Тайные послания. Как работает текстовая стеганография с LLM

Вотермарки в LLM

В середи­не августа 2026 года в Anthropic анон­сирова­ли появ­ление водяных зна­ков в тек­стах, которые соз­дают модели Claude. Тех­нологию внед­ряют для соб­людения тре­бова­ний EU AI Act, начав­ших дей­ство­вать 2 августа 2026 года. Мет­ки в изоб­ражени­ях и видео появи­лись дос­таточ­но дав­но, но как пос­тавить вотер­марку в текст?

Ра­нее иссле­дова­тели про­бова­ли добав­лять уни­каль­ные клю­чевые сло­ва, невиди­мые или име­ющие похожее написа­ние сим­волы. Про­бел заменял­ся табуля­цией, кавыч­ки меняли фор­му, иден­тичные бук­вы бра­лись из дру­гого язы­ково­го набора.

Claude исполь­зует вари­ант тех­нологии SynthID-Text: мет­ка фор­миру­ется не добав­лени­ем сим­волов, а через выбор слов при генера­ции. LLM соз­дает текст пос­ледова­тель­но, сло­во за сло­вом. Генера­ция идет через токены, то есть фраг­менты слов, но для прос­тоты опус­тим эту деталь. На каж­дом шаге модель пред­лага­ет нес­коль­ко под­ходящих про­дол­жений и выбира­ет одно из них с уче­том веро­ятностей. При исполь­зовании вотер­марки на выбор так­же вли­яют сек­ретный ключ и нес­коль­ко пре­дыду­щих слов.

Так в тек­сте появ­ляет­ся пов­торя­ющий­ся ста­тис­тичес­кий рисунок. Он не содер­жит тай­ного сооб­щения, све­дений о поль­зовате­ле или номера чата. Одно выб­ранное сло­во ничего не доказы­вает, но в длин­ном тек­сте детек­тор может про­верить, нас­коль­ко час­то пос­ледова­тель­ность слов сов­пада­ет с рисун­ком, задан­ным сек­ретным клю­чом.

Для про­вер­ки не тре­бует­ся исходный промпт: детек­тор берет пре­дыду­щие сло­ва из самого тек­ста и про­веря­ет сле­дующие токены с помощью клю­ча. На корот­ких фраг­ментах сиг­нал сла­бее, потому что в них мало под­ходящих вари­антов выбора. В Anthropic сооб­щили, что готовят API для про­вер­ки тек­ста на наличие водяно­го зна­ка.

Пол­ностью перепи­сан­ный текст унич­тожит вотер­марку, но час­тичная редак­тура, ско­рее все­го, не изме­нит резуль­тат детек­тирова­ния. Сущес­твен­ная проб­лема тех­нологии в том, что модели, обу­чающиеся на Claude пос­редс­твом дис­тилля­ции, могут выдавать свой текст с той же вотер­маркой. В крат­косроч­ной пер­спек­тиве это поз­волит пой­мать за руку китай­ские модели, но, веро­ятно, соз­даст путани­цу в атри­буции тек­стов в будущем.

Стеганография на LLM

Не так дав­но на GitHub появил­ся про­ект Conversation Steganography. Он поз­воля­ет переда­вать сек­ретные сооб­щения в тек­сте обыч­ной перепис­ки. Инс­тру­мент получа­ет от LLM нес­коль­ко вари­антов сле­дующе­го токена и выбира­ет тот, который кодиру­ет оче­ред­ную часть сек­ретно­го пос­лания.