Post-processing watermarking
La categoria che applica il watermark dopo la generazione, riscrivendo l'output finale, e l'unica praticabile in scenari black-box.
Post-processing watermarking è la categoria di LLM watermarking che applica il segnale dopo che il testo è già stato generato, riscrivendo o modificando l’output finale, senza toccare i pesi né il processo interno del modello.1 La letteratura sulla detection la chiama anche post-generation watermarking.2
Perché esiste
È l’unica opzione praticabile in scenari black-box, dove non si ha accesso ai logit né al controllo sulla generazione, tipicamente con API chiuse o modelli offerti come servizio.2 Funzionando esternamente, permette anche a terze parti, non solo al provider del modello, di aggiungere o verificare watermark per scopi di accountability, tracciamento della provenienza o protezione dell’integrità dei contenuti in pipeline downstream.2
Tecniche principali
Un filone comune usa la sostituzione semantica guidata da dizionari di riferimento: si seleziona una piccola porzione del testo finale, la si confronta con una tabella di word embedding e si usa un modello instruction-following per inserire alternative lessicali equivalenti nei punti selezionati.1 Il primo lavoro della famiglia, del 2022, proteggeva la proprietà intellettuale delle API di generazione sostituendo parole con sinonimi o variazioni di ortografia rilevabili con test statistici, migliorato poi con sostituzioni context-aware generate da un modello linguistico e verificate da un classificatore.1 Un filone più recente usa metodi learning-based: un modello impara a sostituire sinonimi e un classificatore dedicato rileva il segnale, separando completamente embedding e detection dal processo di generazione originale. La survey sulla detection aggiunge varianti come la codifica binaria di parole sostituibili via sostituzione semantica per API black-box, la selezione di parole semanticamente e sintatticamente fondamentali e robuste a modifiche minori, e un watermark codificato nello spazio semantico durante il training e rigenerato con un decoder dedicato.2
Trade-off
Più flessibile e applicabile a qualunque modello, indipendentemente da chi lo controlla, ma introduce un passaggio di riscrittura extra con costo computazionale e latenza, e in genere perde qualche punto di robustezza rispetto a tecniche in-processing ben progettate.12
Voci correlate
- LLM watermarking — la famiglia di tecniche cui appartiene questa categoria
- In-processing watermarking — la categoria complementare, per modelli di cui si controlla la generazione
- Portale: LLM watermarking
Bibliografia e sitografia
- Phan, T. et al., A Survey on LLM Watermarking: Theory and Deployment, arXiv, luglio 2026.
- Xiang, Li, Hu, Liu, AI-Generated Text Detection: Comprehensive Review, CMC-Computers, Materials & Continua, 2025.