Niewidzialny znak wodny w tekście z AI. Matematyczny podpis, który uderzy w prywatność, a nie w oszustów

Przeklejenie wygenerowanego tekstu do czystego Notatnika, zapisanie go jako plik . txt i usunięcie formatowania przez lata uchodziło za niezawodny sposób na zatarcie cyfrowych śladów. W erze zaawansowanych modeli językowych ta metoda staje się bezużyteczna.

Do powszechnego użytku wchodzi technologia niewidzialnego znakowania tekstu, która nie opiera się na ukrytych znakach w kodzie, ale na statystyce. W praktyce oznacza to powstanie nowego narzędzia inwigilacji, które najmniej zaszkodzi tym, w których miało uderzyć.

Matematyka zamiast ukrytych spacji

Pierwsze próby oznaczania treści z generatorów tekstu opierały się na prymitywnych sztuczkach – głównie niewidocznych znakach Unicode o zerowej szerokości (tzw. zero-width spaces). Każdy prosty skrypt, pasek adresu w przeglądarce czy konwersja do formatu ASCII skutecznie wycinały takie „podpisy”. Prawdziwe znakowanie tekstu, rozwijane m.in. przez Google DeepMind (SynthID Text), zapowiadane przez Anthropic (twórców Claude’a; szczegółów nie ujawnili) czy badaczy kryptografii, działa na zupełnie innym poziomie: manipuluje probabilistyką generowania tokenów.

Duży model językowy nie tworzy gotowych zdań – przewiduje kolejne słowo na podstawie prawdopodobieństwa. Algorytm znakujący w ułamku sekundy dzieli dostępny słownik na dwie grupy: „zieloną” (faworyzowaną) i „czerwoną”, używając do tego tajnego, pseudolosowego klucza kryptograficznego.

Podczas generowania odpowiedzi model celowo wybiera synonimy z zielonej listy:

• Dla naszych, ludzkich tekst jest w 100% poprawny, płynny i naturalny.
• Dla weryfikatora znającego klucz tekst stanowi anomalię statystyczną o prawdopodobieństwie rzędu 1 do miliarda.
• Detektor nie szuka ukrytych bajtów – po prostu liczy, jak często w tekście padają słowa z zielonej puli.

W tym momencie zapytacie: „I co w tym złego? Wreszcie będzie wiadomo, jaki tekst napisał człowiek, a jaki został wygenerowany przez algorytm AI”. I tu czai się największa pułapka tej zmiany.

Cyfrowy odcisk palca i koniec anonimowości

Problem zaczyna się w momencie, gdy zdamy sobie sprawę, czym może być klucz użyty do wygenerowania „zielonej listy”. jeżeli dostawca modelu – taki jak OpenAI, Google czy Anthropic – powiąże ziarno pseudolosowe z kontem użytkownika, znacznikiem czasu lub identyfikatorem sesji, każdy wygenerowany akapit staje się unikalnym, matematycznym odciskiem palca. Ha, zaczynacie to dostrzegać, prawda?

Tworzy to bezpośrednie zagrożenie dla prywatności. Sygnalista, który użyje komercyjnego chatbota do wygładzenia stylistycznego ujawnianego dokumentu i opublikuje go anonimowo przez sieć Tor, nieświadomie zostawia w strukturze zdań podpis prowadzący wprost do swojego konta w usłudze AI. Nie ma znaczenia iż w pełni poprawnie wykorzystał infrastrukturę anonimizującą, skoro sam tekst zawiera statystyczny podpis, który – jeżeli mechanizm znakowania zostanie powiązany z identyfikatorem użytkownika lub sesji – może pozwolić na powiązanie anonimowo opublikowanego materiału z konkretnym kontem w usłudze AI.

Podobnie wygląda sytuacja pracowników korporacji czy urzędników – organizacje zyskają narzędzie do deanonimizacji autorów przecieków i weryfikacji, kto dokładnie wygenerował dany fragment kodu lub pisma. To nie jest transparentność wygenerowanych treści, to koniec prywatności.

Bezużyteczna tarcza przeciwko dezinformacji

Znakowanie tekstu jest przedstawiane przez regulatorów i korporacje jako przełom w walce ze szkolnymi plagiatami, spamem i farmami trolli. W rzeczywistości jest to tarcza z dykty, która uderzy wyłącznie w nieświadomych, zwykłych użytkowników. To co jest publicznie ujawniane jako „wykrywacz nieuczciwie odrobionych prac domowych” staje się w istocie potężną, cyfrową bazą tożsamości każdego, kto korzysta z AI! Skoro algorytm kodujący tokenowy znacznik będzie egalitarny (będzie znakował każdego użytkownika, który korzysta z wygenerowanych treści dzięki publicznie dostępnych komercyjnych modeli. Najgorsze jest to, iż uderzy to w zwykłych użytkowników, a nie w tych, którzy AI wykorzystują jako cyberbroń.

Dla profesjonalnych grup dezinformacyjnych i cyberprzestępców matematyczny znak wodny nie stanowi żadnej przeszkody. Przede wszystkim dlatego, iż tacy gracze nie korzystają z publicznie dostępnych modeli, ale z uruchamianych lokalnie (lub na własnej infrastrukturze) modeli open source. Żadne Google czy OpenAI nie zmusi otwartych modeli takich jak Llama od Mety, Mistral, czy chińskich modeli otwartoźródłowych, uruchamianych lokalnie, do stosowania tokenowych kluczy znakujących generowane treści.

Wystarczy przetłumaczyć wygenerowany tekst translatorem na inny język i z powrotem, albo przepuścić go przez mały, lokalny model z poleceniem zmiany szyku zdań, by bezpowrotnie zniszczyć rozkład „zielonych” tokenów.

Zgodność na papierze, inwigilacja w praktyce

Wdrażanie niewidzialnych „znaków wodnych” w tekście idealnie wpisuje się w unijne wymogi AI Act dotyczące transparentności treści syntetycznych. Korporacje z Doliny Krzemowej z dumą odtrąbią wdrożenie bezpiecznych standardów i pełną zgodność z prawem. Tylko czy brukselscy urzędnicy zdają sobie sprawę z tego, jaką moc otrzymują technologiczni giganci AI w imię „zgodności z literą europejskiego prawa”?

Zamiast powstrzymać zalew internetu syntetycznym śmieciem, dostaniemy architekturę trwałego znakowania wypowiedzi, która zdejmuje anonimowość z każdego, kto zaufał przeglądarkowemu oknu chatbota AI.

Znak wodny znika z Gemini. Google daje czyste grafiki, ale zostawia cyfrową smycz

Jeśli artykuł Niewidzialny znak wodny w tekście z AI. Matematyczny podpis, który uderzy w prywatność, a nie w oszustów nie wygląda prawidłowo w Twoim czytniku RSS, to zobacz go na iMagazine.