Liên minh châu Âu (EU) đang thúc đẩy việc gắn watermark cho nội dung do AI tạo ra, và nhiều nền tảng đã bắt đầu triển khai các biện pháp tương ứng. Tuy nhiên, một số nghiên cứu cảnh báo rằng việc này không chỉ giúp nhận diện văn bản AI mà còn có thể làm tăng rủi ro bảo mật đối với các mô hình ngôn ngữ lớn (LLM).

Anthropic gần đây cho biết sẽ áp dụng SynthID-Text cho các mô hình Claude. Đây là công nghệ do Google phát triển và đã công bố dưới dạng mã nguồn mở.

Theo Ars Technica, SynthID-Text hoạt động bằng cách dùng một khóa bí mật để điều chỉnh rất nhẹ cách mô hình chọn từ tiếp theo. Ví dụ, thay vì chọn một từ như “mờ”, mô hình có thể nghiêng sang từ “u ám” sau khi áp dụng khóa. Bên nắm khóa có thể dựa vào mẫu lựa chọn này để xác định liệu văn bản có được tạo ra từ nền tảng đó hay không.

Tuy nhiên, nghiên cứu của công ty bảo mật Lasso Security cho thấy tác động của SynthID-Text có thể không dừng ở việc thay đổi lựa chọn từ. Kết quả thử nghiệm cho thấy kỹ thuật này còn có thể ảnh hưởng đến khả năng gọi công cụ của mô hình, cũng như mức độ tuân thủ các cơ chế an toàn tích hợp.

Rủi ro đặc biệt tăng lên trong các kịch bản prompt đối kháng, khi kẻ tấn công tìm cách buộc mô hình tiết lộ mật khẩu hoặc thông tin nhạy cảm. Theo nghiên cứu, một số chỉ thị vốn bị mô hình từ chối trong điều kiện bình thường lại có thể được thực hiện trong một số trường hợp sau khi áp dụng watermark.

Phát hiện này cho thấy các nhà phát triển cần kiểm thử kỹ hành vi của LLM và tác nhân AI trước khi triển khai watermark trên thực tế.

Trao đổi với Ars Technica, Andrea Tsiposova, nhà nghiên cứu bảo mật AI tại Lasso Security, cho biết hành vi của mô hình gắn watermark “thay đổi rõ rệt” so với cùng mô hình không gắn watermark, đặc biệt trong các tình huống đối kháng hoặc khi mô hình vận hành dưới dạng tác nhân và thực hiện gọi công cụ.

Theo bà, watermark được thiết kế để người dùng gần như không thể nhận ra trong đầu ra thông thường. Dù vậy, ngay cả những thay đổi rất nhỏ trong phản hồi của mô hình cũng từ lâu đã được biết là có thể kéo theo tác dụng phụ ở các lớp hành vi khác.

Nghiên cứu này không trực tiếp kiểm chứng Claude sẽ thay đổi phản hồi ra sao sau khi gắn watermark. Thay vào đó, nhóm nghiên cứu thử nghiệm trên sáu mô hình open-weight.

Ngoài ra, nghiên cứu chỉ xác thực cơ chế “tournament sampling” của SynthID-Text do Hugging Face triển khai. Cách triển khai này có thể khác với cấu hình thực tế mà Claude sử dụng, vì vậy kết quả vẫn có những giới hạn nhất định.

Dù vậy, theo Ars Technica, các phát hiện trên vẫn cho thấy một số phương pháp watermark có thể tác động đến mức độ an toàn của mô hình cũng như các tác nhân AI sử dụng chúng.