واترمارک‌های رمزنگاری‌شده هوش مصنوعی واقعاً چگونه سیگنال‌ها را در متن و تصویر جاسازی می‌کنند؟

اگر امروز پاراگرافی را که توسط Gemini گوگل یا Claude آنتروپیک تولید شده کپی کنید، در واقع در حال حمل یک امضای رمزنگاری‌شده هستید که در فواصل میان کلمات پنهان شده است. تا اواخر سال ۲۰۲۶، میلیون‌ها خروجی هوش مصنوعی حامل سوگیری‌های آماری نامرئی یا اختلالات در سطح پیکسل هستند که برای هر کسی که کلید رمزنگاری مناسب را در دست داشته باشد، هویت ماشینی آن‌ها را فاش می‌کند.[1][3]

اما اگر از همان متن دقیقاً یک اسکرین‌شات بگیرید، این امضا کاملاً محو می‌شود. فناوری‌ای که به‌عنوان راه‌حل قطعی برای اصالت‌سنجی هوش مصنوعی فروخته می‌شود — یعنی واترمارکینگ رمزنگاری‌شده — اکنون در مقیاس اینترنت در حال اجراست و سیگنال‌هایی را در ده‌ها میلیارد تصویر و پاسخ متنی جاسازی می‌کند. با این حال، سازوکارهایی که این سیستم‌ها را هدایت می‌کنند، چشم‌اندازی ازهم‌گسیخته را نشان می‌دهند که در آن بقای یک واترمارک کاملاً به رسانه‌ای که در آن قرار دارد وابسته است.[2][5]

استقرار این سیستم‌ها نشان‌دهنده گذار از تحقیقات نظری به واقعیت تولید است. سیستم SynthID-Text متعلق به Google DeepMind که در اکتبر ۲۰۲۴ منتشر شد و تا نسخه ۴.۴۶.۰ در Hugging Face Transformers ادغام گردید، اکنون در داخل Gemini و Gemini Advanced کار می‌کند. در یک نمونه اندازه‌گیری‌شده از نزدیک به ۲۰ میلیون پاسخ Gemini، گنجاندن این واترمارک هیچ تفاوت معنادار آماری در نرخ بازخورد کاربران ایجاد نکرد. این سیگنال برای خوانندگان انسانی کاملاً غیرقابل‌درک است و پایین‌تر از آستانه پردازش آگاهانه زبان عمل می‌کند.[1][2]

برای درک اینکه واترمارک متنی واقعاً چیست، باید ایده یک برچسب فایل پنهان یا امضای فراداده (metadata) را کنار بگذارید. فراداده‌ها، مانند استاندارد C2PA، شکننده هستند؛ به محض اینکه کاربر متنی را کپی کند یا از تصویری اسکرین‌شات بگیرد، این اطلاعات حذف می‌شوند. در عوض، واترمارک‌های زمان تولید (generation-time) مانند SynthID-Text، توزیع احتمال بنیادین مدل زبانی را در حین نوشتن تغییر می‌دهند.[2][4]

مدل‌های زبانی بزرگ متن را توکن به توکن تولید می‌کنند و به هزاران کلمه بعدیِ احتمالی، یک امتیاز احتمال اختصاص می‌دهند. در حالت عادی، مدل بر اساس تنظیمات دما (temperature) از محتمل‌ترین گزینه‌ها نمونه‌برداری می‌کند. سیستم SynthID-Text دقیقاً در همین لحظه مداخله می‌کند. برای هر موقعیت توکن، یک تابع هش (hash function) چهار توکن قبلی و یک کلید رمزنگاری مخفی را می‌گیرد تا یک دانه شبه‌تصادفی (pseudorandom seed) تولید کند.[3]

این دانه وارد مجموعه‌ای از توابع امتیازدهی می‌شود — که در پیاده‌سازی DeepMind تعداد آن‌ها ۳۰ مورد است — و به‌طور مصنوعی احتمال انتخاب کلمات خاصی را نسبت به جایگزین‌های نزدیکشان افزایش می‌دهد. اگر مدل در حال انتخاب بین «امضا» و «نشان» باشد، الگوریتم بی‌سروصدا کفه ترازو را به سمت گزینه‌ای که با کلید مخفی همسو است سنگین می‌کند. در طول یک متن با طول کافی، این سوگیری به یک الگوی آماری قابل‌اندازه‌گیری تبدیل می‌شود که یک آشکارساز بیزی (Bayesian detector) می‌تواند با اطمینان بالا آن را شناسایی کند.[2][3]

با این حال، همین سازوکار محدودیت‌های ذاتی سیستم را دیکته می‌کند. از آنجا که واترمارک بر بهره‌برداری از انتخاب کلمات با احتمال نزدیک به هم متکی است، برای عملکرد خود به انعطاف‌پذیری زبانی نیاز دارد. گوگل صراحتاً اشاره می‌کند که این تکنیک «در پاسخ‌های مبتنی بر واقعیت (factual) اثربخشی کمتری دارد، زیرا فرصت کمتری برای دستکاری تولید بدون کاهش دقت وجود دارد.» اگر کاربری تاریخ خاصی یا یک شماره تلفن را بپرسد، مدل هیچ توکن جایگزینی برای انتخاب ندارد مگر اینکه دچار توهم (hallucination) شود، و در نتیجه هیچ فضایی برای جاسازی سیگنال باقی نمی‌ماند.[2]

اتکا به طول متن و انتخاب‌های واژگانی همچنین یک آسیب‌پذیری آشکار ایجاد می‌کند: اسکرین‌شات. اسکرین‌شات گرفتن از متن تولیدشده توسط هوش مصنوعی، توکن‌های واژگانی را به شبکه‌ای از پیکسل‌ها تبدیل می‌کند و الگوی آماری انتخاب کلمات را کاملاً از بین می‌برد. متن برای انسان خوانا باقی می‌ماند، اما ارتباط با اصالت رمزنگاری‌شده برای همیشه قطع می‌شود.[2]

علاوه بر این، واترمارک متنی در برابر تغییراتی که معنا را حفظ می‌کنند به‌شدت آسیب‌پذیر است. اگر کاربری متن واترمارک‌شده را بگیرد و آن را از طریق یک مدل زبانی دیگر برای بازنویسی یا ترجمه به زبانی دیگر پردازش کند، توالی خاص توکن‌ها از بین می‌رود. محققانی که SynthID-Text را ارزیابی کردند دریافتند که حملات ترجمه معکوس (back-translation) سیگنال واترمارک را به‌شدت تضعیف می‌کند؛ موضوعی که باعث توسعه چارچوب‌های معنایی ترکیبی مانند SynGuard شده است تا تلاشی برای حفظ اصالت در طول ترجمه‌ها باشد.[1][4]

واترمارکینگ تصویر تحت یک پارادایم معماری کاملاً متفاوت عمل می‌کند و شکنندگی واژگانی را با جاسازی در سطح پیکسل معاوضه می‌کند. سیستم SynthID-Image، که گوگل گزارش می‌دهد روی بیش از ده میلیارد تصویر و فریم ویدیویی اعمال شده، یک سیستم پس‌رویدادی (post-hoc) است. برخلاف نسخه متنی که خود فرآیند تولید را تغییر می‌دهد، واترمارک تصویری پس از سنتز کامل تصویر اعمال می‌شود.[5]

این رویکرد پس‌رویدادی بر معماری رمزگذار-رمزگشا (encoder-decoder) متکی است. رمزگذار یک بازتولید ظریف از تصویر انجام می‌دهد و واترمارک را به‌جای اعمال یک پوشش پیکسلی ساده، در یک بازنمایی پنهان (latent representation) آموخته‌شده جاسازی می‌کند. این یکپارچگی عمیق به سیگنال اجازه می‌دهد تا از دستکاری‌های رایج و روزمره تصاویر جان سالم به در ببرد.[6]

از آنجا که واترمارک SynthID-Image کاملاً درون داده‌های بصری زندگی می‌کند، دقیقاً از همان حمله‌ای که واترمارک‌های متنی را شکست می‌دهد جان سالم به در می‌برد: اسکرین‌شات. برش زدن، تغییر اندازه و فشرده‌سازی ملایم JPEG نیز نمی‌توانند سیگنال را از بین ببرند، زیرا اختلال در فضای پنهان (latent-space) همچنان از نظر ریاضی در پیکسل‌های باقی‌مانده قابل‌تشخیص است. در آزمایش‌های بنچمارک در برابر تغییرات تصادفی تهاجمی، نسخه خارجی SynthID-O نرخ تشخیص مثبت واقعی (true positive) ۹۹٫۹۸ درصدی را حفظ کرد، که محققان خاطرنشان کردند «۹٫۳۶ واحد درصد بالاتر از بهترین روش بعدی» بود.[2][5]

با این وجود، معماری تصویر نیز نقطه کور مرگبار خود را دارد. در حالی که این روش از آسیب‌های پیکسلی سطحی جان سالم به در می‌برد، در برابر بازتولید فضای پنهان به‌شدت آسیب‌پذیر است. اگر یک مهاجم تصویر واترمارک‌شده را از یک رمزگذار خودکار (autoencoder) دیگر عبور دهد — که عملاً تصویر را به یک فضای پنهان متفاوت بازتاب داده و سپس آن را دوباره به پیکسل‌ها رمزگشایی می‌کند — واترمارک کاملاً شسته و پاک می‌شود.[6]

این امر یک واقعیت ازهم‌گسیخته برای اصالت‌سنجی هوش مصنوعی ایجاد می‌کند. انتخاب معماری برای محل جاسازی سیگنال، نحوه شکست آن را دیکته می‌کند. واترمارک‌های متنی از کپی‌پیست جان سالم به در می‌برند اما با اسکرین‌شات و بازنویسی می‌میرند؛ واترمارک‌های تصویری از اسکرین‌شات جان سالم به در می‌برند اما با بازتولید پنهان از بین می‌روند. هیچ «واترمارک هوش مصنوعی» جهان‌شمولی وجود ندارد که در تمام رسانه‌ها رفتار یکسانی داشته باشد.[4][6][7]

استقرار این سیستم‌ها همچنین یک عدم تقارن حیاتی را در راستی‌آزمایی برجسته می‌کند. در حالی که DeepMind پیاده‌سازی SynthID-Text را تحت مجوز Apache 2.0 منبع‌باز کرد و به توسعه‌دهندگان خارجی اجازه داد تا پردازنده لوجیت‌ها (logits processor) و آشکارساز بیزی را در مدل‌های خود ادغام کنند، نسخه‌های تصویر، ویدیو و صدا همچنان بسته باقی مانده‌اند. مدل‌های رمزگذار و رمزگشا برای رسانه‌های بصری منحصراً در اختیار گوگل هستند.[2]

این بدان معناست که برای میلیاردها تصویر واترمارک‌شده توسط SynthID، راستی‌آزمایی مستقل غیرممکن است. عموم مردم برای تأیید اصالت باید کاملاً به ابزارهای تشخیص انحصاری گوگل تکیه کنند. در شرایطی که قانون‌گذاران و پلتفرم‌ها به‌طور فزاینده‌ای برچسب‌گذاری هوش مصنوعی را الزامی می‌کنند، زیرساخت حقیقت بر روی کلیدهای رمزنگاری‌شده‌ای بنا می‌شود که همچنان تحت کنترل شدید سازندگان مدل‌ها قرار دارند و اکوسیستم گسترده‌تر را وابسته به همکاری مستمر آن‌ها رها می‌کنند.[6]