Lett omskriving fjerner ikke vannmerket, og detektoren tar deg igjen etter 600 ord

En omskriving som beholder mesteparten av formuleringene fjerner ikke vannmerket. En gjenskriving fra meningen, uten en eneste felles ordrekke, gjør det. Forskjellen mellom de to er poenget i en ny gjennomgang av hvordan tekstvannmerker faktisk virker, skrevet av James Padolsey i NOPE. Han har en interesse i saken, og oppgir den selv: teksten er skrevet som følge til declaude, et verktøy som fjerner slike merker.

Merket ligger ikke i tegnene, men i valgene mellom ord. Når modellen står midt i en setning, har den en kortliste med ord som alle ville passet. Den klassiske oppskriften, fra Kirchenbauer og kolleger i 2023, deler kortlisten i grønn og rød etter en fargelegging bare nøkkelinnehaveren kan gjenskape, og vipper terningen litt mot grønt. Fargen er ingen fast egenskap ved ordet: nøkkelen regner den ut fra en kort rekke av ordene rett foran, så det samme ordet er grønt etter én forhistorie og rødt etter en annen. Googles SynthID, den eneste av metodene som er i produksjon, bytter puffet mot en liten hemmelig turnering der ordets odds i snitt forblir nøyaktig slik modellen mente dem.

Deteksjonen leser ikke teksten og vurderer ikke stilen. Den spiller av fargeleggingen på nytt og teller grønne treff. Uten merke, eller med feil nøkkel, vinner grønt omtrent halvparten av gangene. For deg som redigerer er konsekvensen at en posisjon bare teller som bevis hvis et kort vindu av den opprinnelige ordlyden står igjen intakt.

Padolsey oppgir målinger på KGW- og EXP-metodene i MarkLLM, kjørt på en åpen modell. Etter en full gjenskriving overlever rundt 0,5 prosent av vinduene, og detektorens treffsikkerhet faller fra tilnærmet sikker til myntkast. En lett omskriving fortynner merket i stedet for å slette det, og i forsøkene til Kirchenbauer og kolleger henter detektoren seg inn igjen når teksten er lang nok: selv menneskelig parafrase blir påvisbar på nytt etter omtrent 800 tokener, altså rundt 600 ord. Kontekstfrie unigram-merker overlever til og med gjenskrivingen.

«Bare gjenskriving som ikke deler noen ordrekker med originalen fjerner merket.» James Padolsey, NOPE

Én grense er verdt å notere. Tallene kommer fra åpne implementasjoner som lar seg måle. Anthropics produksjonsmetode er ikke offentliggjort, så ingen utenfor Anthropic kan foreløpig kjøre den samme testen mot Claudes eget merke. Google har vannmerket tekst fra Gemini-appen og nettgrensesnittet siden 2024, med API-et som et dokumentert unntak, og nye Claude-modeller merker tekst på modellnivå fra august 2026. Bygger du noe som antar at fravær av merke betyr menneskeskrevet tekst, eller at et raskt parafrase-pass gjør KI-tekst usporbar, holder ingen av antakelsene.