就在剛剛，Anthropic的護城河被踩碎了。
今早，一個去水印神器程式碼庫在GitHub上徹底爆火，狂攬11,000顆星！
Github項目：https://github.com/guillaumemeyer/watermarks-remover
它採用MIT開源協議，不僅能抹除Claude的水印，還讓Google的SynthID-Text和OpenAI的隱形標記也難逃一劫。
更狠的是，連圖像和PDF檔案中的C2PA鑑權資料、EXIF中繼資料，它也能清得乾乾淨淨。
本來，就在上周，Anthropic還在高調炫技，發了一篇洋洋灑灑的官方部落格，詳細拆解了引以為傲的「文字水印追蹤技術」。
沒想到才沒過幾天，迴旋鏢就打到自己頭上了。
面對這個項目，開發者們一致叫好。大模型的水印防線，就這樣被一腳踩碎了。
項目發起人，AI初創Memo的創始人
01. Anthropic的「絕對防禦」偷換機率的隱形魔法
要理解這個開源神器的厲害之處，我們首先得看看Anthropic在官方部落格裡，是怎麼吹捧自家水印技術的。
根據Anthropic工程師的解密，Claude的文字水印堪稱「AI圈最反直覺的秘密」。
在過去，給數字內容加水印：要麼在圖片上蓋個半透明Logo，要麼在文字裡塞幾個肉眼看不見、但機器能讀出來的「零寬字元」。
這種初級手段，懂點程式碼的人用正則匹配一秒鐘就能刪乾淨。
但這次，Anthropic採用了基於Google的SynthID-Text 方案。這是一種「統計型文字水印」。
LLM生成文字的本質是「詞接龍」。每次吐出Token，都是做機率選擇。
Anthropic的黑科技就在於：偷偷換掉了這個「骰子」。他們把原本真正的隨機數，替換成了基於官方金鑰和前文內容的「雜湊值」。
他們在官方部落格裡這樣打比方：
想像大家在玩大富翁，原本是靠擲骰子決定走幾步。現在，官方偷偷把骰子換成了一本《圓周率》。玩家每次走幾步，直接按照圓周率小數點後的數字來。
對於玩家來說，每次的步數依然是「隨機」的，文字質量沒有任何下降。但只要官方事後拿著那本《圓周率》（金鑰）去核對你的步數軌跡，就能瞬間抓包：「嘿，這段話是你用Claude生成的！」
Anthropic自信滿滿地表示：沒有額外Token消耗，沒有隱藏字元。
只要你不把逐字重寫，那怕你做輕微的修改，這個統計學上的「圓周率軌跡」依然存在，水印就永遠洗不掉。
對此，開源社區給出的答案是：既然你逼我重寫，那我就用魔法打敗魔法！
02. 魔高一尺道高一丈：GitHub神器的「三層扒皮法」
面對Anthropic的「絕對防禦」，這個 watermarks-remover 項目展現出令人驚嘆的工程美學。
它不僅僅是一個簡單的指令碼，而是一個「Agent Skill + 標準Python服務」的複合體。
它通過HTTP驅動底層的清洗引擎，完美避開了本地環境的繁瑣配置。
為了徹底抹除巨頭們的標記，開發者直接祭出了「三層扒皮法」加「圖像深度淨化」。
第一層：手撕物理級隱形魔法
儘管Anthropic宣稱自己不用隱藏字元，但市面上依然存在大量物理層面的標記。
watermarks-remover 的 Layer A 會進行極度深度的文字衛生清理。
它不僅清理常規的Invisible Unicode（隱形Unicode字元），連特殊的空白符、雙向文字控制字元等一切可能攜帶Payload的隱藏字元，都會被清理。
而且，這步操作是完全無損的。
第二層：針對SynthID的終極必殺——「代理重寫洗稿」
Anthropic和Google的SynthID-Text把水印藏在了「詞彙分佈的統計規律」裡，怎麼破？
作者在項目中一針見血點出關鍵：「剝離統計學水印需要重寫文字的很大一部分——是逐句重寫，而不是逐段重寫。」
既然人力重寫太累，那就讓Agent來幹！
Layer B 的核心邏輯，是引入一個非源頭模型作為清洗引擎。
比如，如果你想洗掉Claude的水印，系統會呼叫本地的Ollama運行Llama 3，或者呼叫其他的API。
它使用特定的Prompt，在儘可能保持原意和專業術語的情況下，對文字進行大面積的釋義和回譯。
既然Claude用圓周率走位，那Layer B就直接掀翻棋盤，用Llama 3的機率分佈重新走了一遍。這徹底破壞了原文字的統計學特徵，讓Anthropic的金鑰直接抓瞎。
當然，作者也承認：這會給文字帶來一定程度的降級。
第三層：檔案級中繼資料大清洗
另外，Anthropic還會給生成的圖片（PNG/JPEG/SVG）和檔案（PDF/DOCX/HTML）加入C2PA鑑權資料。
對此，Layer C 展現了極強的「拆彈能力」。它支援幾乎所有主流格式，精準定位檔案中的C2PA、EXIF、XMP乃至DOCX/PDF的文件屬性，並將其直接剝離。
尤其值得一提的，是它的防禦性設計：以前的舊版本如果不小心把圖片當作文字去處理，會導致檔案損壞。
現在的更新中，系統能通過擴展名和Magic Bytes自動檢測檔案類型，文字工具會自動拒絕二進制輸入，極其優雅。
03. 還有硬核的：圖像像素級洗刷與MarkLLM驗證機制
如果你以為，這個項目僅僅是洗洗文字和檔案屬性，那就太小看它11,000星的含金量了。
它在圖像像素級脫水和科學驗證上，同樣做到了極致。
首先，它對像素級圖像水印進行了暴力重構。
像Google的SynthID-media、StegaStamp、Tree-Ring這類圖像水印，是直接把訊號打進像素頻域裡的，清掉EXIF根本沒用。
為此，項目中整合了極其硬核的外部後端：
CtrlRegen 引擎：它使用了25年ICLR最新技術，結合了ControlNet和DINOv2 IP-Adapter。
簡單來說，它不是在原圖上塗抹，而是「受控地重新生成」一張高度相似的圖。對於大於512x512的圖片，它會自動進行重疊分塊、處理後再平滑拼接。
這等於把帶水印的大樓拆了，用同樣的圖紙原地重建了一棟，水印自然灰飛煙滅。
MarkDiffusion驗證與淨化：它內建了一個針對擴散模型的盲重生成攻擊，來清冼像素水印。
而且，過程中完全不用靠猜，它會用MarkLLM進行「科學靶向驗證」。
這個項目最讓人歎服的點在於：它不憑感覺說「我刪掉了」，而是引入了清華大學主導的開源框架 MarkLLM 和 MarkDiffusion，作為驗證harness。
這實在太極客了。
它會在本地進行一場「左右互搏」：先用KGW機制給一段文字打上水印，然後用 Layer B 引擎清洗，最後再用 MarkLLM 嘗試檢測。
如果檢測器報出「未發現水印」，才證明清洗已閉環！
04. Claude死活不刪，中國大模型秒搞定
有趣的是，實踐中還出了一件好玩的事。
有網友嘗試讓Claude自己運行這個項目的外掛，幫自己清除標記。
結果，Claude直接拒絕了。
無論使用者怎麼苦口婆心地解釋：「這是我自己的內容，我擁有版權，我只是不想要這些水印」，Claude依然像個冰冷的機器一樣無情拒絕。
Anthropic顯然在底層協議裡寫死了限制，禁止自家AI協助使用者移除這些「監管標記」。
結果，被惹毛的使用者轉頭就把外掛裝到了其他中國大模型身上。結果秒裝成功，把水印徹底清洗。
05. 我們為什麼如此反感「賽博烙印」
這個項目為什麼會火得一塌糊塗？因為它切中了全球使用者的痛點：強買強賣的「賽博烙印」。
在這11,000多顆Star背後，是全網開發者對大公司傲慢的集體反擊。
事情的起因，是Anthropic為了討好歐盟，遵守那部嚴苛的《歐盟人工智慧法案》。
歐盟規定：如果你在歐盟提供AI服務，就必須讓人能檢測出內容是不是AI生成的。
本來，這只是歐盟的規矩。但Anthropic卻十分簡單粗暴：既然我沒法精準區分誰在歐洲，那我就給全球使用者全部打上水印！
那怕是付費使用者，也沒有關閉這個功能的選項。
網友們瞬間炸鍋了：「歐盟自己搞出來的監管焦慮，憑什麼讓全世界幾十億人買單？」
使用一個工具，並不意味著這個工具就是作品的創作者。
回顧歷史，人類的思想一直需要「第二雙手」來落到紙面上。
愛因斯坦有助手，達爾文有記錄員，但這群打字員、書記員，從來不會留下水印。
今天，AI只不過是一個掌握了龐大語言資源的超級打字機。很多人花了幾十個小時閱讀、構思，只是最後讓Claude潤色一下。
而Anthropic卻表示：只要AI參與了一丁點，這件作品的「純潔性」就被污染了。
原本是人類支配工具的過程，徹底被顛倒成了——人類需要向工具證明「我才是真正的作者」。
目前，這場貓鼠遊戲遠未結束。
watermarks-remover 的作者也坦言，直到各大廠商公佈官方的檢測器和金鑰之前，所有的去除手段都只能說是最大努力。
但這正是開源社區的魅力所在——不盲從巨頭，用程式碼捍衛控制權。 (新智元)