Як Claude ушырвае невідмы вадзяны знак у тэкст: поясненне SynthID

У своіх новішых мадэлях Claude вбудовуе прыховану статыстычну підпіску у тыя, што яна генеруе. Іі неможліво побачыты; не додаюцца жодні сімволі, а якісць не змінюецца значно. Іі едына функція — дозволіты людыні, якая володые секрэтнім ключэм, оцініты ймовірнісць того, што саме Claude напісала або суттэво змініла певній урывок тэксту.

Гэтая схема базуецца на працы SynthID-Text ад Google DeepMind, опублікованій у журналі Nature у 2024 році і перэвірэній на майжэ 20 мільйонах рэальніх адказаў. Anthropic і шчэ 190 організацій впроваджуюць іі для дотрымання закону ЕС про штучній інтэлект, які з 2 серпня 2026 року вімагае ад постачальніків позначаты кантэнт, створэній штучнім інтэлектом. Гэты механізм настылькі вітончэній, што заслуговуе уважноі перэвіркі, а яго обмежэння маюць веліке значэння для тых, хто пішэ, вікладае або керуе авторамі.

Чому для віявлення знадобівся іншый підхід

Для выявлення тэкста, створанага штучным інтэлектам, выкарыстоўваюць два тыпы засобаў. Метод выявлення на адзыскве зберагае ўсё, што колі-небудзь створыў мадэль, і парабягае новы тэкст з гэтым архівам; гэта значыць, што прадаўца павінен фіксаваць кожную взаімадзею, што стварае проблемы з коордынацыяй і прыватнасцю. Метод выявлення пасля апрацоўкі, які вікорыстоўваецца большасцю комерчыяных продуктав, трэнуе класіфікатор або выкарыстоўвае статыстычныя характэрыстыкі, каб адзначыць розніцу межаў людскага і машыннага тэксту.

У методу выявлення пасля апрацоўкі ёсць тры структурныя слабасці. Ён парадкава справляецца з тэкстамі з домэнаў, на якіх ён не трэнуваўся. Ён даўае больш хыбная позытыўных рэзультатаў для певных груп, у чыяму чысле і тых, хто не ўжо ў мове англійскай як роднай, — ўжо ўважны і адносна формальны стыль якіх класіфікатор спрыяе атрыбутаванню іх тэксту як машыннага. Кроме таго, ён залежыць ад прасечкі, якая постаўляеся зменшвацца, адтолькі як тэкст штучнага інтэлекту статыстычна можна адразніць ад людскага тэксту, пры чым новейшыя мадэлі быстра зменшуюць гэты разлік.

Практычныя наследкі з’яўляюцца жахлівымі. Аўтар, чыя праца пазначана як такая, што можа быць створаная AI, не мае нічога, на што можна было б саскрэсці: ні падпісу, ні крыптаграфічных доказаў, ні спосабу паказаць, што ёё напісаў чалавек. Падозра прыймаецца як аксіум, пакуль не будзе дапаможана працына, а інструменты для падтверджэння чаго-небудзь не існуюць.

Вадзяны знак ператварае цю сітуацыю. Уместо таго, каб аналізаваць готовы тэкст на наявнасць патэранаў, схожых на тыя, што вікорыстоваецца ў AI, сігнал ствараецца ў працэсе генеравання, а пазней пераказваецца за дапамогою ключа. Компрэсія, пра якую пагаворыцца ніжэй, заключаецца у тым, што такі падход працюе толькі тады, калі постачальнік мадэлі супрацоўвае.

Дзе знаходзіцца вадзяны знак

Усё залежыць ад таго, як Claude стварае тэкст. Ён працюе ауторэгрэсіўна, выдаваючы по аднаму токену за раз (слова або частку слова). Перад кожным токенам ён аналізуе все, што было напісана ўжо, і прызначае верагатнасць кожнаму элементу свайго слоўніка.

Разглянемы рэчэнне "Параджоў сёньня быў холадны і ___." Празьмя не будзе "сацугарным", але "сірым", "затуманеным" чы "влажным" — усе гэтыя варыянты будуць прыемнымі, і чытач не зможа разбіцца, бо значэнне застаецца тое ж. Мадэль раз’яўляе гэты прыклад, выбіраючы значэння з сваёй распадальнай функціі, а пад час звычной працы для гэтага выбору вікорыстоўваецца звычны аб’ект калярнага чысла.

У прыемніку іменно ствараецца падпіс. Схема вадзяных знакоў не чыніць змян у слоўніку, а зменшае джэрэлу вялкаспрыводнасці: выборы расчыляюцца на адной таёмнай ключоўцы, змешанай з колькама токенамі, якія ўжо былі выкарыстаны раней. Для чытальніка выборы заставаюцца выглядаць як вялкаспрыводныя — у аднам месцы пішацца „сіры“, а за калькі рэчэнакоў — „затыянае неба“. Аднак статыстычна весь ланцуг выбораў цяпер паследавае ключоўцы. Для пераканання ў гэтым існуюць тэсты на выявленне. Калі падаць тэкст і ключоўку у функцію оцэнкі, яна пераканваецца, чы розмішаны токены ўзгодныя з тымі, якія бы выбраў ключоўка; калі слова ўсталяваныя ў достатнім колькасці, рэшэнне вялікае шансы ўжо не будзе залежаць ад вялкаспрыводнасці.

Зверніце ўвагу на тое, што не змініцца. Вадзяны знак не обмежвае выбор слов, якія будзе вжываць Claude, і не спрыяе выбору рэдкісней чым то словаў. Ён проста змініць джэрэлле наявнасці варыянтаў між аднакова хорашымі опцыямі. Той самы слоўнік, тая самая якасць, толькі іншы спосаб выбору.

Ідэя сядзябры

У дзеяных кроках няма справжней конкурэнціі. Пасля фразы «Століца Германіі ёсць» мадэль ставіцца майжэ на 100% на «Берлін», таму будзь-які спосаб рашэння дае «Берлін». У разе фразы «Парадакт сёння холадны і…» калькі слова падходзяць аднакова добра: сіры, затыянны, похмуры, хмарны. Рашэнне прымецца адносна вялікай лятаросці, таму адна тэкставая просьба можа даць адносна разныя адпаведзі на разныя спробы.

Генератор абяцковых чыслаў, які запускаецца з той самы сэду, ўсё час стварае тую ж самую последоўнасць. Для тых, хто не мае сэду, гэта выглядае як абяцкая варыябельнасць, а для тых, хто мае сэд, гэта цалкам відтворымальна. Застосавім гэта да прыкладу пагоды: з аднім сэдам мадэль завжды дае рэзультат „захмарна“, а з іншым — „сіра“. Выбор заўсёды ёсць довільным, толькі фіксаваным. Вадзяны знак заменяе жорсткая заданая сэду на сэду, які вырахоўваецца на месцы з адной таёмнай канфігурацыі. Словнасць і якасць застаюцца незменнымі, але весь працэс вырахоўвання рэшэнняў прырэшэнні таварыстваў залежыць ад гэтай канфігурацыі.

Адзін варыянт нічога не падтверджае, але варыянты множыцца. Адзіны параграф можа мець багато взаімнаязаменных элементаў: з аблачнай чымусцю чы ілі сірым небам, лёгкім чы ці мягкім ветрам, які дуе праз дрэвы чы праўдзейша між ямі, тыхам чы спакойна. Лячоныя чатыры такіх элемента даўаюць шанзеснаць абоднакова хорашых параграфоў, а кожны дадатковы элемент удвойвае гэтыя цыфры. Мадэль без насення адбываецца ў адной з версій прымусова. Мадэль з ключам следуе адной конкрэтнай дорага праз кожны розгалін, і гэтая дорага являецца «пазнакай».

Адказванне без модэлі

Звычным спосабам аналізу тэкста падходзіць для стварэння вадзяных знакаў, але ўтварэнне такіх знакаў сама по сабе ёст канфліктным пытаннем. Ёсць патрэба перапрацаваць выключна вялікі фрагмент тэксту, знайдзены на інтэрнэце, што заставляе трэбаць ведаць, які саме мадэль быў выкарыстоўваны, знаваць первісны запрос і прабавіць запрацаваць той самы мадэль, каб пераканацца, чыя ж выборы адпаведаюць ключу. Первісны запрос рэдка бывае доступны, таму такой падход не можа быць масштабаваны. Метод, опісаны ў стацыі SynthID-Text, прадуманы так, каб для пераканання ніколі не было патрэбы зноў запрацоўваць мадэль.

Дапамагае простая версія. Уявіце сабе тры функцыі, выведзеныя з ключа: G1, G2 і G3. Кожная з іх аналізуе кандыдатское слова разам з суседнім кантэкстам і таёмным ключом, пасля чаго прызначае яму штучна-вяліканскі біт — 0 або 1. Чатыро кандыдатаў у вяліканскіх словах праходзяць праз усе тры функцыі, і кожны з яных атрымлея короткі трывалыкі падпіс.

Далей кандыдаты змагаюцца ў фармаце турніра з апранаванням, падобна да спортвыяклага турніра. Словы паспарулююцца па парах, і тое, якое мае вышы рэйтынг у даным раундзе, праходзіць да наступнага, пры чым ключ выкарыстоўваецца для развярнення равнасці. У першым раундзе выкарыстоўваецца G1, у другім — G2 і так далей. Паколькі сістэма продовжвае наградзіць словы з вышэйшымі рэйтынгамі, тое, якое застаецца, зазвычай мае хорашыя балы па большасці функцый. У гэтым прыкладзе «grey» выграў і стае наступным словам. Як толькі зменяецца ключ, усе падпісы перашыроўваюцца, таму тытул атрымляе інша слова.

Паколькі пераможцы маюць вышэйшыя рэйтынгі, тэкст з вадзяным знакам пасля завершэння працэсу мае лёгкі нахыл у напрамку шаблона ключа, што можна вымерыць толькі на адной паўтарэнні тэксту.

Перакананне сумневанага тэксту

Падзейце, што вы знаходзіце абзац у Інтэрнэце і хочаце з’ясавіць, чыркнуў яго Воблак. За дапамой ключа і тых сабе функцый вы праходзіце па тэксту слова за словам і сумаваеце біты кожнага слова ў G1, G2 і G3.

Тэкст, створаны пад вадзяным знакам, мае высокі сярэгодшчык — можа 2,2 па гэтай шкале, адтуды ўжо словы былі выбраны за тое, што маюць высокі кантэнт бітов. Цяпер уявіце рэдагуўчыка, які заменяе калькамі каля калькі слоў, напрыклад «сёньдзе» на «цяпер» або «сіры» на «затуманены». Такія замены ігнаруюць ключ і паднімаюць сярэгодшчык, можа да 1,7. Прага межы між гэтымі двумя значэннямі, скажамо 2,0, разлучае варыянты: вышэй яе тэкст, верагатна, створыў Воблак, а ніжэй — ні.

Што спрыяе лёгкаму або складнаму выявленню

Два фактары вялікі ўплываюць на тое, насколькі можна быць впэўненым у выявленні.

Дзейнас. Кожны выбар слова залучае певную «выяўленню», таму дэльнейшы тэкст збіра больш такіх «выяўлення» і дае сільнейшыя выводы. Самэй таго дэтэктар паказвае ранг або дыяпазон вярагоднасці, а не проста «так» чы «нет».

Энтропія. Гэта памера таго, насколькі справжніх вароў мела мадэль. Калі калькі ласцягоў слова ёсць аднакова падходзяжныя, існуе можлівасць выбору ключовага вароў, і «выяўленню» застаецца. Калі падходзіць толькі адна слова, немагчыма выбраць што-небудзь і «выяўлення» не застаецца.

Большыя, сільнейшыя мадэлі зазвычай болей вярныя ў выборы правільнага ласцяга слова, што залішае менш вароў для выбору. Тонкая наладка на адзінаках людзей таксама мае падобны эфект і можа змусіць мадэль ўсё час выбіраць практычна тыя ж фразы. Наладкі генеравання таксама маюць значэнне: тэмпература блізкая да нуля або занадта строгі крэтынты для вароў не залучаюць простору для працы «вадзяных знакаў».

Точнасць і косц

Адзін просты спосаб ацэнкавання дэтэктара — гэта колькі тэкста з вадзяным знакам ён выявляе, рэдкасць калі ён паказвае хыбныя рэзультаты проты чалавека. Научнікі стабілізуюць хыбныя сігналы да 1 процента, а пасля підрахоўваюць частку справжніх тэкстаў з вадзяным знакам, якія былі знайдзены. Па порэванню з найкрашчымі альтэрнатыўнымі рацэямі ў кожной катэгорыі, метод адбору дэтактавання SynthID-Text выявляе больш такіх тэкстаў. Яго самая вялікая перадчыннасць дэманструецца у тэкстах з нізкай энтропіяй, дзе ёсць мало варыянтаў для аналізу, і дэтакцыя зазвычай сталквецца з найбольшымі труднасцямі.

Додатковыя вітраты ўзніклі незначныя. У даследжэнні было зафіксавана 15,527 мс на кожны створанный токен без вадзянага знака і 15,615 мс, калі працюе весь неабходны апарат, тое ўсьго на паў процента больш. Вартасць застаецца практычна стабільной, калі мадэлі растуць у размерах, таму ў большых масштабах яна становіцца незначным факторам.

Чы гэта пагубна для тэкста?

У гэтым пункце ёсць найбольша колькасць доказаў, і яны паказвают «нет». Команда Nature адрабатала прымітны тэст у сістэме Gemini, перадаючы адзін каскад рэальных запітоў на мадэль з вадзяным знакам, а рэшту — на звычную мадэль, пасля чаго пораўняла колькасць позытывных і негатыўных адгукоў у меры пра 20 мільйонаў адпаведзей. Колькасць позытывных галасаў разлічвалася на 0,01%, а негатыўных — на 0,02%; оба показнікі былі статыстычна незначныя і залягалі ў межах 95% інтэрвалаў доверы.

У адной з незалежных контрольваных даследжэнняў людзі пораўнявалі адпаведзі з вадзяным знакам і звычныя адпаведзі паўшчыце, оцэнюючы граматыку і логічнасць, рэлевантнасць, правільнасць, корыстнасць і загальную якасць. Ні аднаго з пяці показнікаў не было значных разлікав. Разлікі ў показніку перплексітэты і стандартных тэстах таксонаміў былі незначныя, а сэрвыс Anthropic у своіх внутраніх тэстах Claude таксама зафіксаваў аднаковыя рэзультаты.

Што означае выявлены вадзяны знак

Гэта значыць, што статыстычна ўможнае, што Воблак зяўсібытна быў участлів у стварэнні тэксту ў які-небудзь момент. Але гэта не паведамляе вам:

• Хто выкорыстоўваў Воблака. Падпіс не несе інформацыі пра корыстніка, арганізацыю чы чат, і ні падпіс, ні ключ не можна прыязначыць конкрэтнай адзбірцы людзей.
• Чы Воблак напісаў тэкст, чы толькі яго перэрабіў. Працэс падготовкі чэрнавіку і значныя перэрабкі выглядаюць аднакова для дэтэктара.
• Чы тэкст напісаў іншы ШЫ. Іншыя мадэлі выкорыстоўваюць іншыя ключы чы іншыя методы пазначэння, таму відсутнасць падабенства з ключам Воблака не значыць, што тэкст напісаў чалавек.
• Чы тэкст напісаў чалавек. Відсутнасць вадзяного знака не ёсць доказам чалавечага автарства, адколі короткія, фактычныя чы сільна перэрабленыя тэксты таксама можу не мець вадзяных знакоў.

Ён не ўніверсальна захоўка. Незначныя змены, верагатна, не пашкодзяюць яму, але замена кожнага элемента пад час повнай перапісвы знішчае яго, і тады выступае пытанне, чы рэзультат усё ўсё можа лягчыцца як тэкст AI. Праходжанне тэксту праз іншую мадэль для перафразавання таксама слабяе сігнал. Сама артыкул прызнае, што атакі на генератывальныя вадзяныя знакі, такія як крадзецтво, падбіранне і чыстка, яшчэ належна доследжваюцца.

Чаму самэўчасна

Компаніі не дадзілі гэта як функцыю проста так. Гэта ўзважна прававая абавязак. Anthropic і яшчэ апошнія 190 учаснікаў у ліпені 2026 года падпісалі Кодэкс практык ЕС па кантролю прозрачнасці контэнту, створанага сяродзе ШЫ, і з 2 серпня 2026 года кожны, хто прыносіць тэксты на базе ШЫ на рынак ЕС, зобавязаны ўсунуць на яго пазнаку. Claude тут не ўнікальны. Іншыя ведучыя розробнікі таксама падпісалі гэтыя зобавязанні і ствараюць своі сопныя знакі за дапамогою сваіх ключоў. Anthropic заявляе, што ўжо з моменту запуску вікорыстоўвае гэтыя пазнакі ў всім свеце, адтолькі чыстая рэгіональная замена яшчэ не існуе, і што ствараецца API для ўпізнавання гэтых пазнакаў.

Што можна выявіць з гэтага

Даўжыню часу адпаведзь на запітанне «Ці гэта ШЫ?» давалі апранткі, якія рабілі прыбліжныя выводы на адзінаках стылю, і яны каралі аўтарскі тэкст, напісаны адзяйна, формальна чы ў іншай мове, за тое, што ён здаваўся занадта апрантным. Вадзяны знак спакоюецца на чымсь іншым: на слабкім, невідзімым шаблоне, залежным ад ключа, які дадаёцца пад час стварэння тэксту і пазней пераканальваецца. Яго можаць зусім незначна. Ён паводзіцца пра тое, што, верагатна, быў участлів Claude. Ён не можа сказаць, хто яго выкарыстоўваў, не можа адразніць напісанне ад рэдагавання, не можа звялічыць чалавека ад падазраў і не вытрымае цэлага перапісвання. Ён чыстасцю больш ад прыбліжных выводоў, і ўжывальнікі яго павінны адпавядаць гэй чыстасці.