In questo articolo Indice dei contenuti 3 sezioni
Chi copia una risposta di ChatGPT e la incolla in un documento vuoto è convinto di avere tra le mani testo pulito, senza tracce. In realtà quel testo porta con sé una filigrana invisibile, nascosta non nei metadati ma dentro le parole stesse, nella preferenza per “grande” invece di “grosso”, per “tuttavia” invece di “però”. Le aziende che sviluppano modelli linguistici stanno marchiando ciò che le loro AI producono in un modo che l’occhio umano non riesce a cogliere, mentre i loro sistemi di riconoscimento lo leggono senza fatica.
Con le immagini il problema era già risolto da tempo, un logo nell’angolo, qualche informazione infilata nel file, e la questione si chiudeva lì. Il testo è un’altra faccenda, perché resta testo puro anche dopo dieci passaggi di copia e incolla. Da qui nasce l’idea di spostare il marchio a un livello più profondo, quello statistico.
Come funziona il watermark nascosto nel testo generato
Un modello linguistico scrive un token alla volta. Un token può essere una parola intera, un frammento di parola o un segno di punteggiatura. Per ogni posizione della frase il modello calcola la probabilità di tutti i possibili token successivi, e capita spessissimo che due o più opzioni abbiano punteggi praticamente identici. “Ho un cane grande” e “ho un cane grosso” dicono la stessa cosa, con valori numerici quasi sovrapponibili.
È esattamente in quel margine di indifferenza che entra in gioco il watermark invisibile. Il modello applica un pattern nascosto, calcolato sulla base dei token già scritti, che favorisce leggermente una parola rispetto all’altra quando la partita è in parità. Viene scelto “grande” al posto di “grosso”. Il significato della frase non cambia di una virgola, ma la spinta è avvenuta.
Su una singola frase l’effetto è impercettibile, indistinguibile dal caso. Ripetuto su ogni frase di un testo lungo, invece, quelle micro decisioni disegnano una traccia riconoscibile. Quella traccia è la filigrana.
Cosa legge un essere umano e cosa legge il detector
Un lettore in carne e ossa vede prosa perfettamente naturale. “Grande” invece di “grosso” non accende nessun campanello. Il detector dell’azienda, però, conosce a memoria la mappa delle spintarelle e la individua in un attimo. È il caso di SynthID di Google, il sistema che riconosce il pattern applicato ai testi generati dai modelli della società.
Vale la pena non confondere due cose diverse. Il famoso “stile AI”, quello riconoscibile a naso per certi giri di frase e certe formule ricorrenti, è il risultato di scelte stilistiche fatte dagli sviluppatori. La filigrana è un’altra cosa e vive su un piano separato, tanto che un testo può risultare del tutto naturale e scorrevole e contenere comunque il marchio.
Sul fronte della trasparenza, Google è quella che ha detto di più, la documentazione di SynthID spiega il metodo. Anthropic dichiara di applicare la filigrana al testo prodotto dai modelli Claude rilasciati dopo il 2 agosto, senza però entrare nel merito della tecnica usata. Potrebbe trattarsi di un approccio simile a quello di Google oppure di qualcosa di completamente diverso. I pattern precisi, le regole che decidono quale token favorire e in quale momento, restano segreti interni.
I punti debole del sistema
Il meccanismo ha bisogno di spazio per funzionare. Senza un pattern esteso non c’è nulla da riconoscere, quindi su una singola frase il watermark non può essere applicato in modo affidabile. Serve un testo di una certa lunghezza perché la traccia emerga dal rumore statistico.
C’è poi la questione delle modifiche manuali. Intervenire in modo pesante su un testo generato, riscrivendo e rimescolando, con buona probabilità rompe il pattern e rende la filigrana illeggibile. A quel punto, però, il lavoro svolto è già quasi equivalente a scrivere tutto da zero.
L’ultima scorciatoia è quella di chiedere a un’AI di riscrivere ciò che un’altra AI ha prodotto, nella speranza di ripulire il testo. Il risultato più probabile è che il secondo modello applichi la propria filigrana, sostituendo semplicemente un marchio con un altro.
