L'IA marque désormais tout ce qu'elle écrit à l'encre invisible. Et ça se contourne en trois minutes.

Anthropic a annoncé début août 2026 que ses modèles Claude sortis à partir du 2 août intègrent un filigrane invisible dans les textes qu'ils génèrent, au nom des obligations de transparence de l'AI Act européen. Suite à cette annonce, une question se pose : est-ce que ça tient ?

Dans cet article, nous traitons la question à trois niveaux. Ce qui est confirmé par l'éditeur. Ce qui relève du débat technique public et n'est donc qu'une hypothèse. Et ce que tout cela annonce pour le sujet qui nous intéresse vraiment ici, le marquage des photos.

Ce qui est confirmé

Comment ce type de filigrane peut fonctionner, techniquement

Hypothèse 1 : le filigrane est injecté au moment de l'échantillonnage. Un modèle de langage ne produit pas des mots, il produit à chaque étape une distribution de probabilité sur son vocabulaire, typiquement 100 000 à 200 000 tokens. Le mot suivant est tiré dans cette distribution. Tous les schémas publiés interviennent à cette étape de tirage, et non après coup sur le texte fini. Si c'est bien le cas ici, cela expliquerait directement le fait confirmé que le filigrane survit au copier-coller : il ne serait pas autour du texte, il serait le texte.

Hypothèse 2 : le mécanisme des listes vertes. Le schéma de référence, publié par Kirchenbauer et ses coauteurs en 2023, fonctionne ainsi : à chaque mot ou morceau de mot à générer, le système utilise les tokens précédents et une clé secrète pour répartir les choix possibles en deux groupes, une « liste verte » représentant une fraction γ du vocabulaire, souvent 25 % ou 50 %, et une liste rouge. Le modèle reste libre de choisir dans les deux, mais les tokens verts reçoivent un léger avantage dans ses probabilités.

La subtilité importante est que la liste verte change à chaque position. Un mot peut donc être vert dans une phrase et rouge dans une autre : il n'existe pas de liste fixe de « mots IA ». À force de donner ce petit avantage aux choix verts, le texte terminé en contient statistiquement davantage qu'un texte normal. Le détecteur, qui possède la clé, peut reconstruire après coup les listes attendues à chaque position et compter combien de fois le texte tombe du côté vert. Sur quelques mots, cela ne prouve rien. Sur plusieurs centaines de tokens, l'écart peut devenir statistiquement significatif.

Autrement dit, le filigrane n'est pas un caractère caché dans le texte : c'est une légère anomalie statistique dans la succession des mots choisis par le modèle.

Hypothèse 3 : ou bien une variante préservant la distribution. Une autre famille, popularisée par Scott Aaronson, ne biaise pas les probabilités mais remplace le tirage aléatoire par un tirage déterministe piloté par une suite pseudo-aléatoire dérivée de la clé (astuce du Gumbel, ou tirage exponentiel argmax r_i^(1/p_i)). Statistiquement, le texte suit exactement la même distribution qu'un texte non marqué, donc le marquage est indétectable sans la clé, tout en restant corrélé à la suite secrète pour qui la possède. Cette famille ne dégrade pas la qualité du texte, ce qui la rend plus crédible pour un produit commercial. Entre les deux, je penche pour cette seconde piste, mais c'est une intuition, pas une information.

Ce qui est certain dans tous les cas : la détection est un test statistique, pas une lecture. Le détecteur rejoue le hachage sur le texte suspect, reconstruit les listes attendues et compte les correspondances. Sur un texte non marqué, on attend environ γ·T correspondances sur T tokens. On calcule un score :

z = (correspondances observées − γT) / racine( T · γ · (1 − γ) )

Un z de 4 correspond à une probabilité de faux positif de l'ordre de 1 sur 30 000. Deux conséquences non négociables, quel que soit le schéma retenu. La confiance croît en racine de la longueur : il faut typiquement quelques centaines de tokens, soit 150 à 300 mots, pour un score exploitable, donc un titre ou un SMS ne prouveront jamais rien. Et la détection reste probabiliste par construction : elle ne dit jamais « ce texte vient de Claude », elle dit « la probabilité qu'un texte non marqué présente cette distribution est de 1 sur X ».

La limite dure, c'est l'entropie. On ne peut biaiser un choix que s'il existe plusieurs options plausibles. Quand le modèle est quasi certain du token suivant, il n'y a pas de marge, et forcer un token produirait une faute. Les schémas sérieux s'abstiennent de marquer ces positions. Hypothèse raisonnable qui en découle : un texte contraint porte peu ou pas de filigrane. Une citation exacte, une adresse, une formule, une réponse factuelle courte, du code à syntaxe imposée, une traduction fidèle. Le marquage fonctionnerait donc d'autant mieux que le texte est long et libre, c'est-à-dire précisément sur les dissertations et les articles, ce qui est cohérent avec la cible affichée.

Un compromis impossible à contourner. Le hachage dépendant des tokens précédents, toute insertion ou substitution casse la synchronisation localement. On peut rendre le schéma plus résistant à l'édition en réduisant la fenêtre de contexte du hachage, mais on le rend alors plus facile à rétro-analyser pour qui peut interroger le modèle en masse. Robustesse et résistance à la rétro-ingénierie tirent en sens opposés. Il n'existe pas de réglage qui gagne sur les deux tableaux.

Le contournement du filigrane

Anthropic a reconnu que l'édition lourde, la paraphrase et la traduction peuvent rendre le filigrane illisible. À partir de cette information, on peut formuler les hypothèses suivantes.

• Faire réécrire le texte par un autre modèle, typiquement un modèle ouvert exécuté en local et donc non marqué. Ce serait l'attaque la plus efficace et la moins coûteuse, puisqu'elle retire au marquage sa condition d'existence : le choix des mots.
• Réécrire à la main en substituant des synonymes et en restructurant, à condition de toucher une part significative du texte.
• Traduire puis retraduire, le passage par une autre langue redistribuant intégralement le vocabulaire.

Ce qui, en revanche, ne devrait rien changer, et c'est là que beaucoup se trompent. Coller le texte dans un éditeur brut pour retirer la mise en forme ne servirait à rien : dans le mécanisme décrit plus haut, le filigrane n'est ni dans la police, ni dans les espaces, ni dans les métadonnées. Il est dans les choix de tokens eux-mêmes. Si les mots restent identiques, le signal reste identique.

Même chose si l'on retape le texte à la main. Le détecteur ne sait pas si les mots ont été copiés-collés ou saisis au clavier. Techniquement, si l'on reproduit exactement le même texte, on reproduit les mêmes tokens et donc le même signal statistique.

Enfin, demander dix arguments pour n'en conserver que cinq ne supprime pas nécessairement le biais. On réduit surtout la quantité de données dont dispose le détecteur. La proportion de tokens verts devrait, en moyenne, rester anormalement élevée, mais le score devient moins fiable parce que le texte est plus court. C'est une distinction importante. Affaiblir la détection en réduisant l'échantillon n'est pas la même chose que supprimer le filigrane.

Une nuance qui compte. Chaque contournement a un coût, et c'est probablement le vrai objectif de la mesure. Si un humain relit et réécrit tout, on n'est plus face à une production automatique non supervisée mais face à un travail assisté, avec quelqu'un qui engage sa responsabilité. Si un second modèle s'en charge, la qualité se dégrade à chaque passage. Pour la production industrielle de contenu creux et de faux avis, la friction est réelle. Pour un cas individuel, un devoir, une fausse déclaration, un litige à monter, le contournement prend quelques minutes et ne demande aucune compétence. Mon hypothèse : le filigrane fera baisser le volume de contenu automatique, pas la fraude ciblée.

Le filigrane photo

L'annonce d'Anthropic porte sur le texte, mais le marquage a commencé par l'image, et c'est là que les enjeux de fraude se jouent. Une fausse phrase ne fait perdre d'argent à personne. Une fausse photo de colis endommagé, si.

Ce qui est établi. Google marque ses images générées depuis 2023 avec sa technologie SynthID, et l'a étendue depuis à l'audio, à la vidéo et au texte. En parallèle, le standard C2PA, porté par Adobe, Microsoft et Google, permet d'attacher à un fichier un historique de provenance signé, indiquant quel outil a créé l'image et quelles modifications ont suivi. Ces deux approches sont complémentaires : l'une vit dans les pixels, l'autre dans les métadonnées. Nous détaillons la seconde dans notre article sur le C2PA.

Comment ça fonctionne, en principe. Un filigrane d'image ne se cache pas dans un coin de l'image, il est réparti sur l'ensemble des pixels sous forme d'un motif de très faible amplitude, imperceptible mais statistiquement corrélé à une clé. Dans le cas d'un générateur, on peut aller plus loin et biaiser le bruit initial du processus de diffusion, de sorte que l'image porte le marquage dès sa création plutôt qu'après coup. La détection est, là encore, un test de corrélation qui rend un score, pas un verdict binaire.

Pourquoi le filigrane image est structurellement plus solide que le filigrane texte. C'est une analyse, pas une donnée d'éditeur, mais elle repose sur une réalité simple : une photo de 12 mégapixels offre des dizaines de millions de valeurs modifiables sans conséquence visible, là où un texte de 500 mots n'offre que quelques centaines de choix, dont une partie est contrainte par le sens. La capacité de camouflage n'a rien à voir. Un filigrane image dispose donc d'une marge de redondance considérable, ce qui lui permet de survivre à des transformations qui détruiraient totalement un marquage textuel.

Ce que Google affirme, et ce qui reste à vérifier. Google indique que SynthID résiste à des modifications courantes comme le recadrage, le redimensionnement, la compression ou l'ajout de filtres. C'est une affirmation de l'éditeur. À ma connaissance, il n'existe pas d'évaluation indépendante publique à grande échelle qui permette de dire jusqu'où va exactement cette résistance, ni à partir de quel niveau de dégradation le score devient inexploitable. À traiter comme une revendication crédible, pas comme un fait mesuré.

Les contournements plausibles, côté image

• Reprendre l'image en photo, ou la capturer à l'écran. On repasse par un capteur physique ou par un pipeline de rendu, ce qui peut casser la corrélation fine et supprime au passage toutes les métadonnées C2PA.
• Recompresser agressivement, rééchantillonner, ajouter du grain. On dégrade le signal jusqu'à faire passer le score sous le seuil de détection. Le coût est visible : l'image perd en qualité.
• Repasser l'image dans un second modèle en mode image vers image, ou dans un rehausseur de résolution. Chaque pixel est reconstruit, donc le motif d'origine ne survit pas nécessairement.
• Ne jamais utiliser d'outil marqué. C'est le contournement le plus banal et le plus radical. Un modèle de génération d'images ouvert, installé sur un ordinateur personnel, ne marque rien du tout. Aucune obligation technique ne s'applique à un logiciel qui tourne hors ligne chez un particulier.

Ce dernier point est décisif et vaut aussi pour le texte. Le marquage repose entièrement sur la coopération de celui qui génère le contenu. Les acteurs qui s'y conforment sont les acteurs légitimes. Celui qui monte une fausse déclaration de sinistre ou une contestation de colis n'utilisera précisément pas l'outil qui laisse une trace. Le filigrane rend le contenu honnête traçable, il ne rend pas le contenu malhonnête détectable.

Et le point le plus important pour un vendeur ou un assureur : un filigrane image ne dit jamais rien d'une vraie photo. Il répond à la question « cette image sort-elle de tel générateur ? ». Il ne répond jamais à « cette photo montre-t-elle bien cet objet, à cette date, dans cet état ? ». Une photo authentique n'a pas de filigrane, et une photo générée par un outil non marqué non plus. Les deux se ressemblent exactement du point de vue d'un détecteur. Les indices visuels gardent leur intérêt, nous les avons recensés dans notre guide de détection, mais ils courent derrière des générateurs qui s'améliorent plus vite qu'eux.

La bonne question n'est pas « est-ce une IA ? » mais « d'où vient ce fichier ? »

Tout le paradigme du filigrane, texte comme image, repose sur une preuve négative : démontrer qu'un contenu est artificiel. Il dépend de la coopération du générateur et s'effondre dès qu'elle disparaît. L'approche inverse est la preuve positive, apportée à la source par celui qui a intérêt à se protéger. Une photo prise avec CertiPix est signée au moment même de la prise de vue, horodatée, puis ancrée de façon indépendante. Il n'y a plus rien à estimer après coup : soit la preuve existe et correspond au fichier, soit elle n'existe pas. Un fichier modifié après signature ne correspond plus, et personne n'a besoin de calculer une probabilité pour le constater. On passe d'un test statistique, avec ses faux positifs et ses faux négatifs, à une vérification déterministe.

Une précision honnête s'impose : l'absence de certificat ne prouve pas qu'une photo est fausse, exactement comme l'absence de filigrane ne prouve pas qu'un texte est humain. Une preuve à la source ne sert pas à accuser les autres, elle sert à se défendre soi-même. Sur une marketplace, dans une déclaration de sinistre ou lors d'une remise de clés, celui qui peut présenter une photo certifiée n'a pas à convaincre, il montre. La discussion s'arrête là.

Ce que ça change concrètement

Pour un vendeur particulier, rien ne change au quotidien, sinon la confirmation qu'attendre un futur outil de détection universel est une mauvaise stratégie. La bonne réponse à une photo contestée reste la photo horodatée prise au bon moment, avant l'expédition et à la réception. Pour une marketplace ou un assureur, un score de filigrane est un signal parmi d'autres, jamais une preuve à charge suffisante pour refuser un remboursement ou fermer un compte. Pour une école ou un éditeur, même message : un score ouvre une conversation, il ne clôt pas un dossier. Et pour tout le monde, l'annonce d'Anthropic a un mérite, celui de rendre visible un débat resté jusque-là technique. Marquer les contenus générés est une bonne chose. Cela ne remplacera jamais le fait de pouvoir prouver l'origine de ce que l'on produit soi-même.

Un filigrane cherche à prouver qu'un contenu est artificiel, et dépend donc de celui qui le génère. Une preuve à la source démontre qu'un fichier est authentique, et ne dépend que de vous.