareça dentro do seu próprio pipeline de conteúdo por uma etapa de revisão que ninguém registrou.

Faça Isto Agora

Três movimentos concretos, nenhum exigindo ferramenta nova.

Primeiro, procure na sua política de IA e nos contratos de fornecedor qualquer linguagem que trate detecção de marca d’água como prova de autoria por IA. Reescreva para “processado por um sistema de IA”, que é o que a marca de fato atesta. A regra dos 200 tokens sobre texto processado garante atribuições falsas sob a leitura mais estrita.

Segundo, decida com antecedência o que uma detecção positiva dispara, e faça disso uma conversa em vez de uma sanção. Os números do próprio mecanismo dizem que os positivos vão se concentrar em usuários honestos, e o caminho de verificação passa por um único fornecedor que você tem como auditar de nenhuma forma.

Terceiro, mantenha a marca d’água inteiramente fora dos seus controles de fraude e engano. AUC de 0,5 sob reescrita significa contribuição nula contra um adversário motivado, e um controle que apenas aparenta cobrir um risco é pior do que uma ausência documentada, porque impede a construção do controle que cobriria.

Erramos ao dizer que texto era incapaz de carregar uma marca. Acertamos ao dizer que a marca é incapaz de impor honestidade. As duas atualizações agora estão registradas, que é onde uma tese deve estar depois que a evidência chega ao mercado.

Fontes

Daring Fireball (John Gruber). “Anthropic’s Watermark Text Adulteration in Claude Is a Perversion of Writing.” Agosto de 2026.
declaude (James Padolsey). “How AI Text Watermarking Works.” Agosto de 2026.

A Victorino ajuda organizações a escrever controles de uso de IA que sobrevivem ao contato com a mecânica real de detecção: contato@victorino.com.br | www.victorino.com.br