Водяной знак ИИ в тексте: как снимается и почему этого мало

Про водяные знаки в текстах ИИ есть две новости, и начать честнее с плохой: надёжного публичного детектора этих меток сейчас нет. Хорошая новость в том, что снять метку можно бесплатно на своём железе, и модель для этого весит меньше гигабайта. Ниже разобрано, как работает механизм, что показал июльский эксперимент 2026 года и почему сама метка оказалась наименьшей из проблем.

Механизм: метку ставит сэмплер, а не модель

Водяной знак в тексте представляет собой смещение в выборе слов. Модель на каждом шаге выбирает следующий токен из распределения вероятностей, и алгоритм маркировки подталкивает этот выбор в сторону заранее оговорённого подмножества токенов. Детектор потом считает статистику по тексту и смотрит, встречается ли «своё» подмножество чаще, чем должно бы при случайном выборе.

Первоисточник механизма: работа Google DeepMind о SynthID-Text (Scalable watermarking for identifying large language model outputs, Nature 634, стр. 818–823, октябрь 2024). Ключевая деталь оттуда: схема не влияет на обучение модели и меняет только процедуру сэмплирования. Там же описано первое масштабное развёртывание такой маркировки — в Gemini.

Из механизма следуют два вывода, которые определяют всё остальное.

Первый: след оставляет лишь та модель, чей сэмплер формировал финальный набор слов. Через какие сервисы текст проходил до этого, роли не играет — от Gemini, ChatGPT или Claude на промежуточных шагах в готовых формулировках не остаётся ничего проверяемого. Контроля требует только последний проход.

Второй: раз метка живёт в формулировках, снимается она изменением формулировок. Отсюда и рабочий приём: рерайт.

Почему детекторы сейчас ненадёжны

Проверка водяного знака требует секретного ключа, которым метка наносилась. У сторонних чекеров этого ключа нет, поэтому наличие конкретного вотермарка они подтвердить не могут и угадывают происхождение текста по стилю, попутно продавая подписку.

Anthropic с 2 августа 2026 года начала маркировать текст Claude глобально, во всех продуктах, на подходе SynthID-Text, под требования EU AI Act о прозрачности ИИ-контента. Модели, выпущенные после этой даты, поддерживают маркировку сразу, для более старых её добавляют в переходный период. API для детекции обещан, но пока не выпущен: в справке сказано, что механизмы обнаружения в работе и детали появятся в отдельной документации.

Там же, в собственной справке, перечислены и границы метода: знак может исчезнуть при интенсивном редактировании, перефразировании, переводе или смешивании с другим текстом, а на очень коротких фрагментах его вообще не удаётся поставить. То есть ограничение признаёт сторона, которая метку наносит.

Что показал эксперимент с перефразированием

В июле 2026 года вышла работа AI Watermark Evidence Fails Forensic Readiness (arXiv:2607.16010, Тамим и Хан). Авторы проверяли не стойкость меток как таковую, а пригодность их в качестве доказательства в суде: по факторам Дауберта и процессу цифровой криминалистики NIST SP 800-86.

Протокол: 15 промптов на каждый метод из бытовых, технических, новостных, профессиональных и творческих доменов, по два сида генерации, то есть 30 базовых размеченных текстов на метод. Каждый текст атаковали перефразированием при трёх температурах с пятью вариантами шаблона, после фильтрации осталось 846 валидных прогонов: 304 для KGW, 306 для Unigram, 236 для SynthID. Перефразировала тексты Qwen2.5-1.5B.

Результат одного прохода рерайта по текстам, где знак изначально детектировался:

• KGW и Unigram: 100% потери метки;
• SynthID: 98,3%.

Отдельно стоит цифра, которая бьёт сильнее: до всякой атаки детекторы не находили метку в 70% чистых размеченных текстов для KGW, 83% для Unigram и 80% для SynthID. Конфигурация SynthID вдобавок пометила как машинные 5,4% перефразированных человеческих текстов, а 80% её собственного неатакованного размеченного вывода попали в полосу неопределённости.

Смысл тут не в том, что рерайт творит чудеса, а в том, что и без рерайта детекция работала плохо. Ни один из трёх методов не прошёл больше двух из пяти факторов Дауберта.

Два нюанса из методики, которые важны для практики. Перефразированные тексты проходили тройной фильтр валидности: косинусная близость не ниже 0,75, нормализованное расстояние Левенштейна не ниже 0,15 и отношение длин от 0,5 до 2,0. Медианная близость по сохранённым образцам вышла 0,83–0,84, то есть смысл действительно сохранялся, а не терялся вместе с меткой.

Второй нюанс: для SynthID генератором была Gemma-2-9b-it, а Qwen2.5-1.5B работала как атакующая модель другого семейства. Это ближе к реальности, чем тест «сама себя переписала»: тому, кто снимает метку, доступ к исходной модели не требуется. Прогоны с Qwen укладывались в бесплатный тариф Colab на T4.

Почему рерайт, а не генерация локальной моделью с нуля

Логичный вопрос: если локальная модель метку не ставит, зачем вообще облако, можно ведь сразу писать локально. Так действительно можно, но результат просядет ощутимо: перефразирование и написание с нуля относятся к разным классам задач.

Перефразирование получает структуру, логику и фактуру готовыми: они уже заданы исходником, работа сводится к подбору других слов под тот же смысл. На такой задаче отставание модели на 14B от облачного флагмана невелико. Написание с нуля требует выстроить всё это самостоятельно, и там дистанция огромная — ни 14B, ни 30B её не закрывают.

Отсюда и разделение ролей: смысл, структуру и фактуру даёт облачный флагман, финальные формулировки собирает модель на своём железе. Показательно, что в эксперименте метку снимала модель на 1,5B параметров: для подбора других слов её хватило, тогда как написать исходный текст такого уровня она бы не смогла.

Почему локальный запуск не оставляет метки

Маркировка наносится на этапе выбора токенов. У облачного сервиса этот этап исполняется на его стороне: заглянуть внутрь и проверить, включён ли алгоритм маркировки, вы не можете. При локальном запуске выбор токенов целиком под вашим контролем, и схема маркировки там не включается сама собой, её нужно подключать сознательно.

Что поставить локально

Размеры моделей в Ollama на конец августа 2026:

Для рерайта в целом хватает Qwen3 14B. При 24 ГБ оперативной памяти есть смысл сразу брать модель на 27–32B: результат перефразирования будет качественнее. Полуторамиллиардная модель поднимается практически на любом ноутбуке, но она показывает нижнюю границу возможного, а не оптимум для продакшена. Искать модели стоит в библиотеке Ollama и на Hugging Face.

Метка как один след из нескольких

Водяной знак вычищается одним проходом, а вот остальные следы машинного текста остаются на месте:

• невидимые символы Unicode;
• типографика по умолчанию: длинные тире там, где их не поставил бы человек, кавычки-ёлочки, ё в каждом слове;
• остатки markdown в теле текста: звёздочки, решётки, обрывки списков;
• лексика, к которой модели тяготеют.

С типографикой стоит быть аккуратнее, чем с остальным: ё и кавычки-ёлочки встречаются и в грамотном человеческом тексте, так что признаком они работают только в связке с прочим. Невидимые символы и обрывки разметки остаются следом однозначным.

Чистить это после рерайта можно, но проще сразу оговорить в промпте: не использовать невидимые символы Unicode, не ставить длинные тире везде, где придётся, не оставлять разметку. Отдельно стоит помнить, что для файлов маркировка идёт другим путём — через подписанные метаданные происхождения по стандарту C2PA, и к изображениям текстовый рерайт отношения не имеет.

Что из этого следует

Путей получить «чистый» контент по-прежнему два:

1. Автор, который пишет руками, без ИИ, и у вас есть способ в этом убедиться.
2. Рерайт качественного текста облачной модели локальной моделью, с последующей чисткой остальных следов.

Порядок для второго варианта: тяжёлая модель пишет по структуре и ТЗ, локальная переписывает одним проходом, дальше вычищаются Unicode, типографика и остатки разметки, и только потом текст читается глазами на предмет машинной лексики.

Снять метку не проблема: локальная модель справляется с этим бесплатно, а исследование показывает, что и детекторы в текущем виде до доказательной надёжности не дотягивают. Проблема в том, что вотермарк остаётся лишь одним из следов ИИ, и он же самый простой в удалении. Остальные следы никуда не делись.