Desenvolvedores Encontram Métodos para Burlar Marcas d'Água Invisíveis do Claude da Anthropic

A corrida para identificar conteúdos gerados por inteligência artificial sofreu um forte revés técnico. Poucas horas após a Anthropic implementar uma tecnologia experimental de marca d'água invisível (invisible watermarking) nas saídas de texto e código do Claude, programadores e pesquisadores de cibersegurança demonstraram que a proteção pode ser completamente neutralizada com modificações superficiais na estrutura das palavras.

A marca d'água foi introduzida para atender a diretrizes internacionais de transparência e ajudar instituições de ensino e empresas a detectar se resumos, códigos de programação ou artigos técnicos haviam sido produzidos pela IA. No entanto, a fragilidade demonstrada colocou em dúvida a eficácia desse tipo de rastreabilidade.

Como funcionava a marca d'água estocástica no Claude

Diferente de marcas d'água visíveis em imagens ou arquivos de áudio, a identificação em modelos de linguagem (LLMs) é baseada em manipulação estatística da escolha dos tokens (sílabas e palavras).

Ao gerar uma resposta, o algoritmo da Anthropic favorecia sutilmente combinações de palavras específicas chamadas de "pseudorrandômicas". Para um leitor humano, a leitura parecia 100% natural. Porém, um software detector configurado com a chave secreta da empresa conseguia calcular a probabilidade matemática e atestar com precisão se o texto veio do modelo Claude.

As técnicas simples de desvio criadas pela comunidade

Apesar da elegância matemática do conceito, a implementação prática mostrou-se extremamente vulnerável a intervenções comuns de edição:

• Passagem por tradução intermediária: Traduzir o texto gerado para um segundo idioma (como espanhol ou alemão) e traduzi-lo de volta para o português destrói completamente o padrão de tokens original.
• Reescrever via prompt secundário: Pedir para outro modelo menor (como um LLM local de código aberto) reparafrasear o conteúdo altera as substituições de sinônimos, removendo a impressão digital estatística.
• Formatação de código e reordenação de variáveis: No caso de trechos de código em Python ou JavaScript, simples mudanças de nomes de variáveis, recuos ou adição de comentários zeram a detecção.

O dilema entre usabilidade e rastreabilidade

Especialistas apontam que aumentar a intensidade da marca d'água estatística para torná-la mais resistente a edições causa uma degradação perceptível na qualidade da resposta e no raciocínio da IA, já que força a inteligência a escolher palavras menos adequadas para manter o padrão matemático oculto.

---

Análise do Rodrigo: O que penso sobre isso?

A rapidez com que a comunidade encontrou contornos para as marcas d'água invisíveis da Anthropic reafirma uma máxima clássica da cibersegurança: o elo mais fraco de qualquer proteção estatística em texto é a facilidade com que o ser humano (ou outro algoritmo) pode modificar a sintaxe sem alterar o significado.

A ideia de criar uma "impressão digital" matemática para textos gerados por IA é teoricamente atraente para governos e reguladores que buscam combater desinformação ou plágio acadêmico. No entanto, tentar controlar o arranjo de palavras em linguagem natural através de restrições de criptografia é como tentar segurar água com as mãos.

Em vez de investir recursos gigantescos em ferramentas de detecção que rapidamente se tornam obsoletas, a indústria de tecnologia precisa focar na verificação de identidade e na procedência das fontes de dados. A responsabilidade pelo conteúdo deve residir na autenticação de quem publica, e não na ilusão de que detectores de IA serão infalíveis.