Как Claude встраивает невидимый водяной знак в текст: объяснение SynthID

Начиная с более новых моделей, Claude встраивает скрытую статистическую подпись в генерируемый им текст. Её невозможно увидеть; никаких символов не добавляется, и качество текста существенно не меняется. Единственная функция этой подписи — позволить владельцу секретного ключа оценить вероятность того, что именно Claude написал или существенно отредактировал данный фрагмент текста.

Эта схема основана на работе SynthID-Text от Google DeepMind, опубликованной в журнале Nature в 2024 году и проверенной на почти 20 миллионах реальных ответов. Компания Anthropic и ещё примерно 190 организаций внедряют её для соблюдения закона ЕС об ИИ, требующего от поставщиков маркировать контент, сгенерированный ИИ, начиная с 2 августа 2026 года. Этот механизм настолько изящен, что заслуживает внимательного рассмотрения, а его ограничения имеют большое значение как для тех, кто пишет, преподает или управляет авторами.

Почему для обнаружения потребовался иной подход

Для выявления текста, созданного с помощью ИИ, используются два типа инструментов. Метод обнаружения на основе поиска хранит всё, что когда-либо генерировало модель, и сравнивает новый текст с этим архивом; это требует от поставщика регистрации каждого взаимодействия и создает проблемы как с координацией, так и с конфиденциальностью. Метод обнаружения a posteriori, применяемый в большинстве коммерческих продуктов, предполагает обучение классификатора или использование статистических признаков для различения текста, написанного человеком, и текста, сгенерированного машиной.

У метода обнаружения a posteriori три структурных недостатка. Он плохо справляется с текстами из областей, на которых он не обучался. Он дает больше ложноположительных результатов для определенных групп, в частности для авторов, не являющихся носителями английского языка, чья тщательная и слегка формальная проза кажется классификатору результатом работы машины. Кроме того, этот метод зависит от сокращающейся разницы между текстами, поскольку он работает только тогда, когда текст ИИ статистически отличим от человеческого текста, а новые модели быстро сокращают эту разницу.

Практические последствия крайне негативны. У автора, произведение которого было отмечено как подозрительное, нет ничего, на что можно было бы опираться: ни подписи, ни криптографического доказательства, ни способа показать, что текст написан человеком. Вина предполагается до тех пор, пока не будет доказано обратное, а инструментов для доказательства чего-либо просто не существует.

Водяной знак меняет эту ситуацию. Вместо того чтобы анализировать готовый текст на наличие признаков искусственного интеллекта, сигнал встроен в процесс генерации, а затем проверяется с помощью ключа. Как будет рассказано ниже, недостатком является то, что такой метод работает только при сотрудничестве поставщика модели.

Где находится водяной знак

Всё зависит от того, как Claude генерирует текст. Он работает авторегрессивно, выдавая по одному токену за раз (слово или его часть). Перед каждым токеном он учитывает всё написанное ранее и присваивает вероятность каждому элементу своего словаря.

Рассмотрим предложение «Погода сегодня была холодной и ___.» Пустое место не может быть заполнено словом «сладкой», но такие варианты, как «серой», «пасмурной» или «влажной», все подходят, и читатель не может отличить их, поскольку смысл остается прежним. Модель разрешает такую неопределенность путем выборки из своего распределения, причем в обычном режиме для этой выборки используется обычное случайное число.

Именно в сэмплере формируется уникальный отпечаток. Схема водяных знаков не меняет словарный состав, но изменяет источник случайности: результат выбора рассчитывается на основе секретного ключа, смешанного с несколькими токенами, предшествующими ему. Для читателя выборы по-прежнему кажутся произвольными — в одном месте используется слово «серый», а через несколько предложений — «пасмурно». Однако с статистической точки зрения вся цепочка выборов теперь соответствует ключу. Для проверки этого согласования текст и ключ подаются в функцию оценки, которая определяет, являются ли токены теми, что выбрал бы ключ; при достаточном количестве слов вердикт уже не будет зависеть от случая.

Обратите внимание на то, что не меняется. Водяной знак не ограничивает выбор слов, которые будет использовать Claude, и не склоняет его к более редким или худшим вариантам. Он лишь меняет источник случайности среди одинаково хороших опций. Тот же словарный запас, та же качество — просто другой способ выбора.

Идея семени

У некоторых задач на самом деле нет конкуренции. После фразы «Столица Германии —» модель почти полностью уверена в ответе «Берлин», поэтому любой метод разрешения равенств будет вести к «Берлину». В случае фразы «Погода сегодня холодная и» несколько слов подходят одинаково хорошо: серый, пасмурный, мрачный, облачный. Решение принимается случайным выбором, поэтому один и тот же запрос может давать немного разные ответы при повторных попытках.

Генератор случайных чисел, запущенный с одинаковым начальным значением, каждый раз генерирует одну и ту же последовательность. Для тех, у кого нет этого начального значения, результаты кажутся случайными, а для тех, у кого оно есть, процесс полностью воспроизводим. Применим это к примеру с погодой: при одном начальном значении модель всегда указывает на «пасмурно», а при другом — на «серо». Выбор по-прежнему произвольный, только фиксированный. Водяной знак заменяет жестко заданное начальное значение на то, которое вычисляется динамически из секретного ключа. Словарный запас и качество остаются прежними, но весь процесс принятия решений зависит от этого ключа.

Одна ячейка ничего не доказывает, но их количество может увеличиваться. Один абзац может вмещать множество взаимозаменяемых вариантов: пасмурно или серо, лёгкий или слабый ветерок, дующий среди деревьев или сквозь них, тихо или спокойно. Уже четыре таких варианта дают шестнадцать одинаково хороших абзацев, а каждая дополнительная ячейка удваивает этот показатель. Модель без семян случайным образом останавливается на одной версии. Модель с ключом следует определённому маршруту через каждый разветвлённый путь, и этот маршрут и является «отпечатком пальца».

Обнаружение без использования модели

Обычный метод с использованием ключа позволяет хорошо добавлять водяной знак к тексту, но проверка его становится проблемой. Чтобы протестировать случайный фрагмент текста, найденный в Интернете, необходимо знать, какая модель его создала, знать исходный запрос и запустить модель заново, чтобы убедиться, что её выборы соответствуют ключу. Исходный запрос редко бывает доступен, поэтому такой подход не может быть масштабирован. Метод, описанный в статье SynthID-Text, разработан таким образом, что для проверки больше не требуется использование модели.

Игровая версия этого метода может помочь. Представьте три функции, полученные на основе ключа: G1, G2 и G3. Каждая из них анализирует кандидатское слово вместе с близлежащим контекстом и секретным ключом, присваивая ему псевдослучайный бит — 0 или 1. Примените эти три функции ко всем четырем кандидатским словам, и каждое из них получит короткую трехбитную подпись.

Далее кандидаты соревнуются в формате турнирной сетки, подобно спортивному турниру. Слова сопоставляются парами, и тот вариант, у которого более высокий показатель для раунда, проходит дальше; при равенстве показателей решающую роль играет ключ. В первом раунде используется G1, во втором — G2 и так далее. Поскольку сетка постоянно стимулирует более высокие показатели, слово, оставшееся в борьбе, обычно показывает хорошие результаты по большинству функций. В этом примере побеждает слово «grey», которое становится следующим кандидатом. При смене ключа все характеристики меняются, поэтому титул переходит к другому слову.

Поскольку победители имеют более высокие показатели, текст с водяным знаком слегка склонен к шаблону ключа, что можно определить исключительно на основе самого текста.

Проверка подозрительного текста

Предположим, вы находите отрывок в Интернете и хотите узнать, написал ли его Клод. С помощью ключа и тех же функций вы проходите по тексту слово за словом и суммируете количество битов каждого слова в G1, G2 и G3.

Текст, созданный с использованием водяного знака, имеет высокий средний показатель, возможно, 2,2 по этой шкале, поскольку для него выбирались слова с высоким количеством битов. Теперь представьте, что редактор заменяет несколько слов на предположения, например «today» на «now» или «grey» на «overcast». Такие замены игнорируют ключ и снижают средний показатель, возможно, до 1,7. Порог между этими двумя значениями, скажем, 2,0, позволяет различать случаи: если показатель выше, текст, скорее всего, написан Клодом, а если ниже — вряд ли.

Что облегчает или затрудняет обнаружение

Два фактора определяют степень надежности любого обнаружения.

Длина. Каждый выбор слов оставляет свой след, поэтому более длинный отрывок содержит больше таких следов и позволяет сделать более точный вывод. Именно поэтому детектор указывает уровень или диапазон уверенности, а не просто «да» или «нет».

Энтропия. Это показатель того, насколько велик выбор моделью возможных вариантов. Когда несколько следующих слов одинаково подходят, есть возможность склонить выбор в сторону ключевого варианта, и такой выбор остается. Когда подходит только одно слово, никакого выбора нет, и ничего не отмечается.

Более крупные и мощные модели обычно более уверены в правильном следующем слове, что ограничивает количество возможных вариантов. Тонкая настройка с учетом обратной связи от людей дает похожий эффект и может заставить модель каждый раз использовать практически одинаковую формулировку. Важную роль играют также настройки генерации: температура, близкая к нулю, или слишком узкий выбор кандидатов не оставляют модели возможностей для творческого подхода.

Точность и затраты

Один простой способ оценки детектора — количество водяных знаков, которые он обнаруживает, при этом редко выдавая ложные сигналы. Исследователи устанавливают показатель ложных сигналов на уровне 1 процента, а затем подсчитывают долю настоящих текстов с водяными знаками, найденных детектором. По сравнению с лучшими аналогами в каждой категории, метод турнирного отбора SynthID-Text находит больше таких текстов. Его главное преимущество проявляется при работе с текстами низкой энтропии, когда выбор возможных вариантов ограничен, и детекция обычно сталкивается с наибольшими трудностями.

Дополнительные затраты минимальны. В исследовании было зафиксировано 15,527 мс на генерацию одного токена без водяного знака и 15,615 мс при активации всех компонентов системы, что на полпроцента больше. Затраты остаются примерно постоянными при масштабировании моделей, поэтому на крупных масштабах они становятся незаметными.

Влияет ли это на текст?

Данные по этому вопросу наиболее убедительны, и они говорят «нет». Команда Nature провела прямой тест в системе Gemini, направляя случайную часть реальных запросов на модель с водяным знаком, а остальные — на обычную модель, после чего сравнила проценты положительных и отрицательных оценок при примерно 20 миллионах ответов. Разница в положительных оценках составила 0,01%, а в отрицательных — 0,02%; оба показателя являются статистически незначимыми и находятся в пределах 95%-ных доверительных интервалов.

В отдельном контролируемом исследовании люди сравнивали ответы с водяным знаком и обычные ответы плечом к плечу, оценивая грамматику и связность, релевантность, точность, полезность и общее качество. Ни в одном из пяти показателей не было замечено значимой разницы. Показатели сложности текста и стандартные тестовые критерии совпали, а собственные внутренние тесты модели Claude от компании Anthropic также показали аналогичные результаты.

Что означает обнаруженный водяной знак

Это означает, что с статистической точки зрения вероятно, что Клод в какой-то момент участвовал в создании текста. Однако это не говорит вам:

• Кто использовал Клода. В подписи отсутствует информация об пользователе, организации или чате, и ни подпись, ни ключ невозможно привязать к конкретному человеку.
• Писал ли Клод сам или только редактировал. Формирование черновика и его значительная переработка выглядят одинаково с точки зрения детектора.
• Что текст написал другой ИИ. Другая модель использовала бы другой ключ или иной метод водяного знака, поэтому отсутствие совпадения с ключом Клода не означает, что текст написал человек.
• Что текст написал человек. Отсутствие водяного знака не является доказательством человеческого авторства, поскольку короткие, фактологические или сильно отредактированные тексты также могут не иметь водяных знаков.

Он не является нерушимым. Небольшие изменения, вероятно, оставят его нетронутым, но замена каждого элемента при полном переписывании уничтожает его, и тогда возникает вопрос, считается ли результат вообще текстом ИИ. Перепроцессирование текста с помощью другой модели для перефразирования также ослабляет сигнал. Сама статья признаёт, что атаки вроде кражи, подделки и удаления информации против генеративных водяных знаков всё ещё находятся в стадии исследования.

Почему сейчас

Компании не добавили эту функцию просто так. Это юридический обязанность. В июле 2026 года Anthropic вместе с примерно 190 другими участниками подписали Кодекс практики ЕС по прозрачности контента, созданного с помощью ИИ; с 2 августа 2026 года любой, кто предлагает тексты, сгенерированные ИИ, на рынке ЕС, обязан их маркировать. Claude здесь не является исключением. Другие ведущие разработчики также подписали аналогичную декларацию и создают собственные метки с использованием собственных ключей. Anthropic утверждает, что с момента запуска применяет водяной знак по всему миру, поскольку чистая региональная настройка пока отсутствует, и что в настоящее время разрабатывается API для его обнаружения.

Что можно извлечь из этого

До сих пор ответ на вопрос «Это ИИ?» давали инструменты, определявшие его по стилю, и они наказывали аккуратный, формальный текст или текст на втором языке за чрезмерную структурированность. Водяной знак основан на другом принципе: это тонкий, невидимый узор, зависящий от ключа, который вставляется во время генерации текста и проверяется позже. Его возможности намеренно ограничены: он может указать на вероятное участие Claude, но не может сказать, кто им пользовался, не может отличить написание от редактирования, не может полностью снять подозрения с человека и теряет эффективность при полном переписывании текста. Он честнее методов предположений, но пользователи должны соответствовать этой честности.