Van egy szöveg a képernyőn. Nincs hozzá metaadat, előzmény vagy szerző. A kérdés: meg lehet-e utólag állapítani, hogy gép írta-e?

Az elmúlt három évben erre egy egész iparág épült. Az AI-detektorok stílusjegyekből és statisztikai mintázatokból próbálnak következtetni a szerzőre. Ezek hasonló heurisztikák mint amiket mi is észreveszünk, amikor egy szöveget „AI szagú”-nak érzünk (Pl.: nem [X] hanem [Y] szerkezetek, a gondolatjelek lelkes használata, „és” kötőszó minden címben, stb...).

Most mi változik?

2026 nyarán rövid időn belül több nagy AI-szolgáltató is bejelentette, hogyan jelöli majd a mesterséges intelligenciával előállított tartalmakat.

Az OpenAI 2026. július 31-én jelentette be, hogy a GPT-Live-val, a ChatGPT Voice-on és az OpenAI API-n keresztül generált hanganyagok már SynthID-watermarkot hordoznak. Ezzel egy időben a nyilvános ellenőrző eszközt is kiterjesztették a hangfájlokra. A képeknél már korábban működött a SynthID és a C2PA-metaadat. A szöveget egyelőre még nem jelölik, de egy hivatalos közlés szerint dolgoznak rajta.

Néhány héttel később az Anthropic is előállt a saját megoldásával. Augusztus 14-én osztotta meg, hogy hogyan működik a Claude szöveges watermarkja.

A technológia nem új. A watermarking különböző formái évek óta rendelkezésre állnak, és az OpenAI-nak már 2024-ben is kész eszköze volt szöveges vízjelezésre. Akkor még nem vezették be annak ellenére, hogy már akkor is látszott a tömérdek sokszor nehezen beazonosítható AI generált tartalom társadalmi hatásai (Pl.: akadémiai integritás generált esszék esetén, vagy csak halucinált források újságcikkeknél). Egy belső felmérésben a felhasználók közel 30%-a azt mondta, hogy kevesebbet használná a ChatGPT-t, ha ilyen jelölést alkalmaznának, így a profit a változás útjába állt.

Mi változott két év alatt? Miért vált hirtelen fontossá ez a technológia?

A választ elsősorban a jogi környezet változásában kell keresnünk.

Az EU AI Act (2024/1689) 50. cikke 2026. augusztus 2-án lépett hatályba. A szabály szerint annak, aki szintetikus szöveget, képet, hangot vagy videót előállító rendszert szeretne forgalmazni az uniós piacon, meg kell oldania, hogy a kimenet programmal olvasható formában meg legyen jelölve. Ezzel az AI által generált tartalmak detektálhatóak lesznek.

A kötelezettség megszegéséért kiszabható szankció 15 millió euró vagy a vállalat globális éves árbevételének 3%-a, attól függően, melyik összeg nagyobb. A már piacon lévő modellek átmeneti időt kapnak, és a szabályozásnak 2026. december 2-ig kell megfelelniük.

Tehát a bejelentéseket nem egy új technológia, hanem egy EUs fogyasztóvédelmi szabályozás okozta.

Egy mellékhatás, ami a szolgáltatóknak is segít

Ha fel tudjuk ismerni egy modell kimenetét, akkor azt ki is tudjuk szűrni. Ez a fogyasztók számára hasznos, hiszen könnyebb lesz ellenőrizni szövegek eredetét, viszont ez hasonlóan fontos a szolgáltatók számára is, mivel az internet egyre nagyobb része gépi eredetű. A rekurzív tanítás, vagyis amikor a modell a saját korábbi generációinak szövegén tanul, bizonyítottan rontja a minőséget és a diverzitást. 

Egy lehetséges indok a vízjelek bevezetésére, hogy ezzel a tanító adatok gyűjtésénél a korábbi modellek kimeneteit könnyebben ki lehet majd szűrni.

Ez egyelőre csak feltételezés, ráadásul kockázatai is vannak. Kutatások szerint egy ilyen jelölés valódi tartalomra is ráhamisítható. Ezzel akár az is elérhető, hogy valakinek a saját, ember által készített anyaga kimaradjon a tanításból. Ez a szerzői jogokra alapból is javaslatként tekintő AI szolgáltató cégeknek nem áll érdekében. 

Mit is szeretnénk pontosan elérni?

Ahogy egy bankjegyen lévő vízjel is arra szolgál, hogy a pénz autentikusságát bizonyítsa, úgy  digitális watermark is erre hivatott, annyi különbséggel, hogy míg a fizikai esetben a jelnek látszania kell, hogy azt emberek is tudják ellenőrizni, a digitális verzió egy olyan jel, amit az ember nem érzékel, a megfelelő kulccsal vagy dekóderrel rendelkező gép viszont igen. Így a fogyasztói élmény nem romlik, de mégis azonosítható a termék. A fogalom nem új keletű. Ingemar J. Cox 2007-es kézikönyvéből származik, a SynthID-Image leírása is szó szerint ezt a meghatározást veszi át. Eszerint a watermarking során egy műre vonatkozó üzenetet magában a műben rejtünk el. Ebből adódik az az elvárás, hogy az üzenet a tartalom későbbi módosításait is túlélje.

A Google DeepMind csapata a SynthID-Image technikai leírásában hét csoportba rendezi az elvárásokat.

• Minőség: a jel ne rontsa a tartalom minőségét. Képnél maradjon láthatatlan, szövegnél pedig ne legyen észrevehető az olvasó számára.

• Hatékonyság: a jelölt tartalmat ismerje fel, a jelöletlent pedig ne minősítse jelöltnek.

• Robusztusság: a jel élje túl az átlagos felhasználói módosításokat, például az átméretezést, tömörítést, vágást, szűrést vagy szerkesztést.

• Hasznos adattartalom: a jelből az is derüljön ki, hogy ki helyezte el.

• Biztonság: álljon ellen a célzott támadásoknak, ne lehessen eltávolítani vagy valódi tartalomra ráhamisítani.

• Sebesség: a jelölés többletköltsége generáláskor maradjon elhanyagolható.

• Üzemeltethetőség: a rendszer internetes léptékben is működjön.

A kutatás egyik legfontosabb állítása, hogy ezek a követelmények elkerülhetetlenül ütköznek. A láthatóbb watermark robusztusabb, és több információt képes tárolni. A tökéletesen észrevehetetlen jel ezzel szemben törékenyebb. Ha valaki rendszere minden szempontból kiemelkedőnek tűnik, akkor vagy rosszul mértek, vagy hazudnak.

Hol lehet jelet elrejteni?

Egy kép egy folytonos jel, vagy legalábbis annak tekinthető. Több millió pixelből áll, és mindegyik több száz lehetséges értéket vehet fel. Egy pixel értéke olyan kis mértékben is módosítható, amit szemmel már nem tudunk érzékelni. Ha ez sok ezer pixelen, tanult mintázat alapján történik, a különbség láthatatlan maradhat, miközben statisztikailag kiolvasható. Hasonló a helyzet a hanggal is. A frekvenciatérben rengeteg olyan tartomány van, ahol a módosítást a fül nehezen érzékeli.

Egy érdekes példa talán Mick Gordon a DOOM (2016) Cyberdemon című számában pentagrammokat és még egy Doomguy-t is találhatunk elrejtve, ha spektrogramként ábrázoljuk. Hallgatás közben ebből semmit nem érzékelünk, de mégis van benne plusz információ.

1. ábra. Mick Gordon Cyberdemon című száma a DOOM 2016-os újraindításából. Fent a 2:09 és 2:24 közötti szakasz látható, benne a négyszer visszatérő, körbe írt pentagrammal. Lent a szám vége előtti rész jelenik meg a játék főszereplőjének arcával. A zenét hallgatva mindebből semmi sem érzékelhető.

Itt a cél nem az elrejtés volt, hanem az hogy ezt emberek megtalálják. Azonban ezek után már nem elképzelhetetlen, hogy ezeket a jeleket az egész számon keresztül elosztva teljesen el tudunk rejteni egy ember elől. Ennél egy vízjelnek azonban még többet kell tudnia: túl kell élnie a szerkesztést, tömörítést és vágást, miközben továbbra sem válhat láthatóvá.

A valódi megoldások.

A SynthID-Image a folytonos jel adta mozgásteret használja ki, és a mért eredmények jól mutatják ennek nagyságát. A Google szolgáltatásaiban több mint tízmilliárd képet és videókockát jelöltek meg vele. A partnerek számára elérhető külső változat 512×512 pixeles képen 136 bitnyi üzenetet helyez el. Harminc különböző transzformáció, köztük vágás, forgatás, többféle zaj, JPEG-tömörítés, Instagram-szerű szűrők és ráírt feliratok után is 99,7% feletti arányban találja meg a jelet 0,1%-os fals pozitív ráta mellett, még a legrosszabb esetekre kalibrálva is. 

3. ábra. Amit egy watermarknak túl kell élnie. Ugyanaz a fénykép harminc hétköznapi transzformáció után látható. A módosítások között szerepel fényerő-, kontraszt- és színárnyalat-változtatás, négyféle zaj, elmosás, JPEG-tömörítés, átméretezés, vágás, tükrözés, forgatás, szűrők, felirat és matrica. A tartalom mindegyik változatban ugyanaz marad.

Ezeket az eredményeket úgy éri el a rendszer, hogy két neurális hálóból áll, az első beágyazza az üzenetet a képbe a második pedig az ilyen üzeneteket detektálja. A tanítás során pedig különös hangsúlyt fektettek az észrevehetetlenségre, illetve a transzformációk kezelésére.

Fontos részlet, hogy a SynthID-Image a generálástól függetlenül, utólag helyezi el a jelet. Így ugyanaz a rendszer verziótól függetlenül több modell kimenetét is megjelölheti.

Csináljuk meg ugyanezt szöveggel!

A szöveggel mint médiummal az a nagy probléma az ilyen típusú vízjelek számára, hogy nem folytonos. Egy szót nem lehet 1/255-tel elmozdítani. Leírhatjuk azt, hogy „elengedhetetlen”, vagy azt, hogy „kötelező”, a két lehetőség között azonban nincs fokozat. Egy tokensorozatra nem kenhető rá észrevehetetlen zaj. Minden módosítás egy teljes szó vagy token cseréje, amit az olvasó érzékelhet.

Egy naiv megközelítés az lehetne, hogy olyan módosításokat hajtunk végre a szövegen, ami nem módosítja a kinézetét, de a számítógép által látott byte-okat igen. Egy gyakori poén programozók között, hogy kicserélik a pontosvesszőket (; U+003B) egymás kódjában görög kérdőjelekre (; U+037E), mivel a kettő ugyan úgy néz ki a képernyőn, de a fordító program csak az egyiket tudja értelmezni. Pontosvessző ugyan keveset szerepel valódi szövegekben, viszont szóköz elég sokat.

2025-ben többen észrevették, hogy egyes OpenAI-modellek hosszabb válaszaiban feltűnően sok különös Unicode-karakter szerepel. Ilyen karakter a Narrow No-Break Space (U+202F), ami a képernyőn gyakorlatilag megkülönböztethetetlen egy hagyományos szóköztől. Sokan azonnal watermarkként értelmezték. Az OpenAI azonban ezt tagadta, és a nagy léptékű reinforcement learning melléktermékének nevezte. A pontos ok továbbra is nyitott kérdés.

2. ábra. Ugyanaz a bekezdés kétszer. Fent a szövegszerkesztőben látható változat szerepel, lent pedig meg vannak jelölve a láthatatlan karakterek. Mind a tizenkilenc szóköz Narrow No-Break Space (U+202F), hagyományos szóköz egy sincs a bekezdésben.

Egy dolog azonban biztos. Watermarkként ez gyenge megoldás lenne. Egy egyszerű kereséssel felfedezhető, és el is távolítható, valamint bárki rá tudja hamisítani a saját tartalmára is.

Hogyan működik a SynthID-Text?

A Google DeepMind 2024-ben publikálta a Nature-ben azt a megoldást, amelyet most az Anthropic is átvett. Az eljárás a fentieknél jóval kifinomultabb. A jelölt szöveg pont ugyanolyan generált szöveg marad, mint a vízjel előtt, nincsenek benne speciális karakterek, a jel csak statisztikailag észlelhető. A jelöléshez a modellt újratanítani sem kell, kizárólag a generálás utolsó lépését, a mintavételezést módosítja.

Egy nyelvi modell tokenenként dolgozik, és minden lépésben több elfogadható folytatás közül választ. A „Ma hideg volt és…” után például a „szürke” és a „felhős” gyakorlatilag egyenértékű lehet, általában ilyenkor a lehetőségek között véletlenszerűen döntünk. A watermarking ezen a ponton módosítja a véletlen forrását. A generátor helyett egy titkos kulcs és az előző néhány token határozza meg, melyik jelöltet választja a modell. A cikk eredeti beállításában az utolsó négy token szolgál kontextusként.

A folyamat a következőképpen működik. A szótár minden tokenje több pseudo random pontszámot kap, amelyeket a kulcs és a kontextus határoz meg. Ezután a modell egyszerre több tokent húz, amelyek egy kieséses bajnokságban mérkőznek meg egymással. Minden fordulóban a magasabb pontszámú jelölt jut tovább, és végül egyetlen győztes marad. Ez lesz a következő token. A választás továbbra is véletlenszerű, ugyanakkor reprodukálható annak számára, akinél a kulcs van.

4. ábra. A SynthID-Text működése három lépésben. Először a titkos kulcsból és az előző négy tokenből véletlen hash készül, amely minden szótári tokenhez pontszámot rendel. Ezután nyolc jelölt mérkőzik meg egy kieséses bajnokságban, fordulónként eltérő pontszám alapján. Detektáláskor a kiválasztott tokenek pontszámait átlagoljuk. Jelöletlen szövegnél ez az érték 0,50 körül lenne. Az ábra három fordulót mutat, az éles rendszerben harminc réteg fut. Saját rajz a Nature-cikk logikája nyomán (Dathathri és mtsai., 2024, CC BY 4.0).

Az Anthropic szemléletes hasonlata szerint olyan ez, mintha a Monopolyban kockadobás helyett a π tizedesjegyeit olvasnánk fel egy könyvből, véletlenszerű helyről indulva. A játék menete ettől még ugyan úgy véletlenszerűnek tűnik. Aki viszont később látja a lépéseket és ismeri a π-t, meg tudja állapítani, hogy a parti nagy valószínűséggel ezt a könyvet használta.

A watermark legfontosabb tulajdonsága, hogy csak ott befolyásolja a szöveget, ahol a modell amúgy is több lehetséges folytatás közül választana. Ha egyetlen jó folytatás van, a jelölés nem módosítja a döntést. Ez gyakorlati mérésekkel is alátámasztott. A Gemini éles rendszerében körülbelül 20 millió választ hasonlítottak össze watermarkolt és jelöletlen modell között. A felhasználói like/dislike értékelések különbsége mindössze 0,01–0,02% volt, ami statisztikailag nem jelentős.

Hogyan található meg a jel?

A detektálás egyszerű, és nincs szükség hozzá magára a modellre. Ha ismerjük a kulcsot és a szöveget, akkor minden pontszám kiszámítható. Ha tudjuk a pontszámokat, akkor ezeknek az átlagát vizsgálva meg lehet állapítani, hogy volt-e vízjel használva. Egy nem vízjelezett szöveg átlaga 0.5 körül kell, hogy legyen, míg egy vízjelezetté ennél jóval magasabb. 

A magabiztosságot két tényező befolyásolja. Az egyik a hossz. Minél több token áll rendelkezésre, annál több bizonyíték gyűlik össze. A másik az entrópia. Ha a modell szinte mindig ugyanazt a választ adná, nincs mit megbillenteni. A „Newton fő műve a Principia…” folytatásában például egyetlen helyes szó van, így a watermarknak nincs mozgástere. Kódnál ugyanez történik. Ahol a kimenetnek pontosnak kell lennie, ott a jel gyakorlatilag csak a kommentekben maradhat meg.

A különbség mérhető. Ha a GPT-4.1-mini három kimenetét, egy szabad prózai mondatot, egy tényszerű összefoglalót és egy rövid Python-függvényt tokenenként vizsgáljuk, az átlagos entrópia rendre 0,68, 0,19 és 0,07 bit tokenenként. A tokenek 41, 15, illetve 6 százalékánál volt a modellnek valódi választási lehetősége. A watermark tehát csak ezeken a pontokon helyezhető el.

5. ábra. Ahol nincs valódi választás, ott jel sem helyezhető el. Három modellkimenet látható tokenekre bontva. A szín a mért tokenenkénti entrópiát mutatja; minél zöldebb egy token, annál nagyobb volt a modell mozgástere. Az átlag 0,68, 0,19 és 0,07 bit tokenenként.

A korábban említett kompromisszum a láthatóság és a robosztusság között itt is megjelenik. A SynthID-Text kétféleképpen állítható be. A Geminiben a nem torzító változat fut. Ez garantáltan megőrzi a szöveg eloszlását, cserébe kevesebb bizonyítékot hagy, és kissé csökkenti a válaszok egymás közötti változatosságát. A torzító változat erősebb jelet helyez el, ezért könnyebben detektálható, viszont a szöveg minőségére gyakorolt hatása már mérhető.

Emiatt a trade-off miatt van is a rendszernek néhány korlátja. Rövid szövegnél a módszer nem működik megbízhatóan. Ha a modell csak átolvasott és javított egy emberi szöveget, a szavak túlnyomó része az eredeti szerzőtől származik, így kevés hely marad a jel számára. Fordításnál nem ez a helyzet, hiszen ott minden tokent a modell választ. A jel gyengíthető: enyhe szerkesztés várhatóan nem tünteti el, egy másik modellel végzett teljes átfogalmazás viszont igen. A rendszer hatékonysága a szolgáltatók együttműködésétől is függ. Nyílt súlyú, saját gépen futtatott modellnél nincs központi szereplő, amely kötelezően bekapcsolná a jelölést.

Miért nem ugyanaz, mint egy AI-detektor?

Egy AI-detektor, például a GPTZero, a ZeroGPT vagy a Turnitin, kívülről vizsgálja a szöveget. Stílusból, perplexitásból és más mintázatokból próbál következtetni, mert nincs hozzáférése titkos kulcshoz. A watermark ellenőrzése ezzel szemben matematikai tesztet használ egy titkos kulccsal. A hagyományos detektorok megbízhatósága gyengébb, és még tökéletes működés esetén sem mondanák meg, honnan származik a tartalom.

A korlátaikat jól mutatja egy sokat idézett stanfordi vizsgálat. Hét detektor 91 TOEFL (angol nyelvvizsga) esszén átlagosan 61,2%-os fals pozitív arányt produkált. Az esszék közül 89-et legalább egy eszköz megjelölt, 18-at pedig mind a hét, holott az összeset ember írta. Az anyanyelvi kontrollcsoportban ugyanez az arány 5,2% volt. Ezek után a Vanderbilt 2023 augusztusában intézményi szinten, határozatlan időre kikapcsolta a Turnitin AI-detektorát, majd több egyetem is hasonló döntést hozott.

A tanulmány legérdekesebb része a hibaarány okát tárja fel. Amikor ugyanezeket az esszéket gazdagabb szóhasználatra íratták át, a fals pozitív arány 61,2-ről 11,8 százalékra esett. Az ellenkező irányú kísérlet hasonlóan látványos eredményt hozott. Az anyanyelvi szerzők esszéinek szókincsét leegyszerűsítve az arány 5,2-ről 56,7 százalékra ugrott. A detektorok tehát erősen reagálnak a szöveg lexikai változatosságára. Emiatt az egyszerűbben fogalmazó, például nem anyanyelvi szerzőket szisztematikusan gyanúsabbnak találhatják.

A lényeg tehát túlmutat a detektorok pontatlanságán. Más kérdésre válaszolnak, mint amit valójában fel szeretnénk tenni, de a watermark sem ad választ mindenre. Egy megtalált watermark azt jelzi, hogy a szöveget valószínűleg részben egy adott modell hozta létre. Önmagában ebből nem derül ki, hogy ember írta-e a végső változatot, ki a szerző, vagy történt-e csalás. Egy hiányzó watermark pedig szinte semmit sem bizonyít. Lehet, hogy más modell készítette a szöveget, régebbi verzióból származik, átfogalmazták, vagy egyszerűen túl rövid a megbízható detektáláshoz.

6. ábra. Hét AI-detektor átlagos fals pozitív aránya. Minden vizsgált szöveget ember írt, így minden megjelölés téves riasztásnak számít. A szókincs mindkét irányú átírása alapvetően megváltoztatja az eredményt. A detektorok erősen reagálnak a lexikai változatosságra, nem pusztán a szerzőségre. Adat: Liang és mtsai., Patterns (2023).

A 2026 augusztusában elindult rendszer nem hazugságvizsgálóként működik. Inkább származási nyilvántartás. 

Konklúzió

Nemrég a legtöbb nagy AI szolgáltató elkezdte megjelölni az általuk generált tartalmakat. Ennek főként jogi okai vannak, de nekik is hasznos lesz a későbbiekben. Ezeknek a watermarkoknak a generált tartalom minőségére nincs kihatásuk, viszont a társadalmi hatásai kifejezetten pozitívak lehetnek, ha be tudjuk azonosítani a gépi tartalmakat. A megoldás nem probléma mentes, hiszen ha én otthon nekiállok futtatni egy modellt annak a kimenetét senki nem fogja megjelölni, de ez talán egy lépés a jó irányba.

Ez az első szakasza egy sor EU-s szabályozásnak, amik a jelenleg vadnyugatként működő AI piac kordában tartására irányulnak, az még a jövő zenéje, hogy ezek mennyire lesznek hasznosak hosszútávon, viszont az eddigi tapasztalatok alapján ezeknek világszintű hatásai lesznek, ez abból is látszik, hogy a mostani vízjelek is globálisan jelennek meg, nem csak az EU-n belül.

Ezen felül sok cég köztük mi is a mynds.ai-nál már régóta, jóval a hatályba lépésük előtt  szabályozásnak megfelelően fejlesztjük megoldásainkat, ezzel jövőállóvá téve őket. Ez is azt mutatja, hogy a fogyasztóvédelmi meggondolásoknak már a 2024-es megjelenésük óta nagy kihatásuk van a piacra, pedig csak most lesz kötelező őket betartani.