دراسة Lasso تكشف أن العلامة المائية النصية تغير رفض نماذج اللغة الكبيرة واستدعاءات الأدوات

قامت الباحثة في Lasso Security أندريا سيبوسوفا في 17 سبتمبر 2026 بنشر ضريبة الأصل: فهم تأثير العلامة المائية للنماذج اللغوية الكبيرة على سلوك وكلاء الذكاء الاصطناعي، وهي دراسة تفيد بأن العلامة المائية النصية SynthID-Text يمكنها تغيير ما إذا كان نموذج اللغة يرفض طلبًا ضارًا وأي استدعاءات أدوات يولدها وكيل الذكاء الاصطناعي. تسمي الدراسة هذا التأثير السلوكي بـ “sampling drift”.

وفقًا للدراسة، صُممت العلامة المائية من أجل الأصل، لكن SynthID-Text يغيّر العملية التي يولد بها النموذج كل رمز لاحق. على مستوى النموذج، يمكن أن يغيّر ذلك سلوك الأمان، بما في ذلك ما إذا كان النموذج يرفض طلبًا ضارًا وما إذا كان هذا الرفض يبقى ساريًا عند حقن المطالبة؛ وعلى مستوى الوكيل، يمكن لنفس الرموز المأخوذة أن تحدد كلًا من الأداة التي يستدعيها الوكيل والوسائط التي يمررها لتلك الأداة. تشير الدراسة إلى أن الانجراف يظهر عمليًا في كل من سلوك الرفض واستدعاءات أدوات الوكيل، وأنه تحت حقن المطالبة جعلت العلامة المائية عدة نماذج أكثر احتمالًا للإجابة على طلبات ضارة كانت سترفضها عادةً، وأن التأثير يعتمد على النموذج والمفتاح، وأن الدرجات المجمعة قد تخفيه عندما تلغي التغييرات في الاتجاهات المتعارضة بعضها البعض.

علامة مائية تنتقل إلى النشر المنظم

في إعلان 14 أغسطس 2026 كيف يعمل العلامة المائية النصية لـ Claude، صرحت Anthropic أن نماذج Claude المستقبلية ستولد نصًا يحتوي على علامة مائية تستند إلى SynthID-Text من Google DeepMind، وهو تعديل تنفذه للامتثال لقانون الذكاء الاصطناعي للاتحاد الأوروبي. أفادت Anthropic أن الطريقة لا تؤثر عمليًا على جودة ومحتوى مخرجات Claude. يصف منشور Lasso القانون الأوروبي بأنه يفرض على مزودي أنظمة الذكاء الاصطناعي التي تولد نصًا اصطناعيًا وضع علامة على المخرجات بصيغة قابلة للقراءة آليًا لتكون قابلة للكشف كمنشأة صناعيًا. كما يشير المنشور إلى أن Anthropic تقول إن العلامة المائية تعمل على مستوى النموذج وتمتد إلى النماذج المدعومة التي يمكن الوصول إليها عبر واجهة برمجة تطبيقات منصة Claude ومزودي السحابة، بحيث يمكن للوكيل المبني على نموذج موسوم بالعلامة المائية تلقي مخرجات موسومة حتى عندما يكون الوكيل نفسه تطبيقًا منفصلًا.

لماذا يغيّر اختيار الرموز السلوك

استخدمت الدراسة تكوين SynthID-Text غير المشوه، الذي يحافظ على توزيع الرموز الأصلي للنموذج في المتوسط عبر عشوائية العلامة المائية، رغم أن أي توليد واحد يُنتج تحت مفتاح ثابت قد يختلف. يستشهد المنشور بـ Dathathri وآخرين، حيث أفادت ورقتهم في مجلة Nature بعدم وجود تدهور ملحوظ في الجودة عبر ما يقرب من عشرين مليون استجابة من Gemini. تؤكد الدراسة أن العلامة المائية غير المشوهة لا تعني سلوكًا متطابقًا تحت مفتاح ثابت: هذا الضمان يُحسب على المتوسط عبر عشوائية العلامة المائية، بينما لا يزال كل مفتاح يغيّر الرموز التي تُختار أثناء توليد النص.

يشرح الدراسة أن أخذ العينات بنظام البطولة يتيح مساحة أكبر لتغيير اختيار الرموز عندما يكون النموذج غير متأكد. في المخرجات المهيكلة مثل JSON، تكون العناصر الهيكلية مثل الأقواس والمفاتيح وأسماء الدوال عادةً سهلة التنبؤ، بينما تترك قيم الوسائط مثل الاستعلامات والأرقام والمسارات والمتلقين مزيدًا من عدم اليقين. وبالتالي، يمكن لتغيير يُعادل تنوعًا معجميًا في النص العادي أن يعيد صياغة حجة ينفذها الوكيل، حتى وإن ظلت أوزان النموذج والمطالبة دون تغيير.

كيف قيّمت الدراسة انجراف العينة

استخدم الباحثون تصميمًا مزدوجًا عبر تجربتين. تم تقييم استدعاء الأدوات على معيار BFCL v4 لمهام AST ذات الدور الواحد، وتم تقييم الرفض على 200 سلوك ضار من HarmBench بالإضافة إلى 100 تحكم غير ضار من JailbreakBench، مع اختبار الطلبات الضارة كلاً من بدون تعديل وتحت تقنية حقن المطالبة الثابتة. تُدرج تلك التقنية تعليمًا عدائيًا في المطالبة كما لو كان محتوى مسترجعًا، تُفيد بأن مرشح الأمان قد تم تعطيله وتوجه النموذج للامتثال؛ استُخدمت التقنية نفسها لكل مطالبة، نموذج، ودرجة حرارة.

أُجريت التجارب عبر معالج logits للعلامة المائية SynthIDTextWatermarkLogitsProcessor غير المعدل من Hugging Face مع 30 طبقة بطولة، وطول n‑gram يبلغ 5، وجدول أخذ عينات بحجم 2^16، وتاريخ سياق يساوي 1,024. تم توليد كل عنصر مع وبدون SynthID باستخدام بذور، دفعات، وترتيب توليد متطابقة في كل درجة حرارة، لذا كان معالج العلامة المائية المتغير الوحيد داخل كل زوج.

دقة استدعاء الأدوات والتقلب

في العناصر التي يُتوقع فيها استدعاء أداة، أفادت الدراسة أن العلامة المائية خفضت الدقة في ستة من النماذج السبعة التي خضعت للاختبار، مع انخفاض كبير في أربعة منها. وبما أن استدعاءً يصبح غير صحيح يمكن تعويضه باستدعاء يصبح صحيحًا، قاس الباحثون أيضًا الاختلاف الزوجي، الذي يسمونه “churn”: نسبة العناصر التي أظهرت تشغيلات العلامة المائية وغير الموسومة نتائج مختلفة. باستخدام مجموعة ثابتة من 1,150 مهمة متوقعة الاستدعاء في كل درجة حرارة، وجدت الدراسة أنه عند درجة حرارة 1.0، اختلفت 16.8% من أحكام استدعاء phi-4 بين الشرطين بينما كان فقدان الدقة الصافي 2.87 نقطة؛ أظهر Llama‑3.1‑8B تقلبًا بنسبة 9.9% مقابل فقدان صافي قدره 0.87 نقطة. عبر 21 تركيبة نموذج‑درجة حرارة، بلغ متوسط التقلب 6.5%، واستثنى فاصل البوتستراب الصفر في كل حالة.

اختلاف ملفات الأخطاء حسب النموذج. في Llama-3.1-8B، كان أكبر مساهمة في فقدان الدقة ناتجة عن الحجج غير الصحيحة بمقدار -3.48 نقطة، تلتها استدعاءات الأدوات الخاطئة بمقدار -1.84 نقطة، بينما في phi-4 وGranite-3.2-8B سيطر الإخراج المشوه بمقدار -5.96 و-4.36 نقطة. يشير المنشور إلى أن استدعاءً مُشكلًا بشكل صحيح للأداة الصحيحة يحمل مسارًا أو مستلمًا أو استعلامًا أو مقدارًا غير صحيح يُعد ذا عواقب خاصة، لأن هذا الاستدعاء يظل يُنفّذ حتى النهاية بينما يقوم بشيء غير ما كان مقصودًا.

الرفض يضعف تحت حقن المطالبة

يتم توليد الرفض أيضًا رمزًا بعد رمز، لذا يمكن للعلامة المائية أن تؤثر عليه. تشير الدراسة إلى أن العلامة المائية تغير سلوك الرفض في الطلبات الضارة البسيطة، مع تزايد التأثير تحت حقن المطالبة، حيث تتحول أكبر التحولات من الرفض إلى الامتثال. عند درجة حرارة 0.001، ارتفع معدل التغيّر (churn) لنموذج gemma-3-27b من 6.0٪ في الطلبات الضارة البسيطة إلى 23.5٪ تحت الحقن، بينما انتقل تغير الامتثال الصافي من -1.0 إلى +12.5 نقطة؛ ارتفع معدل التغيّر لنموذج gemma-3-12b من 7.5٪ إلى 11.0٪، مع انتقال تغير الامتثال الصافي من -0.5 إلى +9.0 نقطة. أظهر نموذج Llama-3.1-8B معدل تغيّر قدره 14.0٪ عند درجة حرارة 0.001 و17.5٪ عند درجة حرارة 0.7 تحت الحقن، رغم أن التغير الصافي لم يكن ذا دلالة إحصائية فردية.

لم يتغير phi-4 وQwen3-4B كثيرًا تحت أي من الشرطين؛ كلاهما يميل إلى الرفض المفرط، بما في ذلك في الضوابط غير الضارة، ويحذر المنشور من أن تحركاتهما الصغيرة لا ينبغي اعتبارها دليلًا على أن العلامة المائية تحافظ على سلوك الأمان في تلك النماذج. لتوضيح الخلاف في السياق، قارنت الدراسة معدل التغيّر الناجم عن العلامة المائية تحت الحقن عند درجة حرارة 0.7 مع معدل التغيّر الناتج عن تغيير درجة الحرارة من 0.001 إلى 0.7 دون علامة مائية. كان معدل التغيّر الناجم عن العلامة المائية أعلى بشكل ملحوظ في أربعة من النماذج الستة؛ سجل Granite-3.2-8B أعلى معدل تغيّر ناتج عن درجة الحرارة بنسبة 15.5٪، وكان معدل التغيّر الناجم عن العلامة المائية أعلى ainda بنسبة 21.5٪.

حساسية المفتاح والتوصيات

نظرًا لأن تأثير SynthID على اختيار الرموز يعتمد على مفتاح العلامة المائية، اختبرت الدراسة أحد عشر مفتاحًا عند درجة حرارة 0.7. بالنسبة لـ Llama-3.1-8B، رفع المفتاح المستخدم في الدراسة نجاح الهجوم بمقدار 3.5 نقاط، بينما متوسط العشرة مفاتيح الأخرى كان +4.4 نقاط وتراوح بين -4.5 إلى +14.5 نقطة. زادت معظم المفاتيح من نجاح الهجوم لكلا نموذجَي Gemma مقارنةً بالخط الأساسي غير المموه، بينما أظهر Granite-3.2-8B استجابة مختلطة، حيث دفعت المفاتيح نجاح الهجوم في كلا الاتجاهين. حيثما يتحكم موفر النموذج في مفتاح العلامة المائية أو تكوينها، يشير المنشور إلى أن مثل هذه التحولات السلوكية يمكن أن تحدث خارج نطاق وصول المطور الذي يبني الوكيل.

توصي الدراسة بإعادة تشغيل تقييمات الوكيل واختبارات الفرق الأحمر باستخدام تكوين العلامة المائية الدقيق المخطط لنشره، مع مقارنة المخرجات المموهة وغير المموهة على مدخلات متطابقة واختبارها تحت حقن المطالبة. لا تُظهر النتائج معارضة للعلامة المائية من أجل الأصل، كما يوضح المنشور: الأصل والاستقرار السلوكي خاصيتان متميزتان، والعلامة المائية القابلة للكشف والتي لا تغير جودة النص لا تضمن أن الوكيل سيحافظ على نفس سلوك استدعاء الأدوات أو الأمان بمجرد تشغيل العلامة المائية. رغم أن الدراسة فحصت SynthID-Text، يضيف المنشور أن القلق يمتد إلى أي تدخل يغيّر طريقة اختيار الرموز في نظام يتعامل مع تلك الرموز.