การศึกษาของ Lasso พบว่าการใส่ลายน้ำข้อความทำให้การปฏิเสธของ LLM และการเรียกใช้เครื่องมือเปลี่ยนแปลง

นักวิจัยจาก Lasso Security แอนเดรีย ซิโปโซวา ในวันที่ 17 กันยายน 2026 ได้เผยแพร่ ภาษีการอ้างอิง: ทำความเข้าใจผลกระทบของการใส่ลายน้ำ LLM ต่อพฤติกรรมของเอเจนต์ AI ซึ่งเป็นการศึกษาที่รายงานว่าการใส่ลายน้ำข้อความ SynthID-Text สามารถเปลี่ยนแปลงว่ารุ่นภาษา จะปฏิเสธคำขอที่เป็นอันตรายหรือไม่และเครื่องมือที่เอเจนต์ AI สร้างขึ้น การศึกษานี้ตั้งชื่อผลกระทบด้านพฤติกรรมว่า “sampling drift”.

ตามการศึกษา การใส่ลายน้ำถูกออกแบบเพื่อ การอ้างอิง แต่ SynthID-Text เปลี่ยนกระบวนการที่โมเดลสร้างโทเคนต่อไปแต่ละอัน ในระดับโมเดล สิ่งนี้อาจเปลี่ยนพฤติกรรมด้านความปลอดภัย รวมถึงว่ามodel จะปฏิเสธคำขอที่เป็นอันตรายหรือไม่และว่าการปฏิเสธนั้นยังคงอยู่ภายใต้การฉีดคำสั่งหรือไม่; ในระดับเอเจนต์ โทเคนที่สุ่มเลือกเดียวกันสามารถกำหนดทั้งเครื่องมือที่เอเจนต์เรียกใช้และอาร์กิวเมนต์ที่ส่งให้เครื่องมือนั้นได้ การศึกษารายงานว่าการเบี่ยงเบนนี้ปรากฏในทางปฏิบัติทั้งในพฤติกรรมการปฏิเสธและการเรียกใช้เครื่องมือของเอเจนต์ว่า ภายใต้การฉีดคำสั่ง การใส่ลายน้ำทำให้หลายโมเดลมีแนวโน้มที่จะตอบคำขอที่เป็นอันตรายที่ปกติจะปฏิเสธ ผลกระทบนี้ขึ้นอยู่กับโมเดลและคีย์ และคะแนนรวมอาจทำให้มองไม่เห็นเมื่อการเปลี่ยนแปลงในทิศทางตรงข้ามกันทำให้ยกเลิกกัน

ลายน้ำที่กำลังเข้าสู่การปรับใช้ตามกฎระเบียบ

ในการประกาศเมื่อวันที่ 14 สิงหาคม 2026 วิธีการทำงานของลายน้ำข้อความของ Claude Anthropic กล่าวว่ารุ่น Claude ในอนาคตจะสร้างข้อความที่มีลายน้ำอิงจาก SynthID-Text ของ Google DeepMind ซึ่งเป็นการเปลี่ยนแปลงที่ดำเนินการเพื่อให้สอดคล้องกับกฎหมาย AI ของสหภาพยุโรป Anthropic ระบุว่าวิธีการนี้ทำให้คุณภาพและเนื้อหาของผลลัพธ์จาก Claude แทบไม่มีการเปลี่ยนแปลง โพสต์ของ Lasso อธิบายว่ากฎหมายของสหภาพยุโรปกำหนดให้ผู้ให้บริการระบบ AI ที่สร้างข้อความสังเคราะห์ต้องทำเครื่องหมายผลลัพธ์ในรูปแบบที่เครื่องจักรอ่านได้เพื่อให้สามารถตรวจจับว่าเป็นการสร้างโดยปัญญาประดิษฐ์ได้ โพสต์ยังกล่าวว่า Anthropic ระบุว่าลายน้ำทำงานในระดับโมเดลและขยายไปยังโมเดลที่สนับสนุนผ่าน Claude Platform API และผู้ให้บริการคลาวด์ ดังนั้นเอเจนต์ที่สร้างบนโมเดลที่มีลายน้ำสามารถรับผลลัพธ์ที่มีลายน้ำได้แม้ว่าเอเจนต์เองจะเป็นแอปพลิเคชันแยกต่างหาก

ทำไมการเลือกโทเคนจึงเปลี่ยนพฤติกรรม

การศึกษานี้ใช้การกำหนดค่าที่ไม่ทำให้เกิดการบิดเบือนของ SynthID-Text ซึ่งรักษาการกระจายโทเคนดั้งเดิมของโมเดลโดยเฉลี่ยผ่านความสุ่มของลายน้ำ แม้ว่าการสร้างแต่ละครั้งภายใต้คีย์คงที่หนึ่งอาจแตกต่างกัน โพสต์อ้างอิงงานของ Dathathri et al. ซึ่งบทความใน Nature รายงานว่าไม่มีการเสื่อมคุณภาพที่วัดได้ในประมาณสองสิบล้านการตอบของ Gemini การใส่ลายน้ำที่ไม่ทำให้เกิดการบิดเบือนไม่ได้หมายความว่าพฤติกรรมจะเหมือนกันภายใต้คีย์คงที่หนึ่ง ตามที่โพสต์เน้นว่า การรับประกันนั้นเป็นค่าเฉลี่ยผ่านความสุ่มของลายน้ำ ในขณะที่คีย์ใดคีย์หนึ่งยังคงเปลี่ยนแปลงว่าโทเคนใดจะถูกเลือกเมื่อข้อความถูกสร้าง

การสุ่มแบบ Tournament มีพื้นที่มากขึ้นในการเปลี่ยนแปลงการเลือกโทเคนเมื่อโมเดลไม่แน่นอน การศึกษาชี้แจงว่าในผลลัพธ์ที่มีโครงสร้างเช่น JSON ส่วนประกอบเชิงโครงสร้างเช่น เครื่องหมายปีกกา คีย์ และชื่อฟังก์ชันมักจะคาดเดาได้ง่าย ส่วนค่าของอาร์กิวเมนต์เช่น คำค้น ตัวเลข เส้นทาง และผู้รับนั้นมีความไม่แน่นอนมากกว่า การเปลี่ยนแปลงที่อาจเป็นความแปรผันทางพจนานุกรมในข้อความธรรมดาจึงสามารถเขียนทับอาร์กิวเมนต์ที่เอเจนต์ดำเนินการได้ แม้ว่าน้ำหนักและพรอมต์ของโมเดลจะคงเดิม

วิธีที่การศึกษาวัดการเบี่ยงเบนการสุ่ม

นักวิจัยใช้การออกแบบแบบคู่ขนานในสองการทดลอง การเรียกใช้เครื่องมือถูกประเมินบนเกณฑ์ BFCL v4 แบบรอบเดียว AST benchmark และการปฏิเสธบนพฤติกรรมอันตราย 200 รายการจาก HarmBench พร้อมกับการควบคุมที่ไม่มีอันตราย 100 รายการจาก JailbreakBench โดยคำขอที่เป็นอันตรายถูกทดสอบทั้งในสภาพเปล่าและภายใต้เทคนิคการฉีดพรอมต์คงที่หนึ่ง เทคนิคนี้แทรกคำสั่งฝ่ายตรงข้ามลงในพรอมต์เสมือนเป็นเนื้อหาที่ดึงมา โดยระบุว่าฟิลเตอร์ความปลอดภัยถูกปิดและสั่งให้โมเดลปฏิบัติตาม; เทคนิคเดียวกันถูกใช้กับทุกพรอมต์ โมเดล และอุณหภูมิ

การทดลองดำเนินการผ่าน SynthIDTextWatermarkLogitsProcessor ของ Hugging Face ที่ไม่ได้แก้ไขโดยมีชั้น Tournament 30 ชั้น ความยาว n‑gram ที่ 5 ตารางการสุ่มที่ 2^16 และประวัติคอนเท็กซ์ที่ 1,024 แต่ละรายการถูกสร้างขึ้นโดยมีและไม่มี SynthID โดยใช้เมล็ดเดียวกัน, batch เดียวกัน, และลำดับการสร้างที่ทุกอุณหภูมิ ดังนั้นตัวประมวลผลลายน้ำจึงเป็นตัวแปรเดียวภายในแต่ละคู่

ความแม่นยำในการเรียกเครื่องมือและ churn

ในรายการที่คาดว่าจะมีการเรียกเครื่องมือ การใส่ลายน้ำทำให้ความแม่นยำลดลงในหกจากเจ็ดโมเดลที่ทดสอบ โดยมีการลดลงอย่างมีนัยสำคัญในสี่โมเดลตามที่การศึกษารายงาน เนื่องจากการเรียกที่กลายเป็นไม่ถูกต้องอาจถูกชดเชยด้วยการเรียกที่กลายเป็นถูกต้อง นักวิจัยจึงวัดความไม่สอดคล้องแบบคู่ซึ่งพวกเขาเรียกว่า “churn”: ส่วนแบ่งของรายการที่ผลลัพธ์ของการรันที่มีลายน้ำและไม่มีลายน้ำแตกต่างกัน โดยใช้ชุดคงที่ของงานที่คาดว่าจะมีการเรียก 1,150 งานที่แต่ละอุณหภูมิ การศึกษาพบว่าเมื่ออุณหภูมิเป็น 1.0, 16.8% ของการตัดสินใจการเรียกของ phi-4 แตกต่างกันระหว่างเงื่อนไขในขณะที่การสูญเสียความแม่นยำสุทธิอยู่ที่ 2.87 คะแนน; Llama-3.1-8B มี churn 9.9% กับการสูญเสียสุทธิ 0.87 คะแนน ในทั้งหมด 21 การผสมโมเดล‑อุณหภูมิ churn เฉลี่ย 6.5% และช่วงความเชื่อมั่นแบบ bootstrap ไม่รวมศูนย์ในทุกกรณี

โปรไฟล์ข้อผิดพลาดแตกต่างกันตามโมเดล ใน Llama-3.1-8B ส่วนที่ทำให้ความแม่นยำลดลงมากที่สุดมาจากอาร์กิวเมนต์ที่ไม่ถูกต้องที่ -3.48 คะแนน ตามด้วยการเรียกเครื่องมือที่ผิดพลาดที่ -1.84 คะแนน ในขณะที่ใน phi-4 และ Granite-3.2-8B ผลลัพธ์ที่บิดเบือนเป็นสาเหตุหลักที่ทำให้ความแม่นยำลดลงที่ -5.96 และ -4.36 คะแนน การเรียกเครื่องมือที่ถูกต้องแต่มีเส้นทาง ผู้รับ คำถาม หรือจำนวนที่ไม่ถูกต้องนั้นมีผลกระทบอย่างมากตามที่โพสต์ระบุ เพราะการเรียกดังกล่าวยังคงดำเนินการจนเสร็จสมบูรณ์แม้ว่าจะทำสิ่งที่ไม่ตรงกับเจตนาที่ตั้งไว้

การปฏิเสธอ่อนแอลงเมื่อมีการฉีดคำสั่ง

การปฏิเสธก็ถูกสร้างขึ้นแบบโทเคนต่อโทเคนเช่นกัน ดังนั้นการใส่ลายน้ำจึงอาจส่งผลต่อการปฏิเสธได้ การศึกษาแสดงว่าการใส่ลายน้ำทำให้พฤติกรรมการปฏิเสธเปลี่ยนแปลงในคำขอที่เป็นอันตรายโดยตรง โดยผลกระทบจะแรงขึ้นเมื่อมีการฉีดคำสั่ง ซึ่งการเปลี่ยนแปลงที่ใหญ่ที่สุดคือจากการปฏิเสธไปสู่การยอมรับ ที่อุณหภูมิ 0.001 churn ของ gemma-3-27b เพิ่มจาก 6.0% ในคำขอที่เป็นอันตรายโดยตรงเป็น 23.5% ภายใต้การฉีดคำสั่ง ในขณะที่การเปลี่ยนแปลงการยอมรับสุทธิเปลี่ยนจาก -1.0 เป็น +12.5 คะแนน; churn ของ gemma-3-12b เพิ่มจาก 7.5% เป็น 11.0% โดยการเปลี่ยนแปลงการยอมรับสุทธิเปลี่ยนจาก -0.5 เป็น +9.0 คะแนน Llama-3.1-8B มี churn 14.0% ที่อุณหภูมิ 0.001 และ 17.5% ที่อุณหภูมิ 0.7 ภายใต้การฉีดคำสั่ง แม้ว่าการเปลี่ยนแปลงสุทธิของมันจะไม่สำคัญอย่างเด่นชัด

phi-4 และ Qwen3-4B มีการเปลี่ยนแปลงเพียงเล็กน้อยในทั้งสองเงื่อนไข; ทั้งสองมักจะปฏิเสธเกินไป รวมถึงในกรณีควบคุมที่ไม่มีอันตราย และโพสต์เตือนว่าการเคลื่อนที่เล็กน้อยเหล่านี้ไม่ควรถือเป็นหลักฐานว่าการใส่ลายน้ำทำให้พฤติกรรมด้านความปลอดภัยคงที่ในโมเดลเหล่านั้น เพื่อให้เข้าใจความไม่สอดคล้องนี้ การศึกษาเปรียบเทียบ churn ที่เกิดจากลายน้ำภายใต้การฉีดคำสั่งที่อุณหภูมิ 0.7 กับ churn ที่เกิดจากการเปลี่ยนอุณหภูมิจาก 0.001 ไปเป็น 0.7 โดยไม่มีลายน้ำ พบว่าการ churn ที่เกิดจากลายน้ำสูงกว่ามากในสี่จากหกโมเดล; Granite-3.2-8B มี churn ที่เกิดจากอุณหภูมิสูงสุดที่ 15.5% และ churn ที่เกิดจากลายน้ำสูงกว่านั้นที่ 21.5%

ความไวต่อคีย์และคำแนะนำ

เนื่องจากผลของ SynthID ต่อการเลือกโทเคนขึ้นอยู่กับคีย์ของลายน้ำ การศึกษาได้ทดสอบคีย์จำนวนสิบเอ็ดคีย์ที่อุณหภูมิ 0.7 สำหรับ Llama-3.1-8B คีย์ที่ใช้ในการศึกษานี้ทำให้ความสำเร็จของการโจมตีเพิ่มขึ้น 3.5 คะแนน ในขณะที่คีย์อีกสิบคีย์ที่เหลือมีค่าเฉลี่ยเพิ่มขึ้น +4.4 คะแนนและมีช่วงตั้งแต่ -4.5 ถึง +14.5 คะแนน คีย์ส่วนใหญ่ทำให้ความสำเร็จของการโจมตีเพิ่มขึ้นสำหรับโมเดล Gemma ทั้งสองเมื่อเทียบกับฐานที่ไม่มีลายน้ำ ในขณะที่ Granite-3.2-8B แสดงการตอบสนองที่หลากหลาย โดยคีย์บางตัวทำให้ความสำเร็จของการโจมตีเพิ่มขึ้นและบางตัวลดลง เมื่อคีย์หรือการกำหนดค่าของลายน้ำถูกควบคุมโดยผู้ให้บริการโมเดล ตามที่โพสต์ระบุ การเปลี่ยนแปลงพฤติกรรมเหล่านี้อาจเกิดขึ้นโดยที่นักพัฒนาที่สร้างเอเจนต์ไม่สามารถเข้าถึงได้

การศึกษาขอแนะนำให้ทำการประเมินเอเจนต์และการทดสอบ Red‑Team อีกครั้งโดยใช้การกำหนดค่าลายน้ำที่วางแผนจะใช้งานจริง เปรียบเทียบผลลัพธ์ที่มีลายน้ำและไม่มีลายน้ำบนอินพุตเดียวกันและทดสอบภายใต้การฉีดคำสั่ง ผลลัพธ์ไม่ได้โต้แย้งการใช้ลายน้ำเพื่อระบุแหล่งที่มา ตามที่โพสต์ระบุ: การระบุแหล่งที่มาและความเสถียรของพฤติกรรมเป็นคุณสมบัติที่แตกต่างกัน และลายน้ำที่ตรวจจับได้และไม่ทำให้คุณภาพข้อความเปลี่ยนแปลงไม่ได้รับประกันว่าเอเจนต์จะคงพฤติกรรมการเรียกเครื่องมือหรือความปลอดภัยเหมือนเดิมเมื่อเปิดใช้งานลายน้ำ แม้ว่าการศึกษาได้ตรวจสอบ SynthID‑Text แต่โพสต์ยังเพิ่มว่าความกังวลนี้ขยายไปถึงการแทรกแซงใด ๆ ที่เปลี่ยนวิธีการเลือกโทเคนในระบบที่ทำงานบนโทเคนเหล่านั้น