Claude가 쓴 글에 워터마크가 박힌다 — 그런데 이게 정말 AI 감별에 쓸 수 있을까

Anthropic이 Claude 텍스트 워터마크의 작동 방식을 꽤 상세히 공개했어요. AI가 쓴 글에 사람 눈엔 안 보이는 표식을 심는다는 건데, 발표를 읽으면서 저는 딱 하나가 궁금했어요. 그래서 이걸로 "이 글은 AI가 썼다"를 실제로 걸러낼 수 있나? AI 감별은 학교·언론·채용에서 다들 원하는 기능이니까요. 이 질문 하나를 Anthropic 자신의 설명과 학계 연구를 겹쳐서 끝까지 파봤어요.

먼저, 워터마크가 어떻게 작동하나

기술적으로 영리해요. 텍스트에 특수문자나 숨은 유니코드를 넣는 게 아니에요 — 추가되는 건 아무것도 없어요. 대신 Claude가 다음 단어를 고를 때 쓰는 난수 생성기를, 비밀 키 + 앞 단어들로 시드를 준 생성기로 바꿔요. 결과 텍스트는 사람이 읽기엔 여전히 자연스럽고 무작위로 보이지만, 키를 가진 쪽이 단어 시퀀스를 대조하면 "이 패턴은 그 키가 만들었을 선택"이라는 게 드러나요. 읽는 사람에겐 안 보이고, 키 있는 사람만 검출한다는 뜻이에요. 이건 새로 발명한 게 아니라 구글 딥마인드가 2024년 네이처에 낸 SynthID-Text 방식의 한 버전이고요.

여기까지는 인상적이에요. 그럼 원래 질문으로 — 감별에 쓸 수 있나?

질문 1: 편집하면 사라지나?

Anthropic이 직접 답을 적어놨는데, 이게 첫 번째 결정적 한계예요. "가벼운 편집은 아마 워터마크를 완전히 없애지 못하지만, 모든 단어를 바꾸는 완전한 재작성은 없앤다." 학계 연구는 이보다 훨씬 냉정해요. EMNLP 2025 논문("Watermark under Fire")은 ChatGPT로 한 번만 바꿔 써도(paraphrase) 모든 워터마커의 검출률이 0.3 아래로 떨어진다고 보고했어요. 몇 번 더 돌리면 0.15 밑이고요. 즉 워터마크된 Claude 답변을 다른 AI에게 "이거 다시 써줘" 한 번 시키면 표식이 사실상 지워져요. 감별을 피하려는 사람에게 이건 장벽이 아니에요.

질문 2: 사람이 손댄 글은?

이게 더 근본적이에요. 이 블로그처럼 AI가 초안 쓰고 사람이 고치는 워크플로우가 이제 흔한데, 여기에 워터마크가 뭘 의미하나? Anthropic의 답: Claude가 사람이 쓴 글을 교정·윤문만 하면, 거의 모든 단어가 사람 것이라 워터마크가 붙을 게 별로 없다. 반대로 Claude가 초안을 쓰고 사람이 많이 고치면 표식이 옅어지고요. 다시 말해 이 워터마크는 "누가 최종 저자냐"가 아니라 "생성 순간 Claude가 단어를 골랐냐"만 측정해요. "Claude가 썼다"와 "Claude가 많이 고쳤다"를 구분 못 하고, 사람이 주도한 글은 애초에 대상이 아니에요.

질문 3: 짧은 글, 사실, 코드는?

세 곳에서 더 약해져요. 짧은 텍스트에선 단어 선택지가 적어 검출이 잘 안 되고(SynthID-Text는 50토큰에서 검출률 ~0.3, 400토큰에서 ~0.85), 사실·코드처럼 정답이 하나뿐인 출력엔 워터마크가 실릴 자리가 없어요 — 다른 단어를 쓰면 틀리거나 코드가 깨지니 편향할 여지가 없거든요. 트윗 길이 답변이나 함수 하나짜리 코드는 사실상 무방비예요.

그럼 이건 왜 만들었나

여기서 진짜 동기가 드러나요. Anthropic이 밝힌 이유는 딥페이크도, 학문 부정도, 가짜뉴스도 아니에요. EU AI법 준수예요. 8월 2일부터 EU는 시장에 서비스하는 AI 제공자에게 생성 콘텐츠를 기계 판독 가능하게 표시하라고 요구하는데(Article 50), Anthropic·구글·OpenAI 등 190여 곳이 서명한 이행 규약의 일부죠. 즉 이 워터마크는 "AI 콘텐츠를 잡는 도구"가 아니라 "법을 지켰다는 표시"에 가까워요.

그리고 이 대비가 의미심장해요. OpenAI는 비슷한 텍스트 워터마크를 99.9% 정확도로 만들어놓고도 출시하지 않았어요. 이유는 두 가지 — 우회가 너무 쉽고(번역·재작성·특수문자 삽입 후 삭제), 사용자 설문에서 30%가 "경쟁사는 안 하는데 우리만 워터마크하면 안 쓰겠다"고 했거든요. 만들 수 있는데 안 낸 회사와, 규제 때문에 내는 회사. 기술이 아니라 규제가 이걸 세상에 내놓은 거예요. EU법 자체도 이 한계를 알아서, 문법 교정 같은 보조 편집이나 사람이 편집 책임을 지는 경우는 표시 의무를 면제해요.

그래서 결론은

원래 질문 "AI 감별에 쓸 수 있나"의 답은 거의 못 한다예요. 정확히는, 이 워터마크가 하는 일은 좁아요. "Claude가 이 텍스트를 생성하는 데 관여했을 가능성이 있다"를, 키를 가진 Anthropic이, 충분히 길고, 편집·재작성·번역을 안 거친 텍스트에 대해서만 판정할 수 있어요. 감별을 원하는 사람이 상상하는 것 — 학생 과제나 지원서가 AI인지 잡아내기 — 은 대부분 이 조건 밖이에요. 재작성 한 번, 사람 편집, 짧은 길이 중 하나만 걸려도 무력화되니까요.

이걸 실패라고 부를 건 아니에요. Anthropic이 과장하지 않고 한계를 정직하게 적어둔 건 오히려 좋은 신호예요(벤더가 "우리 워터마크는 재작성하면 사라집니다"라고 먼저 말하는 건 드물어요). 다만 이 발표를 "이제 AI 글을 걸러낼 수 있다"로 읽으면 안 돼요. 텍스트 워터마킹은 협조적인 상황의 출처 표시지, 비협조적인 사람을 잡는 탐지가 아니에요. 규제가 요구하는 건 전자이고, 사람들이 기대하는 건 후자라는 게 이 기술을 둘러싼 오해의 핵심이에요.

한국에서 이걸 어떻게 받아들일까

국내에도 AI 콘텐츠 표시 논의가 오고 있어서 두 가지가 실질적이에요. 하나, AI 감별 서비스에 돈을 쓰려는 조직이라면 기대치를 낮춰야 해요. 키가 없는 제3자 감별 도구(문체 '티'로 추정하는 방식)는 워터마크보다도 부정확하고 오탐이 많아요 — 사람이 쓴 글을 AI로 오판하는 피해가 실재하니, 채용·평가에 이걸 근거로 쓰는 건 위험해요. 둘, AI 보조로 콘텐츠를 만드는 국내 서비스·언론이라면, EU식 규제가 왔을 때 "사람이 편집 책임을 지는 경우 면제"라는 카브아웃이 핵심이에요. AI 초안 + 사람 검수라는 워크플로우를 그냥 운영하는 것과, 그 편집·책임 구조를 문서로 남겨두는 것은 규제 대응에서 완전히 다른 결과를 낳아요. 이 블로그가 About에 제작 방식을 공개해둔 것도 그 대비의 일부예요.

---

근거가 된 소식: How Claude's text watermark works (Anthropic), 워터마크 취약성 연구는 "Watermark under Fire"(EMNLP 2025), SynGuard(arXiv 2508.20228) 등 공개 논문 기준.