- 「スパイマーク」という新しい呼び名が、なぜ話題になっているのか
- Google SynthIDなどAI透かしの仕組みと、64ビットの識別子とは何か
- 普通のメタデータや目に見える透かしとの違い
- Anthropicの透かしやMicrosoft Paintの事例で、何が報じられているか
- 日本の利用者が今日からできる備えと考え方
AIで作った画像や文章に、あなたの知らない「目に見えない印」が付いているかもしれません。2026年9月に公開された1本のエッセイが、この透かしを「スパイマーク」と呼び直そうと提案して、議論を呼んでいます。
スパイマークとは何か？ 話題の発端
発端は、AI画像・動画制作ソフト「ArtCraft」の創業者ブランドン・トーマス氏が2026年9月21日に公開したエッセイ「Spymarks, not Watermarks」です。日本では11月8日にGIGAZINEが取り上げました。
トーマス氏の主張はシンプルです。ウォーターマーク（透かし）は本来、目に見えて、本物の証明や持ち主の主張に使うものでした。ところが今は、ユーザーに気づかれずに追跡できる隠し信号まで、同じ「透かし」と呼ばれています。
そこで「Spy（こっそり監視する）」と「mark（印）」をつなげて、スパイマークという名前を提案しました。名前に「監視」の意味を入れておけば、プライバシーの問題が一目で分かるからです。
歴史をさかのぼると、1980年代からあるプリンターの追跡ドット（印刷物にこっそり入る小さな点）も、初期のスパイマークの例として挙げられています。
GoogleのSynthIDは何をしているのか
人間には見えない信号を埋め込む
SynthID（Google DeepMind）は、AIが作った画像・動画・音声・文章に、人間には感じ取れない透かしを入れる技術です。公式ページでは、AIが作った素材かどうかを見分けて、生成AIへの信頼を高める目的だと説明されています。
画像と動画では、切り抜きやフィルター、圧縮をしても残るように設計されているとのことです。音声では、ノイズやMP3圧縮に耐えるとされています。
文章の場合は仕組みが少し違います。モデルが次の単語を選ぶときの確率をわずかに調整して、あとから調べると見つかる統計的なクセをつくります。
問題視されているのは64ビットの識別子
トーマス氏が問題にしたのは、画像向けの方式「SynthID-O」の容量です。512×512ピクセルの画像に、136ビットの情報を入れられると紹介されています。
内訳は、データベースの識別番号が64ビット、エラー訂正用が72ビットです。この番号を、利用者の氏名やIPアドレスなどが入ったデータベースと結びつければ、理屈の上では画像1枚から作った人にたどり着けます。
ただし、これはあくまで「そうなりうる」という指摘です。DeepMindの公式ページには、プライバシーについての具体的な説明がありません。Googleが実際に利用者の情報を番号に結びつけているかどうかは、今回確認できた資料では示されていません。
ふつうのメタデータや目に見える透かしとの違い
スパイマークは何が違うのか、3つを並べて比べてみましょう。
- 目に見える透かし：画像の上に「サンプル」などと表示します。誰でも見えて、削ることもできます。
- メタデータ（EXIFやID3）：撮影日時や曲名などの付属情報です。専用ソフトで中身を確認でき、編集も削除もできます。
- スパイマーク：画素や音、単語の選び方そのものに入っています。利用者には見えず、メタデータを消しても残る場合があるとされています。
友だちに画像を送る前に、スマホの設定で位置情報を消した経験はありませんか？ あれはメタデータを消す作業です。ところが、画像の中身に信号が埋まっていれば、同じ操作では消せません。
トーマス氏は、文章での仕組みも例で示しています。8か所の言葉選びを8ビットとみなし、二進数の10101101を番号173に読み替えます。その番号が書いた人と時刻を指す、という仮の例で、氏自身がこの例を架空のものとしています。
音声でも同じことができます。2018年公開のオープンソースツール「audiowmark」は、128ビットの情報を音声に隠し、暗号鍵（AES）で守れると紹介されています。技術そのものは新しくありません。
AnthropicやMicrosoftの事例で報じられていること
この議論を広げた記事のひとつが、byteiotaの解説記事です。意見記事なので、以下は筆者の主張として読んでください。
Claudeの文章に入る透かし
byteiotaによると、2026年8月2日以降、Claude APIが返す文章には、単語の選び方に見えない印が入っているとされています。調べられるのはAnthropicと、対応する鍵を持つ相手だけです。
Anthropicは、この透かしが示すのは「Claudeが作成や編集に関わった」ことだけだと説明しています。特定の利用者、組織、会話は識別できないとのことです。
byteiotaはこれを、技術の限界ではなく今の方針による制限だと評しています。つまり、仕組みの上では将来変わる余地があるという見方です。
Microsoft Paintの画像IDと「来歴税」
同じ記事は、開発者のXusheng Li氏が8月にMicrosoft Paintを解析した結果も紹介しています。AI生成画像には、サーバーが発行したGUID（世界で重複しにくい固有番号）が目に見えない形で入っていたと報じられています。
「ローカルで生成」とうたうCopilot+ PCでも同じだったとされ、Microsoftの出所情報の説明にはGUIDの記載がないとも書かれています。ただし、この番号を実際に利用者の追跡に使っているという証拠は示されていません。
もうひとつは、Lasso Securityが9月17日に出した研究です。文章の透かしが、AIエージェントの動作を変えるおそれがあると報告されています。研究者はこれを「provenance tax（来歴税）」と呼んでいます。
透かしを支持する側の言い分
透かしを入れる側にも、理由はあります。TechTargetの解説は、偽情報やディープフェイクへの対策、作者の証明、証拠の真正性の確認といった利点を挙げています。
一方で、弱点も整理されています。文章の透かしは人が手直しすると消えやすく、OpenAIは文章の判定ツールを「精度が低い」として6か月で取り下げました。本物の画像に偽の透かしを付けて、疑いを招く悪用も考えられます。
同じ解説は、透かしが広がれば生成AIの使い方を追跡できてしまうという懸念にも触れています。支持する側も、プライバシー面の課題があること自体は否定していません。
また、SynthID Detectorは、Google製のAIだけでなく、OpenAI、NVIDIA、Kakaoなどの提携先が作った素材も調べられると案内されています。透かしの仕組みは、すでに複数の企業に広がっています。
日本の利用者への影響と備え
日本の利用者にとっても、他人事ではありません。Gemini、ChatGPT、Copilot、Claudeは、日本からも同じサービスとして使えるからです。日本向けだけの別の発表は、今回の調査では確認できていません。
3つの場面を想像してみてください。
1つ目は、会社の広報担当者がAIで作ったバナーを公開する場面です。この場合は、AI生成と分かる透かしがむしろ信頼につながるかもしれません。
2つ目は、取引先の不正に気づいた社員が、AIで書き直した文章を匿名で内部通報する場面です。文章に追跡できる印が入るなら、書き手が特定される心配があります。
3つ目は、政治的な意見をAIで整えてSNSに投稿する一般ユーザーです。拡散の経路をたどられるかもしれないと思えば、書く内容をためらうでしょう。
byteiotaは、多くの用途では透かしの存在を受け入れて記録しておけばよいとしています。匿名での通報や機密書類の処理には、自分のパソコンで動かせるオープンな重みのモデル（Llama、Mistral、Qwenなど）を勧めています。ただし、性能の差という代償があるとも述べています。
EUのAI法（第50条）についても、byteiotaは「処理したコンテンツから透かしを取り除かないこと」を開発者に求めると紹介しています。この流れが進めば、追跡の仕組みはさらに深く組み込まれていくかもしれません。
よくある質問（FAQ）
Q1. スパイマークは正式な技術用語ですか？
いいえ。トーマス氏が提案した呼び名です。技術的には「見えない透かし」や「電子透かし」と呼ばれます。
Q2. SynthIDで私個人が特定されるのですか？
SynthID-Oは64ビットの識別子を入れられる容量があると紹介されていますが、Googleが個人情報と結びつけている証拠は、今回確認した資料にはありません。可能性の指摘と実際の運用は、分けて考える必要があります。
Q3. メタデータを消せば透かしも消えますか？
消えない場合があるとされています。スパイマークは画素や単語の選び方そのものに入っているため、EXIFなどを消す操作では取り除けません。
Q4. 透かしがあるのは悪いことですか？
一概には言えません。偽情報対策や真正性の確認に役立つ一方、使い方によっては追跡の手段にもなります。何が入っていて、誰が調べられるのかを公開してほしい、というのがこの議論の中心です。
まとめ
- 「スパイマーク」は、目に見えない追跡可能な信号を透かしと区別するための呼び名です。
- SynthID-Oは、512×512の画像に64ビットの識別子を入れられる容量があると紹介されています。
- Googleが個人情報と結びつけている証拠は、確認できた資料にはありません。
- Anthropicは、Claudeの透かしは利用者を識別できないと説明しています。
- 匿名性が必要な作業は、ローカルで動くモデルも選択肢になります。
まずは、自分が使うAIサービスの透かしの仕様と、公式の説明を一度確認してみましょう。