LLM watermarking

Il watermarking per LLM studia come incorporare nel testo generato da un modello linguistico un segnale invisibile al lettore ma verificabile da chi possiede una chiave, per tracciarne l’origine. Il campo ha una storia curiosa: anni di progresso tecnico rapido (tecniche a liste di token, campionamento distortion-free, garanzie teoriche di ottimalità) accompagnati da un’adozione reale quasi nulla, che la letteratura recente spiega con un disallineamento di incentivi fra provider, piattaforme e utenti più che con limiti tecnici.

La svolta è del 2026: gli obblighi di trasparenza dell’AI Act europeo, applicabili dal 2 agosto, hanno prodotto il primo caso di adozione regolata su larga scala, con Anthropic che ha riusato il metodo di Google. Le voci di questo portale seguono entrambi i fili: i casi di produzione, le categorie tecniche in cui il segnale può essere incorporato e le tecniche specifiche.

Sistemi in produzione

• SynthID — il sistema di Google DeepMind, primo e a lungo unico caso di produzione su larga scala. Punto di partenza consigliato.
• Claude Text Watermark — l’adozione di SynthID-Text da parte di Anthropic (agosto 2026), la prima spinta dall’AI Act.

La voce d’insieme

• LLM watermarking — la tassonomia delle fasi, le tecniche principali, le minacce, il fingerprinting, il gap tra ricerca e adozione.

Le categorie

• In-processing watermarking — il segnale incorporato durante la generazione, alterando logit o campionamento. La categoria dominante.
• Training phase watermarking — il segnale iniettato nei dati di addestramento o nei pesi, per proteggere la proprietà intellettuale dei modelli.
• Post-processing watermarking — il segnale aggiunto all’output finale, l’unica opzione praticabile in scenari black-box.
• In-context watermarking — il quarto paradigma: istruzioni nascoste nel documento di input, con il controllo in mano a una terza parte fidata.

Le tecniche

• KGW watermarking — la tecnica fondativa a liste verdi e rosse (2023), il riferimento di tutta la letteratura successiva.
• Spike entropy — la misura con cui il paper di KGW predice la forza del watermark su una sequenza.
• Unigram watermark — la variante con partizione fissa del vocabolario, per garanzie teoriche più solide.
• Unbiased watermark — il reweighting che preserva la distribuzione originale in aspettativa.
• Exponential minimum sampling — la tecnica distortion-free che allinea i token a una sequenza pseudo-casuale.
• Gumbel-Max watermarking — la famiglia distortion-free basata sul Gumbel-Max trick, da un’idea di Aaronson.
• SemStamp — il watermark semantico a livello di frase, resistente alla parafrasi.
• PostMark — la sostituzione semantica post-generation per modelli black-box.
• Distribution-adaptive watermarking — il principio di ottimalità congiunta schema-detector con garanzie in forma chiusa (NeurIPS 2025).
• DAWA — l’algoritmo pratico che realizza il principio con un modello surrogato e il Gumbel-Max trick.
• SIR — il watermark ancorato al significato con un modello di bias appreso, robusto a parafrasi e traduzione.
• X-SIR — l’estensione di SIR con clustering semantico cross-linguale del vocabolario.

In arrivo

Il cluster privato da cui questo portale deriva copre anche gli attacchi (rimozione, spoofing, il caso della traduzione), il fingerprinting come alternativa non invasiva, le persone del campo e l’analisi degli incentivi di adozione. Le voci verranno pubblicate man mano.