Jak Claude wstawia niewidzialny znak wodny w tekst: wyjaśnienie SynthID

W swoich nowszych modelach Claude włącza ukryty sygnał statystyczny do tego, co generuje. Nikt go nie może zobaczyć. Nie dodaje się żadnych znaków, a jakość nie ulega istotnej zmianie. Jego jedyną funkcją jest umożliwienie osobie posiadającej klucz sekretny oszacowanie prawdopodobieństwa, że to Claude napisał lub znacząco zmodyfikował dany tekst.

Schemat ten opiera się na badaniach SynthID-Text z Google DeepMind, opublikowanych w czasopiśmie Nature w 2024 roku i zweryfikowanych na blisko 20 milionach rzeczywistych odpowiedzi. Anthropic oraz około 190 innych firm przyjmuje ten system, aby spełnić wymogi unijnej ustawy o sztucznej inteligencji, która nakazuje dostawcom oznaczanie treści stworzonych przez sztuczną inteligencję od 2 sierpnia 2026 roku. Mechanizm ten jest na tyle elegancki, że zasługuje na uważną analizę, a jego ograniczenia mają znaczenie zarówno dla tych, którzy piszą, uczą, jak i zarządzają autorami.

Dlaczego wykrywanie wymagało innego podejścia

Rozpoznawanie tekstu stworzonego przez sztuczną inteligencję opiera się na dwóch rodzajach narzędzi. Metoda oparta na wyszukiwaniu przechowuje wszystko, co model kiedykolwiek wygenerował, i porównuje nowy tekst z tym archiwum, co oznacza, że dostawca musi rejestrować każdą interakcję, co stwarza problemy zarówno z koordynacją, jak i ochroną prywatności. Metoda rozpoznawania a posteriori, używana w większości produktów komercyjnych, szkoli klasyfikator lub polega na cechach statystycznych w celu odróżnienia tekstu napisanego przez człowieka od tekstu maszynowego.

Metoda rozpoznawania a posteriori ma trzy strukturalne słabości. Słabo radzi sobie z tekstami z dziedzin, na których nie była szkolona. Wykazuje więcej fałszywie pozytywnych wyników w przypadku określonych grup, szczególnie autorów niebędących rodzimymi użytkownikami języka angielskiego, których staranna i nieco formalna proza wydaje się klasyfikatorowi dziełem maszyny. Ponadto polega na rozdźwięku, który stale się zmniejsza, ponieważ działa tylko wtedy, gdy tekst stworzony przez sztuczną inteligencję jest statystycznie odróżnialny od tekstu ludzkiego, a nowsze modele szybko zmniejszają tę różnicę.

Prawdziwe konsekwencje są niekorzystne. Pisarz, którego praca zostanie zaznaczona jako podejrzana, nie ma żadnych dowodów: ani podpisu, ani dowodu kryptograficznego, ani sposobu na pokazanie, że tekst napisał człowiek. Przypuszcza się winę, dopóki nie zostanie udowodnione coś przeciwnego, a narzędzia do udowodnienia czegokolwiek nie istnieją.

Znak wodny odwraca tę sytuację. Zamiast badać gotowy tekst pod kątem wzorców przypominających te generowane przez AI, sygnał jest wprowadzany już podczas tworzenia tekstu, a później sprawdzany za pomocą klucza. Kompromis, o którym mowa poniżej, polega na tym, że ta metoda działa tylko wtedy, gdy dostawca modelu współpracuje.

Gdzie znajduje się znak wodny

Wszystko zależy od sposobu, w jaki Claude tworzy tekst. Działa w trybie autoregresywnym, emitując po jednym tokenie na raz (słowo lub jego część). Przed każdym tokenem analizuje wszystko, co zostało napisane do tej pory, i przypisuje prawdopodobieństwo każdemu elementowi swojego słownika.

Rozważmy zdanie „Pogoda dzisiaj była zimna i ___.”. Puste miejsce nie będzie brzmiało „słodko”, ale „szaro”, „pochmurno” lub „wilgotno” – wszystko to będzie poprawne, a czytelnik nie będzie mógł odróżnić tych wariantów, ponieważ znaczenie pozostaje takie samo. Model rozstrzyga tę sytuację poprzez pobieranie wartości z swojej rozkładu, a w normalnym procesie takie pobieranie odbywa się za pomocą zwykłego liczby losowej.

Sampler to miejsce, gdzie umieszcza się podpis. Schemat wodnorkowania nie zmienia słownictwa, lecz zmienia źródło losowości: wynik jest obliczany na podstawie tajnego klucza połączonego z kilkoma tokenami, które mu poprzedzają. Dla czytelnika wybory wciąż wydają się arbitralne – np. „szarzyzna” w jednym miejscu, a „pochmurno” kilka zdań później. Statystycznie jednak cała seria wyborów jest już zgodna z kluczem. Do wykrywania tej zgodności stosuje się testy. Podając tekst i klucz do funkcji oceny, sprawdza ona, czy tokeny odpowiadają tym, które wybrałby klucz; przy wystarczającej liczbie słów wynik przestaje być przypadkowy.

Zwróć uwagę na to, co się nie zmienia. Znak wodny nie ogranicza wyboru słów, których użyje Claude, ani nie skłania go do wybierania rzadszych lub gorszych opcji. Po prostu zmienia źródło losowości wśród równie dobrych alternatyw. Ten sam słownictwo, ta sama jakość – tylko inny sposób generowania wyników.

Idea nasionka

Część zadań nie wymaga prawdziwej konkurencji. Po zwrocie „Stolica Niemiec to” model kładzie niemal całą swoją pewność na „Berlin”, więc każda metoda rozstrzygania remisów daje ten sam wynik. W przypadku zwrotu „Pogoda dzisiaj jest zimna i” kilka słów pasuje równie dobrze: szary, pochmurny, ponury, chmurny. Decyzję podejmuje losowanie, dlatego jeden prompt może dawać nieco różne odpowiedzi przy kolejnych próbach.

Generator liczb losowych rozpoczynający pracę od tej samej wartości początkowej zawsze wytwarza tę samą sekwencję. Dla kogoś, kto nie zna tej wartości początkowej, wyniki wydają się losowe, natomiast dla osoby, która ją zna, proces jest w pełni powtarzalny. Zastosujmy to do przykładu pogody – przy jednej wartości początkowej model zawsze wskazuje „pochmurno”, a przy innej „szaro”. Wybór pozostaje dowolny, tylko ustalony z góry. Znak wodny zastępuje sztywno zdefiniowaną wartość początkową taką, która jest obliczana na bieżąco na podstawie tajnego klucza. Słownictwo i jakość pozostają niezmienne, ale cały proces rozstrzygania remisów jest powiązany z tym kluczem.

Jedna pozycja nic nie dowodzi, ale ich liczba rośnie. Jeden akapit może zawierać wiele wzajemnie zastępowalnych elementów: pochmurność lub szarość, lekki lub delikatny wiatr, wiejący pomiędzy drzewami lub przez nie, cisza lub spokój. Już cztery takie elementy dają szesnaście równie dobrych akapitów, a każda dodatkowa pozycja podwaja tę liczbę. Model bez nasion przypadkowo ląduje w jednej z wersji. Model oparty na kluczach podąża określoną ścieżką przez każdy rozgałęzienie, a ta ścieżka stanowi jego „odpis palca”.

Rozpoznawanie bez modelu

Zwykły mechanizm oparty na kluczu dobrze umieszczałby wodne znamiona w tekście, ale ich sprawdzanie stanowiłoby problem. Aby przetestować losowy fragment tekstu znalezionego w Internecie, trzeba by znać model, który go stworzył, znać oryginalny prompt oraz ponownie uruchomić model, aby sprawdzić, czy jego wybory odpowiadają kluczu. Prompt rzadko jest dostępny, więc ta metoda nie nadaje się do skalowania. Metoda opisana w artykule SynthID-Text została zaprojektowana tak, aby sprawdzanie nigdy nie wymagało ponownego uruchomienia modelu.

Pomaga wersja uproszczona. Wyobraźmy sobie trzy funkcje pochodzące od klucza: G1, G2 i G3. Każda z nich analizuje danie słowo wraz z otaczającym kontekstem i tajnym kluczem, przydzielając mu pseudolosowy bit – albo 0, albo 1. Cztery kandydaty na słowa przepuszcza się przez wszystkie trzy funkcje, a każdy z nich otrzymuje krótki podpis składający się z trzech bitów.

Następnie kandydaci konkurują w systemie pucharowym, podobnie jak w turnieju sportowym. Słowa są dopasowywane parami, a to z wyższą wartością w danej rundzie przechodzi dalej, przy czym klucz rozstrzyga w przypadku remisu. W pierwszej rundzie używa się G1, w drugiej G2 i tak dalej. Ponieważ system ciągle nagradza wyższe wartości, słowo, które przetrwa, zazwyczaj osiąga dobre wyniki w większości funkcji. W tym przykładzie „grey” wygrywa i staje się następnym słowem. Gdy zmienimy klucz, każda podpis jest inna, więc tytuł zdobywa inne słowo.

Ponieważ zwycięzcy mają wyższe wartości, tekst z znakiem wodnym ma lekki przechył w kierunku wzoru klucza, co można zmierzyć na podstawie samego tekstu.

Weryfikacja podejrzanego tekstu

Załóżmy, że znajdujesz fragment tekstu w internecie i chcesz wiedzieć, czy napisał go Claude. Za pomocą klucza oraz tych samych funkcji przeglądasz tekst słowo po słowie i sumujesz liczby bitów każdego słowa w G1, G2 i G3.

Tekst wygenerowany przy użyciu tego mechanizmu osiąga wysokie wartości średnie, być może około 2,2 na tej skali, ponieważ do jego tworzenia wybrano słowa o wysokiej liczbie bitów. Teraz wyobraźmy sobie redaktora, który zastępuje kilka słów domysłami, na przykład „today” przez „now” lub „grey” przez „overcast”. Takie zmiany ignorują klucz i obniżają średnią wartość, być może do 1,7. Progiem rozróżniającym te dwa przypadki jest wartość 2,0: powyżej niej tekst prawdopodobnie pochodzi od Claude’a, poniżej – raczej nie.

Cozę sprawia, że łatwiej lub trudniej to wykryć?

Dwa czynniki decydują o tym, na jakim poziomie można być pewnym wykrycia.

Długość. Każdy wybór słowa pozostawia ślad, więc dłuższy fragment gromadzi więcej takich śladów i daje silniejszą ocenę. Dlatego detektor podaje poziom lub zakres pewności, a nie proste „tak” lub „nie”.

Entropia. Jest to miara tego, jak wiele prawdziwych opcji miał model. Gdy kilka następnych słów jest równie dobrych, istnieje możliwość wyboru tego kluczowego, więc ślad zostaje zapisany. Gdy pasuje tylko jedno słowo, nie można niczego wybrać i żaden ślad nie powstaje.

Bardziej zaawansowane modele zazwyczaj są bardziej pewne co do poprawnego następnego słowa, co ogranicza liczbę dostępnych opcji. Drobna optymalizacja na podstawie informacji od ludzi ma podobny efekt i może sprawić, że model za każdym razem używa niemal identycznego sformułowania. Ważne są również ustawienia generacji: temperatura bliska zera lub zbyt wąski wybór kandydatów nie pozostawiają modelowi żadnej swobody działania.

Dokładność i koszt

Jednym prostym sposobem oceny detektora jest sprawdzenie, ile tekstów z znakami wodnymi potrafi on wykryć, rzadko fałszywie oskarżając przy tym osobę. Badacze ustalają wskaźnik fałszywych alarmów na 1 procent, a następnie liczą udział prawdziwych tekstów z znakami wodnymi, które udało się znaleźć. W porównaniu z najlepszymi alternatywami w każdej kategorii, metoda próbkowania typu turniejowego SynthID-Text znajduje więcej takich tekstów. Jego największa zaleta objawia się w przypadku tekstów o niskiej entropii, gdzie jest niewiele możliwości do wykorzystania, a detekcja zazwyczaj napotyka największe trudności.

Koszty dodatkowe są znikome. W badaniu zmierzono czas obliczeń na poziomie 15,527 ms na każdy wygenerowany token bez znaku wodnego oraz 15,615 ms, gdy uruchomione są wszystkie dodatkowe funkcje, co stanowi około pół procenta więcej. Koszt ten pozostaje mniej więcej stały wraz ze wzrostem rozmiaru modeli, więc przy dużych rozmiarach praktycznie znika w tle.

Czy to wpływa na jakość tekstu?

Dowody w tym względzie są najmocniejsze i wskazują na „nie”. Zespół z Nature przeprowadził test w czasie rzeczywistym w Gemini, kierując losową część prawdziwych zapytań do modelu z znacznikiem wodnym, a resztę do normalnego modelu, następnie porównał wskaźniki pozytywnych i negatywnych ocen w przybliżnie 20 milionach odpowiedzi. Pozytywne oceny różniły się o 0,01%, a negatywne o 0,02% – obie różnice są statystycznie nieistotne i mieścią się w przedziale ufności 95%.

W oddzielnym badaniu kontrolowanym ludzie porównywali odpowiedzi z znacznikiem wodnym i zwykłe odpowiedzi obok siebie, oceniając gramatykę i spójność, trafność, poprawność, przydatność oraz ogólną jakość. Żadna z tych pięciu cech nie wykazała istotnej różnicy. Wskaźniki złożoności oraz standardowe testy porównawcze dały podobne wyniki, a własne wewnętrzne testy modelu Claude firmy Anthropic również potwierdziły ten sam efekt.

Co oznacza wykryty znacznik wodny

Oznacza to, że statystycznie istnieje duża szansa, iż Claude miał udział w stworzeniu tego tekstu w pewnym momencie. Nie mówi ono jednak:

• Kto używał Claude’a. Podpis nie zawiera żadnych informacji o użytkowniku, organizacji ani rozmowie, a ani podpis, ani klucz nie mogą być powiązane z konkretną osobą.
• Czy Claude napisał tekst, czy tylko go edytował. Prosty szkic i intensywna przeredagowanie wyglądają identycznie z punktu widzenia detektora.
• Że tekst napisał inny AI. Inny model użyłby innej klucza lub innego sposobu umieszczania znaków wodnych, więc brak zgodności z kluczem Claude’a nie oznacza, że tekst napisał człowiek.
• Że tekst napisał człowiek. Brak znaku wodnego nie jest dowodem na autorstwo ludzkie, ponieważ krótkie, faktograficzne lub intensywnie przeredagowane teksty również mogą nie wykazywać żadnych takich znaków.

Nie jest niezniszczalny. Małe modyfikacje prawdopodobnie pozostawiają go nienaruszonym, ale zastąpienie każdego elementu podczas całkowitej przepisywania niszczy go, a wtedy pojawia się pytanie, czy wynik nadal można uznać za tekst generowany przez AI. Przesłanie tekstu przez inny model w celu parafrazowania również osłabia sygnał. Sam artykuł przyznaje, że ataki typu kradzież, oszustwo i usuwanie informacji przeciwko znakom wodnym generatywnym są nadal przedmiotem badań.

Dlaczego teraz

Firmy nie dodawały tego jako funkcji z kaprysu – to obowiązek prawny. Anthropic oraz około 190 innych podpisujących w lipcu 2026 roku przyłączyło się do Kodeksu postępowania UE dotyczącego przejrzystości treści generowanych przez AI, a od 2 sierpnia 2026 roku każdy, kto oferuje teksty generowane przez AI na rynku UE, musi je oznaczyć. Claude nie jest w tym przypadku wyjątkiem – inni czołowi deweloperzy również podpisali ten sam zobowiązanie i tworzą własne oznaczenia przy użyciu swoich kluczy. Anthropic twierdzi, że stosuje tę oznakę w całym świecie od samego startu, ponieważ jeszcze nie istnieje możliwość czystego przełączenia regionalnego, a opracowywana jest API do jej wykrywania.

Co z tego wynika

Dopóki temu czasowi odpowiedzią na pytanie „Czy to AI?” były narzędzia szacujące na podstawie stylu, które karzą teksty staranne, formalne lub napisane w innym języku za zbyt uporządkowany wygląd. Watermarking opiera się na czymś innym: delikatnym, niewidocznym wzorze zależnym od klucza, który jest umieszczany podczas generowania tekstu, a następnie sprawdzany później. Jego możliwości są celowo ograniczone – potwierdza jedynie, że prawdopodobnie brał udział Claude. Nie może powiedzieć, kto go użył, nie potrafi odróżnić pisania od edycji, nie może wykluczyć osoby z kręgu podejrzanych i nie przetrwa całkowitego przepisania tekstu. Jest bardziej uczciwy niż domysły, a jego użytkownicy muszą odpowiadać temu poziomowi uczciwości.

Literatura pokrewna

• Trucie danych RAG: Hakowanie pipeline’ów bez ingerencji w model LLM — Jak atakujący trucą bazy wiedzy RAG za pomocą dokumentów, metadanych oraz pośredniej iniekcji promptów, oraz jakie mechanizmy kontroli cyklu życia danych faktycznie chronią przed tym zagrożeniem.
• Inżynieria promptów: Kierowanie modelami LLM bez drobnej kalibracji — Wykorzystanie ról, przykładów typu few-shot, techniki chain-of-thought oraz ograniczeń formatowych do kierowania modelem — oraz rozpoznawanie momentu, w którym same prompty osiągają swoje granice, a konieczna jest drobna kalibracja.