GitHubで公開わずか4日、スター数7,967を叩き出したwatermarks-remover。PNG/JPEG画像のC2PAメタデータからテキスト中のUnicode不可視文字まで、AI生成物の「出所証明」を根こそぎ剥がすツールだ。検知回避需要の爆発は、AI provenance規格の設計思想そのものへの弔鐘に他ならない。

何が起きたか

guillaumemeyer/watermarks-removerが、公開4日で7,967スターを獲得した。ChatGPTやGeminiが出力するテキスト・画像・PDF・Wordファイルに埋め込まれたAI由来マーカーを一括除去するツールだ。対象は明確に3層に分かれている。第一にPNG/JPEG画像のC2PA署名およびEXIFメタデータ、第二にテキスト中のUnicode不可視文字（ゼロ幅スペースU+200B、方向制御文字など）、第三に統計的リライトフックによる文体指紋の除去である。単一のスクリプトで画像もドキュメントもまとめて処理でき、CLIから叩ける。4日で7,000スター超は、開発者トレンドとしては上位0.1%クラスの伸び方で、「検知回避」という需要が水面下で相当溜まっていたことを示す。

なぜこのニュースが重要か

エンジニア視点で見ると、このツールが暴いたのはC2PA（Coalition for Content Provenance and Authenticity）規格の構造的欠陥だ。C2PAはPNGやJPEGのメタデータチャンクに署名付きマニフェストを埋め込む仕様だが、そもそもPNGのアンシラリーチャンク（tEXt、iTXt等）は仕様上、削除しても画像本体は破壊されない。つまり「消せることが仕様で保証されている」場所に、消えてほしくない出所証明を書いている。これは設計思想の矛盾である。Unicode透かしも同様で、NFKC正規化を一発かければ不可視文字の大半は落ちる。統計的な語彙分布シフトによる透かし（Kirchenbauerらの手法系）も、パラフレーズ処理で有意に劣化することは論文レベルで既知だ。つまりwatermarks-removerは新規性のあるハックではなく、「既に破られていた前提を、ワンコマンド化して可視化した」ツールにすぎない。この可視化こそが破壊力を持つ。

技術的な深掘り

PNGフォーマットの仕様書（ISO/IEC 15948）を読めば分かるが、クリティカルチャンク（IHDR, IDAT, IEND, PLTE）以外は全てオプショナルだ。C2PA署名はcaBXという専用チャンクに格納されるが、これはアンシラリー扱いで、pngcrushやImageMagickの-stripオプションでも消える。JPEGならAPPnマーカーに入るため、同じく除去可能だ。つまり「画像本体のピクセル値に情報を埋め込まないと透かしは残らない」のに、C2PAはあえてメタデータ層を選んだ。理由は改ざん検知と署名検証の利便性だが、除去耐性を捨てた設計となっている。真に堅牢な透かしはSynthIDのようにピクセル値の周波数領域に埋め込む方式だが、これも再エンコードやスクリーンショットで劣化する。結論として、AI provenance問題は「コンテンツ側に印を付ける」アプローチでは解けない。署名すべきは配布経路であり、X.509証明書とタイムスタンプ局を使ったチェーン・オブ・カストディに軸足を移すべきだ。

経営者として次に取るべき動き

第一に、AI生成物の自動検知ツールへの投資を即座に停止せよ。文章判定AI・画像鑑定APIは、watermarks-removerの登場で誤検知率・見逃し率ともに実用水準を割った。年間契約の更新前に解約可能条項を確認すべきだ。第二に、契約書・提案書の真正性担保をC2PAから電子署名＋認定タイムスタンプ（eIDAS準拠またはJCAN）に切り替える。PDFへのPAdES署名運用に標準化すれば、透かし除去とは無関係な法的証拠力を確保できる。第三に、採用選考は実技試験・ライブコーディング・口頭ディフェンスに完全移行せよ。文章の「AI率判定」に頼る企業は、応募者からも社内からも信頼を失う。実演課題を制度化した企業だけが、生成AI時代の人材評価で優位に立つ。