Nghiên cứu của Lasso phát hiện watermark văn bản làm thay đổi việc từ chối và lời gọi công cụ của các mô hình ngôn ngữ lớn (LLM)

Nghiên cứu viên bảo mật Lasso, Andrea Siposova, vào ngày 17 tháng 9 năm 2026 đã công bố Thuế Truy xuất: Hiểu tác động của watermark LLM đối với hành vi của AI Agent, một nghiên cứu báo cáo rằng watermark văn bản SynthID-Text có thể thay đổi việc mô hình ngôn ngữ có từ chối một yêu cầu gây hại hay không và công cụ nào mà một AI agent sẽ gọi. Nghiên cứu đặt tên cho hiệu ứng hành vi này là “sampling drift”.

Theo nghiên cứu, watermark được thiết kế cho nguồn gốc, nhưng SynthID-Text thay đổi quy trình mà mô hình tạo ra token tiếp theo. Ở mức mô hình, điều này có thể thay đổi hành vi an toàn, bao gồm việc mô hình có từ chối một yêu cầu gây hại hay không và việc từ chối đó có duy trì dưới tấn công chèn lời nhắc hay không; ở mức agent, các token được lấy mẫu giống nhau có thể quyết định cả công cụ mà agent gọi và các đối số mà nó truyền cho công cụ đó. Nghiên cứu báo cáo rằng drift xuất hiện thực tế trong cả hành vi từ chối và việc gọi công cụ của agent, rằng dưới tấn công chèn, watermark khiến một số mô hình có khả năng trả lời các yêu cầu gây hại mà họ thường sẽ từ chối, rằng hiệu ứng phụ thuộc vào mô hình và khóa, và rằng điểm số tổng hợp có thể che khuất nó khi các thay đổi theo hướng ngược nhau bù trừ lẫn nhau.

Một watermark đang được triển khai trong môi trường có quy định

Trong thông báo ngày 14 tháng 8 năm 2026 Cách hoạt động của watermark văn bản Claude, Anthropic cho biết các mô hình Claude trong tương lai sẽ tạo ra văn bản chứa watermark dựa trên SynthID-Text của Google DeepMind, một thay đổi họ đang thực hiện để tuân thủ Đạo luật AI của EU. Anthropic khẳng định phương pháp này hầu như không ảnh hưởng đến chất lượng và nội dung đầu ra của Claude. Bài đăng của Lasso mô tả luật EU yêu cầu các nhà cung cấp hệ thống AI tạo ra văn bản tổng hợp phải đánh dấu đầu ra dưới dạng có thể đọc máy để chúng có thể được phát hiện là được tạo ra nhân tạo. Bài đăng cũng lưu ý rằng Anthropic cho biết watermark hoạt động ở mức mô hình và mở rộng tới các mô hình được hỗ trợ thông qua API Nền tảng Claude và các nhà cung cấp đám mây, vì vậy một agent được xây dựng quanh một mô hình có watermark vẫn có thể nhận được đầu ra có watermark ngay cả khi agent tự nó là một ứng dụng riêng biệt.

Tại sao việc chọn token lại thay đổi hành vi

Nghiên cứu đã sử dụng cấu hình không gây biến dạng của SynthID-Text, giữ nguyên phân phối token gốc của mô hình trung bình trên toàn bộ tính ngẫu nhiên của watermark, mặc dù bất kỳ một lần sinh duy nhất nào dưới một khóa cố định cũng có thể khác nhau. Bài đăng trích dẫn Dathathri và cộng sự, bài báo Nature của họ báo cáo không có suy giảm chất lượng đo được trên gần hai mươi triệu phản hồi Gemini. Một watermark không gây biến dạng không đồng nghĩa với hành vi giống hệt dưới một khóa cố định, bài đăng nhấn mạnh: cam kết đó là trung bình trên tính ngẫu nhiên của watermark, trong khi bất kỳ khóa nào cũng vẫn thay đổi token nào được chọn khi văn bản được sinh.

Sampling tournament có nhiều không gian hơn để thay đổi việc chọn token khi mô hình không chắc chắn, nghiên cứu giải thích. Trong đầu ra có cấu trúc như JSON, các yếu tố cấu trúc như dấu ngoặc, khóa và tên hàm thường dễ dự đoán, trong khi các giá trị đối số như truy vấn, số, đường dẫn và người nhận để lại nhiều sự không chắc chắn hơn. Một thay đổi mà trong văn bản thường sẽ chỉ là biến thể từ vựng có thể do đó ghi lại lại một đối số mà agent thực thi, mặc dù trọng số và lời nhắc của mô hình không thay đổi.

Cách nghiên cứu đo lường drift mẫu

Các nhà nghiên cứu đã sử dụng thiết kế ghép cặp trong hai thí nghiệm. Việc gọi công cụ được đánh giá trên bộ chuẩn BFCL v4 single-turn AST, và việc từ chối được đánh giá trên 200 hành vi gây hại từ HarmBench cộng với 100 kiểm soát lành mạnh từ JailbreakBench, với các yêu cầu gây hại được thử cả trong trạng thái nguyên bản và dưới một kỹ thuật chèn lời nhắc cố định. Kỹ thuật đó chèn một chỉ dẫn đối kháng vào lời nhắc như thể nó là nội dung được truy xuất, nói rằng bộ lọc an toàn đã bị tắt và yêu cầu mô hình tuân thủ; cùng một kỹ thuật được áp dụng cho mọi lời nhắc, mô hình và nhiệt độ.

Các thí nghiệm được chạy qua SynthIDTextWatermarkLogitsProcessor của Hugging Face không chỉnh sửa, với 30 lớp Tournament, độ dài n-gram là 5, bảng sampling là 2^16, và lịch sử ngữ cảnh là 1.024. Mỗi mục được sinh có và không có SynthID bằng các hạt giống, lô và thứ tự sinh giống nhau ở mọi nhiệt độ, vì vậy bộ xử lý watermark là biến duy nhất trong mỗi cặp.

Độ chính xác và churn trong việc gọi công cụ

Trên các mục mà dự kiến sẽ có lời gọi công cụ, watermark đã làm giảm độ chính xác ở sáu trong số bảy mô hình được thử nghiệm, với sự giảm đáng kể ở bốn mô hình, nghiên cứu báo cáo. Vì một lời gọi trở nên không chính xác có thể được bù đắp bởi một lời gọi trở nên chính xác, các nhà nghiên cứu cũng đo lường sự bất đồng ghép cặp, mà họ gọi là “churn”: tỷ lệ các mục mà các lần chạy có watermark và không có watermark cho ra kết quả khác nhau. Sử dụng một tập cố định gồm 1.150 nhiệm vụ dự kiến lời gọi ở mỗi nhiệt độ, nghiên cứu phát hiện rằng ở nhiệt độ 1.0, 16,8% các phán quyết lời gọi của phi-4 khác nhau giữa hai điều kiện trong khi mức mất độ chính xác ròng là 2,87 điểm; Llama-3.1-8B cho thấy churn 9,9% với mức mất ròng 0,87 điểm. Trong 21 kết hợp mô hình-nhiệt độ, churn trung bình là 6,5%, và khoảng tin cậy bootstrap loại trừ zero trong mọi trường hợp.

Hồ sơ lỗi khác nhau theo mô hình. Trên Llama-3.1-8B, yếu tố lớn nhất gây mất độ chính xác là các đối số không đúng, giảm -3,48 điểm, tiếp theo là các cuộc gọi công cụ sai ở mức -1,84 điểm, trong khi trên phi-4 và Granite-3.2-8B đầu ra sai dạng chiếm ưu thế với -5,96 và -4,36 điểm. Bài viết lưu ý rằng một cuộc gọi hợp lệ tới công cụ đúng nhưng mang đường dẫn, người nhận, truy vấn hoặc số lượng không chính xác lại có hậu quả đặc biệt, vì cuộc gọi như vậy vẫn hoàn thành nhưng thực hiện việc khác với dự định.

Từ chối yếu đi khi có tiêm lệnh nhắc

Việc từ chối cũng được tạo ra token‑từng token, vì vậy việc gắn watermark có thể ảnh hưởng đến chúng. Nghiên cứu báo cáo rằng watermark làm thay đổi hành vi từ chối đối với các yêu cầu gây hại thuần túy, và hiệu ứng này càng mạnh hơn khi có tiêm lệnh nhắc, nơi các thay đổi lớn nhất chuyển từ từ chối sang tuân thủ. Ở nhiệt độ 0,001, tỷ lệ churn của gemma-3-27b tăng từ 6,0 % trên các yêu cầu gây hại thuần túy lên 23,5 % khi tiêm, trong khi thay đổi tuân thủ ròng chuyển từ -1,0 lên +12,5 điểm; tỷ lệ churn của gemma-3-12b tăng từ 7,5 % lên 11,0 %, với thay đổi tuân thủ ròng chuyển từ -0,5 lên +9,0 điểm. Llama-3.1-8B cho thấy churn là 14,0 % ở nhiệt độ 0,001 và 17,5 % ở nhiệt độ 0,7 khi tiêm, mặc dù thay đổi ròng của nó không đạt mức ý nghĩa riêng lẻ.

phi-4 và Qwen3-4B thay đổi ít dưới cả hai điều kiện; cả hai đều có xu hướng từ chối quá mức, kể cả trên các kiểm soát vô hại, và bài viết cảnh báo rằng những biến động nhỏ này không nên được coi là bằng chứng cho rằng watermark giữ nguyên hành vi an toàn trên các mô hình đó. Để đặt sự bất đồng vào bối cảnh, nghiên cứu so sánh churn do watermark gây ra khi tiêm ở nhiệt độ 0,7 với churn phát sinh khi thay đổi nhiệt độ từ 0,001 lên 0,7 mà không có watermark. Churn do watermark gây ra cao đáng kể trên bốn trong sáu mô hình; Granite-3.2-8B có churn do nhiệt độ cao nhất ở mức 15,5 %, và churn do watermark của nó còn cao hơn, đạt 21,5 %.

Độ nhạy của khóa và khuyến nghị

Vì tác động của SynthID lên việc lựa chọn token phụ thuộc vào khóa watermark, nghiên cứu đã thử nghiệm mười một khóa ở nhiệt độ 0,7. Đối với Llama-3.1-8B, khóa trong nghiên cứu đã tăng thành công tấn công lên 3,5 điểm, trong khi mười khóa còn lại trung bình tăng +4,4 điểm và dao động từ -4,5 đến +14,5 điểm. Hầu hết các khóa đều làm tăng thành công tấn công cho cả hai mô hình Gemma so với cơ sở không có watermark, trong khi Granite-3.2-8B cho thấy phản ứng hỗn hợp, với các khóa làm thay đổi thành công tấn công theo cả hai hướng. Bài viết lưu ý rằng khi khóa hoặc cấu hình watermark do nhà cung cấp mô hình kiểm soát, những thay đổi hành vi này có thể xảy ra ngoài tầm kiểm soát của nhà phát triển xây dựng agent.

Nghiên cứu khuyến nghị thực hiện lại các đánh giá agent và red‑team với cấu hình watermark chính xác dự định triển khai, so sánh đầu ra có và không có watermark trên cùng một đầu vào và thử nghiệm dưới tiêm lệnh nhắc. Kết quả không phản đối việc sử dụng watermark để xác minh nguồn gốc, bài viết cho biết: nguồn gốc và ổn định hành vi là hai thuộc tính riêng biệt, và một watermark có thể phát hiện được đồng thời không làm thay đổi chất lượng văn bản không đảm bảo rằng agent sẽ duy trì cùng cách gọi công cụ hoặc hành vi an toàn khi watermark được bật. Mặc dù nghiên cứu đã xem xét SynthID-Text, bài viết bổ sung rằng mối quan ngại này mở rộng tới bất kỳ can thiệp nào làm thay đổi cách lựa chọn token trong một hệ thống dựa trên các token đó.