Turnitin detecta marca d'água de IA? Marca d'água em LLMs explicada

A descrição pública que o Turnitin faz do seu detector de IA é a de um classificador treinado que pontua padrões de escrita; ela não menciona a leitura de marcas d'água. A marca d'água em LLMs é outra ideia: um jeito de esconder um sinal estatístico no texto gerado por IA no momento em que ele é escrito, para que um software com uma chave secreta possa depois confirmar de onde o texto veio. O método mais conhecido, "A Watermark for Large Language Models", de John Kirchenbauer e colegas (ICML 2023), empurra o modelo para um conjunto secreto, escolhido ao acaso, de palavras "verdes". Os leitores não o veem, mas um teste estatístico simples consegue contar as palavras verdes e detectar o padrão num trecho curto.

Marcas d'água aparecem com frequência nas conversas sobre detecção de IA, e muitas vezes são mal compreendidas. Este post explica como funciona o método da lista verde, o que o artigo relatou, como as edições enfraquecem o sinal e o que de fato está em uso hoje.

Como funciona a marca d'água da lista verde

Um modelo de linguagem escreve um token por vez, sendo o token uma palavra ou um pedaço de palavra. Antes de escolher cada token, o esquema de marca d'água faz o seguinte:

1. Semente a partir do token anteriorAplica um hash ao token recém-gerado para alimentar um gerador de números aleatórios.
2. Divisão do vocabulárioUsa essa semente para dividir o vocabulário inteiro em uma lista verde (uma fração γ das palavras) e uma lista vermelha (o restante).
3. Inclinação das chancesSoma um pequeno bônus, δ, às pontuações dos tokens verdes antes da amostragem, para que as palavras verdes fiquem mais prováveis.
4. Amostragem normalEscolhe o próximo token. Repete o processo para cada posição do texto.

O artigo descreve duas versões. A marca d'água rígida proíbe totalmente os tokens vermelhos, o que pode estragar o texto quando a única palavra sensata seguinte por acaso é vermelha. A marca d'água suave, que é a que a maioria das pessoas tem em mente, apenas inclina as chances. Quando o modelo está confiante (baixa entropia, como "Barack" seguido de "Obama"), o bônus quase não pesa e a qualidade é preservada. Quando muitas palavras serviriam igualmente bem, o bônus decide, e as palavras verdes se acumulam.

The survey results suggest that rural clinics face persistent staffing gaps across both regions.

Exemplo ilustrativo. Verde = token que está na lista verde daquela posição; vermelho = lista vermelha. Um texto sem marca d'água mostraria aproximadamente uma fração γ de verdes.

Como detectar a marca d'água: o teste do escore z

A detecção não exige acesso ao modelo. Quem tem a chave secreta de hash consegue reconstruir a lista verde de cada posição a partir do token anterior e contar quantos tokens do trecho são verdes. O texto humano não sabe nada sobre as listas, então cerca de uma fração γ dos seus tokens será verde por acaso. O texto com marca d'água terá mais.

O teste pergunta o quanto essa contagem de verdes é surpreendente. Com T tokens, dos quais G são verdes, o artigo usa o teste z para uma proporção:

z = (G − γT) / √(T × γ × (1 − γ))

Se z ficar acima de um limiar, o texto é marcado como tendo marca d'água. Com limiar z = 4, a probabilidade de um texto sem marca d'água ultrapassá-lo por acaso é de cerca de 0,00003, ou três em cem mil. A conta também mostra por que trechos curtos podem bastar: com γ = 0,5 e marca d'água rígida, 16 tokens todos verdes já dão z = 4.

Nos experimentos do artigo, com um modelo OPT de vários bilhões de parâmetros, sequências de cerca de 200 tokens, δ = 2 e γ = 0,5 sob amostragem multinomial comum, o teste identificou 98,4% dos textos com marca d'água, sem nenhum falso positivo nessa configuração. Um δ maior deixa a marca d'água mais forte e mais fácil de detectar, com algum custo para a qualidade do texto.

Como a marca d'água resiste a edições

Como a lista verde de cada posição depende do token anterior, trocar uma palavra altera o status verde ou vermelho de umas poucas posições, e não do texto inteiro. Os autores testaram um ataque que substituía trechos usando um modelo T5. Ele enfraqueceu a marca d'água, mas as substituições também pioraram visivelmente o texto, então havia uma troca entre remover o sinal e manter a escrita aproveitável.

Trabalhos posteriores testaram ataques mais pesados:

• Paráfrase. Sadasivan e colegas relataram que a paráfrase recursiva derrubou a detecção de trechos de 300 tokens com marca d'água de 99,3% para 9,7%, com taxa de falsos positivos de 1%. Veja é possível detectar texto gerado por IA de forma confiável?
• Falsificação. O mesmo artigo mostrou que um atacante pode estimar as listas verdes a partir das saídas do modelo e forjar textos humanos que parecem ter marca d'água, levando o AUROC do detector de 99,8% para 1,3%.
• Uma defesa da confiabilidade. A equipe de Kirchenbauer respondeu em "On the Reliability of Watermarks for Large Language Models" (ICLR 2024): as marcas d'água continuaram detectáveis depois de paráfrases humanas e automáticas, porque as paráfrases preservam fragmentos do original. Numa configuração com reescrita humana intensa, a detecção precisou de cerca de 800 tokens em média, com uma taxa de falsos positivos muito baixa.

O resumo justo: edições leves mantêm a marca d'água, reescritas pesadas a enfraquecem, e textos mais longos dão ao detector mais material para trabalhar. Nosso post sobre a paráfrase com DIPPER trata do lado da reescrita com mais detalhes.

Por que o Turnitin não usa marcas d'água

Uma marca d'água só pode ser encontrada em textos de um modelo que a aplicou, e só por quem tem a chave. A maioria dos textos que as pessoas colam num detector vem de muitos modelos diferentes, e quase nenhum deles compartilha uma chave de marca d'água com algum fornecedor de detecção. É por isso que os detectores comerciais funcionam de outro jeito. A descrição pública do Turnitin sobre sua detecção de escrita por IA fala de um classificador transformer treinado: o texto enviado é dividido em segmentos sobrepostos, cada frase recebe uma pontuação e as pontuações são combinadas numa estimativa para o documento. Nada nessa descrição envolve ler uma marca d'água. Explicamos o indicador em a pontuação de detecção de IA do Turnitin explicada, e os tipos de detector de forma mais ampla em como funcionam os detectores de IA. O que o Turnitin diz que detecta entre os chatbots está em o Turnitin detecta ChatGPT, Claude e Gemini?

Em que pé está a marca d'água na indústria

A marca d'água saiu da pesquisa e chegou a pelo menos um grande sistema em produção. O Google DeepMind publicou "Scalable watermarking for identifying large language model outputs" na Nature em outubro de 2024, descrevendo o SynthID-Text, que altera só a etapa de amostragem e faz a detecção sem rodar o modelo de linguagem. A equipe relatou um experimento ao vivo com quase 20 milhões de respostas do Gemini, sem perda na qualidade avaliada pelos usuários.

A OpenAI adotou uma linha mais cautelosa. Numa atualização de agosto de 2024, afirmou que seu próprio método de marca d'água em texto era muito preciso contra adulterações localizadas, como a paráfrase, mas menos contra mudanças globais, como tradução ou reescrita com outro modelo, e que poderia afetar de forma desproporcional grupos como falantes não nativos de inglês. Até então, a ferramenta não tinha sido lançada.

Ou seja, marcas d'água existem e funcionam no caso restrito para o qual foram criadas: confirmar que o modelo de um fornecedor específico produziu determinado texto. Elas não respondem à pergunta geral sobre se alguma IA participou de um manuscrito.

Qual a relação disso com a Academic Humanizer

Para a maioria dos pesquisadores, os detectores que importam no dia a dia são classificadores que pontuam o estilo de cada frase, e não leitores de marca d'água. É nesse nível que a Academic Humanizer trabalha: encontra as frases que os detectores sinalizam, reescreve só essas mantendo afirmações, números, citações e termos intactos, e deixa o resto do rascunho como foi escrito. O AI Detection Report mostra cada frase sinalizada ao lado da sua reescrita para a sua revisão, e você ainda deve seguir as regras de declaração de uso de IA da sua instituição ou revista.