Google udělal viditelný vodoznak dobrovolným, Anthropic týž den začal značkovat text

Ve stejný den, 14. srpna, oznámily dvě velké firmy dvě zdánlivě opačné věci. Google dovolil vypnout viditelný vodoznak u obrázků, videí a skladeb, které vyrobí jeho modely. Anthropic naopak popsal, že jeho budoucí modely začnou značkovat text. Obě rozhodnutí míří na totéž pravidlo a vyplývá z nich totéž: viditelná značka ustupuje a celou tíhu přebírá ta, kterou nikdo nevidí.

Co Google vypnul a co nechal

Podle zprávy TechCrunche se přepínač objeví u modelů Nano Banana, Omni a Lyria, a to v Gemini a ve video editoru Flow; ve vyhledávání má přibýt později. Nastavení se schová pod položku Media Watermark.

Neviditelná část zůstává. Značka SynthID i metadata podle normy C2PA se dál vkládají, takže podle Googlu jde původ obrázku pořád ověřit v Gemini nebo ve vyhledávání. Firma k tomu uvolnila knihovnu Credentio, aby si ho vývojáři mohli zabudovat přímo do svých aplikací.

Důvod je praktický: viditelný pruh v rohu snímku je při profesionální práci na obtíž. Cena za to je, že běžný člověk už značku neuvidí a musí se spolehnout na nástroj, který ji přečte za něj.

Jak se dá označkovat text

Obrázek má kam značku schovat, text ne. Právě proto je zajímavé, jak to Anthropic na svém webu popsal.

Model skládá text po jednom slově a pokaždé si vybírá z několika stejně dobrých pokračování. Ve větě „počasí bylo dnes chladné a…“ je jedno, jestli přijde „zataženo“, nebo „šedivo“; smysl se nemění a o výběru rozhoduje náhoda. Značkování tuhle náhodu nahradí: místo obecného generátoru náhodných čísel se výběr řídí klíčem a několika předchozími slovy. Kdo klíč má, může zpětně spočítat, jestli sled slov odpovídá tomu, co by model s tím klíčem vybíral.

Do textu se tedy nic nepřidává. Firma výslovně uvádí, že nevznikají žádné skryté znaky, nepřibývají tokeny ani náklady a že značka nenese žádný údaj, podle kterého by šlo dohledat konkrétního člověka, firmu nebo konverzaci. Metoda je verzí postupu SynthID-Text, který popsal Google DeepMind v časopise Nature v roce 2024 a jehož myšlenka sahá k návrhu Scotta Aaronsona z roku 2022.

Kde se značka nemá o co opřít

Cenné na tom oznámení je, že si samo vypisuje meze. Klíč odpoví jedině na otázku, jak pravděpodobně se na textu podílel ten konkrétní model. Nedokazuje, že text psal člověk, a nepozná text od jiné umělé inteligence, protože ta má svůj vlastní klíč nebo jinou metodu.

Dál platí, že na krátkém úryvku detekce nefunguje dobře; čím delší text, tím větší jistota. A značka řídne přesně tam, kde model nemá na výběr. Ve větě „Newtonovo nejslavnější dílo se jmenovalo Principia…“ je jediné správné pokračování, takže se značka nemá čeho chytit. Totéž u kódu, kde musí výsledek sedět přesně, a u korektur: když model opraví jen čárky, zůstanou skoro všechna slova člověku a značka nevznikne.

Na kvalitu to podle firmy nemá vliv. Odvolává se na měření z téhož článku o SynthID-Text: DeepMind pustil značkovaný model části provozu Gemini a porovnal palce nahoru a dolů, přičemž statisticky významný rozdíl nenašel. V řízené zkoušce hodnotitelé rozdíl mezi značkovanou a neznačkovanou odpovědí také nepoznali.

Přepsáním jde stopa setřít

Zbývá otázka, jak taková značka obstojí, když ji někdo odstraňovat chce. Odpověď dala v květnu trojice autorů ze Singapuru v práci Vaporizer. Vzali si na mušku dnešní schémata značkování a pustili na ně útoky, které mění text, ale nechávají mu smysl: záměny slov, strojový překlad a přepsání jiným modelem. U každého pokusu měřili obojí, tedy jestli značka zmizela a jestli text pořád znamená totéž.

Výsledek se mezi schématy lišil v míře, ne v podstatě: značku šlo odstranit s rozumným úsilím. Autoři z toho nevyvozují, že je značkování k ničemu; naopak z něj odvozují, jak schémata stavět, aby odolávala lépe.

Pro čtenáře z toho plyne střízlivý závěr. Značka v textu poslouží tam, kde nikdo aktivně nepracuje proti ní, a v dlouhém souvislém textu ji jde najít spolehlivěji než v odstavci. Kdo ji chce setřít, přepíše text jiným modelem a povede se mu to. Nástroj, který neodliší dílo člověka od dobře přepsaného strojového textu, nemůže sloužit jako důkaz, jen jako indicie.

Proč se to děje teď

Obě oznámení mají společný spouštěč. Od 2. srpna platí v Evropské unii povinnost označovat obsah od umělé inteligence strojově čitelnou značkou a Anthropic sám píše, že tuhle změnu zavádí kvůli ní společně s dalšími velkými dodavateli, kteří podepsali týž kodex.

Značkování tedy nepřišlo proto, že by dozrálo, ale proto, že je předepsané. To se pozná i na tom, jak se o něm mluví: opatrně, s výčtem toho, co nedokáže. Je to obrana proti nedbalosti a proti obsahu, který nikdo neschovává, ne proti někomu, kdo se schovat chce.