LLM watermarking

La famiglia di tecniche che incorporano un segnale invisibile ma verificabile nel testo generato da un modello linguistico, per tracciarne l'origine.

LLM watermarking è una famiglia di tecniche che incorporano un segnale nascosto nel testo generato da un large language model (LLM), rilevabile solo tramite un test statistico o crittografico e, di norma, una chiave segreta, senza degradare in modo percepibile la qualità del testo.¹ Lo scopo è stabilire in un secondo momento se un testo è stato prodotto da un modello specifico, per l’attribuzione, il tracciamento di abusi come il furto di servizio via API clonata o la disinformazione su larga scala, la protezione della proprietà intellettuale del provider e il supporto ad audit e conformità.¹

Perché esiste

La distinguibilità tra testo umano e testo generato da LLM si è progressivamente deteriorata, e i metodi di rilevazione a posteriori basati su statistiche del testo (perplexity, burstiness) si sono dimostrati inaffidabili e facili da aggirare.² Il watermarking affronta il problema a monte: invece di indovinare a posteriori se un testo è generato da un modello, inserisce un segnale durante la generazione, o subito dopo, che chi possiede la chiave può verificare con un test ad hoc.² È la risposta tecnica e automatica allo stesso problema che a livello di piattaforma viene affrontato con la dichiarazione volontaria di provenienza: il watermark è un segnale involontario, incorporato dal modello stesso, che non richiede la collaborazione dell’autore.³

Quando si inserisce il segnale

La letteratura scompone il ciclo di vita di un LLM in tre fasi e mostra che il watermark può essere incorporato in ciascuna di esse:

Fase di training: il segnale viene iniettato nei dati di addestramento o nei pesi del modello, prima ancora della generazione (vedi training phase watermarking).
Fase di generazione: il segnale viene incorporato mentre il testo è prodotto, alterando la distribuzione dei token o la strategia di campionamento durante il decoding (vedi in-processing watermarking).
Fase post-generazione: il segnale viene aggiunto dopo che il testo è già stato prodotto, riscrivendo l’output (vedi post-processing watermarking).

Ortogonalmente a questa distinzione, i sistemi si dividono in zero-bit, che codificano un solo bit di informazione (“è watermarked sì o no”, come nella tecnica fondativa a liste verdi e rosse di Kirchenbauer et al.), e multi-bit, che codificano un payload più ampio utile a legare l’output a uno specifico utente, sessione o organizzazione, con un trade-off tra capacità del payload e tasso di errore sui bit.¹ La verifica può inoltre essere pubblica (l’algoritmo è aperto e chiunque può ricalcolarlo) o privata (la chiave resta dietro un’API del provider, più difficile da aggirare ma meno verificabile da terze parti).²

Le tecniche principali

Il filone più sviluppato è quello in-processing: la tecnica fondativa di Kirchenbauer et al. (2023) applica un bias ai token di una “lista verde”, e da lì sono derivate varianti con garanzie teoriche più forti (partizione fissa del vocabolario), varianti senza distorsione che preservano la distribuzione originale dei token in aspettativa, e approcci semanticamente ancorati al significato della frase invece che al singolo token.¹ Un sistema recente di Google DeepMind, SynthID, è la prima implementazione in produzione su larga scala, con una procedura di campionamento a torneo che non altera le probabilità di base del modello.⁴ Un filone teorico successivo ha formalizzato il problema come ottimizzazione congiunta tra schema di embedding e detector: lo schema ottimale campiona la propria casualità in modo adattivo rispetto alla distribuzione generativa del modello, non uniformemente come fanno gli schemi fondativi.⁵

Nel post-processing, la tecnica rappresentativa sostituisce una piccola porzione del testo finale con alternative lessicali equivalenti scelte da un modello esterno, e funziona anche su modelli completamente black-box (vedi post-processing watermarking).⁶ Un quarto paradigma, proposto nel 2026, sposta il segnale nel documento di input invece che nel processo di generazione, consegnando il controllo a una terza parte fidata (vedi in-context watermarking).⁷

Minacce

La minaccia principale è la rimozione: l’avversario vuole eliminare il segnale preservando il significato del testo, con parafrasi, traduzione inversa, sostituzione di sinonimi o mescolanza con testo umano. Il benchmark di riferimento per misurare la robustezza è DIPPER, un modello di parafrasi usato dalla letteratura come strumento standard: sotto parafrasi intensa, la detection dei watermark ancorati al singolo token scende dal 100% circa al 53-57%, con la similarità semantica che resta sopra il 94%.⁸ La debolezza è particolarmente marcata per le traduzioni: quasi tutti gli schemi perdono gran parte della loro forza quando il testo con watermark viene tradotto in un’altra lingua, perché il segnale è ancorato a parole che non hanno un corrispettivo diretto altrove.⁹ Il secondo rischio è lo spoofing: iniettare un watermark falso o attribuire falsamente un testo a un provider per minare la credibilità del rilevatore. Rendere il watermark più robusto alla rimozione spesso lo rende anche più prevedibile, e quindi più facile da forgiare.¹

L’alternativa non invasiva: il fingerprinting

Il fingerprinting persegue lo stesso obiettivo di attribuzione e protezione della proprietà intellettuale con un approccio opposto: invece di iniettare un segnale artificiale, estrae un segnale identificativo dalle caratteristiche intrinseche del modello, come la direzione dei pesi o il comportamento su input avversari.¹⁰ Non richiede di modificare né il training né la generazione, ma è più fragile di fronte a modifiche post-hoc del modello come fine-tuning, pruning o distillazione.¹⁰

Dimensioni di trustworthiness

Una survey del 2026 propone quattro pilastri per valutare un sistema di watermarking: explainability (trasparenza del processo di embedding e detection per sviluppatori, auditor e regolatori), fairness (nessuna degradazione diseguale per lingue o dialetti minoritari, nessun tasso di falsi positivi più alto per specifiche community), robustezza e sicurezza (resistenza a rimozione e spoofing), e affidabilità e utilità (impatto minimo su fluidità e coerenza, basso rischio di falsa accusa su testo umano).¹

Il gap tra ricerca e adozione

Un position paper presentato ad ACL Findings 2026 sostiene che il divario tra progresso tecnico e adozione reale non è un problema di algoritmi ma di incentivi disallineati tra provider, piattaforme e utenti: se un solo provider adotta il watermarking, gli utenti che non lo gradiscono possono passare a un concorrente che non lo usa, il che scoraggia invece di premiare l’adozione.⁷ Lo stesso paper propone l’in-context watermarking come paradigma che aggira il blocco, perché non è il provider a incorporare il segnale e non ne subisce le conseguenze competitive.⁷

Implementazioni in produzione

Fino al 2026 il watermarking testuale viveva quasi solo nei paper. I primi due casi di produzione su scala sono di Google e Anthropic: SynthID di Google DeepMind, distribuito sui prodotti Gemini, e il Claude Text Watermark di Anthropic, una versione dell’approccio SynthID-Text applicata a tutti i modelli Claude dal 2 agosto 2026. Il caso Anthropic è notevole perché l’adozione arriva dalla regolazione e non da un vantaggio di mercato: è la prima implementazione spinta dagli obblighi di trasparenza dell’AI Act europeo, e riusa il metodo di Google invece di svilupparne uno proprio, un’indicazione che SynthID-Text si è affermato come riferimento tecnico del settore.⁴¹¹

Limiti

Il watermarking non risolve la memorizzazione dei dati di training, non impedisce la generazione di contenuto tossico o falso e non ferma le allucinazioni: può solo, se applicato e se il testo non viene riscritto, tracciarne l’origine a posteriori.¹ Inoltre non è neutrale verso gli altri sistemi di detection: il bias che introduce nei logit è uno spostamento di distribuzione che degrada i detector esterni, che percepiscono il testo con watermark come più umano dell’umano.¹² Lo studio comparativo di Uchendu (ACL 2026) aggiunge una dimensione quantitativa: quasi tutti i watermarker scendono sotto il 10% di accuratezza sui testi corti e superano il 90% sui testi lunghi, il che suggerisce di applicarli solo in contesti long-text dove il segnale ha abbastanza testo per accumularsi.¹³

Voci correlate

SynthID — il sistema di Google DeepMind, primo caso di adozione in produzione
Claude Text Watermark — l’adozione di SynthID-Text da parte di Anthropic, spinta dall’AI Act
Training phase watermarking — il segnale iniettato nei dati di addestramento
In-processing watermarking — il segnale incorporato durante la generazione
Post-processing watermarking — il segnale aggiunto dopo, per scenari black-box
In-context watermarking — il segnale nascosto nel documento di input, controllato da una terza parte
Portale: LLM watermarking

Bibliografia e sitografia

Phan, T. et al., A Survey on LLM Watermarking: Theory and Deployment, arXiv, luglio 2026.
Ye, Y. et al., Securing Large Language Models: A Survey of Watermarking and Fingerprinting Techniques, ACM Computing Surveys, febbraio 2026.
Kirchenbauer, J. et al., A Watermark for Large Language Models, ICML 2023 / arXiv:2301.10226.
Dathathri, S. et al., Scalable watermarking for identifying large language model outputs, Nature, 2024.
He, X., Liu, A., Wang, Z., Mao, Y., Bu, Z., Theoretically Grounded Framework for LLM Watermarking: A Distribution-Adaptive Approach, NeurIPS 2025.
He, Z., Zhou, B., Hao, H. et al., Can Watermarks Survive Translation?, ACL 2024.
Liu, J., Zhao, X., Song, Y., Wornell, G., Bu, Z., Position: LLM Watermarking Should Align Stakeholders’ Incentives for Practical Adoption, Findings of ACL 2026.
Xiang, Li, Hu, Liu, AI-Generated Text Detection: Comprehensive Review, CMC-Computers, Materials & Continua, 2025.
Uchendu, A., Synthetic Text Detection: Watermark vs Automatic Detection, ACL 2026 Industry Track.
Panaitescu-Liess, O. et al., When Detection Tools Collide, 2026.
Li, Ruan, Wang, Long, Su, Robust Detection of Watermarks Under Human Edits, arXiv:2411.13868, 2024.
Mansouri, Marvania, Safikhani, Stability-Aware Feature Design for Robust Watermark Detection, ICML 2026.
Anthropic, How Claude’s Text Watermark Works, 14 agosto 2026. anthropic.com

Phan et al., A Survey on LLM Watermarking, arXiv, 2026. ↩ ↩² ↩³ ↩⁴ ↩⁵ ↩⁶ ↩⁷
Xiang et al., AI-Generated Text Detection, CMC, 2025. ↩ ↩² ↩³
Ye et al., Securing Large Language Models, ACM Computing Surveys, 2026. ↩
Dathathri et al., Scalable watermarking for identifying large language model outputs, Nature, 2024. ↩ ↩²
He et al., Theoretically Grounded Framework, NeurIPS 2025. ↩
Phan et al., A Survey on LLM Watermarking, arXiv, 2026, sezione post-processing. ↩
Liu et al., Position: LLM Watermarking Should Align Stakeholders’ Incentives, Findings of ACL 2026. ↩ ↩² ↩³
Xiang et al., AI-Generated Text Detection, CMC, 2025; Uchendu, Synthetic Text Detection, ACL 2026. ↩
He et al., Can Watermarks Survive Translation?, ACL 2024. ↩
Ye et al., Securing Large Language Models, ACM Computing Surveys, 2026. ↩ ↩²
Anthropic, How Claude’s Text Watermark Works, 2026. ↩
Panaitescu-Liess et al., When Detection Tools Collide, 2026. ↩
Uchendu, Synthetic Text Detection, ACL 2026 Industry Track, pp. 113-126. ↩