Watermark LLM là gì? Watermark văn bản AI: cách hoạt động, phương pháp và cách các hãng triển khai

Làm thế nào để nhận ra văn bản do AI viết? Nghiên cứu cho thấy các công cụ phát hiện AI dựa trên đặc điểm văn bản có thể bị qua mặt dễ dàng chỉ bằng cách diễn đạt lại. Vì vậy, watermark LLM (LLM watermarking), tức chèn dấu hiệu vô hình ngay ở giai đoạn AI tạo văn bản, đang được chú ý. Sau khi Google bắt đầu dùng trên Gemini năm 2024, đến năm 2026 Anthropic và OpenAI cũng bắt đầu chèn watermark vào văn bản do AI của mình tạo ra, và các quy định cũng bắt đầu yêu cầu điều này. Bài viết này tổng hợp cách hoạt động, các phương pháp chính, giới hạn và cách các hãng triển khai watermark LLM, dựa trên các bài báo khoa học và thông tin chính thức tại thời điểm ngày 9 tháng 10 năm 2026.

Watermark LLM là gì

Watermark LLM là công nghệ nhúng dấu hiệu thống kê mà con người không nhận ra vào văn bản do LLM (mô hình ngôn ngữ lớn) tạo ra. Công nghệ này không thêm ký hiệu hay ký tự vô hình vào văn bản, mà để lại dấu hiệu bằng cách làm lệch rất nhẹ cách AI chọn từ tiếp theo.

Khi tạo văn bản, LLM gán xác suất cho các ứng viên của từ tiếp theo (chính xác hơn là token), rồi chọn một từ trong số đó, và lặp lại quá trình này. Watermark LLM bổ sung vào cách chọn này một quy tắc dựa trên khóa bí mật. Người biết khóa có thể nhìn văn bản và xác nhận bằng thống kê rằng "số từ tuân theo quy tắc nhiều đến mức khó có thể là ngẫu nhiên".

Khác biệt với công cụ phát hiện AI và C2PA

Ngoài watermark LLM, còn có các cách sau để nhận biết văn bản do AI viết.

Công cụ phát hiện AI: Ước đoán mức độ "giống AI" từ đặc điểm văn bản sau khi đã viết. Dùng được cả khi không có dấu hiệu, nhưng chỉ là ước đoán. Một nghiên cứu cho thấy chỉ cần diễn đạt lại bằng một AI khác, tỷ lệ phát hiện của một công cụ (DetectGPT) đã giảm từ 70,3% xuống 4,6%
C2PA (Content Credentials): Gắn thông tin nguồn gốc có chữ ký vào tệp. Phù hợp với tệp hình ảnh hay tài liệu, nhưng không thể gắn vào văn bản thông thường được sao chép và dán

Anthropic cũng phân chia cách dùng với đầu ra của Claude: watermark cho văn bản và C2PA cho tệp được tạo. Về C2PA, xem bài "C2PA là gì".

Các phương pháp chính

Watermark LLM có một số nhánh. Dưới đây là các phương pháp tiêu biểu.

Phương pháp green list

Phương pháp tiêu biểu do các nhà nghiên cứu Đại học Maryland công bố năm 2023 (Kirchenbauer và cộng sự, ICML 2023).

Mỗi lần, chia lại từ vựng thành "green list" (danh sách xanh) và "red list" (danh sách đỏ) dựa trên từ ngay trước đó và khóa
Cộng thêm điểm để các từ trong green list dễ được chọn hơn một chút
Khi phát hiện, đếm số từ thuộc green list và kiểm định thống kê xem số đó có nhiều đến mức không thể giải thích bằng ngẫu nhiên hay không

Bài báo cho thấy tỷ lệ phát hiện khoảng 98% trở lên với văn bản 200 token. Cơ chế dễ hiểu và đã được triển khai trong Transformers của Hugging Face. Mặt khác, vì làm lệch cách chọn từ, phương pháp này có thể ảnh hưởng nhẹ đến chất lượng văn bản.

Phương pháp không làm thay đổi phân phối

Để loại bỏ ảnh hưởng đến chất lượng văn bản, các phương pháp chèn watermark mà không thay đổi chính xác suất AI vốn sẽ chọn cũng đang được nghiên cứu.

Phương pháp Aaronson: Phương pháp do nhà khoa học máy tính Scott Aaronson giới thiệu năm 2022 khi đang nghiên cứu tại OpenAI. Việc chọn từ được quyết định bằng số ngẫu nhiên tạo từ khóa, và ông cho rằng vài trăm token là đủ để có dấu hiệu rõ ràng
Phương pháp bền vững: Các nhà nghiên cứu Đại học Stanford đưa ra phương pháp vẫn phát hiện được dù 40–50% số từ bị thay đổi ngẫu nhiên (Kuditipudi và cộng sự, 2023)
Watermark không thể phân biệt: Cũng có nghiên cứu chứng minh về mặt lý thuyết rằng nếu không có khóa thì việc phân biệt văn bản có watermark với văn bản gốc của AI là khó về mặt tính toán (Christ và cộng sự, 2023)

SynthID Text của Google và textGrain của OpenAI cũng dựa trên tư tưởng "giữ nguyên chất lượng" này.

Các phương pháp khác

Ngoài ra còn có các đề xuất như chèn watermark theo đơn vị ý nghĩa của câu thay vì từng từ để chịu được việc diễn đạt lại (như SemStamp), nhúng thông tin như ID người dùng, hoặc công khai khóa để ai cũng có thể xác minh.

Nguyên lý phát hiện

Việc phát hiện watermark LLM có các đặc điểm sau.

Cần có khóa: Với nhiều phương pháp, không thể phát hiện nếu không có khóa bí mật đã dùng khi chèn watermark. Vì vậy, về cơ bản chỉ công ty đã chèn watermark hoặc người được chia sẻ khóa mới phát hiện được.
Kết quả được thể hiện bằng xác suất: Kết quả phát hiện là phán định mang tính xác suất như "nhiều khả năng có watermark", "không có" hoặc "không xác định được".
Cần độ dài nhất định: Văn bản ngắn không cho phép phán định thống kê. Nghiên cứu thường đánh giá với văn bản khoảng 200 token, và với textGrain của OpenAI, trong điều kiện giới hạn tỷ lệ nhận diện sai ở 1%, văn bản thuộc các lĩnh vực như tâm lý học có tỷ lệ phát hiện khoảng 80% ở 200 token và khoảng 95% ở 400 token.
Khó chèn vào văn bản có đáp án cố định: Khi từ tiếp theo gần như đã được xác định, như mã chương trình, văn bản theo mẫu hay câu trả lời mang tính sự thật, sẽ ít dư địa để làm lệch cách chọn, nên watermark yếu đi.

Điểm yếu và tấn công

Watermark LLM có những điểm yếu đã được biết đến qua nghiên cứu.

Diễn đạt lại: Nếu diễn đạt lại bằng một AI khác, watermark yếu đi đáng kể. OpenAI công bố rằng nếu thay 25% số từ bằng từ đồng nghĩa, tỷ lệ phát hiện của textGrain giảm xuống 17%.
Dịch thuật: Nghiên cứu đã chỉ ra rằng nếu cho AI tạo văn bản bằng một ngôn ngữ khác rồi dịch lại, watermark sẽ biến mất.
Tấn công bằng emoji: Cũng có thủ đoạn yêu cầu AI chèn emoji giữa mỗi từ, rồi xóa emoji đi để phá watermark.
Giả mạo (spoofing): Các cuộc tấn công suy đoán quy tắc của watermark rồi làm giả watermark trên văn bản do người viết cũng đang được nghiên cứu. Một nghiên cứu đã suy đoán quy tắc watermark qua các truy vấn API và đạt tỷ lệ thành công trên 80% cho cả làm giả lẫn xóa watermark, với chi phí dưới 50 đô la.
Mô hình mở: Với mô hình ai cũng chạy được, có thể gỡ bỏ bước chèn watermark.

Tình hình triển khai của các hãng

Tiếp sau Google, năm 2026 Anthropic và OpenAI cũng bắt đầu chèn watermark vào văn bản do AI của mình tạo ra.

OpenAI: Năm 2024, OpenAI tỏ ra thận trọng với việc áp dụng watermark văn bản, với lý do dễ bị né tránh bằng dịch thuật và các cách khác, và có nguy cơ khiến người không dùng tiếng Anh làm tiếng mẹ đẻ bị nghi ngờ một cách bất công. Ngày 5 tháng 10 năm 2026, OpenAI thay đổi chủ trương và công bố watermark riêng "textGrain", triển khai trên ChatGPT và Codex tại EU, còn qua API thì có thể tùy chọn sử dụng trên toàn thế giới. Chi tiết xem bài "textGrain là gì".
Google: Phát triển SynthID Text và năm 2024 công bố đang dùng trên Gemini. Công nghệ được công bố mã nguồn mở. Chi tiết xem bài "SynthID Text là gì".
Anthropic: Chèn watermark vào văn bản do Claude tạo ra. Các mô hình ra mắt từ ngày 2 tháng 8 năm 2026 hỗ trợ ngay từ khi ra mắt, còn các mô hình trước đó cũng đã có watermark khi dùng trên dịch vụ của chính Anthropic. Phương pháp dựa trên SynthID Text, và vì không có cách chắc chắn để áp dụng riêng theo từng khu vực, Anthropic áp dụng chung trên toàn cầu.
Meta: Công bố mã nguồn mở công cụ nghiên cứu watermark văn bản "TextSeal".

Bộ phát hiện của OpenAI và Anthropic đều chỉ được cung cấp cho các nhà nghiên cứu đã qua thẩm định, cơ quan quản lý và một số đối tượng tương tự; công chúng chưa thể sử dụng tự do.

Động thái về quy định

Lý do lớn khiến watermark LLM lan rộng là các quy định.

EU: Điều 50 của Đạo luật AI yêu cầu nhà cung cấp AI tạo nội dung, bao gồm văn bản, thể hiện đầu ra ở dạng máy có thể đọc được để có thể phát hiện nội dung được tạo bằng AI. Quy định này áp dụng từ ngày 2 tháng 8 năm 2026. Tuy nhiên, theo lần sửa đổi Đạo luật AI năm 2026 (Digital Omnibus), chỉ những hệ thống AI đã đưa ra thị trường trước ngày đó mới được gia hạn đến ngày 2 tháng 12 năm 2026 đối với nghĩa vụ gắn dấu mà máy có thể nhận biết. Bộ quy tắc thực hành nêu phương pháp cụ thể đã được OpenAI, Google, Anthropic, Meta, Microsoft, Mistral và các công ty khác ký kết.
Trung Quốc: Từ ngày 1 tháng 9 năm 2025, quy định bắt buộc gắn nhãn cho nội dung do AI tạo đã có hiệu lực. Quy định bắt buộc gắn nhãn nhìn thấy được trên văn bản và nhãn vô hình trong siêu dữ liệu của tệp. Việc thêm watermark chỉ mang tính khuyến nghị.
Nhật Bản: "Hướng dẫn AI dành cho doanh nghiệp" (AI Guidelines for Business) của Bộ Nội vụ và Truyền thông (MIC) và Bộ Kinh tế, Thương mại và Công nghiệp (METI) Nhật Bản yêu cầu các tổ chức phát triển AI tiên tiến, khi khả thi về mặt kỹ thuật, áp dụng cơ chế giúp nhận diện nội dung do AI tạo, chẳng hạn bằng watermark (không có tính ràng buộc pháp lý).

Lưu ý theo từng đối tượng

Người dùng và nhà giáo dục

Bộ phát hiện watermark văn bản chỉ được cung cấp cho một số ít tổ chức, nên công chúng gần như không thể tự kiểm tra văn bản trong tay. Hơn nữa, không tìm thấy watermark không chứng minh được rằng "con người đã viết". Kết quả của công cụ phát hiện AI cũng chỉ là ước đoán, vì vậy nên tránh dùng chúng làm căn cứ để kết luận bài viết của học sinh hay ứng viên là do AI viết.

Nhà phát triển

Nếu xây dựng dịch vụ của mình bằng mô hình mở, bạn có thể chèn watermark bằng các công cụ sau.

Hugging Face Transformers: Hỗ trợ cả phương pháp green list lẫn SynthID Text, chỉ cần truyền thiết lập khi tạo văn bản
vLLM: Từ phiên bản 0.30.0 tháng 9 năm 2026, tính năng watermark (phương pháp Gumbel-max) được tích hợp sẵn. Phương pháp và khóa được thiết lập khi khởi động máy chủ. Tuy nhiên, watermark không được chèn khi tạo văn bản với temperature bằng 0 hoặc khi dùng beam search
MarkLLM: Bộ công cụ nghiên cứu cho phép thử nhiều phương pháp cùng lúc

Nếu khóa bị lộ, watermark có thể bị làm giả, nên cần quản lý khóa thận trọng.

Kết luận

Watermark LLM là công nghệ để lại dấu hiệu vô hình trong quá trình AI chọn từ, để sau này có thể kiểm tra bằng khóa. Sau khi Google bắt đầu dùng trên Gemini năm 2024, đến năm 2026, trong bối cảnh quy định của EU, Anthropic và OpenAI cũng lần lượt bắt đầu chèn watermark vào văn bản của mình.

Mặt khác, watermark khó chèn vào văn bản ngắn hoặc văn bản có đáp án cố định, yếu đi khi bị diễn đạt lại hay dịch, và số người có thể phát hiện cũng hạn chế. Nên hiểu watermark LLM không phải là công cụ quyết định để nhận biết văn bản AI, mà là một trong những cơ chế giúp bên cung cấp AI thực hiện trách nhiệm của mình. Khác biệt giữa các công nghệ được tổng hợp trong bài "So sánh các loại watermark AI (thủy vân số)".