Verwijdertools voor het Claude-watermerk duiken op, bewijs dat ze werken ontbreekt

Verwijdertools voor het watermerk in Claude-tekst zijn er binnen twee dagen, maar geen ervan kan aantonen dat het merkteken echt verdwijnt, constateert BleepingComputer, omdat Anthropic zijn detector nog niet heeft uitgebracht.

Dat raakt twee kanten van dezelfde markt. Wie het merkteken wil gebruiken als herkomstbewijs, bijvoorbeeld om te toetsen of een ingehuurd bureau of een freelancer AI inzette, kan het nergens aflezen. Wie het juist uit klantteksten wil halen, koopt een belofte die niemand kan controleren. In beide gevallen blijft je eigen meldplicht bij chatbots, deepfakes en AI-teksten over publieke onderwerpen onveranderd staan, want die hangt niet aan de aanwezigheid van een merkteken.

Een markt die in twee dagen ontstond

Het grootste project is watermarks-remover van ontwikkelaar Guillaume Meyer, aangemaakt op 11 augustus onder een MIT-licentie. De sterrenteller op GitHub stond op 13 augustus op ruim 4.800, twee dagen na de eerste versie. Ernaast staan kleinere repositories zoals claude-watermark-cleaner (106 sterren, zonder licentiebestand) en een reeks webdiensten die sinds de aankondiging zijn geregistreerd, waaronder claudewatermark.com en gptcleanup.com. Bestaande ontwijkingsdiensten haakten aan: StealthGPT en Human Writes zetten een Claude-watermerkverwijderaar op hun aanbodpagina's, waarbij StealthGPT op diezelfde pagina noteert dat geen enkele tool honderd procent omzeiling garandeert.

Niet alles in die hoek is nieuw. remove-ai-watermarks, met ruim 4.600 sterren het andere grote project, bestaat al sinds maart 2026 en richt zich op beeld en video, niet op tekst.

Drie lagen, waarvan er één telt

De tools doen drie dingen door elkaar. Onzichtbare Unicode-tekens weghalen, zoals zero-width tekens, bidi-stuurtekens en tag-tekens, werkt en is te tellen. C2PA-, EXIF- en XMP-metadata uit bestanden strippen werkt ook, alleen overleeft die metadata een schermafdruk of een formaatconversie sowieso niet. Het tekstwatermerk zelf zit in geen van beide: het zit in de woordkeuze, in welke tokens het model tijdens het genereren net iets vaker kiest.

Daar loopt de hele categorie op vast. De enige bekende manier om zo'n statistisch merkteken te dempen is de tekst grotendeels laten herschrijven door een tweede model, en dat kost precies de kwaliteit waarvoor je bij het dure model kwam. De documentatie van watermarks-remover zegt dat zelf: zolang leveranciers geen publieke detectoren en sleutels uitbrengen, kan geen enkele tool eerlijk certificeren dat de officiële controle faalt. Dezelfde tekst stelt de vraag hardop waarom je een duur model zou betalen als je de output daarna door een goedkoper model laat herschrijven.

Wat een code-review van de tools vond

Ingenieur Pasquale Pillitteri kloonde de projecten en las de functies in plaats van de README's. Bij claude-watermark-cleaner verdwenen dertien tag- en zero-width tekens uit zijn testbestand, maar tien variation selectors bleven staan en de verborgen payload decodeerde intact terug, terwijl dat juist de techniek is die vandaag het meest wordt gebruikt om data in tekst te verstoppen. watermarks-remover dicht dat gat wel, maar haalt daarbij legitieme inhoud onderuit: de emoji-presentatieselector sneuvelt en een Japanse naam komt met het verkeerde teken terug.

Belangrijker voor zakelijk gebruik is wat de herschrijffunctie van dat project niet doet. Die bouwt een prompt en roept een model aan, zonder controle op getallen of beschermde tekstdelen. Verandert het herschrijfmodel een cijfer in een offerte of een factuurregel, dan valt dat nergens op. De kleinere concurrent heeft die controle wel en weigert output waarin een getal of de volgorde van getallen verandert.

Wat het merkteken wel en niet zegt

Anthropic legt op zijn helppagina vast dat Claude-modellen die op of na 2 augustus 2026 uitkomen de markering vanaf dag één ondersteunen, en dat oudere modellen binnen de overgangstermijn volgen. Claude Sonnet 5 kwam op 30 juni uit en Claude Opus 5 op 24 juli, dus de tekst die je vandaag uit Claude haalt draagt het merkteken nog niet. De verwijdermarkt loopt daarmee vooruit op het probleem dat ze zegt op te lossen.

Ook een treffer zegt minder dan het lijkt: een gedetecteerd merkteken betekent dat de tekst door Claude is verwerkt, niet dat Claude hem heeft geschreven. Laat je je eigen tekst nakijken, vertalen of samenvatten, dan komt hij gemarkeerd terug. Anthropic somt zelf ook op hoe het merk verdwijnt: zwaar redigeren, parafraseren, vertalen, converteren of overtypen vanaf een schermafdruk. Dat sluit aan op de markering die op modelniveau in alle Claude-tekst wordt gelegd en die je nergens kunt uitzetten. Het bedrijf zegt detectie door gebruikers en derden mogelijk te maken en de technische documentatie later te publiceren.

Het risico dat je wel meteen loopt

De verwijderaars komen binnen als agent skill: je koppelt een map in je skills-directory en roept hem aan met een slash-commando. De optionele scoringsopzet van watermarks-remover kloont daarnaast een onderzoeksproject van derden en haalt een bestand van ongeveer 220 MB binnen. BleepingComputer tekent bij zijn overzicht aan dat het geen van de genoemde tools heeft geaudit of getest, en twee van de projecten die Pillitteri bekeek hebben geen licentiebestand, wat juridisch neerkomt op alle rechten voorbehouden.

Dat is de concrete kant voor een bedrijf. Dit is code van twee dagen oud die je in je documentstroom hangt en waar offertes, contracten en klantteksten doorheen gaan, uit een categorie waarvan de kwaliteitsclaims per definitie niet te toetsen zijn.

De markt beweegt hier aan beide kanten op krediet. Het merkteken wordt pas een herkomstbewijs op het moment dat Anthropic de detectie uitbrengt, en een verwijderaar wordt pas een verwijderaar als iemand het resultaat kan meten. Zolang die meetlat ontbreekt, is elke belofte van schone tekst een verkoopargument en geen bevinding. Beleid over AI-tekst leunt daarom voorlopig op afspraken met leveranciers en op vastlegging in het eigen proces, niet op een merkteken dat niemand kan aflezen.