Le 11 août 2026, Anthropic a annoncé : à partir du 2 août, les nouvelles versions du modèle Claude intégreront directement un tatouage invisible à l'œil nu mais lisible par machine dans le texte généré, permettant ainsi d'identifier et de retracer la provenance des contenus générés par IA, même après leur copie et diffusion.
La documentation officielle précise : « Lorsqu'un modèle Claude pris en charge génère du texte, il intègre directement un tatouage subtil et imperceptible. Vous ne le verrez pas, et cela ne modifiera ni la sémantique, ni la qualité, ni la lisibilité des réponses de Claude. »
Ce mécanisme couvre l'ensemble des produits, y compris l'interface web de Claude, l'API et Claude Code. Il est effectif pour tous les utilisateurs mondiaux et ne peut être désactivé. Les fichiers générés tels que les images incluront également des métadonnées de traçabilité avec signature numérique conforme à la norme C2PA.
Cette initiative marquante fait suite à la signature par Anthropic de l'article 50 du Code de conduite sur la transparence de la Loi européenne sur l'IA.
Le « tatouage » des contenus générés par IA évolue des initiatives d'entreprises vers un consensus mondial. En juin 2025, le Forum économique mondial a publié son rapport « Top 10 des technologies émergentes de 2025 » lors du Sommet de l'été de Davos à Tianjin, classant le « tatouage génératif » en deuxième position. Le futurologue Kevin Kelly a prédit dans « 2049 : les possibilités pour les 10 000 prochains jours » que l'ère de l'intelligence artificielle nécessiterait de « redéfinir la réalité » et d'« ajouter des marques permettant de distinguer le vrai du faux, similaires à des tatouages, sur les images et vidéos générées par IA ».
Figure 1 : Le Sommet de l'été de Davos et la prédiction de Kevin Kelly
Mais « bien faire » le tatouage n'est pas facile.
Le jour même de l'annonce d'Anthropic, les questions les plus fréquentes des utilisateurs étaient précisément : le tatouage va-t-il endommager le modèle ? Va-t-il réduire la qualité de la génération ?
La « garantie prouvable d'absence de perte de performance » est ainsi devenue la proposition centrale de la recherche sur la dissimulation d'information à l'ère de l'IA générative. Pour comprendre cette proposition, il faut revenir à sa source théorique – la stéganographie à sécurité prouvable.
La stéganographie à sécurité prouvable, vingt ans d'attente pour les modèles génératifs
La stéganographie et le tatouage relèvent tous deux de la dissimulation d'information. La stéganographie traditionnelle est longtemps restée au stade de la « sécurité empirique » : utiliser des algorithmes de détection stéganographique pour tester la résistance, sans pouvoir fournir de garantie mathématique. La stéganographie à sécurité prouvable exige une preuve rigoureuse : les données porteuses du secret et les données normales sont indiscernables en termes de distribution.
Cette voie théorique existe depuis longtemps.
En 1949, Shannon a souligné la difficulté d'établir une théorie de la communication secrète ; en 1998, Cachin a introduit l'entropie relative, fournissant une définition de la sécurité au sens informationnel ; en 2002, le lauréat du prix Turing Manuel Blum a supervisé Hopper et d'autres pour établir un cadre de stéganographie à sécurité computationnelle, développé en 2004 en stéganographie à clé publique et négociation de clé secrète.
Cependant, toutes les constructions de stéganographie à sécurité prouvable dépendent d'une condition stricte – une distribution de vecteurs parfaitement échantillonnable. Les distributions des données naturelles étant incontrôlables, la théorie est restée en sommeil pendant de nombreuses années.
Figure 2 : Bref historique du développement de la stéganographie à sécurité prouvable
2018 a marqué un tournant avec les modèles génératifs d'IA : le modèle apprend d'abord la distribution, puis échantillonne selon cette distribution, fournissant naturellement un « échantillonneur explicite de distribution ou parfait ».
Une équipe de l'Université des sciences et technologies de Chine (USTC) a été la première au monde à proposer l'idée de stéganographie générative à sécurité prouvable, présentant deux cadres – « échantillonnage en boîte noire » et « échantillonnage compression-inversible » (IWDW 2018, arXiv 2018) – réduisant la sécurité stéganographique à celle des algorithmes de chiffrement : chiffrer le message en texte chiffré pseudo-aléatoire, utiliser ce texte pour piloter l'échantillonnage et générer le contenu, le destinataire effectuant un échantillonnage inverse pour récupérer le texte chiffré.
À l'époque, l'IA générative n'ayant pas encore explosé, cette idée semblait « en avance » et a eu du mal à être reconnue par les pairs. Avec l'amélioration rapide de la qualité des modèles génératifs comme ceux de la parole, les résultats connexes ont progressivement été acceptés. L'International Workshop on Digital Watermarking (IWDW) a invité l'équipe de l'USTC à présenter un rapport principal intitulé « When Provably Secure Steganography Meets Generative Models ».
Figure 3 : Le premier article sur la stéganographie générative à sécurité prouvable
Autour de 2021, les données générées par IA devenant progressivement la forme principale du contenu en ligne, la stéganographie à sécurité prouvable a attiré une attention mondiale : L'Université Tsinghua a proposé une stéganographie linguistique à sécurité prouvable basée sur le regroupement d'échantillons (Findings of ACL 2021) ; L'Université de Boston et l'Université Johns Hopkins ont proposé Meteor, une stéganographie cryptographiquement sûre pour les distributions réelles (ACM CCS 2021) ; L'Université d'Oxford a proposé une stéganographie parfaitement sûre basée sur le couplage d'entropie minimale (ICLR 2023).
L'équipe de l'USTC a proposé la construction Discop basée sur une « copie de distribution » (IEEE S&P 2023), améliorant significativement le taux de charge utile. La même année, Quanta Magazine a classé « cacher parfaitement des informations secrètes dans les données générées » parmi les sept avancées majeures internationales en informatique de l'année, annonçant l'entrée de la dissimulation d'information dans l'ère « prouvable ».
Du symétrique à l'asymétrique, de la « boîte » à « sans boîte »
Les premières stéganographies génératives à sécurité prouvable étaient toutes des systèmes à « clé symétrique », où l'expéditeur et le destinataire devaient partager une clé à l'avance, et dépendaient d'une extraction en boîte blanche, limitant les scénarios d'utilisation.
De plus, l'ambiguïté des sous-mots pouvait entraîner l'échec de l'extraction. L'équipe de l'USTC a poussé la voie technologique vers la stéganographie à clé publique, les scénarios sans boîte/boîte grise, et a éliminé l'ambiguïté des sous-mots, rendant la dissimulation générative pratique.
Stéganographie à clé publique (IEEE TIFS 2024) : Proposition d'un schéma de stéganographie à clé publique à sécurité prouvable combinant la cryptographie sur courbes elliptiques (ECC) avec des modèles génératifs, et d'un protocole d'échange de clés stéganographique. Résout les problèmes de négociation de clés stéganographiques et d'extraction « asymétrique » des informations cachées.
Stéganographie sans boîte (IEEE TMM 2026) : Les méthodes traditionnelles dépendaient d'une extraction en « boîte blanche », le destinataire devant posséder exactement le même modèle de langage que l'expéditeur. L'équipe a proposé Disreo, réalisant une « extraction sans boîte » via la randomisation de la position des tokens et le réagencement des probabilités de sortie, permettant au destinataire de récupérer le message sans accéder au modèle sous-jacent, offrant une plus grande commodité pour le déploiement réel.
Stéganographie en boîte grise (ACM CCS 2026) : Entre les scénarios boîte blanche et sans boîte, il existe le scénario « boîte grise » – les ressources de l'expéditeur et du destinataire sont inégales, le destinataire pouvant n'avoir que la capacité d'exécuter un petit modèle (ex. appareils mobiles). SpecStega se base sur l'échantillonnage spéculatif (speculative sampling) : un petit modèle partagé par les deux parties est utilisé pour l'insertion et l'extraction du message, puis le modèle cible plus large affine la sortie. Ainsi, le texte porteur final s'aligne sur la distribution de sortie du grand modèle, conservant haute qualité et sécurité, tout en permettant au destinataire de décoder efficacement avec seulement le petit modèle. Le taux de charge utile est amélioré de plus de 20 fois par rapport aux schémas en boîte noire existants – offrant une troisième voie pour la stéganographie à sécurité prouvable, entre « avec boîte » et « sans boîte ».
Résolution de l'ambiguïté des sous-mots (IEEE TDSC) : La stéganographie basée sur les grands modèles de langage est généralement confrontée à l'ambiguïté de décodage de la tokenisation – un même texte pouvant être divisé en différentes séquences de sous-mots, entraînant l'échec de l'extraction. L'équipe a proposé SyncPool, regroupant avant l'insertion les tokens ayant des relations de préfixe pour éliminer l'ambiguïté au niveau du principe, réalisant ainsi une extraction fiable pour la stéganographie à sécurité prouvable.
De la stéganographie au tatouage, faire passer la « garantie prouvable d'intégrité » à l'industrie
Les grands modèles d'IA générative apprennent d'abord la distribution des données naturelles, puis génèrent du texte, des images, de l'audio, des vidéos, etc., en échantillonnant selon cette distribution. S'il est possible d'incorporer un tatouage dans le contenu généré sans affecter la distribution d'échantillonnage, cela signifie que l'insertion du tatouage n'affecte pas la qualité de la génération.
La stéganographie à sécurité prouvable garantit théoriquement que les données porteuses du secret et les données générées normalement sont indiscernables en distribution, c'est-à-dire que l'insertion d'information ne modifie pas la distribution d'échantillonnage du modèle – c'est précisément la définition d'un « tatouage génératif à intégrité de qualité prouvable ». Le tatouage n'a pas besoin d'une capacité aussi importante que la stéganographie, la capacité peut donc être échangée contre de la robustesse.
Dans le domaine textuel, le système de tatouage à intégrité de qualité générative prouvable développé par l'équipe de l'USTC est plug-and-play, ne nécessite pas de modification des paramètres du modèle, prend en charge l'identification robuste à un bit et l'attribution de modèle à plusieurs bits. Il est déjà utilisé dans des plateformes comme le modèle Spark et le modèle GPT sécurisé, desservant 13 000 développeurs.
Simultanément, la recherche internationale sur les tatouages textuels génératifs à intégrité prouvable progresse rapidement :
2024 : L'équipe de l'Université du Maryland et d'autres avec « Unbiased Watermark for Large Language Models » (ICLR 2024 Spotlight) définit le tatouage non biaisé et donne une construction générique ;
La même année, l'Université de Stanford propose un tatouage non biaisé robuste aux distorsions (TMLR 2024) ;
2025 : Le tatouage non biaisé multi-canaux MCmark (ACL 2025) améliore la robustesse de l'extraction du tatouage tout en maintenant un caractère non biaisé strict.
Dans le domaine de l'image, l'équipe de l'USTC propose Gaussian Shading (CVPR 2024), mappant le tatouage randomisé de manière cryptographique à des variables latentes gaussiennes indiscernables de la génération normale, puis agissant sur tout l'espace latent via le processus de diffusion, sans nécessiter d'entraînement, plug-and-play, et prouvant l'intégrité des performances ;
Gaussian Shading++ et T2SMark (NeurIPS 2025) résolvent davantage les problèmes de robustesse, de variation des paramètres de génération et de diversité générative dans les déploiements réels ;
TAG-WM (ICCV 2025) introduit un double mécanisme « tatouage de gabarit + tatouage d'information », réalisant simultanément la localisation des falsifications et la confirmation de la propriété sous la prémisse d'intégrité ;
SemBind (ICML 2026) lie le tatouage à la sémantique de l'image via un masqueur sémantique, résistant aux attaques de contrefaçon en boîte noire.
Figure 4 : Tatouage génératif d'image à intégrité prouvable Gaussian Shading (CVPR 2024)
Du tatouage de contenu au tatouage de modèle. Le modèle lui-même est aussi un actif numérique important nécessitant une preuve d'appartenance fiable, et le tatouage de modèle se heurte toujours à une question : va-t-il affecter l'utilisation normale du modèle ?
S'inspirant de la construction de « porte dérobée prouvablement indétectable » proposée par la lauréate du prix Turing Shafi Goldwasser et d'autres dans FOCS 2022, l'équipe de l'USTC a proposé un protocole de tatouage de modèle en boîte noire à intégrité de performance prouvable (IEEE TDSC 2026) : utiliser un code d'authentification de message infalsifiable pour construire un indicateur de branchement, de sorte que la probabilité qu'un utilisateur normal déclenche la branche du tatouage soit négligeable en termes de calcul, réduisant ainsi l'intégrité de performance à la sécurité cryptographique.
La « garantie prouvable d'intégrité » s'étend ainsi du contenu généré au modèle lui-même.
De la « sécurité empirique » à la « sécurité prouvable »
Le tatouage invisible d'Anthropic a suscité des controverses dès son lancement : les rédacteurs s'inquiètent de l'attribution, les développeurs se demandent si « le tatouage va réduire la qualité de la génération ». Les pionniers de l'industrie ont choisi une « course rapide à l'industrialisation », mais l'objectif d'« être précis, ne pas nuire, résister aux réécritures et effacements, et fournir des preuves déterminantes » appelle un soutien théorique solide.
De la conception du problème par Shannon aux cadres théoriques de Blum et d'autres, du premier algorithme de stéganographie générative à sécurité prouvable en 2018 au tatouage du modèle Spark et celui de Claude, la dissimulation d'information a parcouru soixante-dix-sept ans, franchissant finalement le pas de la « sécurité empirique » à la « sécurité prouvable », transformant l'« inquiétude que le tatouage nuise au modèle » en une « preuve mathématique d'intégrité » – que ce soit pour le contenu généré ou le modèle lui-même – fournissant un support technique garanti théoriquement pour la gouvernance du contenu IA.
L'attaque et la défense des tatouages
Concevoir un tatouage est difficile, l'effacer est facile. Enfin, pas tout à fait. Concevoir un tatouage nécessite de poursuivre simultanément l'intégrité de qualité et la robustesse, tandis que l'attaquant doit aussi effacer le tatouage sous contrainte de qualité.
Sans contrainte, le tatouage est facile à effacer. Réécrire phrase par phrase pour effacer le tatouage, est-ce encore du contenu généré par le modèle original ? Autant utiliser directement un autre modèle open source pour générer.
Comme dans d'autres domaines de sécurité, attaquants et défenseurs sont en jeu dans leurs contraintes respectives ; avec attaque et défense, cette direction technologique a de la vitalité.
Et « l'intégrité » est à la fois la contrainte et la quête des deux parties.
Le défenseur ne veut pas sacrifier la qualité de génération pour insérer un tatouage ; l'attaquant ne veut pas non plus réduire la qualité en effaçant le tatouage.
Il n'y a jamais de sécurité absolue ; le sens de la défense est d'imposer un coût aussi élevé que possible à l'attaque. L'essence de l'attaque et de la défense est un jeu de coûts, il en va de même pour le tatouage.
Cet article provient du compte WeChat public « XinZhiYuan », auteur : XinZhiYuan
