Nova marca d'água para texto de LLM é ancorada em bytes UTF-8 para resistir a ataques de tokenização
O método TI-WM embute e detecta marcas d'água em texto gerado por LLM usando bytes UTF-8 canonicalizados em vez de tokens, de modo que o detector nunca precisa invocar o tokenizador do modelo original. Testes de robustez contra um ataque de edição de palavras em caixa branca mostram ganhos de robustez sobre a técnica Unigram, mas os próprios autores reconhecem lacunas de robustez contra inserções visíveis fora do conjunto de caracteres monitorado.
Marcas d'água em texto gerado por LLM são hoje uma das principais propostas para distinguir conteúdo gerado por IA de conteúdo escrito por humanos, com aplicações que vão de combate a desinformação até detecção de plágio acadêmico. Um problema recorrente dos métodos existentes é que eles costumam depender fortemente do tokenizador específico do modelo que gerou o texto: pequenas variações na forma como o texto é re-tokenizado (por exemplo, ao ser copiado, editado ou reprocessado por outro sistema) podem destruir o sinal da marca d'água mesmo sem alterar o significado do texto.
O TI-WM ataca esse problema de um jeito diferente: embora a marca ainda seja embutida durante a geração de tokens pelo modelo, a etapa de detecção opera inteiramente sobre a representação em bytes UTF-8 canonicalizados do texto final, sem jamais invocar o tokenizador original. Isso garante que edições que preservam o "canonicalizador" (ou seja, que não mudam a forma canônica dos bytes) deixam a pontuação da marca d'água inalterada, e que edições localizadas no texto afetam apenas uma janela limitada e previsível da pontuação, em vez de potencialmente invalidar a marca inteira.
Os experimentos comparam o TI-WM contra a técnica Unigram sob um ataque determinístico de caixa branca que edita até 5% das palavras do texto, usando três chaves fixas e 128 prompts por chave em dois modelos (Qwen3-8B e Gemma 4 E4B). Os resultados mostram AUC de detecção pós-ataque superior para o TI-WM (0,530 e 0,664, respectivamente) comparado ao Unigram com remoção no lado da detecção (0,410 e 0,489) — uma melhoria real, mas os próprios autores destacam que essas comparações não equalizam simultaneamente qualidade de texto e detectabilidade em condição limpa, então não é uma vitória incondicional.
O artigo é honesto sobre suas limitações, o que é tecnicamente relevante: inserções de caracteres visíveis fora do conjunto que o canonicalizador normalmente remove derrotam o desenho padrão do método, e um filtro alfabético que tampa essa brecha ainda não resolve problemas de mudança de distribuição da fonte do texto nem garante uma taxa de falsos positivos calibrada em produção. Isso importa porque mostra que a corrida entre marcas d'água e técnicas de evasão continua sem um vencedor definitivo — qualquer decisão de produto ou política pública que dependa de detecção de texto gerado por IA via watermarking deve considerar essas marcas como uma camada probabilística de evidência, não como uma prova técnica definitiva.