In questo articolo Indice dei contenuti 3 sezioni
Il watermark nei testi AI sta per diventare una realtà concreta, ma porta con sé un difetto strutturale che nessuno, al momento, sa come aggirare davvero. Anthropic ha confermato che i suoi modelli inizieranno presto a inserire una filigrana invisibile negli output testuali, così da rendere verificabile ciò che non è stato scritto da una persona. Il meccanismo non appare sullo schermo, non cambia il senso delle frasi, non peggiora la qualità delle risposte e sopravvive al banale copia e incolla, che si tratti di un documento, di un CMS o di qualsiasi altra applicazione.
La marcatura lavora a livello di modello e coinvolge Claude, le API della Claude Platform, Claude Code, Claude Cowork e Claude Tag. L’azienda prevede di estenderla anche ai modelli supportati distribuiti tramite AWS, Google Cloud e Microsoft Foundry. Per le immagini in formato PNG, JPG e SVG la strada scelta è diversa, con metadati di provenienza firmati secondo lo standard C2PA. Nel testo semplice, invece, la firma deve restare incorporata nella sequenza stessa delle parole.
Perché una filigrana nel testo è molto più fragile
Anthropic non ha pubblicato l’algoritmo, la chiave usata, le soglie del detector né la quantità minima di testo necessaria per un responso affidabile. Ha però indicato con chiarezza cosa indebolisce il segnale: modifiche profonde, parafrasi, traduzione, estrazione di frammenti brevi e fusione con materiale di altra provenienza. Un elenco che coincide quasi parola per parola con una critica formulata da Sean Goedecke, staff software engineer presso GitHub ed ex Zendesk, poche settimane prima dell’annuncio.
L’osservazione di Goedecke è semplice e piuttosto scomoda. Il linguaggio naturale regala un vantaggio enorme a chi vuole cancellare una firma, perché la stessa identica informazione può essere espressa con parole e strutture sintattiche completamente diverse. Una fotografia manipolata deve conservare gran parte dei suoi pixel per restare riconoscibile. Una frase no, può essere riscritta da cima a fondo mantenendo intatto il significato.
Il confronto tecnico è impietoso. Un’immagine digitale contiene milioni di valori numerici e consente di alterare leggermente pixel o coefficienti senza differenze percepibili. Audio e video offrono margini simili. Il testo ha molta meno ridondanza, tanto che cambiare una congiunzione o la punteggiatura può spostare tono, precisione e perfino senso. Un algoritmo di watermarking testuale deve quindi tenere insieme esigenze che si pestano i piedi a vicenda: essere abbastanza forte da emergere statisticamente, non tanto invasivo da rovinare la risposta, produrre pochi falsi positivi e reggere le normali modifiche editoriali.
Il trucco nel sampling dei token e i limiti dimostrati
L’idea non nasce oggi. La steganografia testuale studia da decenni sistemi che sfruttano scelte lessicali, spaziatura o caratteri alternativi per trasportare dati senza che il lettore se ne accorga. Nel 2023 John Kirchenbauer e altri ricercatori hanno mostrato che si può intervenire sul sampling dei token, alterando appena le probabilità con cui il modello sceglie la parola successiva. Il vocabolario viene diviso in modo pseudocasuale in gruppi, spesso descritti come green list e red list, e durante la generazione il sistema favorisce leggermente i token del primo gruppo. Una singola parola non dice nulla, su una sequenza lunga la deviazione diventa misurabile. Google DeepMind ha poi sviluppato SynthID-Text, sperimentato su milioni di risposte Gemini. Anthropic non ha dichiarato se il proprio sistema appartenga alla stessa famiglia, anche se è molto probabile.
Qui si capisce anche perché i comuni AI detector non siano affidabili. Un classificatore che guarda stile, punteggiatura e struttura delle frasi può azzardare una somiglianza, mai un giudizio incontestabile. Scrivere in modo statisticamente simile a un modello linguistico non equivale ad avere riprodotto una firma determinata in modo crittografico o pseudocasuale.
Sostenere che una singola parafrasi cancelli sempre il segnale sarebbe però sbagliato. Studi sul metodo di Kirchenbauer indicano che porzioni della firma sopravvivono anche a riscritture umane o automatiche, soprattutto nei testi lunghi. In una valutazione degli stessi ricercatori, dopo una forte parafrasi umana servivano in media circa 800 token per recuperare un segnale con una soglia di falso positivo pari a 10 alla meno 5.
Cosa impone l’AI Act europeo
La mossa arriva insieme agli obblighi di trasparenza del Regolamento europeo sull’intelligenza artificiale, Regulation (EU) 2024/1689, applicabile nella sua parte generale dal 2 agosto 2026. L’articolo 50 stabilisce che i fornitori di sistemi capaci di generare contenuti sintetici rendano gli output machine readable e rilevabili come artificialmente generati o manipolati, con soluzioni efficaci, interoperabili, robuste e affidabili per quanto tecnicamente possibile. Dal 2 agosto 2026 i nuovi modelli Claude destinati al mercato europeo supportano la marcatura fin dal lancio, anche se l’azienda sostiene che il sistema accompagnerà gli output supportati a livello mondiale e non solo nell’Unione europea.
