Anthropic ukázal, jak chce vodoznakovat text. Signál skryje do výběru tokenů

Vodoznak vzniká při turnajovém výběru tokenu

Anthropic plánuje vodoznakování textu na úrovni vzorkování tokenů, aniž by bylo nutné model znovu trénovat. Způsob funguje na principu turnajového výběru (tournament sampling), kde tajný klíč řídí volbu jen na těch pozicích v textu, kde existuje několik tokenů s podobně vysokou pravděpodobností. Metoda tedy nezasahuje do míst, kde je volba dalšího slova jednoznačná.

Detekční skóre vyžaduje originální klíč

Při pozdější analýze se text vyhodnotí pomocí stejného klíče a skórovacích funkcí. Bez klíče nelze spolehlivě určit, zda analyzovaný text nese vodoznak Anthropic, ani z něj vyčíst vzorec. Firma uvedla, že připraví detekční API, ale podle Raschky zatím není jasné, zda bude plně veřejné, nebo dostupné jen vybraným partnerům, což ovlivní jeho reálnou využitelnost pro třetí strany.

Úpravy textu mohou statistický signál rozbít

Vodoznak závisí na zachování konkrétních tokenů na vybraných pozicích. Kdo tajný klíč nezná, neví, která slova by měl změnit, aby se značky zbavil. Nicméně dostatečný počet náhodných úprav, přeformulování nebo vložených slov může celkové skóre srazit pod hranici spolehlivé detekce. Odolnost této metody proto nespočívá v absolutní nezměnitelnosti signálu, ale v tom, že jeho přesné umístění zůstává útočníkovi skryté.

Regulátoři stále čekají na robustní řešení

Raschka očekává, že část uživatelů nechá výstup z Claude dodatečně upravit lokálním modelem, který statistický podpis vymaže. Zůstává otevřenou otázkou, zda tato metoda splní přísné požadavky evropského AI Actu, jehož vymahatelnost článku 50 začala 2. srpna 2026. Ten požaduje, aby bylo vodoznakování efektivní a robustní, ovšem podle reakcí technických recenzentů ACM Europe na návrh pokynů Komise z července zatím žádný jednotlivý nástroj pro textové vodoznaky všechny tyto parametry nesplňoval.

Lilithin verdikt

Anthropic si ponechá centrální kontrolu a ostatním nabídne detekci přes API. Elegantní dohled nad původem, dokud text neprojde druhým modelem a statistický podpis nezačne mizet.