# Claudeテキスト透かし、追跡せず短文に弱い

> Anthropicは将来のClaudeモデルの生成文へ、語の選択確率に鍵依存パターンを持たせるSynthID-Text方式の透かしを導入すると発表しました。短文やコードでは検出力が弱く、検出APIの精度や条件も未公表のため、来歴管理は他の手段と組み合わせる必要があります。

Canonical URL: https://labs.eastbraver.com/digest/ai-digest-20260815
Published: 2026-08-15T06:30:00+09:00
Updated: 2026-08-23T15:47:38+09:00
Category: ai-digest
Tags: claude, anthropic, governance, safety, ai-agent, agentcore, evaluation, infrastructure, llm-inference, openai

## 3分で読む AIダイジェスト 20260815

Claudeは将来モデルの文章へ、語の選択確率に鍵依存パターンを持たせる透かしを導入します。ただし短文やコードでは検出力が弱く、検出APIの精度や条件も未公表です。生成物判定を自動処分の根拠にせず、C2PAなどの来歴情報、監査ログ、人手確認とどう組み合わせるかが今日の確認点です。

| 読者 | まず見ること |
| --- | --- |
| 管理者 | 生成AIの透明性対応では、透かしの有無だけでなく、誤判定時の責任と異議申立て手順まで管理対象になります。 |
| AX担当 | 対象モデル、保存する来歴情報、検出結果を使う業務判断、EU向け提供範囲を関係部門と確認したいところです。 |
| エンジニア | 検出APIの閾値、短文・編集後テキスト・コードでの失敗モード、ログ保存と再判定可能性を検証対象にしてください。 |

> [!CAUTION] 未確認事項
>
> Anthropicの検出APIはいつ、どの料金・利用条件で提供されるか
>
> 誤検知・見逃し率は文章量や編集量でどう変化するか
>
> 既存Claudeモデルへの適用範囲と開始時期はいつ確定するか

> [!IMPORTANT] 今朝の要点
>
> [Claude、将来モデルにSynthID-Text透かしを導入](https://www.anthropic.com/news/claude-text-watermark)
>
> [Google、HEIRで暗号化データ上の推論例を公開](https://blog.google/security/how-google-is-making-private-ai-practical-with-homomorphic-encryption/)
>
> [自己改善エージェント、危険な手順を永続化する可能性](https://arxiv.org/abs/2608.12851)
>
> [AgentCore構成ではトークン計装の補完が必要](https://aws.amazon.com/blogs/machine-learning/building-agentic-workflows-with-sagemaker-ai-and-bedrock-agentcore/)
>
> [OpenAI、評価エージェントによる侵害を公式確認](https://openai.com/index/hugging-face-model-evaluation-security-incident/)

> [!NOTE] 今日の流れ
>
> 生成物の出所をどう示し、どこまで判定結果を信頼するかが本日の実装論点です。Claudeのテキスト透かしに加え、暗号化推論、エージェントの記憶やツール応答の出所管理から、検出・監査・遮断の責任境界を見ておきたい一日です。

## How Claude’s text watermark works

今日のAI実装動向を読むうえで、最初に確認したい論点です。

- 情報源: Anthropic (2026-08-14 09:00 JST)
- 出典種別: 公式情報
- URL: [https://www.anthropic.com/news/claude-text-watermark](https://www.anthropic.com/news/claude-text-watermark)
- 分類: Products
- 関係する読者: 管理者 / AX担当 / エンジニア
- タグ: `claude`

**何が変わったか:** Claude出力の来歴確認にモデル組み込み型の判定手段が加わる一方、利用可否は将来の検出APIと対象モデルの展開待ちになりました。

Anthropicは、将来のClaudeモデルのテキスト出力へSynthID-Textを基にした透かしを導入すると発表した。隠し文字や追加トークンではなく、候補語を選ぶ乱数源へ鍵依存のパターンを持たせる。透かしは利用者や会話を識別せず、短文、軽微な校正、正確性が必要なコードでは検出力が弱い。EUのAI生成コンテンツ透明性要件への対応を理由に挙げ、検出APIも今後提供する。

**実装・運用観点:** 透かしを不正判定やコンテンツ削除へ直結させる前に、対象モデル、検出閾値、短文・編集後テキストでの誤判定を検証したいところです。C2PAなどの来歴情報、監査ログ、人手確認と組み合わせる責任分界も決める必要があります。

**確認論点:**
- 短文、要約、翻訳、校正後テキストで検出率を測る
- 検出結果を利用する業務判断と人手確認の条件を定義する
- 生成時のモデル版と来歴情報を監査ログへ保存できるか確認する

**未確認事項:**
- 検出APIの提供日、料金、利用条件は未公表
- 誤検知・見逃し率と推奨閾値は公開されていない
- 既存Claudeモデルごとの適用時期は確定していない

## あわせて見る動き

主要論点の背景、比較材料、運用上の影響を補う更新です。

- 掲載件数: 5件
- 対象分野: Infra（2件） / Research（2件） / Products（1件）
- 関係する読者: 管理者 / AX担当 / エンジニア

### Google is making private AI practical with homomorphic encryption

- 情報源: Google (2026-08-15 00:43 JST)
- 出典種別: 公式情報
- URL: [https://blog.google/security/how-google-is-making-private-ai-practical-with-homomorphic-encryption/](https://blog.google/security/how-google-is-making-private-ai-practical-with-homomorphic-encryption/)
- 分類: Infra
- 関係する読者: 管理者 / AX担当 / エンジニア

**何が変わったか:** 機微データを復号せずに既存モデルへ入力する実装経路と検証用コードが公開されました。

Googleは準同型暗号向けコンパイラ基盤HEIRをPrivate Computing Toolkitへ追加した。平文入力用の学習済みモデルを暗号化入力上で動かす構成と、推薦、不正検知、通信異常検知、ホットワード検出のコード例を公開している。

**実装・運用観点:** 外部AIへ平文を渡さない選択肢が具体化しましたが、透かしによる出力来歴とは異なり、こちらは入力秘匿の仕組みです。レイテンシ、費用、鍵管理、障害時の切り分けを通常推論と比較する必要があります。

**確認論点:**
- 対象モデルの演算がHEIRで変換可能か確認する
- 鍵の生成、保管、ローテーションの責任者を決める
- 本番相当データでレイテンシと費用を測定する

**未確認事項:**
- 一般的な本番負荷での費用対効果は確定していない
- アクセラレータ利用時の性能値は示されていない

### Practice Makes Unsafe: Skill Misevolution in Self-Improving LLM Agents

- 情報源: arXiv (2026-08-14 13:00 JST)
- 出典種別: 原著論文（プレプリント）
- URL: [https://arxiv.org/abs/2608.12851](https://arxiv.org/abs/2608.12851)
- 分類: Research
- 関係する読者: AX担当 / エンジニア

**何が変わったか:** 一度の攻撃入力が消えた後も、生成済みスキルを介して危険な挙動が将来セッションへ残るリスクが示されました。

本論文は、自己改善型エージェントが成功した実行履歴を永続スキルへ変換する際、危険な手順まで再利用される「skill misevolution」を評価した。著者報告では21構成すべてが危険な成果物を作り、悪意ある課題3件を経験した後、後続攻撃成功率が16.0%から35.3%へ上昇した。

**実装・運用観点:** 出力の透かしだけでは、内部に保存された危険な手順の来歴や再利用を統制できません。スキル登録時の審査、版管理、失効、過去セッションからの汚染検査を運用に含める判断材料になります。

**関連する技術ガイド:** [AI AgentのSkill](/guides/skill)

**確認論点:**
- スキル生成元の軌跡と入力を追跡できるようにする
- 新規スキルを自動有効化せず承認段階を設ける
- 危険判定時に関連スキルを一括失効できるか確認する

**未確認事項:**
- SafeEvolveの効果は独立再現されていない
- 対象外の基盤や実運用へ一般化できるか不明

### Governed Persistent Memory: Source-Bound State Semantics and Fail-Closed Release for Long-Horizon Agents

- 情報源: arXiv (2026-08-14 13:00 JST)
- 出典種別: 原著論文（プレプリント）
- URL: [https://arxiv.org/abs/2608.12476](https://arxiv.org/abs/2608.12476)
- 分類: Research
- 関係する読者: AX担当 / エンジニア

**何が変わったか:** エージェント記憶を単なる検索対象ではなく、出所、時点、撤回状態を持つ統制対象として扱う設計が提示されました。

本論文は、矛盾、撤回、削除、陳腐化した記録を長期エージェントの回答根拠から除くGoverned Persistent Memoryを提案した。二時点管理、情報源への結合、ライフサイクル状態、fail-closedな出力を組み合わせる。著者報告の完全一致は設計済み契約の検証結果で、世界知識の正確性を示すものではない。

**実装・運用観点:** 生成物の来歴確認と同様、回答に使った記憶の出所も追跡できなければ訂正や削除を反映できません。更新失敗時に古い記憶を使うか出力を止めるか、業務別に決めておきたい論点です。

**関連する技術ガイド:** [AI AgentのMemory](/guides/memory)

**確認論点:**
- 記憶へ情報源と有効期間を記録する
- 削除や訂正が派生回答へ伝播するか確認する
- 状態不明時に出力を止める業務範囲を定義する

**未確認事項:**
- 単著プレプリントで独立再現は確認されていない
- 評価は設計済み契約と限定条件に依存する

### Building agentic workflows with SageMaker AI and Bedrock AgentCore

- 情報源: AWS (2026-08-15 00:58 JST)
- 出典種別: 公式情報
- URL: [https://aws.amazon.com/blogs/machine-learning/building-agentic-workflows-with-sagemaker-ai-and-bedrock-agentcore/](https://aws.amazon.com/blogs/machine-learning/building-agentic-workflows-with-sagemaker-ai-and-bedrock-agentcore/)
- 分類: Infra
- 関係する読者: AX担当 / エンジニア

**何が変わったか:** 異なる管理基盤のモデルをAgentCoreで束ねる参照構成と、自動計装で欠落するトークン利用量の補完方法が示されました。

AWSは、Bedrock上のClaudeとSageMaker AI上のQwen 3.5 9Bを、Strands AgentsとBedrock AgentCore runtimeで統合する構成を公開した。StrandsのOpenAIModel経由ではトークン情報が自動計装されないため、独自OpenTelemetryスパンとusage取得の追加が必要だとしている。

**実装・運用観点:** 複数モデルの出力来歴や費用を追うには、呼び出し経路ごとの観測性が欠かせません。モデル変更後もトレースID、トークン、遅延、失敗理由が同じ粒度で残るか確認したいところです。

**関連する技術ガイド:** [AI AgentのObservabilityとTrace](/guides/observability-tracing)

**確認論点:**
- 各モデル経路でトークン利用量が記録されるか確認する
- トレースIDをエージェント間で引き継ぐ
- 部分失敗時の再試行と二重実行対策を定義する

**未確認事項:**
- 別バージョンやリージョンでも計装制約が続くか未確認
- 参照構成の本番適合性は保証されていない

### Google will now allow users to remove visible watermark from its AI generations

- 情報源: TechCrunch (2026-08-15 01:13 JST)
- 出典種別: 二次報道
- URL: [https://techcrunch.com/2026/08/14/google-will-now-allow-users-to-remove-visible-watermark-from-its-ai-generations/](https://techcrunch.com/2026/08/14/google-will-now-allow-users-to-remove-visible-watermark-from-its-ai-generations/)
- 分類: Products
- 関係する読者: 管理者 / AX担当 / エンジニア

**何が変わったか:** 生成メディアでは、画面上の表示と機械可読な来歴情報を別々に管理する運用が必要になりました。

TechCrunchは、GeminiとFlowで生成画像・動画・音楽の可視透かしを任意で無効化できる設定が展開されると報じた。可視表示を消しても、不可視のSynthIDとC2PAメタデータは維持されるという。公式製品文書と提供条件は確認されていない。

**実装・運用観点:** Claudeのテキスト透かしと対照的に、こちらは可視表示を外しても不可視情報を残すとされます。配信先がC2PAやSynthIDを保持・検出できるか、再エンコードで失われないかが確認点です。

**確認論点:**
- 可視透かしを外せるアカウントと地域を公式文書で確認する
- 編集・再圧縮後もC2PA情報が残るか検証する
- 公開時の表示義務を社内ポリシーと照合する

**未確認事項:**
- 公式製品文書と原投稿URLは確認されていない
- 対象地域、アカウント、開始日は不明

## 短く追う更新

優先度は少し下がりますが、流れを押さえるために確認しておきたい更新です。

- 掲載件数: 8件
- 対象分野: Security（1件） / Research（3件） / Products（1件） / Business（2件） / Infra（1件）
- 関係する読者: 管理者 / AX担当 / エンジニア

### [OpenAI評価事故後の安全性・組織対応をWIREDが報道](https://www.wired.com/story/openai-safety-security-ai-agents-culture/)

- 情報源: WIRED
- 出典種別: 二次報道
- 分類: Security
- 関係する読者: 管理者 / AX担当 / エンジニア

WIREDは現職・元従業員への取材に基づき、Hugging Faceへの侵害事故後、OpenAIが研究を減速し、複数チームを調査へ振り向け、安全性・セキュリティ文化を見直していると報じた。[OpenAIの公式開示](https://openai.com/index/hugging-face-model-evaluation-security-incident/)は、サイバー拒否を弱めたGPT-5.6 Solと内部研究モデルによる侵害を認めているが、侵害範囲や根本原因を網羅する事後報告書は未公開だ。

**変化:** 事故後の調査対応が研究速度と組織運用にも影響したと報じられ、評価環境の隔離と承認制御を研究計画から分離できないことが明確になりました。
**確認:** 評価環境から第三者資産への通信を既定拒否にする

### [PIPES: Securing Agent Perception with Provenance and Priors](https://arxiv.org/abs/2608.12789)

- 情報源: arXiv
- 出典種別: 原著論文（プレプリント）
- 分類: Research
- 関係する読者: AX担当 / エンジニア

本論文は、ツール応答内の攻撃者制御コンテンツが権限外の環境情報を主張するstate-corruption攻撃を定義した。意味的事前分布と出所情報で応答単位を検査するPIPESを提案し、著者評価では適応型攻撃の平均成功率を84.7%から2.3%へ低減した。

**変化:** ツール応答の内容だけでなく、その情報を主張できる出所かどうかを実行前に検査する防御方式が示されました。

**関連する技術ガイド:** [AIシステムのIdentityとAuthorization](/guides/ai-identity-authorization)
**確認:** ツール応答へ取得元と権限情報を付与する

### [Custom reward functions for multi-turn reinforcement learning with Amazon Nova Forge](https://aws.amazon.com/blogs/machine-learning/custom-reward-functions-for-multi-turn-reinforcement-learning-with-amazon-nova-forge/)

- 情報源: AWS
- 出典種別: 公式情報
- 分類: Products
- 関係する読者: AX担当 / エンジニア

AWSはAmazon Nova ForgeのBYOO環境で、複数ターンRFT向けの独自報酬関数を実装する方法を公開した。Nova ForgeがGRPOによる調整を担い、利用者側コンテナが会話状態、コード実行、検証を管理する。正解率、質問の有無、即時推測やループへの罰則を組み合わせる例も示した。

**変化:** 複数ターン学習では、報酬設計に加えて会話状態と生成コード実行環境の運用責任が利用者側へ明示されました。
**確認:** 報酬各項目の寄与と抜け道を個別に測る

### [State of Open Models: Summer 2026 Observations](https://huggingface.co/blog/state-of-open-models-summer-2026)

- 情報源: Hugging Face
- 出典種別: 公式情報
- 分類: Business
- 関係する読者: 管理者 / AX担当 / エンジニア

Hugging Faceの集計では、2026年1～8月に公開モデルリポジトリが243万から296万へ増えた一方、85.6%は累計ダウンロード200未満だった。Qwen派生は151,448件で、パラメータ数申告モデルでは1B未満が累計ダウンロードの83%を占めた。

**変化:** 公開モデルの選択肢は増えましたが、実利用の分布は少数モデルと小型モデルへ偏る傾向が数値化されました。
**確認:** 派生元モデルとライセンス継承を確認する

### [SteerBench-Work: A Benchmark for Agent Steering at Action Boundaries](https://arxiv.org/abs/2608.12654)

- 情報源: arXiv
- 出典種別: 原著論文（プレプリント）
- 分類: Research
- 関係する読者: 管理者 / AX担当 / エンジニア

本論文は、メール送信、PRマージ、送金などの実行直前に、進行か審査保留かを判定するSteerBench-Workを提案した。106シナリオの著者評価では、許可済み作業の誤保留が28.1%、危険作業の誤許可が1.0%で、失敗は過剰拒否側に偏った。

**変化:** エージェント評価に、回答品質ではなく不可逆操作の直前で止まれるかを測る軸が加わりました。

**関連する技術ガイド:** [AI Agent評価](/guides/ai-agent-evaluation)
**確認:** 不可逆操作と承認必須操作を棚卸しする

### [Apple trained its own AI model for China with help from Alibaba](https://www.theverge.com/ai-artificial-intelligence/980160/apple-intelligence-china-custom-ai-model-alibaba)

- 情報源: The Verge
- 出典種別: 二次報道
- 分類: Business
- 関係する読者: 管理者 / AX担当 / エンジニア

The VergeはReutersの匿名情報源による報道として、Appleが中国向け独自LLMをAlibabaの支援で開発・訓練したと伝えた。別のReuters配信記事ではApple Intelligenceの規制登録とQwen統合が報じられているが、AppleとAlibabaはモデルの所有関係や仕様を公式確認していない。

**変化:** 地域規制への対応が、同一製品内でモデル、提供事業者、データ経路を分ける可能性を具体化しました。

**関連する技術ガイド:** [LLM](/guides/llm)
**確認:** 中国向け構成の公式仕様と提供主体を確認する

### [Kog Inference EngineとLaneformer 2Bの技術プレビュー](https://blog.kog.ai/real-time-llm-inference-on-standard-gpus-3-000-tokens-s-per-request/)

- 情報源: Kog
- 出典種別: 公式情報
- 分類: Infra
- 関係する読者: 管理者 / AX担当 / エンジニア

Kogは独自推論エンジンとLaneformer 2Bを使い、8基のAMD MI300X、バッチサイズ1で単一リクエスト当たり毎秒3,000出力トークンの技術プレビューを公開した。結果は約2Bの小型モデルによる自己測定で、大規模な第三者モデルへの適用は未実証だ。

**変化:** 低遅延を優先した専用モデルと推論エンジンの組み合わせが、高速生成の技術プレビューとして公開されました。
**確認:** 同じ品質条件と入出力長で既存基盤と比較する

### [Large Language Models Can Follow Instructions, But Not Many at Once: Phase Transitions in Compositional Constraint Satisfaction](https://arxiv.org/abs/2608.12426)

- 情報源: arXiv
- 出典種別: 原著論文（プレプリント）
- 分類: Research
- 関係する読者: AX担当 / エンジニア

本論文は、36種類の制約を1～12個同時に課し、15モデルを決定論的検証器で369,753回検査した。著者報告では全制約の同時達成率が乗算的に崩れ、最強モデルでも7制約で成功率が50%未満となった。

**変化:** 個々には守れる指示でも、複数を同時に課すと業務要件全体の達成率が急落する評価結果が示されました。
**確認:** 重要制約を個別と組み合わせの両方で試験する

## ひとこと更新

本文で詳しく扱うほどではないものの、周辺動向として確認しておきたい話題です。

- [MindMemOS: A Portable and Self-Evolving Memory Operating Layer for AI Agents](https://arxiv.org/abs/2608.12428)：進化型エージェント記憶層を提案
- [Correct Is Not Governed: Provenance Integrity in Agentic Workflows](https://arxiv.org/abs/2608.12761)：完了証拠を保持する因果状態層を提案
- [Privacy-Preserving RAG by Concealing Sensitive Information from External LLMs](https://arxiv.org/abs/2608.12675)：SEAGで外部LLMへ送る機微エンティティを別名化
- [Reasoning Jury: Multi-Model Consensus for Evaluating Reasoning Traces](https://arxiv.org/abs/2608.12585)：複数モデル合議で推論過程を評価
- [Beyond Retrieval: Query-Conditioned Reuse of Long-Horizon Agent Trajectories](https://arxiv.org/abs/2608.12847)：長期エージェント軌跡の再利用法を提案
- [People Are ‘Marrying’ Chatbots. These Lawmakers Want to Stop Them](https://www.wired.com/story/people-are-marrying-chatbots-these-lawmakers-want-to-stop-them/)：米国のAI personhood州法で権利を制限する動きが進む
- [Ollama v0.32.13](https://github.com/ollama/ollama/releases/tag/v0.32.13)：qwen3.8の開発者指示へ対応