Tekstvannmerker kan alltid fjernes, og EUs krav om åpenhet gjør det lettere

En periode byttet Claude Code ut apostrofen i «Today's date» med en homoglyf, et tegn som ser likt ut men har en annen Unicode-verdi, for å merke mistenkelige forespørsler fra kinesiske brukere. Anthropic har siden trukket det tilbake. For Sean Goedecke er episoden belegg for at laboratoriene allerede fikler med usynlige tegn i tekst. Han tror OpenAI og Anthropic bytter vanlige mellomrom mot homoglyfer som three-per-em-mellomrom, men er tydelig på at han ikke vet om det er ment som vannmerke.

Presset kommer fra EUs KI-forordning, som blir håndhevbar i august 2026. Artikkel 50 krever at KI-produsert innhold skal kunne oppdages som kunstig generert. Google er ifølge Goedecke den eneste leverandøren som åpent sier at de vannmerker tekst, gjennom SynthID. Metoden gir hvert token en poengsum utledet av de foregående tokenene, og lar modellen plukke tokenet med høyest poengsum blant de fem mest sannsynlige. Merket avsløres ved å regne ut den samlede poengsummen for en tekstblokk, noe som er billig å gjøre.

Grunnen til at tekst er vanskeligere enn bilder, er plassmangel. Et bilde tåler et vannmerke fordi digitale bilder er fulle av støy øyet ikke ser: du kan låse tjue piksler til samme farge uten at noen merker det. Goedecke beskriver tekst som et sterkt komprimert medium, der en endring et menneske ikke legger merke til nesten ikke finnes.

Fjerningen er triviell på to måter. Homoglyfer erstattes med sine vanlige tegn i ett søk-og-erstatt. SynthID forsvinner hvis du ber en svak, umerket modell omformulere teksten, fordi merket ligger i selve ordvalget. Konklusjonen hans er at tekstvannmerker, i motsetning til vannmerker i bilder og video, alltid vil være trivielle å fjerne. Forordningen krever samtidig at teknikkene skal være interoperable så langt det er teknisk mulig, altså publiserte, og han ser ikke hvordan det går sammen med en metode som er avhengig av å holdes skjult. C2PA-signaturer dekker ikke hullet: de virker på filer, og et chat-svar er ikke en fil å signere. Essayet er skrevet mens forordningen fortsatt lå en måned unna.

Hva bør du gjøre?

1. Ikke bygg kontroller som tolker fravær av vannmerke som bevis på menneskeskrevet tekst. Merket overlever ikke en omskriving.
2. Skann utdata fra modellene dine for uvanlige Unicode-tegn før du limer teksten videre inn i systemer som er følsomme for det.