Представьте невидимую метку в тексте. Читатель её не замечает, но специальная программа ищет статистический след в последовательности слов. Такая отметка может подсказать, откуда взялся текст. Но доказывает ли результат проверки нарушение? Эксперименты с атаками на водяные знаки показывают, почему здесь нужна осторожность.

Две атаки на один сигнал

Водяной знак для текста обычно не выглядит как печать. Он встроен в статистические особенности генерации: модель немного меняет выбор слов, а детектор проверяет, сохранился ли ожидаемый рисунок. В редакционной статье Nature 2024 года этот механизм объясняют на примере текста, созданного большой языковой моделью. Специальный алгоритм должен распознавать сигнал, не меняя текст заметным для читателя образом.

На Международной конференции по машинному обучению в 2024 году Никола Йованович, Робин Стааб и Мартин Вечев представили работу об уязвимости таких сигналов. Авторы рассмотрели две атаки. При подделке водяной знак добавляют к тексту, который изначально его не содержал. При удалении пытаются стереть метку из уже помеченного текста.

Согласно аннотации статьи, атака начинается с запросов к программному интерфейсу (API) модели с водяным знаком. По её ответам можно приблизительно восстановить особенности маркировки, а затем применить это знание для подделки или удаления метки. Для изученных современных схем авторы сообщают о среднем успехе атак свыше 80% при затратах менее 50 долларов.

Эти цифры относятся только к атакам и схемам, рассмотренным в работе. Они не означают, что любой водяной знак можно подделать или стереть с такой вероятностью. Статья опубликована в рецензируемых трудах конференции Proceedings of Machine Learning Research. На странице работы есть аннотация и ссылка на полный PDF. Поскольку здесь доступна только аннотация, нельзя надёжно описать число моделей и текстов, параметры атак или способ расчёта показателя успеха.

Что ещё может ослабить метку

Редакционная статья Nature 2024 года упоминает и другие возможные способы ослабить или убрать сигнал: перефразировать текст, перевести его или попросить другую языковую модель переписать его. Это редакционное изложение, а не отдельный эксперимент с количественной оценкой каждого приёма. Его результаты не следует смешивать с работой Йовановича и коллег, где изучали атаки с восстановлением схемы через запросы к программному интерфейсу.

Разница важна: отсутствие метки не доказывает, что текст написал человек. Сигнала могло не быть изначально, или он мог исчезнуть после редактирования и других преобразований. Но и обнаруженная метка сама по себе не устанавливает, кто создал текст и нарушил ли автор правила. Водяной знак указывает на техническое свойство текста в определённой системе, а не на умысел.

Что выяснить до того, как делать вывод

Прежде чем использовать результат детектора как свидетельство, стоит задать несколько вопросов. Это практические ориентиры для оценки конкретного случая, а не универсальный стандарт, установленный источниками.

  • Какую систему проверяли? Важно знать название и версию модели и схемы маркировки. Результат для одной системы нельзя без проверки переносить на другую.
  • Что именно означает срабатывание? Нужно знать порог обнаружения и понимать, как система работает с текстами без водяного знака, а также после редактирования, перевода или перефразирования.
  • Проверяли ли устойчивость метки к атакам? Работа Йовановича и коллег показывает, что запросы к программному интерфейсу могут помочь подделать или удалить метку в изученных ими схемах. Одна проверка детектором не позволяет исключить эти сценарии.
  • Есть ли независимая проверка и другие сведения? Источники не предлагают готовой процедуры разбирательства. Технический сигнал разумно сопоставлять с происхождением файла, историей правок и правилами, действовавшими в конкретной ситуации, а не использовать вместо этих сведений.

Если речь идёт о проверке студенческой работы, водяной знак не заменяет разбор других свидетельств: например, черновиков, истории изменений и объяснения автором принятых решений. Подробнее о том, как преподаватели проверяют использование ИИ в ВКР, рассказано в отдельном материале.

У этого разбора неоднородная доказательная основа. Главный количественный результат взят из рецензируемой конференционной работы, но здесь он представлен по аннотации, без подробностей экспериментального протокола. Письмо в Nature за 2026 год, подписанное Вейбином Ху и Сюэру Чжан, напоминает об атаках и призывает к независимой общественной проверке технологии. Это письмо в редакцию, а не новое исследование. Редакционная статья 2024 года даёт контекст о возможном удалении сигнала, но также не сообщает о новом эксперименте. Вместе эти публикации показывают, почему выводы по водяным знакам требуют осторожности. Готового стандарта, который позволял бы установить недобросовестность, они не предлагают.

Источники

Источники и литература

Схема показывает две изученные атаки на водяной знак и поясняет, почему результат детектора не устанавливает сам по себе происхождение текста или недобросовестность автора.

Фото: Matheus Bertelli / Pexels