Claude steganografie: wat je als ontwikkelaar moet weten

Stel je voor dat een AI twee bijna identiek goede woorden kan kiezen: 'gebruiken' of 'toepassen'. Voor jou maakt het niet uit. Maar als het systeem stelselmatig kiest op basis van een verborgen bitpatroon, dan codeert het data in je tekst zonder dat je het ziet.

Dat is de kern van steganografische markering: de AI exploiteert het feit dat er bij elke generatiestap meerdere tokens zijn met nagenoeg gelijke kans. Door die keuzes te sturen op basis van een payload, kun je informatie insluiten. Denk aan je account-ID, een tijdstempel of een hash van je input-prompt.

Dit is anders dan statistische watermerken, waarbij de kansverdelingen van tokens globaal worden bijgestuurd. Steganografie werkt op een fijnmaziger niveau en is daardoor moeilijker te detecteren of te verwijderen. Zelfs als je de tekst licht herschrijft, kunnen bepaalde patronen bewaard blijven.

Voor wie meer wil weten over hoe AI-veiligheid en monitoring bij Anthropic werken: ik schreef eerder over hoe Anthropic zijn veiligheidsnormen aanscherpt en wat dat voor gebruikers betekent.

Dit is het punt waarop je als nuchtere ondernemer even moet schakelen. Er zijn drie dingen die we weten:

1. Het is technisch mogelijk. De architectuur van grote taalmodellen laat dit toe. De mechanismen zijn goed begrepen in de academische wereld.

2. De prikkels zijn er. Als Anthropic wil kunnen achterhalen welk account misbruik maakt van de API, is steganografische markering een elegante oplossing. Effectiever dan IP-logging, want de marker zit in de tekst zelf.

3. Er is geen bewijs dat het bestaat. Onderzoekers in de community hebben identieke prompts honderden keren gestuurd naar de Claude API en variatie gevonden in de output, zelfs bij temperature=0. Maar dat kan ook komen door infrastructurele niet-determinisme, iets wat Anthropic zelf erkent. Je kunt de twee niet onderscheiden zonder extra controles.

Naar mijn idee is dit een vraag die Anthropic gewoon zou moeten beantwoorden in hun documentatie. Transparantie over output-modificaties is redelijk als je een API aanbiedt waarop anderen commerciële producten bouwen. Dat ze het niet doen, zegt op zichzelf iets, al is dat geen bewijs.

Check ook hoe Claude zich gedroeg tijdens beveiligingstests waarbij het ongeautoriseerde acties uitvoerde: ook daar stelde Anthropic's eigen monitoring zich vragen bij transparantie.

Kijk even wat dit concreet zou betekenen. Je vraagt Claude via de API om een productomschrijving te schrijven. Die tekst publiceer je op je webshop. Als die tekst een verborgen marker draagt die herleidbaar is naar jouw API-sleutel, dan is elk stuk content dat je publiceert potentieel gelinkt aan jouw identiteit.

Dat hoeft geen probleem te zijn als je netjes binnen de gebruiksvoorwaarden werkt. Maar het roept wel vragen op:

• Wat gebeurt er als jouw API-sleutel wordt gestolen en de dief content genereert die via jou herleidbaar is?
• Wat als je content distribueert namens klanten en die content markers draagt die naar jou wijzen?
• Wat betekent dit voor sectoren waar anonimiteit of bronbescherming juridisch relevant is?

De payloads met de hoogste waarschijnlijkheid zijn account-identifiers en tijdstempels. Die zijn compact en passen in een beperkte steganografische bandbreedte. Een volledige prompt-hash zou meer bits vereisen en is dus minder waarschijnlijk bij korte antwoorden.

Let op: dit zijn hypothetische scenario's gebaseerd op de technische mogelijkheden, niet op bevestigde implementaties. Maar hypothetisch of niet, het is de moeite waard om je beleid hierop aan te passen.

De methodologie die onderzoekers hanteren is simpel in opzet. Je stuurt dezelfde prompt tientallen keren naar de API, met temperature op nul zodat de output zo deterministisch mogelijk is. Dan analyseer je op welke posities de output verschilt en of dat patroon correleert met je account of sessie.

Praktisch probleem: Anthropic garandeert geen deterministische output, ook niet bij temperature=0. Floating-point berekeningen op verschillende servers kunnen kleine variaties veroorzaken die niets met steganografie te maken hebben. Je hebt dus minimaal twee verschillende API-accounts nodig om te vergelijken of de variatie account-gebonden is.

Een basistest in Python ziet er zo uit:

Daarna stuur je dezelfde prompt twintig keer en sla je elke response op. Vergelijk de resultaten op tokenniveau. Als je bij identieke prompts meerdere verschillende antwoorden ziet, is dat het startpunt voor verder onderzoek, maar geen bewijs op zichzelf.

Eerlijk gezegd: tenzij je een specifieke compliance-reden hebt om dit te onderzoeken, is de kans klein dat je als individuele ondernemer de infrastructuur hebt om dit goed te controleren. Behandel het als een open vraag en pas je werkwijze aan op basis van dat risico, niet op basis van bewijs dat je zelf niet kunt leveren.

Mijn standpunt hierover is pragmatisch. Ik gebruik Claude zelf voor allerlei werk, van code schrijven tot teksten opstellen. Ik ga daar niet mee stoppen op basis van een onbevestigde hypothese. Maar ik pas mijn werkwijze op een paar punten aan:

Gebruik nooit één API-sleutel voor meerdere klanten. Als die sleutel in output-markers zit, dan is content van klant A herleidbaar naar dezelfde sleutel als content van klant B. Dat is een privacyprobleem, ongeacht of steganografie bestaat.

Publiceer nooit onbewerkte API-output in gevoelige contexten. Als je in een sector werkt waar bronbescherming, anonimiteit of vertrouwelijkheid wettelijk relevant is (journalistiek, juridisch, medisch), dan wil je sowieso niet onbewerkte AI-tekst publiceren zonder review. Dat geldt ongeacht steganografie.

Houd Anthropic's documentatie in de gaten. Als ze ooit iets publiceren over output-markering, wil je dat weten. Zet een Google Alert op 'Anthropic output marking' of 'Claude watermarking'.

Voor wie werkt met Claude Code op enterprise-niveau: de limieten zijn verruimd, maar de transparantievragen rondom output blijven hetzelfde. Vraag het na bij je accountmanager als je een enterprise-deal hebt.