Ataque unificado quebra os principais esquemas de watermarking estatistico usados para identificar texto gerado por IA

Watermarking estatistico se tornou a principal proposta tecnica para identificar texto gerado por LLMs: o modelo, durante a geracao, favorece sutilmente certos tokens sobre outros seguindo um padrao derivado de uma chave secreta, e um detector que conhece essa chave consegue, mais tarde, calcular um score estatistico que indica se um texto foi gerado com aquele padrao. E a base de esquemas usados ou propostos por grandes provedores, incluindo o SynthID do Google, e e frequentemente citado em propostas regulatorias como mecanismo de proveniencia de conteudo.

A contribuicao central deste trabalho e identificar que, em uma familia ampla de esquemas (KGW e variantes, GumbelSoft, DipMark, ITS e SynthID), existe um vinculo necessario -- os autores chamam de score-ratio alignment -- entre o score de deteccao que o watermark produz e a magnitude da mudanca de probabilidade de token que ele precisa introduzir durante a geracao para ser detectavel com confianca estatistica. Como esse vinculo e uma propriedade matematica inerente ao desenho de qualquer watermark que maximiza poder de deteccao, um atacante consegue estima-lo observando apenas as saidas do modelo via API publica -- sem nunca precisar da chave secreta usada pelo provedor nem dos pesos do modelo.

Na pratica, isso permite ao atacante reescrever ou gerar texto de um jeito que neutraliza seletivamente exatamente os deslocamentos de probabilidade responsaveis pelo sinal de deteccao, preservando a fluencia natural do texto (ou seja, nao e um ataque que degrada a qualidade do texto como preco da evasao, como ataques anteriores de parafraseamento tendiam a fazer). Testado contra sete esquemas de watermarking populares, tres LLMs diferentes e multiplas tarefas, o ataque reduz a taxa de deteccao para no maximo 0,05 (ou seja, 95% ou mais de evasao) em todos os cenarios, e os autores demonstram formalmente que o ataque e otimo dentro de cada familia de watermark coberta -- nao e uma falha de implementacao corrigivel com ajuste de parametros, e uma limitacao estrutural da abordagem estatistica como um todo.

Isso importa na pratica porque varias propostas de politica publica e de autorregulacao da industria (rotulagem de conteudo sintetico, deteccao de desinformacao gerada por IA, deteccao de fraude academica) assumem que watermarking estatistico oferece uma garantia robusta de proveniencia. Este resultado mostra que, contra um atacante minimamente motivado com apenas acesso de API -- nao e necessario ser o provedor do modelo nem ter qualquer privilegio especial -- os esquemas de watermark hoje em producao podem ser derrotados de forma confiavel, o que exige repensar watermarking estatistico como controle isolado de proveniencia e considerar mecanismos complementares (metadados assinados, proveniencia na origem, deteccao comportamental) em vez de depender dele como camada unica de deteccao.