Il ripulitore di watermark Claude da 4.500 stelle su GitHub funziona a metà

Sono bastati pochi giorni dall’annuncio con cui Anthropic ha comunicato di aver attivato marchi invisibili in tutto ci� che Claude scrive perch� nascesse un mercato dedicato a toglierli. Su GitHub � gi� comparso un progetto con oltre 4.500 stelle che promette di riuscire a rimuovere le marcature “nascoste”.

Va per� precisato subito che nessuna delle promesse di rimozione � oggi verificabile. Anthropic non ha pubblicato il funzionamento del watermark testuale n� rilasciato il rilevatore che direbbe se un documento ripulito porta ancora il marchio. L’azienda dichiara che pubblicher� pi� avanti la documentazione tecnica e che supporter� la rilevazione da parte di terzi, come impongono le regole di trasparenza europee.

La pagina di supporto pubblicata questa settimana da Anthropic fissa il perimetro: i testi prodotti dai modelli lanciati dal 2 agosto 2026 in poi portano un watermark impercettibile intessuto nella formulazione stessa delle frasi. A imporlo � l’articolo 50 dell’AI Act europeo, applicabile dallo stesso 2 agosto, con sanzioni che arrivano a 15 milioni di euro o al 3% del fatturato globale.

La marcatura viene applicata a livello di modello, quindi compare ovunque il modello venga usato: API, claude.ai, Claude Code, Claude Cowork e Claude Tag, e i canali di terzi come AWS, Google Cloud e Microsoft Foundry. Ai tipi di file supportati Anthropic aggiunge metadati C2PA firmati.

Che cosa rimuovono davvero gli strumenti in circolazione

Gli strumenti comparsi in questi giorni possono fare una tra tre cose diverse, e solo due di queste possono essere davvero verificate. La rimozione dei caratteri nascosti dal testo funziona e si pu� contare: caratteri a larghezza zero, controlli di direzionalit�, caratteri tag Unicode, spazi visivamente identici a quelli ordinari. Sono elementi che si trovano e si eliminano in modo deterministico, e il risultato si verifica riaprendo il file.

Funziona anche la ripulitura dei metadati C2PA, EXIF e XMP dai file, su PNG, JPEG, SVG, PDF, DOCX, ODT, HTML e Markdown. � la parte che tocca direttamente i dati di provenienza firmati da Anthropic, ed � anche la meno impegnativa: i metadati di un file non sopravvivono comunque a un nuovo salvataggio, a una conversione di formato o a uno screenshot.

La parte difficile � il watermark vero, che non abita nei caratteri invisibili. Vive nella scelta delle parole che il modello ha compiuto, e l’unico modo noto per cancellarlo � riscrivere il testo in profondit� appoggiandosi a un secondo modello. Guillaume Meyer, sviluppatore e fondatore di Memo, autore del progetto pi� seguito, � insolitamente esplicito su questo punto: mercoled� ha scritto che per ora il suo strumento rimuove soltanto i metadati e che l’eliminazione dei marchi veri potrebbe arrivare pi� avanti, ma oggi non c’�. Il README aggiunge l’argomento economico: una riscrittura sostituisce le scelte lessicali del modello originale con quelle di un modello pi� economico, e chi paga per un modello di fascia alta ha poche ragioni per far ripassare il risultato da uno peggiore.

I siti commerciali sono meno prudenti. Diversi promettono un testo pulito e non rilevabile, e i punteggi che restituiscono sono misurati contro i normali rilevatori di testo generato, non contro il watermark di Anthropic, per il quale un rilevatore pubblico non esiste. StealthGPT, che vende servizi di aggiramento dei rilevatori, ha aggiunto un rimuovi-watermark per Claude alle proprie pagine, e nella stessa tabella comparativa avverte che “nessuno strumento garantisce il 100% di aggiramento, i modelli di rilevamento si aggiornano regolarmente”. Un secondo servizio, Human Writes, pubblicizza l’aggiramento di Turnitin e GPTZero su temi e compiti, dichiara di togliere il marchio di Claude e chiude la pagina ricordando che il servizio va usato nel rispetto delle politiche di integrit� accademica.

Una verifica indipendente ha gi� trovato dei buchi. Lo sviluppatore italiano Pasquale Pillitteri ha clonato i progetti principali e ne ha letto il codice invece dei README, scoprendo che uno dei ripulitori di testo pi� diffusi lasciava passare intatta la tecnica di payload nascosto pi� comune: dopo il presunto lavaggio, il payload si decodificava ancora per intero.

Un marchio che dice meno di quanto sembri

Anthropic stessa riconosce che un marchio rilevato indica che il contenuto � stato processato da Claude, non che sia stato scritto da Claude. Basta far passare dal modello un testo proprio per una correzione grammaticale, una traduzione o un riassunto perch� l’output torni marchiato. La stessa pagina elenca le circostanze in cui il marchio sparisce: revisione pesante, parafrasi, traduzione. Sotto il post di Meyer, Emad Ghorbaninia ha liquidato l’intero meccanismo come “una casella di conformit� da spuntare, non una difesa reale”, e Meyer ha concordato sulla prima met�, rispondendo che si tratta di “pura conformit� per restare sul mercato europeo”. La sua affermazione pi� forte, per cui un solo strumento cancellerebbe in un passaggio i marchi di tre fornitori diversi, contraddice per� quanto dichiara il repository stesso.

Il codice che finisce nelle pipeline degli agenti

Il progetto pi� seguito arriva confezionato come agent skill: si installa creando un collegamento simbolico di una cartella dentro la propria cartella delle skill e si invoca con un comando slash. La configurazione opzionale per il punteggio clona un repository di ricerca di terzi e scarica un artefatto da circa 220MB. Nessuno degli strumenti citati � stato verificato in modo indipendente, e conviene trattarli con la stessa prudenza che si userebbe con qualunque codice non ispezionato preso dalla rete: sono componenti che gli utenti agganciano direttamente alle proprie pipeline e attraverso cui poi fanno transitare i documenti, il che li rende a tutti gli effetti un anello della catena di fornitura del software. I progetti oggi in circolazione sono quantomeno aperti e leggibili, anche quando non portano alcuna licenza.