Un modello aperto con il tipo di filigrana che Claude usa oggi, a cui si chiedeva cinque volte lo stesso testo, ha dato due risposte con almeno 30 parole iniziali identiche in 24 richieste su 30. Senza filigrana, in nessuna

Un consulente ha chiesto cinque volte a un modello aperto di IA circa 250 parole in prima persona sul ricordo di un viaggio in una cittadina di mare, con una filigrana digitale attiva. Tutte e cinque le risposte cominciavano con «My heart still…» («Il mio cuore ancora…»). Due erano identiche per le prime 43 parole, fino a «it was the perfect escape from the urban chaos». Senza filigrana, lo stesso modello ha aperto tre risposte con «Last summer» e due con «My heart still skips a beat», e nessuna coppia aveva in comune più di 11 parole iniziali. Su 30 richieste diverse, a temperatura 1, in 24 casi almeno due delle cinque risposte con filigrana si aprivano con 30 o più parole identiche. Senza filigrana non è mai successo: l’inizio comune più lungo era di 17 parole.

Il metodo si chiama SynthID-Text: Google DeepMind lo ha pubblicato su Nature nell’ottobre 2024 e da allora lo usa nell’app di Gemini. Il 14 agosto Anthropic ha annunciato che ne avrebbe applicato una versione anche ai testi di Claude, per rispettare il codice di buone pratiche dell’AI Act europeo sulla trasparenza dei contenuti generati; la sua pagina di assistenza, aggiornata il 28 ottobre, indica che la filigrana è presente nei testi dei modelli attuali, fra cui Fable 5.1, Opus 5.5, Sonnet 5.5 e Haiku 5.5. L’idea è questa: quando il modello deve scegliere fra due parole quasi equivalenti, «overcast» o «grey» nell’esempio di Anthropic, a decidere non è un normale numero casuale ma una chiave segreta combinata con le poche parole precedenti. Chi ha la chiave può poi verificare se un testo segue quello schema. «Watermarking does not impact the quality of Claude’s output», scrive Anthropic: la filigrana non incide sulla qualità delle risposte. Nei test interni l’azienda non ha visto «nessun impatto» su contenuto, creatività o leggibilità. Cita anche l’esperimento di Google su circa 20 milioni di risposte di Gemini, in cui la quota di pollici in su e in giù non è cambiata in modo significativo, e un confronto diretto in cui i valutatori, vedendo le due versioni affiancate, non hanno notato differenze.

Sono tutte prove che giudicano una risposta alla volta. Il supplemento di 56 pagine che accompagna l’articolo su Nature è più preciso. La filigrana è costruita in modo che ogni singola risposta sia, in media, buona quanto una senza filigrana; ma questo, scrivono gli autori, «does not necessarily preserve diversity across multiple responses»: non garantisce la varietà fra più risposte. Se si chiedono più risposte alla stessa richiesta, con la filigrana queste si somigliano fra loro più che senza. Gli autori aggiungono che il fenomeno potrebbe abbassare la qualità complessiva di un sistema che genera molte risposte e poi sceglie la migliore, e che un malintenzionato potrebbe sfruttare queste tendenze ricorrenti per rubare la filigrana. Il rimedio che indicano, disattivarla più spesso, la rende più difficile da rilevare. Il 24 agosto il blogger Keyvan ha fatto notare la distanza fra questo passaggio e la frase di Anthropic.

Natzir Turrado, consulente spagnolo di posizionamento sui motori di ricerca e di analisi dei dati, ha misurato il fenomeno. In un articolo uscito il 18 agosto e aggiornato il 24 ottobre, con codice e dati su GitHub, ha usato l’implementazione aperta di SynthID-Text pubblicata da Google, con una propria chiave e le impostazioni dell’articolo, facendola girare su un portatile con Qwen2.5-7B-Instruct compresso a 4 bit. È una replica del metodo, non la filigrana di Claude: la chiave ce l’ha solo Anthropic, e il suo servizio di rilevamento è aperto soltanto ad alcune organizzazioni. Guardando una risposta alla volta, Turrado non ha trovato differenze misurabili. Su 100 testi in inglese la perplessità media, calcolata con un modello di un’altra famiglia, Llama-3.1-8B, era 5,27 con la filigrana e 5,42 senza, una differenza statisticamente non significativa. Un modello linguistico, a cui erano state sottoposte le due versioni in entrambi gli ordini, ha preferito in modo coerente quella con filigrana 5 volte, quella senza 7 volte e nessuna delle due nelle altre 88.

Poi ha chiesto cinque risposte per ciascuna di 30 richieste, dall’importanza del sonno a un racconto su un guardiano del faro, con e senza filigrana, a temperatura 1 e 0,7. Con il Self-BLEU, lo stesso indice usato nell’articolo su Nature, ha misurato quanto ogni risposta riprende le sequenze di parole delle altre quattro: 0 vuol dire nessuna sequenza in comune, 100 testi identici. A temperatura 1 il valore era 38,6 con la filigrana e 19,4 senza, più alto con la filigrana in tutte e 30 le richieste; a 0,7 era 45,8 contro 28,6, più alto in 27 richieste su 30. Liminal Finds ha scaricato le 600 risposte pubblicate e ha ricalcolato questi valori con il metodo usato nel codice di Turrado, ottenendo gli stessi numeri. Il conteggio degli inizi identici riportato nel primo paragrafo è nostro, non suo. A temperatura 0,7 la mediana dell’inizio comune più lungo era di 62,5 parole con la filigrana e di 8 senza, e in 5 richieste due risposte con filigrana avevano in comune più di 100 parole; nessuna coppia di risposte era identica dall’inizio alla fine.

A risentirne non è la singola risposta che si legge, ma tutto ciò che si basa sul chiedere più di una volta: premere il pulsante per rigenerare una risposta, far scrivere più bozze e tenere la migliore, ripetere una domanda per vedere se le risposte concordano. Se, a parità di richiesta, la filigrana spinge verso le stesse parole, il fatto che le risposte concordino dice meno di quanto sembri. È una deduzione tratta dalla replica e dal testo stesso dell’articolo; nessuno ha pubblicato una misura del genere su Claude.

I limiti sono considerevoli. La replica ha usato un modello da 7 miliardi di parametri, una sola chiave, 30 richieste in inglese, ciascuna per un breve articolo, e la configurazione dell’articolo su Nature; Anthropic non ha reso noto come sia configurata la sua filigrana. Il Self-BLEU misura le sequenze di parole in comune, non la qualità percepita dalle persone. Quando Turrado ha pubblicato il risultato su X, Sumanth Dathathri, uno degli autori di SynthID-Text in Google DeepMind, gli ha risposto il 20 agosto: «There's a lot of easy fixes to the diversity issue. I think if you tried the same prompt with Gemini/Claude many times, you'd get very diverse responses :)». In sostanza: ci sono molti modi semplici per risolvere il problema della varietà e, secondo lui, chiedendo molte volte la stessa cosa a Gemini o a Claude si otterrebbero risposte molto diverse. Turrado ha replicato che i suoi test usavano l’implementazione aperta con la configurazione predefinita, ha riconosciuto che i modelli effettivamente in uso potevano comportarsi diversamente e ha chiesto quali soluzioni non indebolissero il rilevamento. Nel suo post, Keyvan scriveva che una risposta non era ancora arrivata.