Derpy✔
Intern Writer
Trong kỷ nguyên AI bùng nổ, làm sao chúng ta phân biệt được đâu là nội dung do con người viết, đâu là sản phẩm của máy móc? Câu hỏi này đang ngày càng trở nên cấp thiết, và các ông lớn công nghệ đang tìm đến một giải pháp tưởng chừng đơn giản nhưng lại ẩn chứa nhiều tranh cãi: "đóng dấu" nội dung AI bằng watermark.
Vào ngày 11 tháng 8 vừa qua, Anthropic đã công bố rằng tất cả các mô hình Claude trong tương lai của họ sẽ tạo ra văn bản có chứa watermark để nhận diện đó là nội dung do AI tạo ra. Google cũng không đứng ngoài cuộc, họ đã có watermark văn bản riêng (mà Anthropic dựa vào đó để phát triển) cho các mô hình Gemini của mình. OpenAI dù chưa triển khai nhưng cũng đã lên kế hoạch cho việc này.
Sự phổ biến nhanh chóng của công nghệ watermark một phần là phản ứng trước Đạo luật AI của Liên minh Châu Âu. Đạo luật này yêu cầu các mô hình AI ra mắt sau ngày 2 tháng 8 năm 2026 phải có watermark, cùng với các quy định khác nhằm hạn chế sự lan truyền của nội dung AI gây hiểu lầm hoặc thao túng. Tuy nhiên, những quy định mới này có thể phải trả giá bằng chất lượng đầu ra mà người dùng mong muốn.
Watermark AI không chỉ áp dụng cho văn bản mà còn cho nhiều dạng nội dung khác như hình ảnh, âm thanh và video. Các watermark cho phương tiện truyền thông này đã được sử dụng trong nhiều năm và đạt tỷ lệ phát hiện trên 99%. OpenAI, Google và Meta đều đã triển khai watermark cho hình ảnh và video. Tuy nhiên, watermark văn bản lại ít được triển khai hơn và không phải ai cũng tin rằng nó có thể hoạt động mà không ảnh hưởng đến chất lượng phản hồi của mô hình AI.
John Gruber, một nhà văn công nghệ nổi tiếng và đồng sáng tạo ngôn ngữ Markdown, gọi watermark là "sự biến thái của văn bản". Ông phản đối khẳng định của Anthropic rằng watermark không làm thay đổi ý nghĩa hay chất lượng của văn bản. Theo ông, hình ảnh có hàng triệu pixel để thay đổi, trong khi văn bản chỉ có vài chục hoặc vài trăm từ, ít không gian hơn để thay đổi mà vẫn giữ được tính phát hiện và không gây gián đoạn.
Tuy nhiên, John Kirchenbauer, nghiên cứu sinh sau tiến sĩ tại Viện Vector và là đồng tác giả của một bài báo năm 2023 mô tả phương pháp watermark văn bản đầu tiên, lại không đồng ý. Ông cho rằng "watermark sẽ không thể phát hiện được nếu không có sự thay đổi. Đây là một điểm rất cơ bản." Câu hỏi đặt ra là liệu chúng ta có quan tâm nếu nó không phải là phân phối gốc chính xác, miễn là nó không thay đổi tiện ích đối với người dùng? Thực tế, vấn đề nằm ở từ "tiện ích" đó. Liệu việc đóng dấu watermark có làm giảm đáng kể trải nghiệm của người dùng AI hay không? Câu trả lời vẫn đang được tranh luận.
Vậy watermark văn bản AI hoạt động như thế nào? Thuật ngữ "watermark" quen thuộc có thể gây nhầm lẫn về cách công nghệ này hoạt động khi áp dụng cho AI. Watermark văn bản không phải là siêu dữ liệu hay các ký tự vô hình; nó tinh tế hơn nhiều. Các chi tiết chính xác khác nhau giữa các phương pháp, nhưng watermark văn bản thường không thể bị con người (và trong nhiều trường hợp, ngay cả máy tính) phát hiện nếu không có quyền truy cập vào khóa cụ thể được sử dụng để phát hiện watermark đó. Để hiểu tại sao, chúng ta cần hiểu cách các mô hình ngôn ngữ lớn (LLM) hoạt động.
Một LLM tạo ra xác suất cho mỗi từ (hay còn gọi là token) có thể xuất hiện tiếp theo ở mỗi bước trong phản hồi của nó. Ví dụ, một từ có khả năng cao có thể nhận được xác suất 40%, một từ thay thế hợp lý 10%, và một từ ít khả năng hơn chỉ một phần trăm nhỏ. Mô hình sau đó chọn một từ ngẫu nhiên, được cân nhắc bởi các con số xác suất đó. Từ có xác suất cao nhất thường thắng, nhưng không phải lúc nào cũng vậy.
Chính quá trình này tạo cơ hội để ẩn watermark văn bản bằng cách đưa vào những thay đổi tinh tế trong cách chọn từ. Bài báo năm 2023 của Kirchenbauer và các đồng nghiệp đã cung cấp một trong những ví dụ đầu tiên về cách triển khai watermark văn bản, và nó vẫn là kỹ thuật được trích dẫn rộng rãi nhất. Các nhà nghiên cứu mô tả một watermark sắp xếp các từ thành "danh sách đỏ" và "danh sách xanh". Các từ trong danh sách đỏ không bị thay đổi, nhưng các từ trong danh sách xanh được "đẩy" để có xác suất cao hơn một chút.
Kirchenbauer giải thích rằng "Nếu chúng ta lấy mẫu từ phân phối đã sửa đổi này, thì mặc dù bất kỳ lựa chọn token nào cũng không nhất thiết phải đến từ tập hợp ưu tiên đó, nhưng qua nhiều mẫu, chúng ta sẽ ưu tiên chọn các từ từ tập hợp được tăng trọng số đó."
Watermark văn bản được nhúng vào lựa chọn từ được sử dụng, đó là lý do tại sao nó thực sự vô hình đối với con người. Kirchenbauer và các đồng nghiệp đã báo cáo tỷ lệ phát hiện là 98,4% và không có lỗi dương tính giả nào trong các phản hồi chứa khoảng 200 token. Mô hình xác suất từ được nhúng cũng có nghĩa là việc diễn giải lại đơn giản sẽ không làm lu mờ watermark. Bài báo cho biết việc loại bỏ watermark khỏi một phản hồi dài yêu cầu thay đổi khoảng một phần tư số từ trở lên.
Vậy liệu watermark có làm giảm chất lượng văn bản AI không? Mặc dù watermark văn bản AI được thiết kế để vô hình với người đọc, nhưng theo định nghĩa, nó ảnh hưởng đến các mẫu từ trong văn bản do AI tạo ra. Sự can thiệp thuật toán đó là điều khiến các nhà phê bình như Gruber lo ngại rằng watermark làm giảm chất lượng tổng thể của đầu ra.
Bằng chứng mạnh mẽ nhất cho thấy watermark văn bản không ảnh hưởng đến chất lượng đến từ một bài báo năm 2024 của một nhóm từ Google, giới thiệu sơ đồ watermark của công ty có tên SynthID-Text. Watermark của Anthropic cũng dựa trên SynthID-Text, mặc dù đã được sửa đổi theo những cách mà Anthropic chưa tiết lộ chi tiết.
Để chứng minh rằng watermark SynthID-Text không ảnh hưởng đến chất lượng, các tác giả của Google đã ngẫu nhiên định tuyến các truy vấn của người dùng Gemini đến các biến thể có watermark và không có watermark của các mô hình văn bản của Google. Sau đó, họ so sánh phản hồi tổng thể của người dùng về đầu ra. Các tác giả không tìm thấy sự khác biệt đáng kể nào trong phản hồi của người dùng trên 20 triệu phản hồi.
Tuy nhiên, một số nhà nghiên cứu vẫn hoài nghi rằng các phương pháp watermark không ảnh hưởng đến chất lượng phản hồi do AI tạo ra. Sự hoài nghi của họ xuất phát từ những trường hợp đặc biệt có thể khiến việc triển khai watermark khó khăn hơn.
Vinu Sankar Sadasivan, một nhà khoa học nghiên cứu AI tại Meta, người đồng tác giả một bài báo được trích dẫn rộng rãi về khả năng phát hiện watermark văn bản AI, cho biết watermark đặc biệt gặp khó khăn khi số lượng lựa chọn từ tiềm năng nhỏ. Ông nói rằng "Đối với một tweet dài 20 từ, tôi sẽ cần 50 hoặc 60% số từ đến từ 'danh sách xanh' để nó được phát hiện tốt." Một hàm Python cơ bản do AI tạo ra sẽ tạo ra sự căng thẳng tương tự giữa sức mạnh của watermark và chất lượng phản hồi của mô hình.
Sadasivan nhận định: "Đây là điểm tôi không đồng ý với một số bài đăng PR từ Anthropic, nơi họ nói rằng nó không có sự thay đổi chất lượng." Ông giải thích rằng có thể tăng hoặc giảm động lực sức mạnh của watermark để duy trì chất lượng phản hồi trong những tình huống khó khăn, nhưng làm như vậy cũng có thể làm giảm sức mạnh của watermark. Bài báo SynthID-Text của Google bao gồm một ví dụ về điều này trong một biểu đồ thể hiện tỷ lệ phát hiện so với số lượng token trong một phản hồi. Tỷ lệ phát hiện chính xác tới 95% trong các trường hợp tốt nhất, nhưng nó giảm xuống dưới 50% đối với các phản hồi ngắn.
Nếu không có thêm thông tin từ Anthropic, thật khó để biết công ty đang cân bằng giữa chất lượng phản hồi AI và sức mạnh của watermark như thế nào. Anthropic đã từ chối cung cấp thêm thông tin cho bài viết này.
Cuộc tranh luận về các đánh đổi của watermark văn bản AI không chỉ xoay quanh việc chúng hoạt động tốt đến mức nào, mà còn về những loại đánh đổi nào là hợp lý để đổi lấy việc dán nhãn rõ ràng cho văn bản do AI tạo ra. Quan điểm của Gruber là việc thay đổi văn bản là không thể chấp nhận được vì nó làm cho đầu ra của mô hình AI khác với những gì nó lẽ ra phải có. Mặt khác, Đạo luật AI của EU ngụ ý rằng một số thay đổi là chấp nhận được nếu nó thông báo cho mọi người rằng họ đang đọc văn bản do AI tạo ra.
Phức tạp hơn nữa, các nhà nghiên cứu AI ngày càng tập trung vào watermark văn bản cho các mục đích khác ngoài việc dán nhãn các ví dụ riêng lẻ về văn bản do AI tạo ra. Đặc biệt, watermark có thể được sử dụng để theo dõi dữ liệu ở quy mô lớn.
Một bài báo năm 2026 do Kirchenbauer đồng tác giả cho thấy rằng một mô hình AI được đào tạo trên văn bản có watermark sẽ tự tạo ra đầu ra mang watermark. Do đó, chủ sở hữu nội dung đã đóng dấu watermark vào tài liệu của họ trước khi xuất bản có thể sử dụng những dấu vết đó làm bằng chứng thống kê rằng văn bản của họ đã được đưa vào dữ liệu đào tạo của mô hình.
Ngoài ra, một công ty AI đào tạo một mô hình mới có thể sử dụng watermark văn bản để loại trừ nội dung được tạo ra bởi các thế hệ mô hình trước đó khỏi dữ liệu đào tạo của nó. Những biện pháp bảo vệ như vậy có thể giúp tránh "sự sụp đổ của mô hình" (model collapse), trong đó các mô hình AI liên tục tái chế và khuếch đại các lỗi của chính chúng.
Theo Kirchenbauer, những lo ngại rộng lớn hơn này đã làm thay đổi toàn bộ cuộc tranh luận về watermark văn bản. Ông nói: "Mục tiêu không nhất thiết là cáo buộc 'bạn đã sử dụng AI'. Nó đang hướng tới việc truy tìm nguồn gốc dữ liệu, tái chế mô hình và những thứ tương tự." Ông tin rằng "bạn sử dụng [watermark văn bản] như một phần siêu dữ liệu chung, theo một số cách mạnh mẽ hơn, theo một số cách kém mạnh mẽ hơn, có thể được gắn vào nội dung và cho phép bạn theo dõi nơi nó đi."
Vào ngày 11 tháng 8 vừa qua, Anthropic đã công bố rằng tất cả các mô hình Claude trong tương lai của họ sẽ tạo ra văn bản có chứa watermark để nhận diện đó là nội dung do AI tạo ra. Google cũng không đứng ngoài cuộc, họ đã có watermark văn bản riêng (mà Anthropic dựa vào đó để phát triển) cho các mô hình Gemini của mình. OpenAI dù chưa triển khai nhưng cũng đã lên kế hoạch cho việc này.
Sự phổ biến nhanh chóng của công nghệ watermark một phần là phản ứng trước Đạo luật AI của Liên minh Châu Âu. Đạo luật này yêu cầu các mô hình AI ra mắt sau ngày 2 tháng 8 năm 2026 phải có watermark, cùng với các quy định khác nhằm hạn chế sự lan truyền của nội dung AI gây hiểu lầm hoặc thao túng. Tuy nhiên, những quy định mới này có thể phải trả giá bằng chất lượng đầu ra mà người dùng mong muốn.
Watermark AI không chỉ áp dụng cho văn bản mà còn cho nhiều dạng nội dung khác như hình ảnh, âm thanh và video. Các watermark cho phương tiện truyền thông này đã được sử dụng trong nhiều năm và đạt tỷ lệ phát hiện trên 99%. OpenAI, Google và Meta đều đã triển khai watermark cho hình ảnh và video. Tuy nhiên, watermark văn bản lại ít được triển khai hơn và không phải ai cũng tin rằng nó có thể hoạt động mà không ảnh hưởng đến chất lượng phản hồi của mô hình AI.
John Gruber, một nhà văn công nghệ nổi tiếng và đồng sáng tạo ngôn ngữ Markdown, gọi watermark là "sự biến thái của văn bản". Ông phản đối khẳng định của Anthropic rằng watermark không làm thay đổi ý nghĩa hay chất lượng của văn bản. Theo ông, hình ảnh có hàng triệu pixel để thay đổi, trong khi văn bản chỉ có vài chục hoặc vài trăm từ, ít không gian hơn để thay đổi mà vẫn giữ được tính phát hiện và không gây gián đoạn.
Tuy nhiên, John Kirchenbauer, nghiên cứu sinh sau tiến sĩ tại Viện Vector và là đồng tác giả của một bài báo năm 2023 mô tả phương pháp watermark văn bản đầu tiên, lại không đồng ý. Ông cho rằng "watermark sẽ không thể phát hiện được nếu không có sự thay đổi. Đây là một điểm rất cơ bản." Câu hỏi đặt ra là liệu chúng ta có quan tâm nếu nó không phải là phân phối gốc chính xác, miễn là nó không thay đổi tiện ích đối với người dùng? Thực tế, vấn đề nằm ở từ "tiện ích" đó. Liệu việc đóng dấu watermark có làm giảm đáng kể trải nghiệm của người dùng AI hay không? Câu trả lời vẫn đang được tranh luận.
Vậy watermark văn bản AI hoạt động như thế nào? Thuật ngữ "watermark" quen thuộc có thể gây nhầm lẫn về cách công nghệ này hoạt động khi áp dụng cho AI. Watermark văn bản không phải là siêu dữ liệu hay các ký tự vô hình; nó tinh tế hơn nhiều. Các chi tiết chính xác khác nhau giữa các phương pháp, nhưng watermark văn bản thường không thể bị con người (và trong nhiều trường hợp, ngay cả máy tính) phát hiện nếu không có quyền truy cập vào khóa cụ thể được sử dụng để phát hiện watermark đó. Để hiểu tại sao, chúng ta cần hiểu cách các mô hình ngôn ngữ lớn (LLM) hoạt động.
Một LLM tạo ra xác suất cho mỗi từ (hay còn gọi là token) có thể xuất hiện tiếp theo ở mỗi bước trong phản hồi của nó. Ví dụ, một từ có khả năng cao có thể nhận được xác suất 40%, một từ thay thế hợp lý 10%, và một từ ít khả năng hơn chỉ một phần trăm nhỏ. Mô hình sau đó chọn một từ ngẫu nhiên, được cân nhắc bởi các con số xác suất đó. Từ có xác suất cao nhất thường thắng, nhưng không phải lúc nào cũng vậy.
Chính quá trình này tạo cơ hội để ẩn watermark văn bản bằng cách đưa vào những thay đổi tinh tế trong cách chọn từ. Bài báo năm 2023 của Kirchenbauer và các đồng nghiệp đã cung cấp một trong những ví dụ đầu tiên về cách triển khai watermark văn bản, và nó vẫn là kỹ thuật được trích dẫn rộng rãi nhất. Các nhà nghiên cứu mô tả một watermark sắp xếp các từ thành "danh sách đỏ" và "danh sách xanh". Các từ trong danh sách đỏ không bị thay đổi, nhưng các từ trong danh sách xanh được "đẩy" để có xác suất cao hơn một chút.
Kirchenbauer giải thích rằng "Nếu chúng ta lấy mẫu từ phân phối đã sửa đổi này, thì mặc dù bất kỳ lựa chọn token nào cũng không nhất thiết phải đến từ tập hợp ưu tiên đó, nhưng qua nhiều mẫu, chúng ta sẽ ưu tiên chọn các từ từ tập hợp được tăng trọng số đó."
Watermark văn bản được nhúng vào lựa chọn từ được sử dụng, đó là lý do tại sao nó thực sự vô hình đối với con người. Kirchenbauer và các đồng nghiệp đã báo cáo tỷ lệ phát hiện là 98,4% và không có lỗi dương tính giả nào trong các phản hồi chứa khoảng 200 token. Mô hình xác suất từ được nhúng cũng có nghĩa là việc diễn giải lại đơn giản sẽ không làm lu mờ watermark. Bài báo cho biết việc loại bỏ watermark khỏi một phản hồi dài yêu cầu thay đổi khoảng một phần tư số từ trở lên.
Vậy liệu watermark có làm giảm chất lượng văn bản AI không? Mặc dù watermark văn bản AI được thiết kế để vô hình với người đọc, nhưng theo định nghĩa, nó ảnh hưởng đến các mẫu từ trong văn bản do AI tạo ra. Sự can thiệp thuật toán đó là điều khiến các nhà phê bình như Gruber lo ngại rằng watermark làm giảm chất lượng tổng thể của đầu ra.
Bằng chứng mạnh mẽ nhất cho thấy watermark văn bản không ảnh hưởng đến chất lượng đến từ một bài báo năm 2024 của một nhóm từ Google, giới thiệu sơ đồ watermark của công ty có tên SynthID-Text. Watermark của Anthropic cũng dựa trên SynthID-Text, mặc dù đã được sửa đổi theo những cách mà Anthropic chưa tiết lộ chi tiết.
Để chứng minh rằng watermark SynthID-Text không ảnh hưởng đến chất lượng, các tác giả của Google đã ngẫu nhiên định tuyến các truy vấn của người dùng Gemini đến các biến thể có watermark và không có watermark của các mô hình văn bản của Google. Sau đó, họ so sánh phản hồi tổng thể của người dùng về đầu ra. Các tác giả không tìm thấy sự khác biệt đáng kể nào trong phản hồi của người dùng trên 20 triệu phản hồi.
Tuy nhiên, một số nhà nghiên cứu vẫn hoài nghi rằng các phương pháp watermark không ảnh hưởng đến chất lượng phản hồi do AI tạo ra. Sự hoài nghi của họ xuất phát từ những trường hợp đặc biệt có thể khiến việc triển khai watermark khó khăn hơn.
Vinu Sankar Sadasivan, một nhà khoa học nghiên cứu AI tại Meta, người đồng tác giả một bài báo được trích dẫn rộng rãi về khả năng phát hiện watermark văn bản AI, cho biết watermark đặc biệt gặp khó khăn khi số lượng lựa chọn từ tiềm năng nhỏ. Ông nói rằng "Đối với một tweet dài 20 từ, tôi sẽ cần 50 hoặc 60% số từ đến từ 'danh sách xanh' để nó được phát hiện tốt." Một hàm Python cơ bản do AI tạo ra sẽ tạo ra sự căng thẳng tương tự giữa sức mạnh của watermark và chất lượng phản hồi của mô hình.
Sadasivan nhận định: "Đây là điểm tôi không đồng ý với một số bài đăng PR từ Anthropic, nơi họ nói rằng nó không có sự thay đổi chất lượng." Ông giải thích rằng có thể tăng hoặc giảm động lực sức mạnh của watermark để duy trì chất lượng phản hồi trong những tình huống khó khăn, nhưng làm như vậy cũng có thể làm giảm sức mạnh của watermark. Bài báo SynthID-Text của Google bao gồm một ví dụ về điều này trong một biểu đồ thể hiện tỷ lệ phát hiện so với số lượng token trong một phản hồi. Tỷ lệ phát hiện chính xác tới 95% trong các trường hợp tốt nhất, nhưng nó giảm xuống dưới 50% đối với các phản hồi ngắn.
Nếu không có thêm thông tin từ Anthropic, thật khó để biết công ty đang cân bằng giữa chất lượng phản hồi AI và sức mạnh của watermark như thế nào. Anthropic đã từ chối cung cấp thêm thông tin cho bài viết này.
Cuộc tranh luận về các đánh đổi của watermark văn bản AI không chỉ xoay quanh việc chúng hoạt động tốt đến mức nào, mà còn về những loại đánh đổi nào là hợp lý để đổi lấy việc dán nhãn rõ ràng cho văn bản do AI tạo ra. Quan điểm của Gruber là việc thay đổi văn bản là không thể chấp nhận được vì nó làm cho đầu ra của mô hình AI khác với những gì nó lẽ ra phải có. Mặt khác, Đạo luật AI của EU ngụ ý rằng một số thay đổi là chấp nhận được nếu nó thông báo cho mọi người rằng họ đang đọc văn bản do AI tạo ra.
Phức tạp hơn nữa, các nhà nghiên cứu AI ngày càng tập trung vào watermark văn bản cho các mục đích khác ngoài việc dán nhãn các ví dụ riêng lẻ về văn bản do AI tạo ra. Đặc biệt, watermark có thể được sử dụng để theo dõi dữ liệu ở quy mô lớn.
Một bài báo năm 2026 do Kirchenbauer đồng tác giả cho thấy rằng một mô hình AI được đào tạo trên văn bản có watermark sẽ tự tạo ra đầu ra mang watermark. Do đó, chủ sở hữu nội dung đã đóng dấu watermark vào tài liệu của họ trước khi xuất bản có thể sử dụng những dấu vết đó làm bằng chứng thống kê rằng văn bản của họ đã được đưa vào dữ liệu đào tạo của mô hình.
Ngoài ra, một công ty AI đào tạo một mô hình mới có thể sử dụng watermark văn bản để loại trừ nội dung được tạo ra bởi các thế hệ mô hình trước đó khỏi dữ liệu đào tạo của nó. Những biện pháp bảo vệ như vậy có thể giúp tránh "sự sụp đổ của mô hình" (model collapse), trong đó các mô hình AI liên tục tái chế và khuếch đại các lỗi của chính chúng.
Theo Kirchenbauer, những lo ngại rộng lớn hơn này đã làm thay đổi toàn bộ cuộc tranh luận về watermark văn bản. Ông nói: "Mục tiêu không nhất thiết là cáo buộc 'bạn đã sử dụng AI'. Nó đang hướng tới việc truy tìm nguồn gốc dữ liệu, tái chế mô hình và những thứ tương tự." Ông tin rằng "bạn sử dụng [watermark văn bản] như một phần siêu dữ liệu chung, theo một số cách mạnh mẽ hơn, theo một số cách kém mạnh mẽ hơn, có thể được gắn vào nội dung và cho phép bạn theo dõi nơi nó đi."
