保護個資隱私：使用 watermarks-remover 徹底清除 AI 浮水印與溯源資訊

用 GitHub 開源專案 Watermarks-remover 清理 AI 來源標記與隱私資訊

在探索數位內容與管理檔案時，維持資料的潔淨度與隱私安全非常關鍵。許多人常誤以為網路上的「浮水印移除工具」僅是用來修復圖片外觀、抹除視覺商標（Logo）的修圖軟體；但事實上，在生成式 AI 普及的今天，更具挑戰且隱密的標記是看不見的 AI 來源標籤（AI Provenance Marks）。

如果你正在尋找一款能徹底清理檔案中 AI 痕跡、元數據（Metadata）及隱形水印的開源工具，GitHub 上擁有超過 12,000 顆星 的開源專案 watermarks-remover 是一個極具技術深度的實用選擇。

圖片來源: GitHub - guillaumemeyer/watermarks-remover: Strip multi-vendor AI provenance marks: Unicode text hygiene, statistical rewrite hooks, and C2PA/metadata from PNG/JPEG/SVG/PDF/DOCX/HTML/MD · GitHub

為什麼這款工具值得試試？它與傳統修圖工具有何不同？

一般商業浮水印工具多聚焦於「像素修改（如抹除圖片角落的 Logo）」，而由開發者 guillaumemeyer 維護的 watermarks-remover 則專注於解決多廠商 AI 生成內容的來源追蹤與隱私洩露問題。

無論是由大型語言模型（如 Claude、Gemini、OpenAI、或是開源大模型）生成的文字，還是由 AI 繪圖引擎產出的圖像與文檔，這款工具都能將其附帶的數位簽章、隱形標記與中介資料完全剝離。

最新版本 v0.5.0 的重大技術演進

在最新的 v0.5.0 版本中，專案經歷了架構上的全面升級：

• 「智慧體技能」與「底層服務」徹底分離（Skill/Service Split）：原本的 Agent Skill 轉換為無程式碼的輕量化 HTTP 客戶端，所有核心處理邏輯皆轉移至底層 Python 服務中，使部署與調用更加標準化。
• 格式支援大擴充：除了原先支援的 PNG、JPEG、WebP、SVG、PDF、DOCX、ODT、HTML 與 Markdown 外，新版本正式加入了 BMP、GIF、TIFF 及 EPUB 格式的元數據清理功能。
• 一鍵容器化部署：官方發布了基於 Docker 的完整服務映像檔（預裝 exiftool、qpdf 與 c2patool），並提供 Docker Compose 配置文件以利在本地一鍵拉起整套微服務。

雙層文字清理機制與文件格式淨化

watermarks-remover 的核心工作流將文字防護分為兩大層級，並針對不同文檔容器進行物理級的結構重建：

1. 文字清理的雙層架構

• Layer A（無損編碼清除）：針對廠商在文本中植入的隱形 Unicode 字元（如零寬度空格 ZWSP、雙向文字控制字元 bidi、不可見 Tag 字元、異形空白與特殊 PUA 私有區塊字元）進行確定性偵測與精確洗滌。此路徑 100% 安全，絕不破壞原文字詞語境，並會細緻保留合法的表情符號拼接鍵（ZWJ）、國旗 emoji 與阿拉伯 Cf 格式控制符。
• Layer B（統計學/採樣浮水印干擾）：現代 AI 系統（如 Google 的 SynthID-Text 或學術界常用的 Kirchenbauer 等架構）常將浮水印隱寫在**詞彙選擇機率（Token-sampling bias）中。要破壞這類統計浮水印，必須通過句子級別的重寫（Rewrite）與改寫（Paraphrase）**來打破原有的詞彙概率分佈。工具提供了結合 Ollama 或 OpenAI 相容端點的 Layer B 重寫鉤子（Hook），支援 humanize（人類口吻化）及 code（代碼註釋與局部標識符重命名）等強度。

2. 容器與文件格式的物理淨化（File Cleaners）

針對不同的媒體與文檔格式，工具採用了精密的結構化重寫技術：

• 圖片（PNG / JPEG / WebP / BMP / GIF / TIFF / SVG）：精準定位並丟棄 C2PA 區塊（Content Credentials 來源憑證）、APP11 段、RIFF 區塊、以及嵌入在 EXIF/XMP 中的 AI 提示詞暗示。例如：在 GIF 格式中，它會乾淨抹除註解與 XMP 應用擴充段，但會刻意保留 NETSCAPE2.0 的動畫循環塊；針對 BMP 則會截斷尾部多餘字節並重新計算文件大小字段。
• 電子書與辦公文檔（EPUB / DOCX / ODT）：對 EPUB 清理其 OPF 中介資料、XHTML 中的 <meta> 與 JSON-LD 區塊、並將 Layer A 理論套用於 XHTML 正文文字，同時安全跳過經 OCF 加密的保護段；對於 DOCX 與 ODT 則嚴格限縮在 docProps 與 customXml 目錄，絕不破壞本體。
• 網頁與標記語言（HTML / Markdown）：刪除 YAML Frontmatter 中隱藏的 AI 密鑰、剝離特定 data-ai* 標籤與元數據屬性。

⚠️ 為什麼 PDF 清理必須依賴 qpdf，而不僅是 exiftool？

這是文檔安全中常見的盲點。ExifTool 在修改 PDF 屬性時採用的是增量更新（Incremental Update）模式——它只是在文件尾端附加一個更新塊並更新指針，雖然觀看器讀不出中介資料，但原始的敏感數據與來源字節仍然 verbatim（逐字）留存在文件內部，只要使用逆命令便能輕鬆還原！

為了防範這種無意間的隱私洩漏，watermarks-remover 的 clean_pdf.py 腳本在調用 exiftool 後，必須強制配合 qpdf --linearize 命令。qpdf 會從 PDF 的對象圖（Object Graph）出發進行結構性重新序列化（Re-serialization），並徹底丟棄所有未被引用的歷史元數據對象，從而實現無殘留的真正淨化。

實戰指南與可選進階後端

這款工具設計得相當模組化，除了核心的 stdlib Python 服務外，還整合了多種用於科學驗證、安全防禦與像素級處理的外部套件：

1. 快速上手命令

核心腳本僅需本地 Python 3.10+ 的標準函式庫即可運行（零第三方依賴）：

# 1. 啟動 stdlib HTTP 本地伺服器 (預設監聽 127.0.0.1:8765)
make serve
# 或直接運行：python3 service/scripts/server.py

# 2. 對檔案進行一體化檢測與清理
python3 service/scripts/inspect_file.py draft.md
python3 service/scripts/clean_file.py draft.md -o draft.cleaned.md
python3 service/scripts/clean_file.py photo.png -o photo.cleaned.png
python3 service/scripts/clean_file.py report.docx -o report.cleaned.docx

2. 像素級 AI 浮水印移除（CtrlRegen 外部後端）

若您需要對圖片中像素級別的 AI 浮水印（如 Google SynthID、StableSignature、Tree-Ring 或 StegaStamp）進行破壞，工具支援調用外部的 CtrlRegen 管道（基於 ControlNet + DINOv2 IP-Adapter 的可控生成技術）：

# 通過 clean_image.py 調用 CtrlRegen 去除像素浮水印
NOAI_WATERMARK_DIR=~/noai-watermark \
~/noai-watermark/.venv/bin/python service/scripts/clean_image.py shot.png \
  -o shot.cleaned.png --remove-pixel ctrlregen --ctrlregen-strength 0.25

• 工作邏輯：工具會先剥離文件元數據（Metadata），再送入 CtrlRegen 進行去噪重構（在 512×512 像素範圍內原生執行，大於該尺寸則會自動啟用 Cosine-blended seam 重疊切片拼接技術），最後將輸出圖像尺寸調整回原樣並進行色彩校正（Color-matching）。

3. 多模態控制與實驗驗證套件

為方便安全研究員進行對照實驗（Controlled Experiments），專案還提供了兩套整合工具：

• MarkLLM 驗證（Text Harness）：包裝了 THU-BPM/MarkLLM 框架。可用於生成 Kirchenbauer (KGW) 或 SynthID 文本浮水印，並在執行 Layer B 重寫後檢測殘餘強度，以量化驗證去標記效果。
• MarkDiffusion 驗證（Image Harness）：包裝了 THU-BPM/MarkDiffusion。一方面支持對 Tree-Ring-class 等影像水印進行 same-scheme 本地重新檢測；另一方面將其 DiffusionPurification 無條件擴散生成還原演算法作為 --remove-pixel diffusion 的備用像素清除引擎。

常見問題與技術釐清

• Q：這款工具可以幫我移除圖片上的傳統浮水印商標嗎？
  • 不可以。 本專案專為 AI 來源痕跡與中介資料（AI Provenance & Metadata） 所設計。若是將其用於像素直接「燒死」的商業 Logo 或視覺水印，工具本身是無能為力的（除非啟用高強度的 CtrlRegen 像素重生成，但這樣會改變圖像中對應區域的細節）。
• Q：Layer B 重寫對文字品質有什麼代價？
  • 這是一個物理限制：統計水印與文字的遣詞造句融為一體，移除標記即意味著必須修改文字。
  • 這意味著重寫會將原稿的語氣、風格與細膩度強行替換為重寫模型（如本地 Llama 3.2 或其他模型）的語言上限。如果產出內容的文字質感（如高品質行銷 copy、SEO 軟文）高於重寫模型，該重構會帶來肉眼可見的品質扁平化（Flattening）。
  • 因此，專案官方建議：如果文字品質高於對安全標記的顧慮，請僅啟用無損的 Layer A Unicode 清洗與元數據剝離，保留原創的精美散文。
• Q：清理過後，能 100% 保證避開 AI 偵測器的檢查嗎？
  • 世界上沒有任何工具能做出如此保證。 在廠商公開其檢測演算法、解密私鑰與檢測閾值前，所有第三方清理工具皆是以科學研究和隱私保護為出發點的「最佳努力（Best-effort）」。報告會明確分流「可驗證的清理成果（如 Unicode 移除數、C2PA 塊刪除）」與「盡力而為的 Layer B 重構」，使用者應保持理性預期。

總結

watermarks-remover 憑藉其極高的透明度、對文件系統結構的純熟掌控（如針對 PDF Incremental Update 的防漏安全阻斷），以及科學的「Layer A/B 文字防衛哲學」，為在意內容隱私、檔案衛生（File Hygiene）與安全研究的開發者提供了極其紮實的本地清理機制。

不論你是希望整合到日常開發的工作流中，還是在本地搭建一套隱私導向的文檔洗滌流水線，該專案在架構設計、安全機制及多廠商適配上，都展現出了卓越的開源工匠精神。