Anthropic ha deciso che i testi prodotti dai futuri modelli Claude avranno una firma invisibile. Non sarà un simbolo in fondo alla pagina, un carattere nascosto o un’informazione conservata nei metadati. Sarà dentro il modo in cui Claude sceglie le parole.
La prima domanda che si sono fatti molti utenti è molto concreta: se scrivo io un articolo e poi chiedo a Claude di sistemarlo, un rilevatore dirà che l’ha scritto Claude?
La risposta è: dipende da quanto Claude lo cambia.
Se gli diamo un testo e gli chiediamo soltanto di correggere grammatica e punteggiatura, quasi tutte le parole restano nostre. La filigrana può finire soltanto nelle poche parti effettivamente generate dal modello e potrebbe quindi essere troppo debole per essere rilevata.
Se invece gli chiediamo di riscrivere interi paragrafi, renderli più chiari, cambiare il tono o modificare profondamente lo stile, Claude prende molte più decisioni linguistiche. E aumenta la possibilità che la sua firma diventi riconoscibile.
Questa distinzione è importante perché oggi, quando parliamo di «rilevare l’AI», stiamo mettendo insieme due tecnologie molto diverse.
I detector di oggi stanno cercando di indovinare
I software che promettono di stabilire se un compito, un articolo o una mail siano stati scritti con ChatGPT non trovano una firma lasciata dal modello. Guardano il testo e cercano caratteristiche statistiche che tendono a comparire più spesso nella scrittura generata dalle AI.
In sostanza fanno un’ipotesi.
E possono sbagliare.
OpenAI aveva sviluppato un proprio classificatore per riconoscere i testi generati dall’AI, ma lo ritirò già nel 2023 a causa della sua scarsa accuratezza. Diversi studi hanno poi mostrato quanto le prestazioni dei detector cambino a seconda del modello, del tipo di testo e delle modifiche apportate dopo la generazione. Una parafrasi può bastare a ingannarli; dall’altra parte, un testo scritto da una persona può essere classificato come artificiale.
Il problema diventa particolarmente serio quando il risultato viene presentato come una percentuale: «87% AI» non significa che nel documento sia stata trovata una prova che l’87 per cento delle parole viene da ChatGPT.
Significa che un classificatore ritiene quel testo compatibile, con un certo grado di confidenza, con ciò che ha imparato a riconoscere come scrittura artificiale.
La nuova filigrana funziona al contrario.
Non prova a riconoscere l’AI dopo che il testo è stato scritto. Inserisce deliberatamente un segnale mentre il testo viene generato.
La firma è nelle scelte
Claude costruisce una risposta un token alla volta.
Se deve continuare una frase come:
Il cielo stamattina era…
potrebbe considerare plausibili diverse alternative:
grigio
nuvoloso
coperto
Non hanno necessariamente la stessa probabilità, ma possono essere tutte continuazioni perfettamente sensate. È in questo piccolo margine di scelta che può essere nascosta la filigrana.
Anthropic userà una tecnica basata su SynthID-Text, sviluppata da Google DeepMind. Il sistema interviene sul processo con cui il modello sceglie tra le alternative disponibili, facendo in modo che una lunga sequenza di decisioni segua un pattern legato a una chiave. Al lettore non appare nulla.
Le frasi rimangono normali, le parole sono quelle che avrebbero potuto comparire comunque e il significato non contiene nessun messaggio segreto.
Ma dopo centinaia di scelte può emergere una configurazione statisticamente riconoscibile. La filigrana è quel pattern.
Com’è fatta davvero la filigrana
Google DeepMind ha pubblicato una visualizzazione di SynthID-Text.
A prima vista è una normale email prodotta da un modello. Nella vista del sistema di rilevamento, però, diverse parti del testo vengono evidenziate e alla fine compare una probabilità che il watermark sia presente.
È importante capire cosa stiamo guardando.
Il modello non ha colorato quelle parole. Non ha inserito spazi invisibili fra le lettere. Non ha nascosto la scritta CLAUDE prendendo la prima lettera di ogni frase.
La firma nasce dal processo che ha portato a scegliere quelle parole.
Possiamo rappresentarlo così:
Il cielo stamattina era…
↓
grigio / nuvoloso / coperto
↓
una delle alternative viene scelta anche secondo il meccanismo del watermark
↓
centinaia di decisioni dello stesso tipo
↓
il rilevatore cerca nell’insieme un pattern compatibile con la chiave
Una singola parola non dimostra nulla. Anche una persona potrebbe scegliere grigio. È la distribuzione delle scelte lungo una quantità sufficiente di testo a diventare riconoscibile.
Per questo la firma non ha un punto preciso in cui possa essere indicata.
È distribuita nel testo.
Ed è anche il motivo per cui un watermark di questo tipo funziona molto meglio su un lungo testo creativo che sulla frase «La capitale della Francia è Parigi». Nel secondo caso il modello ha pochissimo margine di scelta. Non può sostituire Parigi con una parola più conveniente per la propria firma senza rendere la risposta sbagliata.
Ma si può togliere?
Sì.
O, più precisamente, si può rendere più difficile da rilevare.
Cambiare qualche parola o fare un editing leggero non necessariamente elimina il pattern, perché una parte delle scelte originali rimane nel testo.
Una riscrittura più profonda può invece distruggerne una quantità sufficiente.
Anche una traduzione può indebolire fortemente il watermark, perché la nuova lingua richiede una sequenza completamente diversa di parole. Se però prendiamo un testo di Claude e chiediamo allo stesso Claude di tradurlo, succede una cosa interessante: la vecchia firma può scomparire, ma la nuova versione viene generata dal modello e può quindi riceverne un’altra.
Non siamo quindi davanti a una firma indelebile.
Chi fosse determinato a eliminare il watermark potrebbe riscrivere il testo, passarlo attraverso altri modelli, tradurlo più volte o modificarne una parte consistente.
Questo pone un limite evidente se immaginiamo la tecnologia come uno strumento per scoprire chi sta cercando intenzionalmente di nascondere l’uso dell’AI.
Ma potrebbe funzionare molto meglio in tutti quei casi in cui nessuno sta cercando di cancellare le tracce.
E se il testo l’ho scritto io?
È probabilmente la domanda più interessante.
Immaginiamo di scrivere personalmente mille parole e chiedere a Claude:
«Correggi soltanto i refusi.»
Claude interviene pochissimo. Il testo rimane quasi completamente nostro e il segnale potrebbe non essere abbastanza forte da essere riconosciuto.
Cambiamo richiesta:
«Riscrivilo rendendolo più scorrevole.»
Ora Claude potrebbe sostituire frasi intere, cambiare verbi, modificare l’ordine dei periodi. Le occasioni per inserire il watermark aumentano.
Poi:
«Tieni soltanto le idee e riscrivilo completamente.»
A questo punto buona parte delle parole viene scelta dal modello e il segnale può diventare molto più evidente.
Il problema è che nessuno di questi tre casi risponde davvero alla domanda: chi ha scritto il testo?
Un rilevatore di watermark può fornire un’indicazione sul fatto che Claude sia intervenuto nella generazione di una quantità sufficiente di parole.
Non può sapere da dove provenissero le idee.
Non sa se il primo draft fosse nostro.
Non può stabilire se abbiamo passato tre ore a riscrivere successivamente il risultato.
E soprattutto non può concludere che un testo senza watermark sia umano.
Potrebbe essere stato generato da un modello che non utilizza quella filigrana. Potrebbe essere troppo breve. Potrebbe essere stato modificato abbastanza da cancellarla.
La firma può quindi dirci qualcosa sulla provenienza tecnica di un testo, molto meno sulla sua autorialità.
Ed è una distinzione che diventerà sempre più importante.
Possiamo scrivere una bozza, chiedere a un modello di correggerla, far produrre un paragrafo a un altro, riscriverne metà, tradurre tutto, tornare indietro e intervenire ancora personalmente.
Per anni abbiamo cercato strumenti capaci di dividere ciò che leggiamo in due categorie: scritto da una persona oppure scritto dall’AI.
La filigrana potrebbe rendere finalmente più facile trovare le tracce lasciate dalle macchine.
E nello stesso momento mostrarci quanto poco quelle due categorie descrivano ormai il modo in cui scriviamo.
Fonti
Anthropic — Claude text watermarking
Google DeepMind — SynthID
Google AI — documentazione tecnica e limiti di SynthID-Text
OpenAI — documentazione sul classificatore di testi AI ritirato nel 2023
Regolamento europeo sull’intelligenza artificiale (AI Act)
