Znaki wodne w tekstach AI: czy da się podpisać tekst maszyny?
Zamiast zgadywać po fakcie, można oznaczyć tekst już przy generowaniu. Jak działają znaki wodne i dlaczego nie rozwiązują problemu.
Detektory zgadują po fakcie, czy tekst przypomina tekst maszynowy. Jest też inne podejście: niech model sam „podpisze” tekst w chwili jego tworzenia. Tak działają znaki wodne (ang. watermarking). Brzmi jak idealne rozwiązanie — ale ma swoje haczyki.
Jak można ukryć podpis w słowach?
Najbardziej znana metoda została opisana przez Kirchenbauera i współpracowników w 2023 roku. Działa mniej więcej tak:
- Przed wyborem każdego kolejnego słowa model dzieli słownik na dwie części — „zieloną” i „czerwoną”. Podział wygląda losowo, ale jest wyznaczany z poprzedniego słowa i tajnego klucza.
- Model delikatnie faworyzuje słowa z zielonej listy. Tekst nadal brzmi naturalnie, bo zwykle jest kilka równie dobrych słów do wyboru.
- Kto zna klucz, może policzyć, ile słów w tekście trafiło na zieloną listę. W zwykłym tekście będzie to mniej więcej połowa. W tekście ze znakiem wodnym — wyraźnie więcej, co da się wykazać statystycznie już na kilkuset słowach.
Czytelnik niczego nie zauważy, a weryfikacja daje mierzalne prawdopodobieństwo, a nie tylko „przeczucie” detektora.
Czy ktoś tego używa?
Tak. Google opracowało system SynthID, który oznacza obrazy, dźwięk, wideo i tekst generowane przez jego modele, a wersję dla tekstu udostępniło jako otwarte oprogramowanie w 2024 roku (opisano ją też w czasopiśmie Nature). Dla zdjęć i wideo rozwija się standard C2PA, który dołącza do pliku podpisane informacje o jego pochodzeniu. Unijny akt o sztucznej inteligencji (AI Act) wymaga od dostawców systemów generatywnych, by ich wyniki były oznaczane w formacie nadającym się do odczytu maszynowego.
Dlaczego to nie rozwiązuje problemu
- Nie wszyscy oznaczają. Znak wodny działa tylko w tekstach z modelu, który go stosuje. Modele otwarte, uruchamiane na własnym komputerze, mogą go po prostu nie mieć.
- Potrzebny jest klucz. Sprawdzić tekst może tylko ktoś, kto zna klucz danego dostawcy — nie ma jednego uniwersalnego testera.
- Parafraza zaciera ślad. Przepisanie tekstu własnymi słowami, tłumaczenie na inny język i z powrotem albo przepuszczenie przez inny model zmienia dobór słów, a więc i podpis.
- Krótkie teksty to za mało. Statystyka potrzebuje odpowiedniej liczby słów — kilka zdań nie wystarczy.
- Mieszanie tekstów. Akapit z modelu wklejony w ludzki tekst daje sygnał rozmyty i trudny do interpretacji.
Znak wodny a detektor
Znak wodny odpowiada na pytanie „czy ten tekst wygenerował model X?”, i to tylko wtedy, gdy model X go stosuje. Detektor taki jak detektorai.pl odpowiada na inne pytanie: „czy ten tekst ma cechy typowe dla tekstów maszynowych?”. Obie metody się uzupełniają, ale żadna nie daje pewności co do autorstwa. Więcej o tym, jak działają detektory, przeczytasz w artykule Jak działa wykrywanie tekstu napisanego przez AI.