Watermark remover: cosa rimuove davvero. La verifica sul codice del tool da 10.000 stelle

Nota di trasparenza: questo articolo è stato scritto con l’ausilio dell’intelligenza artificiale. La verifica tecnica descritta qui è reale e riproducibile: abbiamo clonato il repository, eseguito il codice e misurato i risultati. Dove un dato non è verificabile lo diciamo esplicitamente — è il punto centrale del pezzo.

Un watermark remover per i testi delle AI ha superato le 10.000 stelle su GitHub in pochi giorni. La promessa implicita è semplice: cancella la firma invisibile che i modelli come Claude, dal 2 agosto 2026, inseriscono in ogni testo. Abbiamo fatto una cosa che quasi nessuno fa prima di parlarne: lo abbiamo aperto, eseguito e misurato. Il risultato è netto e in parte scomodo per entrambe le tifoserie. Sui file (immagini, PDF, metadati) il tool rimuove per davvero e in modo verificabile. Sui testi non rimuove il watermark statistico — non può, e a dirlo non siamo noi ma il repository stesso. Questo articolo mostra cosa abbiamo fatto, quali dati chiunque può riprodurre per smentirci, e perché una “prova del prima e dopo” sul watermark dei testi, oggi, è tecnicamente impossibile da produrre.

Se ti serve il contesto — cos’è il watermark, come funziona SynthID, cosa impone l’articolo 50 dell’AI Act — lo abbiamo trattato nell’articolo principale sul watermark AI nei testi. Qui andiamo dritti alla verifica sul campo.

Che cosa abbiamo fatto, esattamente?

Abbiamo clonato il repository pubblico watermarks-remover di Guillaume Meyer, licenza MIT, e invece di leggere il README lo abbiamo eseguito su testi controllati, confrontando i file byte per byte prima e dopo l’intervento.

Il metodo, in tre passaggi riproducibili da chiunque:

1. Abbiamo preso un testo generato da un modello linguistico — lo stesso tipo di modello che oggi appone il watermark — e lo abbiamo passato all’inspector del tool, senza modificarlo.
2. Abbiamo preso lo stesso testo e ci abbiamo iniettato a mano i “trucchi” Unicode di vecchia generazione: spazi a larghezza zero e uno spazio speciale (U+202F), lo stesso carattere del noto caso GPT del 2024.
3. Abbiamo eseguito la pulizia e la funzione di “riscrittura” che dovrebbe attaccare il watermark statistico, e abbiamo osservato l’output.

La scelta di leggere il codice invece delle promesse non è pignoleria: è l’unico modo per distinguere ciò che uno strumento fa da ciò che dice di fare. Ed è esattamente la differenza che separa una fonte affidabile da un annuncio, la stessa logica di esperienza e affidabilità (E-E-A-T) con cui Google e i motori generativi decidono di chi fidarsi.

Il watermark remover rimuove il watermark dai testi AI?

No, non il watermark statistico dei testi. Rimuove in modo verificabile i caratteri Unicode nascosti e i metadati dei file, ma la firma vera dei modelli 2026 vive nelle scelte di parola e sfugge del tutto alla parte dello strumento che funziona con certezza.

La prova più eloquente è la prima. Il testo generato dal modello — quello che, secondo la premessa e secondo Anthropic, porta il watermark statistico — passato all’inspector restituisce questo:

Length: 517 chars
Suspicious: 0
Note: No deterministic Layer A (invisible Unicode/format) carriers detected;
      statistical and pixel-domain marks are out of scope here.

Zero elementi sospetti. Lo strumento non vede nulla, perché il watermark che dovrebbe esserci non è un carattere nascosto: è un pattern distribuito nelle parole, e lo stesso tool dichiara che è “fuori portata” (out of scope). Quando invece nel testo iniettiamo a mano i caratteri invisibili di vecchia scuola, li trova tutti, contati uno per uno:

Suspicious: 14
  [zwj_family]  U+200B ZERO WIDTH SPACE          x12
  [space]       U+202F NARROW NO-BREAK SPACE     x2

La differenza tra i due risultati è tutta la storia. Il tool trova solo ciò che qualcuno ha iniettato come carattere. Il watermark dei modelli attuali non è un carattere, ed è per questo che l’unica parte davvero affidabile dello strumento non lo tocca nemmeno.

Quali sono i dati falsificabili di questa verifica?

Un dato è falsificabile quando chiunque può rifare la prova e, se sbagliamo, dimostrarlo. È la sola forma di prova che conti: tutto ciò che affermiamo qui sotto puoi riprodurlo sul tuo computer e smentirci. Ci teniamo alla distinzione perché nel campo dei watermark circola l’opposto: affermazioni che nessuno può verificare, spacciate per fatti.

Questi sono i fatti verificabili emersi dal test. Ognuno è controllabile clonando il repository ed eseguendo gli stessi comandi.

• Il testo AI non modificato risulta “pulito” per il tool. L’inspector restituisce Suspicious: 0: la firma statistica non è rilevabile con i suoi strumenti. Riproducibile.
• I caratteri Unicode iniettati vengono trovati tutti. Zero-width space e narrow no-break space compaiono nel report con posizione e conteggio esatti. Riproducibile.
• La pulizia Unicode è pienamente reversibile e misurabile. Dopo il clean, il file torna identico byte per byte al testo di partenza (da 529 a 517 caratteri: 12 rimossi, 2 sostituiti). Riproducibile con un semplice confronto binario.
• La “riscrittura” anti-watermark, di default, non riscrive nulla. Il backend predefinito è print-prompt: stampa un prompt di parafrasi e ti restituisce il testo originale. Per rimuovere davvero la firma statistica devi collegare un secondo modello (Ollama o un endpoint compatibile) che riscriva l’intero testo. Riproducibile.
• Il repository stesso classifica la rimozione del watermark testuale come non verificabile. Nella sua tabella interna, alla voce “watermark statistico del testo”, la colonna “verificabile oggi?” riporta “No”. Leggibile nel file removal-matrix.md.

La tabella che segue sintetizza cosa lo strumento rimuove e con quale grado di prova, ricavata direttamente dal suo codice.

Perché non esiste una prova “prima e dopo” del watermark statistico?

Perché per mostrare che una firma è stata rimossa servono due cose che oggi non esistono pubblicamente: un rilevatore che certifichi la presenza della firma “prima”, e lo stesso rilevatore che ne certifichi l’assenza “dopo”. Anthropic non ha rilasciato né l’uno né l’altro. Senza quel rilevatore, qualunque schermata “watermark rilevato → watermark rimosso” sui testi è teatro: manca lo strumento che darebbe il verdetto.

C’è un secondo strato del problema, ed è il più onesto da mettere sul tavolo. Il testo di prova di questa verifica è stato generato da un modello linguistico. Chi scrive materialmente queste righe è, in buona parte, lo stesso tipo di sistema che il watermark lo appone. Ne segue un paradosso ineludibile: non possiamo dimostrarti che il testo di partenza fosse marcato, quindi non possiamo dimostrarti che il removal l’abbia tolto. E se anche facessimo girare la riscrittura, l’output sarebbe di nuovo prodotto da un’AI — di nuovo non certificabile. Non si esce mai dal cerchio. Rimuovere il watermark di un’AI riscrivendo con un’altra AI è come togliere l’inchiostro versandoci sopra altro inchiostro.

Ecco perché in questo articolo trovi una sola controprova con output reali — quella sui caratteri Unicode — e non una sul watermark statistico. Non è una lacuna: è la conseguenza diretta dell’assenza di un detector pubblico. La cosa corretta da fare, e l’unica difendibile, è tracciare il confine tra ciò che è dimostrabile e ciò che non lo è, invece di riempire il vuoto con una prova finta. È lo stesso rigore che chiediamo a un contenuto quando spieghiamo come farsi citare da ChatGPT e Perplexity: un’affermazione vale quanto la fonte che la regge.

Che cosa rimuove davvero il tool?

Rimuove con certezza due categorie di segni: i caratteri invisibili nel testo e i metadati di provenienza nei file. Entrambi utili, entrambi verificabili, entrambi però marginali rispetto alla firma che conta.

Sul testo, il “Layer A” del tool è scritto bene. Riconosce e ripulisce l’intera famiglia dei caratteri usati per nascondere informazioni: spazi a larghezza zero, giunzioni invisibili, marcatori direzionali, spazi sosia del carattere normale, caratteri di tag. Ed è prudente dove serve: preserva le sequenze legittime — emoji composte, scritture arabe e indiane, testo bidirezionale — invece di distruggerle. Su questo fronte è uno strumento di igiene tipografica serio, del tipo che a un editore fa davvero comodo.

Sui file, il tool rimuove i metadati C2PA firmati, gli EXIF, gli XMP e le proprietà dei documenti da una lunga lista di formati. Anche qui funziona. Ma, come nota BleepingComputer nella sua analisi, i metadati di un file non sopravvivono comunque a un ri-salvataggio, a una conversione di formato o a uno screenshot: rimuoverli non è una grande impresa. È la parte facile del problema.

Che cos’è il “Layer B” e perché è una riscrittura, non una rimozione?

Il “Layer B” è la parte che dovrebbe attaccare il watermark statistico. In pratica è un prompt che chiede a un modello linguistico di riscrivere il testo con parole diverse. Non rimuove una firma: sostituisce il testo con un altro.

Il watermark statistico vive nelle scelte di parola: il segnale è sparso su quasi ogni frase. L’unico modo noto per intaccarlo è riscrivere pesantemente il testo con un secondo modello, cambiando lessico, ordine delle proposizioni, connettori e struttura delle frasi. Il tool lo dichiara per quello che è — un attacco “best-effort”, non una cancellazione garantita.

E qui il prezzo è alto, come ammette lo stesso autore. Riscrivere sostituisce le scelte di parola originali con quelle del modello che riscrive, appiattendo tono, voce e precisione. Su copy professionale — SEO, marketing, lavoro cliente — quel degrado è reale e spesso visibile proprio a chi tiene di più al testo. Il README pone la domanda che chiude il cerchio: perché chi paga per un modello di qualità dovrebbe poi passare l’output attraverso uno peggiore? A cui si aggiunge il paradosso già visto: il testo “ripulito” è di nuovo output di un’AI, quindi di nuovo potenzialmente marcato. La riscrittura non ti porta fuori dal problema: ti fa girare in tondo, perdendo qualità a ogni giro.

Che cosa dichiara lo stesso repository sui propri limiti?

Il repository è, va detto, notevolmente onesto. Non promette miracoli: circoscrive con precisione ciò che può provare e ciò che non può. È la parte più utile per chi vuole capire davvero.

Nel README si legge, testualmente: “Finché i fornitori non rilasciano detector e chiavi pubbliche, nessuno strumento può onestamente certificare ‘questo supera il controllo ufficiale’.” E ancora, sul costo della riscrittura: prendere il testo di un modello di alto livello e farlo riscrivere da uno meno capace produce un risultato che “non può superare il limite del modello che riscrive”. Il file dedicato all’etica elenca poi tra gli usi non appropriati il “sostenere che un contenuto ripulito sia scritto da un umano” per aggirare obblighi di trasparenza, definendolo “teatro della conformità”. Difficile essere più chiari.

Questa lettura non è solo nostra. Due testate tecniche hanno esaminato il caso in modo indipendente e sono arrivate alla stessa conclusione. Implicator.ai lo sintetizza così: “La pulizia dei metadati è verificabile; la sua pretesa contro la firma testuale nascosta di Claude non lo è.” BleepingComputer riferisce inoltre che un ricercatore ha clonato i principali progetti e, leggendo il codice, ha scoperto che un popolare “pulitore” di testi lasciava passare intatta la tecnica di payload nascosto più comune: il dato nascosto si ridecodificava perfettamente dopo la presunta pulizia. Sempre a titolo di contesto, Implicator ricorda che nel 2024 un gruppo dell’ETH di Zurigo era riuscito, con meno di 50 dollari di chiamate a un’API pubblica, a ricostruire le regole di un watermark testuale e ad aggirarlo — segno che la robustezza di queste firme è, di suo, una questione aperta.

La convergenza è totale: la parte verificabile funziona ed è modesta; la parte che farebbe notizia non è verificabile da nessuno, oggi.

Che cosa significa per chi pubblica contenuti?

Che investire nella rimozione del watermark è una scommessa a perdere: paghi un degrado certo del testo per un beneficio che nessuno può nemmeno misurare. La risorsa va spostata dall’altra parte, sul valore che nessun modello genera e nessun tool può togliere.

Il ragionamento è lo stesso che regge il nostro articolo principale, e questa verifica lo conferma dall’interno. Il watermark vive nelle parole probabili: la sintassi media, i connettori, le frasi che un modello sceglierebbe perché statisticamente attese. È esattamente la parte del testo che vale meno. Ciò che invece un modello non genera — un dato misurato sul campo, un caso reale, una posizione netta, l’angolo che nessuno aveva visto — non ha alcun watermark da rimuovere, perché non è “probabile”: è tuo. Chi si concentra sul cancellare la firma sta lucidando la parte replicabile del proprio lavoro e trascurando l’unica difendibile.

Sul piano della visibilità la conseguenza è pratica. I motori generativi citano fonti riconoscibili, strutturate e attribuibili; la visibilità nelle risposte AI premia i contenuti con dati propri, non quelli ripuliti per sembrare anonimi. La Generative Engine Optimization spinge nella direzione opposta a quella dei watermark remover: non nascondere l’origine, ma renderti la fonte più chiara e verificabile su una domanda precisa. Ed è la stessa ragione per cui, quando ci chiedono se rifare il sito per le AI, rispondiamo che quasi sempre va rifatto il perimetro dei contenuti, non il codice: il valore sta in cosa dici e con quali dati, non negli strati tecnici che lo avvolgono.

Domande frequenti

Il watermark remover funziona sui testi di Claude?

Rimuove i caratteri Unicode nascosti e i metadati dei file, non il watermark statistico inserito nelle scelte di parola. Per intaccare quest’ultimo serve una riscrittura completa con un secondo modello, che il tool stesso definisce “best-effort” e non verificabile, perché non esiste un detector pubblico con cui controllare il risultato.

Perché non si può verificare se il watermark testuale è stato rimosso?

Perché la verifica richiede il rilevatore ufficiale del fornitore, che confermi la firma “prima” e ne accerti l’assenza “dopo”. Anthropic non ha rilasciato questo detector né la specifica tecnica. Senza di esso, nessuno — né chi marca né chi rimuove — può provare alcunché sul singolo testo.

Allora il tool è inutile?

No. È utile e ben scritto per ciò che fa in modo verificabile: igiene dei caratteri invisibili e rimozione dei metadati di provenienza dai file. È la promessa percepita — “cancella la firma AI dai testi” — a non reggere, e a dirlo è anche il repository stesso.

Rimuovere il watermark rende un testo “scritto da un umano”?

No. Una firma rimossa non significa che il contenuto non sia mai stato assistito dall’AI. Lo scrive lo stesso strumento nel proprio documento sull’etica, che sconsiglia esplicitamente di usarlo per dichiarare umano un testo ripulito laddove la trasparenza è dovuta.

Conviene usare un watermark remover per i contenuti aziendali?

Sconsigliato. Riscrivere un testo con un modello peggiore ne abbassa la qualità in modo visibile, per un vantaggio non misurabile. Per i contenuti che devono posizionarsi ed essere citati dalle AI, l’investimento razionale è opposto: dati propri, firma dell’autore e responsabilità editoriale dichiarata.

In sintesi

Abbiamo aperto il watermark remover più stellato del momento e lo abbiamo verificato riga per riga. Fa bene una cosa modesta e verificabile — pulizia Unicode e metadati — e non fa la cosa che tutti gli attribuiscono, cioè rimuovere la firma dai testi, perché nessuno oggi può dimostrare quella rimozione. Le 10.000 stelle non misurano l’efficacia: misurano la paura di essere marchiati. E la risposta a quella paura non è un tool, è un cambio di logica. Marcare o ripulire il processo non dice nulla sul valore di ciò che scrivi. Solo il valore — l’idea, il dato, la posizione firmata — resta non replicabile, watermark o no.

Vuoi costruire contenuti che le AI citano perché sono la fonte più autorevole, non perché sembrano anonimi? Ecco come lavora un’agenzia GEO a Milano e cosa chiederle prima di firmare.