Водяные знаки в ИИ: почему технология спорная

Сначала — неприятная правда: «печать ИИ» в тексте вообще не выглядит как печать. Это не приписка в конце “сгенерировано ИИ” и не водяной знак поверх букв. Скорее как пакет, который шуршит чуть-чуть иначе: вроде всё то же самое, а если прислушаться — есть свой характерный звук. Или как ритм шагов по лестнице: ты не видишь человека, но по рисунку шагов можно догадаться, кто идёт.

В тексте такая «метка» прячется не в отдельных словах, а в общей манере выбора формулировок. Глазами ты это не поймаешь, да и не должен. Идея в том, что потом специальная проверка может сказать: “похоже, этот текст был создан моделью”, потому что внутри есть тонкая статистическая подпись — как почти незаметная интонация, которая повторяется.

Зачем вообще кому-то хочется это делать? Да причин хватает. Во‑первых, доверие: когда новость или “цитата эксперта” расходится по соцсетям, хочется понимать, откуда она взялась. Во‑вторых, фейки: если текст массово клепают для манипуляций, метка хотя бы даёт шанс это быстро отлавливать. Ну и авторство тоже: издателям, платформам и даже обычным авторам важно отделять человеческое письмо от машинного, хотя бы на уровне “вероятнее всего”.

Представьте сцену из редакторской рутины. Автор приносит текст, а редактор такой: «Пиши как хочешь, но давай договоримся о маленькой странности. Если можно сказать “однако” или “впрочем” — выбирай один вариант. Если подходит “сейчас” или “в данный момент” — тоже выбирай “правильный”. И так дальше, по списку». С виду — обычные синонимы, текст звучит нормально, читатель вообще ничего не замечает. Но правило секретное: оно зависит, например, от номера абзаца или от скрытого ключа, который знает только редактор.

Примерно так и прячут watermark в генерации текста. Модель в каждый момент видит несколько естественных вариантов продолжения, и ей слегка “подкручивают” выбор: не заставляют, а просто чуть-чуть чаще тянут руку к нужным словам. Одним предложением по-человечески: у модели есть вероятности выбора слова, и водяной знак — это когда нужным вариантам дают маленькое преимущество, чтобы они выпадали чаще.

Из таких мелких предпочтений собирается узор. В одном месте получилось “однако”, в другом — “в данный момент”, дальше — ещё пара “правильных” слов, и постепенно выходит статистическая подпись, которую можно проверить детектором: он смотрит, слишком ли часто встречаются “нужные” варианты по сравнению со случайностью.

До (обычно):

Я хотел уйти, однако задержался на минуту. Сейчас мне важно закончить письмо и уже потом созвониться.

После (с подписью, звучит так же естественно):

Я хотел уйти, впрочем задержался на минуту. В данный момент мне важно закончить письмо и уже потом созвониться.

Детектор “подписи” в тексте — это не такой умный читатель, как нам иногда хочется. Он не вникает в смысл, не ловит иронию и не понимает, что автор писал ночью на нервах. Он скорее ищет статистический рисунок: странные повторяющиеся привычки в выборе слов, длине фраз, пунктуации, в том, как часто встречаются редкие связки. Ну то есть он не спрашивает “о чём это?”, он спрашивает “похоже ли это на тот узор, который обычно оставляет генератор?”. Поэтому сравнение с служебной собакой тут прям напрашивается: собака ловит запах, а не биографию человека. Она может уверенно “сесть” рядом с чемоданом — и всё, для неё это сигнал. Но чемодан мог просто стоять рядом с тем, у кого был этот запах. История чемодана ей недоступна.

И вот отсюда две симпатичные (и очень неприятные) ошибки. Первая — ложноположительная: человек написал сам, но детектор “учуял” ИИ. Например, студент сдаёт эссе, пишет гладко, чуть канцеляритом, ещё и вычитывает до блеска — и в итоге стиль становится слишком ровным, слишком “правильным”, как у модели. Препод запускает проверку, детектор показывает “высокая вероятность”, и дальше начинается шоу: оправдывайся, доказывай, черновики тащи. Вторая — ложноотрицательная: ИИ-текст проскальзывает как “чистый”. Допустим, человек прогнал ответ через перефразер, добавил пару личных деталей, поменял порядок абзацев — и “запах” размазался. Собака принюхалась, повела носом и ушла: ничего не нашла.

А теперь мини-сценка из жизни. Журналист на дедлайне быстро делает заметку с помощью ИИ, потом руками правит, добавляет цитаты, перестраивает текст — и детектор, если он вообще используется, может спокойно пропустить это как “человеческое”. Риск вроде бы меньше, но цена ошибки выше: если потом всплывёт, что материал был сгенерирован, репутация может поехать под откос, и никакие проценты “вероятности” не спасут. HR, наоборот, рискует на другом конце: он прогоняет мотивационные письма через детектор и может отсеять сильного кандидата просто потому, что тот пишет сухо и аккуратно (или потому что английский не родной, и текст получился “шаблонным”). И студент — он, честно, под самым большим давлением, потому что детектор в вузе часто превращается в судью: ошибся в его сторону — и тебя уже “обвинили”, а объяснить, что ты просто старался писать ровно, бывает почти невозможно. Вот почему детектор — полезная служебная собака, да. Но не бог и не истина в последней инстанции.

Тут и вылезает главный конфликт: тексты вообще-то живые. Их сокращают под заголовок, правят запятые, пересказывают «своими словами», переводят на другой язык, подгоняют под тон бренда. А watermark — штука тонкая. Он обычно держится, когда изменения мелкие (чуть подредактировали, выкинули пару слов, переставили кусок местами), но начинает реально разваливаться, когда текст переписывают. Это как следы на песке: если пройти рядом — отпечаток ещё угадывается; а если протащить по нему ковёр, всё, до свидания.

Что почти не мешает подписи — такие «косметические» правки. Было: «Сервис снизил время ответа с 2,1 секунды до 1,7.» Стало: «Сервис сократил время ответа: 2,1 → 1,7 секунды.» Смысл тот же, структура похожая — шансы на детект обычно остаются. Или вот: «Мы запустили бета‑версию в апреле.» → «Бету запустили в апреле» — по-честному, это мелочь.

А вот что “сбивает подпись” намного сильнее — перефразирование, смена стиля и особенно перевод. Было: «Мы не нашли доказательств, что функция повышает конверсию.» Стало: «Пока рано говорить о росте конверсии: данных недостаточно.» Тут уже другой ритм, другой набор слов, другое построение — и watermarkу сложнее “узнать себя”. Перевод ещё жёстче: «The model often hallucinates» → «Модель иногда уверенно выдумывает факты» — вроде про то же, но по токенам это совсем другая вселенная. И получается парадокс: чем естественнее люди обращаются с текстом (а они так и делают), тем проще случайно “смазать” метку, даже без злого умысла.

Самая скользкая часть с водяными знаками в тексте — даже не техника, а вопрос доверия. Если метку умеет ставить и проверять только одна компания, то она же, по сути, держит в руках кнопку «это написал ИИ» / «это не ИИ». А дальше начинается тонкая грань: сегодня это инструмент против фейков, а завтра — способ тихо решать, чьим словам верить в спорной ситуации. Ну и давайте честно: когда арбитр и производитель системы — одно и то же лицо, осадочек остаётся.

Плюс нет единого стандарта. У одной платформы свой водяной знак, у другой — другой, у третьей вообще ничего. Детекторы тоже разные, результаты могут расходиться, и пользователю остаётся только пожимать плечами: «кому верить-то?». Это как история с зарядками до USB‑C: у каждого свой разъём, свои кабели, свои “сертифицированные” переходники — а страдает в итоге человек, который просто хочет зарядить телефон, а не разбираться в зоопарке стандартов.

И вот вопросы, на которых можно нормально так поспорить с друзьями:

• Кто должен быть “судьёй” происхождения текста — сама платформа или независимая третья сторона?

• Должны ли алгоритмы проверки быть прозрачными (и проверяемыми), или это неизбежно останется чёрным ящиком?

• Есть ли у человека право публиковать текст анонимно, если технически его можно “пометить” и отследить происхождение?

Если вы просто проверяете новость или “слив” в телеге, не пытайтесь играть в детектива по одному признаку. Водяной знак (или его отсутствие) — это не приговор. Смотрите на скучные вещи: есть ли первоисточник, совпадают ли цифры в разных местах, можно ли найти подтверждение у пары независимых медиа, не меняется ли формулировка при пересказах. И да, если текст слишком гладкий, уверенный и без конкретики — это повод притормозить, но не повод кричать “ИИ!”.

Если вы нанимаете автора/редактора, нормальная тактика — не “поймать на ИИ”, а договориться о процессе. Попросите показать черновики, план, источники, пару вариантов заголовков, логику правок. Можно прямо сказать: “Ок, пользуйся ИИ как инструментом, но мне важны факты и ответственность”. Водяной знак тут может быть просто одним из сигналов, но куда важнее — внятное ТЗ и проверяемые ссылки, иначе вам принесут красивый текст, который уверенно врёт.

Если вы сдаёте работу (учёба, отчёт, грант, внутренний документ), игра “спрячу, перепишу, никто не узнает” обычно заканчивается нервами. Лучше заранее уточнить правила: можно ли использовать генеративный ИИ, как это оформлять, что считается плагиатом. И если использовали — честно описать, где именно (например: “черновик структуры/перефразирование/проверка грамматики”). Детекторы и водяные знаки то срабатывают, то нет; хуже всего, когда человека “ловят” по ложному совпадению и начинается разбор полётов.

Если вы публикуете текст сами — в блоге, рассылке, соцсетях — подумайте, что вы хотите защитить: репутацию или авторство. Иногда достаточно простого: помечать посты “написано с помощью ИИ” или “ИИ помог с редактурой”, хранить черновики, держать список источников, не обещать того, чего вы не проверяли. Водяной знак может помочь платформам и исследователям, но для читателя это не всегда видно, а для злоумышленника — не всегда помеха.

И, пожалуй, главное: не превращайте watermarking в повод для травли. Метка может появиться случайно, может потеряться после правок, может быть недоступна из‑за разных инструментов. Относитесь к ней как к “лампочке на приборной панели”: заметили — проверьте внимательнее, не заметили — всё равно проверяйте. Трезвый подход такой: watermarking — полезный сигнал, но доверять нужно не метке, а проверяемым фактам и нормальному процессу.