Невидимий підпис: як ШІ навчився ставити водяний знак на власні тексти

Тексти, згенеровані ШІ, дедалі частіше мають “підпис”, якого не побачить жоден читач. Давайте більш детально про це поговоримо. Цікаво тут досить багато.

За повідомленнями, OpenAI запроваджує невидиме маркування відповідей ChatGPT у Європейському Союзі, тоді як Google і Anthropic вже мають або розробляють схожі рішення. На папері все виглядає як крок до прозорості. Насправді ми входимо в добу, де ШІ пише, ШІ перевіряє, а людина мусить вирішити, якому з алгоритмів вірити.

Водяний знак, якого не видно

Слово “водяний знак” викликає в уяві логотип у кутку фотографії або напис поверх відео. З текстом усе інакше. У ньому немає ні прихованих пробілів, ні рідкісних символів, ні додаткових токенів. Знак “вшито” в сам процес генерації.

Мовна модель будує відповідь крок за кроком. На кожному кроці вона обирає наступне слово чи його фрагмент серед багатьох варіантів. Водяний знак непомітно зміщує ймовірності цього вибору, віддаючи перевагу одним варіантам над іншими. Одне таке рішення нічого не говорить. Але в довгому тексті накопичується статистичний візерунок, який здатен розпізнати спеціальний детектор. Google робить це через технологію SynthID, OpenAI називає своє рішення textGrain.

Тому термін “водяний знак” трохи вводить нас в оману. Це не цифровий підпис із написом “це створив ChatGPT”. Це радше слід, який лишає сам спосіб добору слів, ніби почерк, що виявляється лише під спеціальним мікроскопом. До того ж цей слід нічого не каже про людину за клавіатурою. Він може лише натякнути, що модель, ймовірно, долучалася до створення тексту.

Чи можна обдурити водяний знак ШІ?

Гаразд, якщо ШІ може залишати слід у тексті, виникає природне питання: чи може людина стерти цей слід? І ось тут починається набагато цікавіша частина історії. Хоча компанії наголошують на тому, що їхні рішення розроблені таким чином, щоб бути стійкими до деяких простих модифікацій, жодна з цих технологій не пропонує чарівної гарантії виявлення кожного тексту, згенерованого ШІ. Ось чому варто дослідити, як окремі моделі вирішують свої водяні знаки.

OpenAI наголошує на «чистоті» методу: нічого не додається до тексту, змінюється лише добір слів. Водночас компанія не поспішає віддавати детектор у відкритий доступ. Спершу його отримають обрані дослідники й організації, щоб перевірити надійність технології та знизити ризик хибних спрацьовувань. Сама компанія визнає, що маркування й виявлення ШІ-тексту поки що має суттєві обмеження.

Anthropic для Claude обрала рішення на основі SynthID-Text від Google DeepMind. Механізм схожий, але компанія чесно окреслює межі: такий знак не доведе, що «це написав Claude». Він покаже лише ймовірність участі моделі й нічого не скаже про її внесок. Модель могла написати все від першого до останнього слова, могла створити один абзац, а могла лише добре відредагувати людський текст. Найгірше детекція працює з короткими фрагментами, де просто мало «рішень» для статистики.

Google розвиває SynthID найдовше. Компанія застерігає, що метод найкраще працює з довгими й різноманітними відповідями, де в моделі багато свободи вибору. Коротка відповідь, наприклад на запитання про столицю Франції, майже не лишає простору для маневру: правильне слово одне, і змінювати його ради водяного знака означало б зіпсувати результат.

Grok від xAI у цій компанії виглядає винятком. Публічно підтвердженої системи маркування тексту з подібним рівнем розкриття деталей поки немає, хоча зображення й відео xAI таки позначає. І це підкреслює одну з фундаментальних слабкостей усієї ідеї: якщо одні моделі лишають слід, а інші ні, користувачеві достатньо просто перейти до іншого інструмента.

Чому це взагалі відбувається

Причин дві, і друга важливіша за першу.

Перша очевидна: генеративний ШІ став настільки переконливим, що на око дедалі важче відрізнити людський текст від машинного. Це стосується не лише студентських робіт, а й дезінформації, фішингових листів, масового спаму та матеріалів, які видають за авторські без жодного розкриття.

Друга причина юридична. Закон ЄС про штучний інтелект вимагає, щоб контент, створений системами ШІ, був машинозчитуваним, тобто піддавався автоматичному розпізнаванню. Отже, технологічні компанії діють не лише з власної доброї волі чи з турботи про вчителів, які хочуть упіймати школярів. Регулювання змушує їх будувати інфраструктуру походження контенту.

У цьому є гірка іронія. Роками нас захоплювало, що ШІ за лічені секунди пише листа, статтю чи курсову. Тепер ми створюємо ще одну технологію, щоб з'ясувати, чи не зробила попередня забагато роботи замість людей. Спочатку ми вдосконалюємо моделі, що генерують, а потім моделі, що виявляють генерацію. Інструмент, який мав заощаджувати наш час, потребує цілої системи нагляду за власними плодами.

Студент, професор і замкнене коло

Найнаочніше цей абсурд видно в освіті. Студент отримує підсумкову роботу, просить ChatGPT написати текст, трохи правляє, щось додає, а може, віддає його іншій моделі з проханням «зробити більш по-людськи». Робота потрапляє до викладача, який вставляє її в детектор і питає: це писав ШІ?

Так один ШІ допомагає створити текст, а інший намагається з'ясувати, чи був причетний перший. Десь посередині стоїть людина, якій лишається вирішувати, який алгоритм надійніший. Людське око водяного знака не побачить, тож замість того, щоб читати роботу й розмовляти зі студентом про її зміст, університет змушений довіряти ще одному шару технологій. А самі розробники водяних знаків попереджають про обмеження, зокрема про пропущені знаки та хибні спрацьовування. Не випадково OpenAI досі тримає свій детектор під обережним контролем.

Далі логіка гонки озброєнь розкручується сама. Студент застосовує ШІ, щоб швидше впоратися із завданням. Університет застосовує ШІ, щоб це виявити. Студент застосовує ще один ШІ, щоб перефразувати текст і приховати слід. Університет шукає ще досконаліший детектор. Обидві сторони освітнього конфлікту дедалі більше залежать від тієї самої технології, з якою борються. Це сучасна версія гри в кішки-мишки, де виграє передусім індустрія, що продає і зброю, і протизброю.

Доказ чи індикатор?

Сама ідея водяних знаків непогана. У світі, де машини генерують тексти, фото, аудіо та відео в промислових обсягах, можливість перевірити походження контенту справді цінна. Проблема починається там, де знак починають сприймати як незаперечний доказ.

Виявлений слід ШІ не каже, скільки роботи виконала машина, а скільки людина. Він не визначає автора. Він не враховує, що текст могли перекласти, переписати, пропустити через іншу модель, і слід від цього слабшає чи зникає. Це ймовірнісний індикатор, а не вирок. Будувати на ньому звинувачення, відрахування чи звільнення означало б заміну людського судження черговим алгоритмом, який до того ж може помилятися.

Тому головна небезпека полягає не в тому, що кожен текст матиме невидимий підпис. Вона в тому, що відповідальність за оцінювання людей ми тихо передамо машині. Якщо студент пише з ШІ, професор перевіряє з ШІ, а сперечаються вони про висновок третього ШІ, то проблему ми вже не розв'язуємо, а лише додаємо до неї нові моделі.

Замість висновку

Моделі писатимуть дедалі краще. Водяні знаки буде складніше стерти, а детектори стануть витонченішими. Та врешті всі ці технології зводяться до простого запитання, на яке не здатен відповісти жоден алгоритм: хто насправді стоїть за цим текстом і що він мав на увазі? Відповідь на нього, як і раніше, потребує людської розмови, довіри та, зрештою, відповідальності.