Claude가 쓴 글엔 왜 지문이 남을까

들어가며

구독자님, 8월 10일 Anthropic이 헬프센터에 문서 하나를 조용히 올렸어요. 2026년 8월 2일 이후에 출시되는 Claude 모델은 생성한 텍스트에 기계가 읽을 수 있는 표식을 심는다는 내용이었어요. 눈에는 안 보이고, 복사해서 붙여넣어도 따라오고, 일부 편집은 견딘다고 해요.

이미지라면 바로 이해했을 거예요. 구글 딥마인드의 SynthID가 생성 이미지에 안 보이는 워터마크를 넣는다는 건 알려진 이야기니까요. 그런데 문장에 어떻게 안 보이는 걸 숨길까요. 글자 사이에 특수문자를 끼워 넣는 걸까요?

아니에요. 결론부터 말씀드릴게요. 텍스트에는 무언가를 숨길 여백이 물리적으로 없어요. 그래서 이 기술은 글에 표식을 붙이는 대신, 모델이 단어를 고르는 방식 자체를 아주 살짝 비틀어요. 워터마크가 글에 붙어 있는 게 아니라 글 그 자체인 셈이죠. 오늘은 이 구조가 어떻게 작동하는지, 그리고 왜 이 원리에서 한계까지 전부 따라 나오는지 풀어볼게요.

---

그림엔 숨길 자리가 있고, 글엔 없어요

먼저 이미지 워터마크가 왜 직관적으로 이해되는지부터 짚어볼게요.

디지털 이미지는 픽셀 수백만 개의 숫자 배열이에요. 그리고 사람 눈은 이 숫자들의 미세한 차이를 감지하지 못해요. 어떤 픽셀의 붉은색 값이 137이든 138이든 우리는 구분할 수 없어요. 오디오도 마찬가지예요. 사람 귀가 잘 못 듣는 주파수 대역이 존재하고, 큰 소리 뒤에 묻히는 작은 소리가 있어요.

이 감각의 무딤이 곧 여백이에요. 정보를 실어 나를 수 있는 빈 공간이죠. SynthID 계열의 이미지 워터마크는 이 여백에 신호를 심어요. 원본과 워터마크가 들어간 버전을 나란히 놓고 봐도 사람은 차이를 못 느끼는데, 전용 탐지기는 그 미세한 패턴을 읽어내요. 이미 만들어진 이미지에 나중에 덧씌우는 것도 가능해요.

텍스트에는 이 여백이 없어요.

문장은 픽셀 배열이 아니라 토큰¹의 나열이에요. 그리고 모든 토큰이 의미를 가져요. “오늘은 날씨가 좋아요”에서 글자 하나를 살짝 바꾸면 오타가 되거나 뜻이 달라져요. 137을 138로 바꾸는 것 같은 무해한 미세 조정이 원리상 불가능해요. 눈에 보이지 않는 유니코드 문자를 끼워 넣는 방법도 있긴 한데, 이건 워터마크라기보다 그냥 숨은 문자예요. 복사해서 다른 편집기에 붙이면 대부분 날아가고, 찾아서 지우기도 너무 쉬워요.

그래서 텍스트 워터마킹은 완전히 다른 접근을 택해야 했어요. 다 쓴 글에 신호를 심는 게 아니라, 글을 쓰는 과정에 개입하는 방식이요.

---

그래서 단어를 뽑는 방식을 바꿨어요

여기가 오늘의 핵심이에요.

언어 모델은 글을 한 번에 쓰지 않아요. 토큰을 하나씩 뽑아요. 매 순간 어휘 사전 전체(보통 10만 개 이상)에 대한 확률 분포를 계산하고, 거기서 하나를 추첨해요. 그리고 중요한 사실이 하나 있어요. 대부분의 자리에서 정답은 하나가 아니에요.

“이 문제의 원인은 기술이 아니라 ___” 같은 문장을 생각해보세요. 여기에 “제도”, “구조”, “설계”, “관행” 중 무엇이 와도 문장은 멀쩡해요. “그래서” 대신 “따라서”, “이 지점” 대신 “이 대목”을 써도 독자는 아무 차이를 못 느껴요. 이렇게 어느 쪽을 골라도 상관없는 여유분이 매 토큰마다 존재해요. 정보이론에서는 이걸 엔트로피²라고 불러요.

텍스트 워터마킹은 이 여유분을 통신 채널로 써요. 픽셀의 여백 대신 선택의 여백을 쓰는 거예요.

구글 딥마인드가 2024년 10월 Nature에 발표한 SynthID-Text 논문이 이 구조를 가장 명확하게 보여줘요. 방식은 이래요.

직전 토큰 + 비밀 키 → 해시 → 난수 씨앗 → 채점 함수 g1 · g2 · g3
후보 8개	제도	구조	설계	관행	방식	체계	틀	원리
g1로 겨루기	구조		설계		방식		원리
g2로 겨루기	설계				원리
g3로 겨루기	설계
주황색 칸이 실제로 출력된 토큰이에요. 논문 기본 설정은 층이 30개인데, 여기서는 3개로 줄였어요.

먼저 비밀 키와 직전 몇 개 토큰을 함께 넣고 해시 함수를 돌려 난수 씨앗을 만들어요. 이 씨앗으로 어휘 사전의 모든 토큰에 0 또는 1을 뿌리는 채점 함수를 여러 개 생성해요. 그다음 모델의 원래 확률 분포에서 후보 토큰을 여러 개 뽑아 토너먼트를 붙여요. 둘씩 짝지어 채점 함수 점수가 높은 쪽이 올라가고, 다음 층에서 다른 채점 함수로 또 겨루고, 마지막에 살아남은 토큰이 실제 출력이 됩니다. 논문의 기본 설정은 30개 층이에요.

핵심은 이거예요. 후보들이 애초에 모델의 진짜 확률 분포에서 뽑혔기 때문에, 결과물의 품질은 거의 그대로예요. 그런데 키를 아는 사람 눈에는 이상한 일이 벌어져요. 출력된 토큰들이 하나같이 그 키가 만든 채점표에서 점수가 높은 쪽에 몰려 있거든요.

탐지는 여기서 간단해지죠. 모델도, 원본도 필요 없어요. 같은 키로 관측된 텍스트 위에서 채점 함수를 다시 돌려 평균 점수를 내고, “사람이 쓴 글이라면 우연히 이 정도가 나올 확률”을 계산해요. 통계 검정이에요. 사람이 쓴 글은 딱 우연 수준이 나오고, 워터마크가 들어간 글은 통계적으로 튀어요.

비용도 거의 안 들어요. 같은 논문에서 토너먼트 샘플링의 지연 시간 증가는 0.57%로 측정됐어요. 이 방식이 실제 서비스에 배포될 수 있었던 이유죠. 실제로 구글은 이걸 Gemini에 넣었고요.

Anthropic이 정확히 이 방식을 쓰는지는 아직 몰라요. 회사가 구현 세부를 공개하지 않았거든요. 다만 “글 자체에 짜 넣는다”, “복붙에 따라온다”, “일부 편집을 견딘다”, “품질에 영향이 없다”는 네 가지 설명은 이 계열 기법의 특징과 정확히 겹쳐요. 이 계열의 원형은 2023년 커첸바우어 연구팀이 제안한 그린리스트·레드리스트 방식이고, 토너먼트 샘플링은 그 개선판이에요.

---

한계도 전부 같은 원리에서 나와요

이 구조를 이해하면 Anthropic 문서에 적힌 한계 목록이 전부 한 줄로 설명돼요. 회사가 조심스러워서 붙인 면책이 아니라, 원리상 그럴 수밖에 없는 것들이에요.

복사·붙여넣기에 살아남는 이유는 표식이 파일 속성이 아니라 단어 선택 그 자체이기 때문이에요. 텍스트를 옮기면 표식도 같이 옮겨져요. 메타데이터처럼 떨어져 나갈 부분이 애초에 없어요.

일부 편집을 견디는 이유는 신호가 수백 번의 선택에 얇게 흩뿌려져 있기 때문이에요. 문장 몇 개를 고쳐도 통계값이 낮아질 뿐 0이 되지는 않아요.

짧은 글에서 실패하는 이유도 같아요. 통계 검정이라 표본이 필요해요. SynthID-Text의 실측을 보면 50토큰 길이에서는 오탐률 1% 기준으로 탐지 성공률이 0.3 근처까지 떨어져요. 열 문장 남짓한 글은 판정이 어렵다는 뜻이에요.

패러프레이즈³와 번역에 무너지는 이유가 특히 흥미로워요. 사람이나 다른 모델이 문장을 다시 쓰면 토큰 선택이 그 키와 무관한 과정으로 재추첨돼요. 신호가 지워지는 게 아니라 덮어씌워지는 거예요.

그리고 문서에 적혀 있지 않은 한계가 하나 더 있어요. 저는 이게 가장 중요하다고 봐요. 워터마크가 담을 수 있는 정보량은 생성 엔트로피에 묶여 있어요. 선택지가 하나뿐인 자리에는 아무것도 심을 수 없어요. 후보가 다 똑같으면 토너먼트를 열 이유가 없으니까요.

그래서 짧은 코드 조각, 정형화된 표 출력, 인용문, 계산 결과처럼 답이 거의 정해진 텍스트에는 표식이 거의 안 붙어요. 역설적이죠. AI 저작 여부가 가장 뜨겁게 다퉈지는 영역에서 이 기술이 가장 약하게 작동해요.

---

한국은 이미 1월부터 표시 의무가 있었어요

여기서 시선을 국내로 돌려볼게요. 이번 발표를 유럽 규제 이야기로만 읽으면 절반을 놓치게 돼요.

「인공지능 발전과 신뢰 기반 조성 등에 관한 기본법」과 시행령이 2026년 1월 22일 시행됐어요. 제31조는 생성형 AI 사업자에게 결과물이 AI로 생성됐다는 사실을 표시하도록 의무화하고 있어요. 여기서 갈래가 둘이에요. 일반 결과물은 사람이 인식할 수 있는 표시 또는 워터마크·메타데이터 같은 기계 판독 방식 중에서 고를 수 있고, 딥페이크는 사람이 명확히 알아볼 수 있는 가시적 표시만 허용돼요. 텍스트도 대상에 포함되고요.

문제는 두 가지였어요. 첫째, 의무를 지는 건 개인 이용자가 아니라 인공지능사업자예요. 둘째, 기계 판독 방식을 고르고 싶어도 쓸 수 있는 표준 기술이 사실상 없었어요. 그래서 정부는 최소 1년 이상의 계도기간을 뒀고, 최대 3천만 원의 과태료 부과는 사실상 2027년 이후로 밀려 있어요.

Anthropic의 이번 조치가 이 공백에 닿아요. 모델 레벨에서 표식이 붙는다는 건, Claude를 얹어 제품을 만드는 국내 사업자 입장에서 기계 판독 표시가 기본값으로 딸려 온다는 뜻이거든요. 표준 부재라는 이유는 하나 줄어드는 셈이에요.

다만 여기서 껄끄러운 지점이 생겨요. 우리 법이 요구하는 건 “AI가 만들었다는 사실을 표시”하는 것인데, 이 워터마크가 말해주는 건 정확히 그게 아니에요. 회사가 스스로 밝혔듯 Claude가 원저자가 아니어도 표식은 붙어요. 교정, 번역, 요약, 형식 변환을 거친 문장도 전부 “Claude가 처리함”으로 나와요. 유럽 쪽 지침이 단순 문법 교정 같은 보조 기능을 표시 의무에서 빼주고 있는 것과 비교하면, 기술이 법보다 넓게 표시하고 있는 상황이에요.

즉 이 표식은 저작 여부의 증명이 아니라 인공지능과 사용자의 접촉의 흔적이에요. 이 둘을 같은 것으로 취급하는 순간 오해가 시작돼요.

---

오스왈드의 시선

기술 자체보다 저를 더 오래 붙들었던 건 다른 질문이었어요. 탐지 키를 누가 쥐느냐는 문제요.

이 워터마크는 키가 없으면 읽을 수 없어요. 그런데 키를 공개하면 누구나 워터마크를 역으로 지울 수 있어요. 어떤 토큰이 점수가 높은지 알면 그 토큰들만 골라서 바꿔치기하면 되니까요. 그렇다고 비공개로 두면 “이 글을 AI가 썼는가”라는 판정 권한이 모델 회사 한 곳에 집중돼요.

EU 실행규약은 제3자가 탐지할 수 있게 하라고 요구하는데, 이 둘은 원리상 충돌해요. 현실적 해법은 회사가 운영하는 탐지 서비스일 텐데, 그러면 판정을 받으려고 검사할 텍스트를 그 회사에 보내야 해요. 채용 담당자가 지원자의 자기소개서를, 학교가 학생의 과제를 모델 회사 서버로 올려야 판정이 나온다는 뜻이에요. 투명성을 위해 만든 장치가 새로운 데이터 집중을 만드는 구조죠.

GTM 전략을 짜면서 반복해서 마주친 패턴이 있어요. 기업이 AI 도구를 검토할 때는 성능 비교표부터 만드는데, 실제로 계약을 흔드는 건 늘 그 표에 없는 항목이었어요. 이번 건도 같은 모양이에요. Claude API로 문서 처리 제품을 만드는 회사라면 고객이 자기 원고를 넣었는데 결과물에 탐지 가능한 신호가 붙어 나온다는 항목을 챙겨야 해요. 약관과 고지 문구를 손봐야 할 사안이거든요.

다만 실효성은 냉정하게 봐야 해요. 지우고 싶은 사람은 다시 쓰기 한 번이면 되고, 워터마킹을 안 하는 모델을 쓰면 그만이에요. 결국 표식이 붙는 건 규칙을 지키는 쪽이죠. 그래서 저는 이 조치를 나쁜 사용을 잡는 장치가 아니라 평범한 콘텐츠에 출처의 층을 얹는 인프라로 봐요.

---

마치며

정리하면 이래요.

첫째, 이미지에는 사람이 못 느끼는 여백이 있어서 신호를 숨길 수 있지만, 텍스트에는 그 여백이 없어요. 그래서 텍스트 워터마킹은 글에 표식을 붙이는 대신 단어를 고르는 방식을 비틀어요.

둘째, 이 원리에서 특성이 전부 따라 나와요. 복붙에는 살아남고, 짧은 글과 정답이 정해진 텍스트에는 안 붙고, 다시 쓰면 사라져요.

셋째, 남은 진짜 문제는 기술이 아니라 탐지 권한의 위치예요. 키를 공개하면 제거되고, 감추면 판정이 한 곳에 집중돼요. 일단, Claude는 클립보드와 메타데이터에 이 기록을 남기겠다고 했어요.

당장 해보실 수 있는 건 의외로 단순해요. 지금 조직에서 AI를 거쳐 외부로 나가는 텍스트를 한 줄로 적어보세요. 보도자료, 상세페이지, 고객 응대 문구, 계약서 초안. 그중 “AI가 처리했다는 표식이 붙어도 곤란하지 않은 것”과 그렇지 않은 것을 갈라보시면, 앞으로 정리해야 할 정책의 윤곽이 대충 나와요.

혹시 실무에서 AI로 문서를 만들거나 다듬어 외부에 내보내고 계신가요? 그 결과물에 “AI가 처리함”이라는 표식이 붙는다면 가장 곤란해지는 문서가 무엇일지 댓글로 들려주세요. 사례가 모이면 다음 호에서 문서 유형별 표시 리스크 지도를 그려볼게요.

---

💬 표식이 붙으면 가장 곤란할 문서가 무엇인지 댓글로 들려주세요. 다음 호에 반영해볼게요. 📨 콘텐츠·법무·개발을 맡고 계신 동료가 있다면 이 글을 전달해 주세요.

---

참고자료 & 더 읽기

핵심 출처

• Anthropic, “How Claude marks AI-generated content”, Claude Help Center, 2026년 8월 10일. 문서 보기 ··· 오늘 글의 출발점이에요. 짧으니 원문으로 읽어보시길 권해요. 특히 「Limitations」 절이 이 회사가 무엇을 약속하지 않았는지 보여줘요.
• Sumanth Dathathri et al., “Scalable watermarking for identifying large language model outputs”, Nature, Vol. 634, 2024년 10월 24일, pp. 818–823. 논문 보기 ··· 오늘 메커니즘 설명의 근거예요. Fig. 2의 토너먼트 그림 하나만 봐도 원리가 잡혀요. 참고로 이 논문을 631권 755쪽으로 인용한 2차 자료가 여럿 있는데, 그건 다른 논문의 서지 정보예요.
• John Kirchenbauer et al., “A Watermark for Large Language Models”, ICML, 2023. 논문 보기 ··· 이 계열의 원형이에요. 그린리스트·레드리스트라는 가장 단순한 형태라서 개념을 잡기엔 오히려 이쪽이 쉬워요.
• 「인공지능 발전과 신뢰 기반 조성 등에 관한 기본법」 제31조 및 동법 시행령, 2026년 1월 22일 시행. 법령 보기 ··· 국내 표시 의무의 근거 조항이에요. 딥페이크와 일반 결과물의 표시 방법이 어떻게 갈리는지가 핵심이에요.
• European Commission, “Transparency obligations under Article 50 of the AI Act”, 2026. 공식 FAQ 보기 ··· 제50조 적용 시점(2026년 8월 2일)과 실행규약의 위치를 1차 자료로 확인하실 수 있어요.

배경 지식

• Coalition for Content Provenance and Authenticity, C2PA Specification. 스펙 보기 ··· 파일 쪽 표식의 표준이에요. 서명 구조가 어떻게 생겼는지만 훑어도 “떼어내면 그만”인 이유가 보여요.
• Nikola Jovanović, Robin Staab, Martin Vechev, “Watermark Stealing in Large Language Models”, ICML, 2024. 논문 보기 ··· 워터마크를 역으로 추정해 지우거나 위조하는 공격을 다뤄요. 오늘 글의 ‘탐지 키’ 문제를 기술적으로 파보고 싶으시면 여기부터요.

---

📝 용어 설명

필자 안광섭은 세종대학교 경영학과 교수이자 OBF(Oswarld Boutique Consulting Firm) 리드 컨설턴트이다. 대학에서 경영데이터 관리, 비즈니스 애널리틱스 등 통계 및 데이터 분석을 가르치는 한편, 현장에서는 GTM 전략과 인공지능 전략 컨설팅을 이끌며 기술과 비즈니스의 접점을 설계하고 있다. AI 대화 시스템의 기억 아키텍처(HEMA) 연구로 학술 논문을 발표했으며, 매일 글로벌 AI 논문을 큐레이션하는 Daily Arxiv 프로젝트를 운영하고 있다. 고려대학교 기술경영전문대 석사과정와 KMBA을 졸업했다. 지은 책으로 《생각을 맡기는 사람들: 호모 브레인리스》가 있다.

각주

1. 토큰(Token): 언어 모델이 글을 다루는 최소 단위예요. 단어 하나일 수도 있고, 단어의 조각일 수도 있어요. 모델은 문장을 통째로 쓰는 게 아니라 이 토큰을 하나씩 이어 붙이는 방식으로 글을 만들어요. ↩

2. 엔트로피(Entropy): 어떤 자리에 올 수 있는 선택지가 얼마나 다양한지를 재는 값이에요. 다음에 올 단어 후보가 여럿이면 엔트로피가 높고, 사실상 하나로 정해져 있으면 낮아요. 워터마크는 이 값이 높은 자리에서만 숨을 수 있어요. ↩

3. 패러프레이즈(Paraphrase): 뜻은 그대로 두고 표현만 바꿔 다시 쓰는 것이에요. 사람이 손으로 고쳐 쓰거나 다른 AI에 넣어 돌리는 경우가 모두 여기에 해당해요. ↩