我找到了移除Claude水印的漏洞，无需重新表述

我一直好奇是否可以通过编辑（而不是“重新表述/改写”）Claude所写的文本来移除其文本水印。因此，我构建了一个Claude/OpenAI/Gemini文本水印生成器和检测器，并对gpt-oss-20b和Qwen的输出进行了大量攻击测试以找出答案。该技术依赖于著名的锦标赛采样，基于标准的Gumbel-max采样。结果表明，人们假设有效的几乎所有方法都无效。将em-dash替换为连字符、去除markdown、将美式英语拼写转换为英式英语……这些都没有效果。在近300次测试运行中，只有一种攻击跨越了检测阈值，那就是删除每个单词的40%，但这会破坏文本。经过严格的基准测试，唯一能始终10/10次成功的方法是在整个文本中插入不可见的Unicode变体选择器（与emoji和CJK渲染使用的相同字符）。对大约30%的字符执行此操作后，水印分数从45降至1以下。与我尝试过的所有其他不可见字符技巧不同，这种技巧能经受标准化处理，因为这些是有意义的真实码点，标准化器无法安全剥离。有趣的发现：代码本身几乎没有水印。水印强度反映了模型对下一个标记的不确定性，而代码是低熵的，因此一些代码样本在没有任何攻击的情况下基本上没有水印。我知道这不是第一个进行此类攻击的仓库，但我希望在周末对几个不同的开源模型进行适当测试，而不是匆忙推出半成品。包含所有代码和结果的仓库：https://github.com/aloshdenny/claude-awm 可以亲自尝试攻击的交互式演示：https://aloshdenny.com/claude-awm/ 查看一下并告诉我你的想法！