واترمارک‌های نامرئی هوش مصنوعی واقعاً چگونه کار می‌کنند: پشت‌پرده‌ی برچسب‌گذاری متون مصنوعی

مدافعان حریم خصوصی، برچسب‌گذاری رمزنگاری‌شده و خاموشِ هر جمله تولیدی را یک خطر نظارتی می‌دانند که می‌تواند نوشته‌های ناشناس را تا رسیدن به یک کاربر خاص ردیابی کند. در مقابل، پژوهشگران ایمنی هوش مصنوعی استدلال می‌کنند که بدون وجود یک روش معتبر ریاضی برای اثبات اینکه یک ماشین سندی را نوشته است، اینترنت در دریایی از متون مصنوعیِ غیرقابل‌تشخیص غرق خواهد شد.[4]

کاتالیزوری که این دو دیدگاه را در تقابل مستقیم با یکدیگر قرار داد، در آگوست ۲۰۲۶ از راه رسید. شرکت آنتروپیک (Anthropic) بی‌سروصدا یک واترمارک نامرئی را برای تمام متون تولیدشده توسط مدل‌های کلود (Claude) در سراسر جهان فعال کرد؛ اقدامی که با اجرایی شدن قانون هوش مصنوعی اتحادیه اروپا در ۲ آگوست کلید خورد.[1][2]

این مقررات، به‌ویژه ماده ۵۰، ارائه‌دهندگان سیستم‌های هوش مصنوعی مولد را ملزم می‌کند تا محتوای مصنوعی را به‌گونه‌ای علامت‌گذاری کنند که برای ماشین‌ها قابل‌تشخیص باشد؛ تخطی از این قانون می‌تواند جریمه‌هایی تا سقف ۱۵ میلیون یورو به همراه داشته باشد.[1]

پیاده‌سازی آنتروپیک بر پایه‌ی تکنیکی استوار است که به‌شدت از SynthID Text الهام گرفته است؛ یک معماری واترمارکینگ که در ابتدا توسط گوگل دیپ‌مایند (Google DeepMind) توسعه یافت و اخیراً در کتابخانه متن‌باز Hugging Face Transformers ادغام شده است.[3]

برای درک اینکه چگونه یک علامت نامرئی در دل یک متن ساده زنده می‌ماند، باید به نحوه تولید متن توسط یک مدل زبانی بزرگ نگاه کنیم. در هر مرحله، مدل هزاران کلمه بعدیِ ممکن (که به عنوان توکن شناخته می‌شوند) را بر اساس بافتار جمله امتیازدهی می‌کند.[3]

مدل‌ها به جای اینکه هر بار کلمه‌ای با بالاترین امتیاز مطلق را انتخاب کنند، از یک توزیع احتمالی نمونه‌برداری می‌کنند. بسیاری از این امتیازها به هم نزدیک هستند، به این معنی که چندین کلمه مختلف می‌توانند برای یک خواننده انسانی به یک اندازه طبیعی و روان به نظر برسند.[3]

سیستم واترمارکینگ دقیقاً در همین مرحله نمونه‌برداری وارد عمل می‌شود. مستندات توسعه‌دهندگان گوگل اشاره می‌کند که این سیستم «لوجیت‌های (logits) مدل را با استفاده از یک تابع g شبه‌تصادفی تقویت می‌کند تا اطلاعات واترمارک را رمزگذاری کند».

در عمل، سیستم از یک کلید رمزنگاری مخفی برای تغذیه یک تولیدکننده اعداد شبه‌تصادفی استفاده می‌کند. این تولیدکننده، دایره واژگان را برای همان لحظه خاص در جمله، به یک «لیست سبز» و یک «لیست قرمز» تقسیم می‌کند.

سپس مدل به‌آرامی هدایت می‌شود تا کلمات لیست سبز را ترجیح دهد. از آنجا که در میان انبوهی از گزینه‌های معتبر، فضای زیادی برای مانور وجود دارد، این سوگیری آماریِ جزئی، کیفیت متن را کاهش نمی‌دهد.

برای یک خواننده انسانی، متن کاملاً عادی به نظر می‌رسد. اما یک ابزار تشخیص که همان کلید مخفی را در اختیار دارد، می‌تواند یک پاراگراف را تحلیل کرده، لیست‌های سبز و قرمز را برای هر موقعیت بازسازی کند و تعداد تطابق‌ها را بشمارد.[3]

اگر یک مقاله ۵۰۰ کلمه‌ای حاوی تعداد غیرممکنی (از نظر آماری) از کلمات لیست سبز باشد، ابزار تشخیص تأیید می‌کند که متن توسط آن مدل خاص تولید شده است.[2]

اسکات آرونسون، دانشمند علوم کامپیوتر نظری که ریاضیات پایه این رویکرد را در سال ۲۰۲۲ در OpenAI توسعه داد، خاطرنشان کرد که این تکنیک صرفاً تصادفی بودنِ موجود در مدل‌های زبانی را با شبه‌تصادفی بودن جایگزین می‌کند.

سیگنال به‌دست‌آمده در برابر دستکاری‌های معمولی مقاوم است. این سیگنال از کپی کردن، چسباندن، تغییر فرمت و تبدیل به متن ساده جان سالم به در می‌برد و همین امر آن را بسیار بادوام‌تر از برچسب‌های فراداده (metadata) متصل به یک فایل می‌کند.[2]

با این حال، این علامت ریاضی شکست‌ناپذیر نیست. ویرایش سنگین، ترجمه متن به زبانی دیگر، یا درخواست از یک مدلِ متن‌بازِ بدون واترمارک برای بازنویسی خروجی، این سیگنال آماری را از بین خواهد برد.[2]

نگرانی‌های مربوط به حریم خصوصی از دقت این تشخیص نشأت می‌گیرد. از آنجا که واترمارک ثابت می‌کند یک مدل خاص متن را تولید کرده است، منتقدان هشدار می‌دهند که اگر شرکتی ثبت کند کدام نشست کاربری دقیقاً چه توالی خاصی از کلمات لیست سبز را تولید کرده، متن می‌تواند تا رسیدن به انسانی که آن را درخواست کرده ردیابی شود.[4]

آنتروپیک اعلام کرده است که این ابزار در درجه اول برای شفافیت است و خاطرنشان کرده: «این راهی برای تعیین احتمال دخالت کلود در نوشتن متن است» و تأکید می‌کند که برنامه‌ای برای ردیابی کاربران فردی ندارد.[1][4]

چشم‌انداز مدل‌های متن‌باز نیز در حال تغییر است. گوگل اجزای واترمارکینگ متنی SynthID را تحت مجوز Apache 2.0 منتشر کرد و به توسعه‌دهندگانی که مدل‌ها را به صورت محلی اجرا می‌کنند، اجازه داد تا همین ردیابی نامرئی را روی سرورهای خود پیاده‌سازی کنند.[3]

این امر به توسعه‌دهندگان مستقل اجازه می‌دهد تا کلیدهای تشخیص خود را خصوصی نگه دارند و لایه واترمارکینگ را از نسخه ۴.۴۶.۰ کتابخانه Hugging Face Transformers اجرا کنند.[3]

نقطه عطف قابل‌بررسی بعدی این است که ارائه‌دهندگان مدل‌های متن‌باز چگونه با الزامات اتحادیه اروپا برخورد می‌کنند و آیا کلیدهای رمزنگاری مورد نیاز برای تشخیص این واترمارک‌ها همچنان تحت کنترل شدید آزمایشگاه‌ها باقی می‌مانند یا با حسابرسان مستقل به اشتراک گذاشته می‌شوند.[1][5]