Як Claude вбудовує невидимий водяний знак у текст: пояснення SynthID

Починаючи зі своїх новіших моделей, Claude вбудовує приховану статистичну підписку у те, що він генерує. Її неможливо побачити. Жодних символів не додається, а якість не змінюється значно. Її єдина функція — дозволити особі, яка має секретний ключ, оцінити ймовірність того, що Claude написав або суттєво відредагував певний уривок.

Ця схема ґрунтується на роботі SynthID-Text від Google DeepMind, опублікованій у журналі Nature у 2024 році та перевіреній на майже 20 мільйонах реальних відповідей. Anthropic та ще близько 190 організацій впроваджують її для дотримання закону ЄС про штучний інтелект, який з 2 серпня 2026 року вимагає від постачальників позначати контент, створений штучним інтелектом. Цей механізм настільки витончений, що заслуговує уважної перевірки, а його обмеження мають велике значення як для тих, хто пише, навчає чи керує авторами.

Чому для виявлення знадобився інший підхід

Для виявлення тексту, створеного ШІ, використовуються два типи інструментів. Метод виявлення на основі пошуку зберігає все, що коли-небудь створював модель, та порівнює новий текст із цим архівом, що означає, що постачальник мусить фіксувати кожну взаємодію, що створює проблеми як з координацією, так і з конфіденційністю. Метод післядіагностики, який використовується більшістю комерційних продуктів, навчає класифікатор або спирається на статистичні ознаки для розрізнення тексту людини та машини.

Метод післядіагностики має три структурні слабкості. Він погано справляється з текстом з доменів, на яких не проходив навчання. Він створює більше хибних позитивних результатів для певних груп, зокрема для авторів, які не є носіями англійської мови, чия ретельна та дещо формальна проза здається класифікатору створеною машиною. Крім того, він залежить від прогалини, яка постійно зменшується, адже працює лише тоді, коли текст ШІ можна статистично відрізнити від тексту людини, а новіші моделі швидко зменшують цю відстань.

Практичні наслідки є жахливими. У автора, чия робота отримала попередження, немає нічого, на що можна було б посилатися: ні підпису, ні криптографічних доказів, ні способу показати, що її написав людина. Вину припускають, доки не буде доведено протилежне, а інструментів для доведення чогось не існує.

Водяний знак змінює ситуацію. Замість перевірки готового тексту на наявність шаблонів, схожих на AI, сигнал створюється під час генерації та перевіряється пізніше за допомогою ключа. Компроміс, про який йтиметься нижче, полягає у тому, що цей метод працює лише за умови співпраці постачальника моделі.

Де знаходиться водяний знак

Усе залежить від того, як Claude генерує текст. Він працює авторегресивно, випускаючи по одному токену за раз (слово або частину слова). Перед кожним токеном він оцінює все написане досі та присвоює ймовірність кожному елементу свого словника.

Розгляньмо речення «Сьогодні погода була холодною та ___.» Порожнє місце не може бути заповнене словом «солодким», але такі варіанти, як «сірою», «хмарною» чи «вологою», усі підходять, і читач не може визначити різницю, оскільки значення залишається незмінним. Модель вирішує цю ситуацію шляхом вибору значень зі свого розподілу, причому під час звичайної роботи для цього використовується звичайний випадковий чиселник.

Саме в семплері формується «підпис». Схема водяного знаку не торкається словникового запасу, а змінює джерело випадковостей: результат вибору обчислюється на основі секретного ключа, змішаного з кількома токенами, що йдуть перед ним. Для читача вибір все ще здається довільним — тут «сірий», а через кілька речень — «хмарний». Однак статистично вся послідовність виборів тепер узгоджується з ключем. Існують тести на цю узгодженість: якщо подати текст та ключ у функцію оцінки, вона перевіряє, чи є токени такими, які б обрав ключ, і при достатній кількості слів вердикт вже не є випадковим.

Зверніть увагу на те, що не змінюється. Водяний знак не обмежує вибір слів, які буде використовувати Claude, і не спонукає його до рідкісніших чи гірших варіантів. Він лише змінює джерело випадковості серед однаково хороших опцій. Той самий словниковий запас, та сама якість — лише інший спосіб вибору.

Ідея насіння

У деяких випадках немає справжньої конкуренції. Після фрази „Столиця Німеччини —“ модель приділяє майже всю свою впевненість слову „Берлін“, тож будь-який метод вирішення суперечок дасть результат „Берлін“. У випадку фрази „Сьогодні погода холодна та“ кілька слів підходять однаково добре: сірий, похмурий, темний, хмарний. Вирішення приймається випадковим чином, тому один запит може давати трохи різні відповіді при різних спробах.

Генератор випадкових чисел, який починає роботу з однакового насіння, щоразу генерує однакову послідовність. Для тих, хто не має насіння, це виглядає як випадковість, а для тих, хто його має, процес є повністю відтворюваним. Застосуймо це до прикладу з погодою: за допомогою одного насіння модель завжди вказуватиме „хмарно“, а за допомогою іншого – „сіро“. Вибір все одно залишається довільним, просто фіксованим. Водяний знак замінює жорстко задане насіння на таке, яке обчислюється в реальному часі з секретного ключа. Словниковий запас та якість залишаються незмінними, але весь процес прийняття рішень прив’язаний до цього ключа.

Одна позиція нічого не доводить, але їх можна множити. Один абзац може містити багато взаємозамінних варіантів: похмура чи сіра погода, легкий чи тихий вітер, що проходить крізь дерева чи дме через них, тиша чи спокій. Лише чотири таких варіанти дають шістнадцять однаково гарних абзаців, і кожна додаткова позиція подвоює цю кількість. Модель без насіння випадково припиняється на одній версії. Модель з ключем слідує певному маршруту через кожен розгалуження, і саме цей маршрут є «відбитком пальця».

Виявлення без моделі

Звичайний метод з використанням ключа добре працює для створення водяного знаку у тексті, але перевірка його стає проблемою. Щоб перевірити випадковий уривок тексту з Інтернету, потрібно знати, яка модель його створила, знати початковий запит та знову запустити модель, щоб переконатися, чи її вибір відповідає ключу. Початковий запит рідко є доступним, тому цей підхід не може бути масштабованим. Метод з статті SynthID-Text розроблений так, що для перевірки більше не потрібна модель.

Допомагає примітивна версія. Уявіть три функції, отримані з ключа: G1, G2 та G3. Кожна з них аналізує кандидатське слово разом із сусіднім контекстом та секретним ключем та присвоює йому псевдовипадковий біт – 0 або 1. Пройдіть усі чотири кандидатські слова через усі три функції, і кожне з них отримає короткий трьохбітний підпис.

Далі кандидати змагаються у форматі нокаутних півфіналів, як у спортивному турнірі. Слова підбираються парами, і те, що має вищий біт у цьому раунді, проходить далі, причому ключ вирішує всі нічиї. У першому раунді використовується G1, у другому — G2, і так далі. Оскільки система постійно нагороджує вищі біти, слово, що залишається, зазвичай отримує високі оцінки за більшістю критеріїв. У цьому прикладі перемагає слово „grey“, яке стає наступним у черзі. Якщо змінити ключ, кожна підписна структура змінюється, тож титул отримує інше слово.

Оскільки переможці мають вищі біти, текст із водяним знаком має легке нахилення у бік шаблону ключа, що можна виміряти лише на основі самого тексту.

Перевірка підозрілого тексту

Припустимо, ви знаходите уривок у Інтернеті та хочете дізнатися, чи написав його Claude. За допомогою ключа та тих самих функцій ви аналізуєте текст слово за словом та підсумовуєте кількість бітів кожного слова у G1, G2 та G3.

Текст, створений за допомогою цього методу, має високі значення — можливо, 2,2 за цією шкалою, оскільки для нього були обрані слова з високою кількістю бітів. Тепер уявіть редактора, який замінює кілька слів на приблизні варіанти, наприклад «today» на «now» або «grey» на «overcast». Такі заміни ігнорують ключ та знижують середнє значення, можливо, до 1,7. Поріг між цими двома значеннями, скажімо 2,0, дозволяє розрізнити випадки: якщо значення вище — текст, ймовірно, написаний Claude, а якщо нижче — ймовірно, ні.

Що ускладнює чи полегшує виявлення

Два фактори визначають ступінь надійності будь-якого виявлення.

Довжина. Кожен вибір слова залишає слід, тому довший уривок містить більше слідів та дає сильніший висновок. Саме тому детектор повідомляє рівень або діапазон впевненості, а не просто «так» чи «ні».

Ентропія. Це показник того, наскільки великий був вибір у моделі. Якщо кілька наступних слів є однаково підходящими, існує можливість вибору ключового варіанту, і слід залишається. Якщо підходить лише одне слово, неможливо зробити вибір, тому слід не залишається.

Більші та потужніші моделі зазвичай більш впевнені щодо правильного наступного слова, що залишає менше варіантів для вибору. Тонке налаштування за допомогою людських відгуків має схожий ефект та може змусити модель щоразу використовувати майже однакові формулювання. Важливими є також налаштування генерації: температура близько нуля чи занадто обмежений вибір кандидатів не залишають моделі простору для дії.

Точність та витрати

Один простий спосіб оцінити детектор – це кількість текстів із водяними знаками, які він виявляє, при цьому рідко помиляючись щодо людини. Дослідники встановлюють рівень хибних спрацювань на 1 відсоток, а потім підраховують частку справжніх текстів із водяними знаками, які було знайдено. Порівняно з найкращими альтернативами в кожній категорії, метод вибірки за правилами турніру SynthID-Text знаходить більше таких текстів. Його найбільша перевага проявляється при написанні текстів з низькою ентропією, коли обсяг можливих варіантів дуже обмежений, і детекція зазвичай стикається з найбільшими труднощами.

Додаткові витрати мінімальні. У дослідженні було виміряно 15,527 мс на кожен створений токен без водяного знака та 15,615 мс, коли працює вся система, що на пів відсотка більше. Витрати залишаються приблизно постійними зі збільшенням розміру моделей, тож на рівні найбільших моделей вони стають незначними.

Чи впливає це на текст?

Докази щодо цього питання найбільш переконливі, і вони свідчать про негативний результат. Команда Nature провела прямий тест у системі Gemini, направляючи випадкову частину справжніх запитів до моделі з водяним знаком, а решту — до звичайної моделі, після чого порівняла кількість схвальних та негативних оцінок у приблизно 20 мільйонах відповідей. Кількість схвальних голосів відрізнялася на 0,01%, а кількість негативних — на 0,02%, що обидва показники є статистично незначними та знаходяться в межах 95% інтервалу довіри.

У окремому контрольованому дослідженні люди порівнювали відповіді з водяним знаком та звичайні відповіді поруч одна з одною, оцінюючи граматику та послідовність, релевантність, правильність, корисність та загальну якість. Жодна з п’яти оцінок не показала значної різниці. Показники складності та стандартні тестові перевірки підтвердили однакові результати, а власні внутрішні тести моделі Claude від компанії Anthropic також дали аналогічні дані.

Що означає виявлений водяний знак

Це означає, що статистично ймовірно, що Claude був причетний до створення тексту в певний момент. Однак це не говорить вам:

• Хто використовував Claude. Підпис не містить інформації про користувача, організацію чи чат, і ні підпис, ні ключ не можна прив’язати до конкретної особи.
• Чи Claude написав текст, чи лише відредагував його. Формулювання чернетки та суттєва переробка виглядають однаково для детектора.
• Що текст написав інший ШІ. Інша модель використовувала б інший ключ або інший метод водяного знака, тож відсутність збігу з ключем Claude не означає, що текст написав людина.
• Що текст написав людина. Відсутність водяного знаку не є доказом людського авторства, адже короткі, фактологічні чи суттєво відредаговані тексти також можуть не мати водяного знака.

Він не є незламним. Невеликі зміни, ймовірно, залишать його недоторканим, але заміна кожного елемента під час повного переписування знищує його, і тоді виникає питання, чи можна результат узагалі вважати текстом ШІ. Пропускання тексту через інший модель для перефразування також послаблює сигнал. Сама стаття визнає, що атаки типу крадіжки, підробки та очищення проти генеративних водяних знаків все ще досліджуються.

Чому саме зараз

Компанії не додали цю функцію просто так. Це юридичний обов’язок. Anthropic та ще близько 190 учасників у липні 2026 року підписали Кодекс практики ЄС щодо прозорості контенту, створеного за допомогою ШІ, і з 2 серпня 2026 року кожен, хто пропонує тексти на основі ШІ на ринку ЄС, зобов’язаний їх позначати. Claude тут не є винятком. Інші провідні розробники також підписали цю заяву та створюють власні маркери за допомогою власних ключів. Anthropic стверджує, що застосовує цей водяний знак у всьому світі з моменту запуску, оскільки наразі не існує можливості чисто регіональної зміни, і що створюється API для його виявлення.

Що можна з цього зрозуміти

До цього часу відповідь на запитання «Це ШІ?» надходила від інструментів, які оцінювали текст за стилем, і вони карали акуратний, формальний текст чи текст, написаний іншою мовою, вважаючи його занадто ідеальним. Водяний знак ґрунтується на чомусь іншому: це тонкий, невидимий візерунок, залежний від ключа, який додається під час генерації тексту та перевіряється пізніше. Його функціонал навмисно обмежений – він лише свідчить про те, що ймовірно був задіяний Claude. Він не може вказати, хто його використовував, не може розрізнити написання та редагування, не може зняти підозри з людини та не протистоїть повному переписуванню тексту. Це чесніше, ніж припущення, і користувачі таких інструментів повинні відповідати цій чесності.