Anthropic vừa chính thức mở sách về watermark văn bản của Claude: nó là một phiên bản của SynthID-Text mà Google DeepMind công bố trên Nature năm 2024, hoạt động bằng cách thay đổi nguồn ngẫu nhiên khi chọn từ, và hoàn toàn có thể bị xóa nếu bạn viết lại toàn bộ văn bản. Không có ký tự ẩn, không có metadata, không thêm token nào cả. Mình theo dõi chuyện watermark đủ lâu và đây là lần đầu tiên một hãng AI lớn giải thích trắng đen đến mức này.
Nếu bạn đang dùng Claude để viết content, chỉnh bài hay dịch thuật, chuyện này liên quan trực tiếp đến bạn. Bài này mình tóm hết những gì Anthropic vừa tiết lộ, chỗ nào watermark mạnh, chỗ nào nó yếu như tờ giấy, và dân làm content nên xử lý thế nào.
Watermark Claude là gì và Anthropic vừa công bố điều gì?
Watermark Claude là dấu vô hình được cài vào văn bản do Claude tạo ra, nhằm tuân thủ Điều 50 của EU AI Act. Anthropic xác nhận watermark này là một phiên bản của SynthID-Text do Google DeepMind phát triển, thuộc dòng giải pháp mà Scott Aaronson đề xuất từ 2022. Các model Claude ra mắt từ 2/8 ở EU sẽ hỗ trợ đánh dấu ngay từ đầu, và người dùng không có tùy chọn tắt.
Chuyện này gây ồn ào cả tuần nay. Forbes ghi nhận nhiều writer bức bối vì bài viết của chính họ, chỉ nhờ Claude sửa lỗi chính tả, cũng bị dính dấu. Trên Reddit thì phe còn lại đáp trả thẳng: nếu bạn giận vì watermark khiến ai đó phát hiện bạn dùng AI trong công việc, thì vấn đề nằm ở bạn chứ không nằm ở watermark. Hai phe cãi nhau đến tận bây giờ.
Watermark Claude hoạt động như thế nào?
Cơ chế rất gọn: LLM khi sinh văn bản không phải lúc nào cũng chọn từ có xác suất cao nhất, mà có một lượng ngẫu nhiên nhất định. Watermark thay nguồn ngẫu nhiên đó bằng khóa watermark cộng với ngữ cảnh các từ đứng trước. Người đọc không thể phân biệt, nhưng ai nắm khóa có thể kiểm tra chuỗi từ và xác nhận văn bản có nhất quán với lựa chọn Claude đã tạo hay không.
Điều mình thích ở phần công bố này là nó đập chết luôn mấy thuyết âm mưu đang lan trên mạng xã hội. Không, không có ký tự Unicode chèn vào text. Không, không phải tại mấy cái em dash hay cấu trúc “không phải X mà là Y” quen thuộc. Và không, nó không đoán “văn bản này có vẻ do AI viết” — nó chỉ tìm một pattern cụ thể được cài ngay lúc sinh text. Ai đang bán khóa học “nhận diện AI content qua dấu hiệu ngôn ngữ” thì giờ hơi khó xử.
Một điểm đáng chú ý: ảnh dạng JPG, PNG, SVG sẽ dùng C2PA metadata thay vì cơ chế này, và toàn bộ quá trình watermark gần như không ảnh hưởng tốc độ, không tốn thêm token. Anthropic cũng hứa sẽ ra mắt API phát hiện watermark riêng.
Có thể xóa watermark Claude không?
Có, và Anthropic thừa nhận thẳng thắn: chỉnh sửa nhẹ nhiều khả năng không xóa được, nhưng viết lại toàn bộ, thay từng chữ một, sẽ xóa được dấu. Đến mức đó thì cũng khó gọi văn bản còn là “AI-generated”. Nghiên cứu từ ETH Zurich còn cho thấy các watermark kiểu này có thể bị scrub hoặc spoof qua API công khai với chi phí dưới 50 USD, tỉ lệ thành công trên 80%.
Đây chính là chỗ mọi thứ trở nên lắt nhắt. Một đội nghiên cứu khác trình bày tại ICML 2025 đạt gần như thành công hoàn toàn khi tấn công 7 phương pháp watermark gần nhất, chi phí chỉ 0,88 USD cho một triệu token, bằng cách paraphrase nhắm thẳng vào các token chứa watermark mà không cần biết thuật toán. Nói cách khác: watermark mạnh với người dùng bình thường, nhưng với người thật sự muốn xóa, nó là một lớp bảo vệ khá mong manh.
Mình đã từng viết về Google cho tắt watermark ảnh trên Gemini và kết luận vẫn y nguyên ở đây: dấu hiệu kỹ thuật khó xóa hoàn toàn, nhưng cũng không phải lá chắn tuyệt đối. Chỉnh sửa nhẹ thì dấu còn nguyên, nhưng bản viết lại kỹ thì dấu mất. Đó là đánh đổi có thiết kế.
Watermark Claude yếu ở những điểm nào?
Bốn điểm yếu mà Anthropic tự khai: văn bản ngắn cho tín hiệu kém nên khó phát hiện, nội dung tính chất thực tế (factual) có ít lựa chọn từ nên dấu yếu hơn, tác vụ chỉ sửa lỗi chính tả và ngữ pháp tạo quá ít thay đổi để dấu đăng ký được, và các model ra mắt trước thời điểm hỗ trợ thì không có dấu. Code của Practice còn miễn marking cho văn bản tự do dưới 200 token.
Mình thấy điểm yếu “factual content” thú vị nhất. Nghĩa là một bài tin tức khô khan, đầy con số và tên riêng, sẽ khó giữ watermark hơn một bài blog tường thuật tự do. Ngược lại, mấy bài “feeling-based”, dài, viết thoải mái chính là nơi watermark sống khỏe nhất. Nếu bạn làm content dạng listicle, review, storytelling bằng Claude thì dấu sẽ đậm hơn ai hết.
Tại sao dân làm SEO và content cần để ý chuyện này?
Vì những ông chủ cây tìm kiếm nằm trong số người có thể đọc dấu. Google, Microsoft, Meta, OpenAI và Anthropic đều đã ký Code of Practice về minh bạch nội dung AI của EU, với khoảng 190 tổ chức tham gia. Dấu watermark tồn tại để máy đọc được, và các công ty quyết định thứ hạng cũng thuộc nhóm có khả năng đọc chúng. Câu hỏi lớn: nội dung có dấu có bị đối xử khác khi crawl và index hay không? Chưa ai tuyên bố gì cả.
Nhưng kịch bản thực tế đang đến gần hơn bạn nghĩ. Các agency đưa content viết bằng AI lên site khách hàng mỗi ngày, và giờ một phần chữ đó rời Claude đã mang theo dấu máy đọc được, sống sót qua cả khâu dán vào CMS. Dữ liệu Ahrefs trên 331.000 trang đã cho thấy content AI càng nhiều thì thứ hạng càng thấp, mình đã phân tích tại bài Ahrefs chứng minh AI content rank thấp hơn. Giờ thêm lớp watermark có thể đọc được, bài toán “AI content có bị phạt không” chuyển sang một sân chơi hoàn toàn mới.
Một cảnh báo thực tế nữa từ chính cách dấu hoạt động: dấu phát hiện được chỉ nói “AI có thể đã xử lý văn bản này”, chứ không nói “AI đã viết nó”. Bạn tự viết bài rồi nhờ Claude proofread? Bài của bạn có thể mang dấu. Dấu âm tính cũng chẳng nói lên gì, vì model cũ, đoạn ngắn, text chỉnh sửa kỹ đều sạch bong. Vấn đề là khách hàng, trường đại học hay marketplace sắp bắt đầu đòi “bằng chứng content do người viết” trước khi chúng ta có công cụ trả lời chính xác câu hỏi đó.
Mình nên chuẩn bị gì từ bây giờ?
Ba việc cụ thể: thứ nhất, nếu quy trình content của bạn đang chạy Claude ở khâu viết chính, hãy nhớ text output sau 2/8 có thể mang dấu và không thể tắt. Thứ hai, đừng tin các công cụ “AI detection” gắn nhãn xanh đỏ, vì tín hiệu watermark vốn không được thiết kế để trả lời câu hỏi tác giả. Thứ ba, chờ API phát hiện chính thức của Anthropic rồi tự kiểm tra một vài mẫu nội dung của bạn trước khi rút kết luận.
Cá nhân mình thì cứ nhìn thẳng vào thực tế: EU AI Act Điều 50 đã có hiệu lực từ 2/8 và watermark là chuyện bắt buộc, không phải tùy chọn, như mình đã phân tích trong bài SEOer cần làm gì với quy định dán nhãn nội dung AI. Nếu muốn hiểu sâu hơn về khái niệm nền tảng, bạn có thể đọc thêm AI Watermarking là gì trước khi đi tiếp.
Kết luận: watermark là kính hay là tường?
Sau khi đọc hết tài liệu Anthropic công bố, mình ra một kết luận hơi ngược đời: watermark Claude vừa rất mạnh vừa rất yếu. Mạnh vì nó nằm ngay trong cách chọn từ, không thể copy-paste cho ai đó soi như phát hiện metadata. Yếu vì chỉ cần một vòng paraphrase nghiêm túc là dấu tan, và giới nghiên cứu đã chứng minh điều đó với chi phí chưa tới 1 USD một triệu token.
Vậy nó thật sự là gì? Mình nghĩ nó là kính trong suốt: không chặn được ai thật sự muốn vượt qua, nhưng làm cho mọi thứ minh bạch hơn với người tuân thủ luật. Với dân làm content chân chính, chiến lược an toàn nhất vẫn là thứ bạn nào cũng biết nhưng hay lười: dùng AI để nghiên cứu và phác thảo, rồi tự tay viết câu chữ cuối cùng. Cái đó không chỉ xóa dấu watermark, nó xóa luôn dấu của một content tạm bợ.
