SynthID Text là gì? Watermark LLM (watermark văn bản AI): cách hoạt động, cách dùng, cách phát hiện

Liệu có thể nhận ra một văn bản là "do AI viết" sau khi nó đã được viết ra? Các công cụ phát hiện AI dựa trên đặc điểm văn bản thường gặp vấn đề nhận diện sai, nên phương pháp chèn watermark vô hình (thủy vân số) ngay ở giai đoạn AI tạo văn bản đang được nghiên cứu và đưa vào thực tế. Loại watermark được chèn vào đầu ra của LLM (mô hình ngôn ngữ lớn) như vậy còn được gọi là watermark LLM (LLM watermarking). Tiêu biểu là SynthID Text của Google DeepMind. Bài viết này tổng hợp cơ chế của SynthID Text, ảnh hưởng đến chất lượng, cách nhà phát triển sử dụng, cách phát hiện và các trường hợp kém hiệu quả, dựa trên tài liệu chính thức và bài báo trên Nature, với thông tin tại thời điểm ngày 9 tháng 10 năm 2026.

Về toàn bộ SynthID, bao gồm cả hình ảnh, video và âm thanh, xem bài "SynthID là gì".

SynthID Text là gì

SynthID Text là công nghệ chèn watermark vào văn bản do mô hình ngôn ngữ lớn (LLM) tạo ra và phát hiện lại sau đó. Trong số các loại watermark LLM, đây là bản triển khai tiêu biểu vừa được dùng ở quy mô lớn trong dịch vụ thực tế, vừa là mã nguồn mở mà ai cũng dùng được. Google DeepMind phát triển công nghệ này, và vào ngày 23 tháng 10 năm 2024 đã đăng bài báo về cơ chế trên tạp chí khoa học Nature, đồng thời công bố mã nguồn mở.

Điểm đặc trưng là công nghệ này không chèn ký hiệu hay ký tự vô hình vào văn bản, mà để lại watermark trong chính cách AI chọn từ nào. Chỉ đọc thì không phân biệt được với văn bản thông thường, và Google cho biết nó không ảnh hưởng đến chất lượng văn bản.

Vào thời điểm công bố bài báo, Google cho biết các câu trả lời của Gemini cũng có watermark SynthID Text. Về cách áp dụng hiện tại trên Gemini, tính đến tháng 10 năm 2026 chúng tôi chưa tìm thấy giải thích chính thức mới.

Công nghệ này cũng được dùng ngoài Google. Tháng 8 năm 2026, Anthropic cho biết watermark trong văn bản do Claude tạo ra "dựa trên phương pháp của SynthID Text".

Cách hoạt động: để lại watermark trong cách chọn từ

Khi tạo văn bản, LLM gán xác suất cho từng ứng viên của từ tiếp theo (chính xác hơn là token), rồi chọn một từ trong số đó, và lặp lại quá trình này. SynthID Text can thiệp vào bước "chọn" này.

Bài báo trên Nature gọi phương pháp này là tournament sampling (lấy mẫu kiểu đấu loại). Tóm tắt quy trình như sau.

Chọn ra nhiều ứng viên cho từ tiếp theo theo xác suất của LLM
Cho các ứng viên đấu loại trực tiếp với nhau. Thắng thua được quyết định bằng điểm số (hàm g) tính từ khóa bí mật và vài từ ngay trước đó
Ứng viên thắng qua nhiều vòng sẽ trở thành từ thực sự được xuất ra

Vì các ứng viên vốn đến từ những từ mà LLM có khả năng chọn, văn bản vẫn tự nhiên. Mặt khác, nếu người biết khóa tính lại điểm số, họ sẽ thấy các từ được xuất ra nghiêng về phía điểm cao hơn mức trung bình. Độ lệch này chính là watermark.

Tài liệu dành cho nhà phát triển của Google mô tả nó như một "logits processor" được áp dụng sau bước lọc ứng viên thông thường như Top-K hay Top-P. Ngoài ra còn có cơ chế không chèn watermark vào những đoạn lặp lại cùng một cụm từ để giữ cho việc phát hiện dễ dàng.

Ảnh hưởng đến chất lượng và tốc độ

Điểm nổi bật của SynthID Text là đã được kiểm chứng ở quy mô lớn trong dịch vụ thực tế. Bài báo trên Nature so sánh các câu trả lời có và không có watermark trên khoảng 20 triệu câu trả lời của Gemini.

Chênh lệch tỷ lệ đánh giá tích cực của người dùng là 0,01%, chênh lệch tỷ lệ đánh giá tiêu cực là 0,02%, gần như không thấy khác biệt về chất lượng

Trong một phép đo tốc độ được thực hiện riêng, thời gian tạo văn bản tăng thêm do chèn watermark chỉ khoảng 0,57%.

Ngoài ra, không cần huấn luyện lại LLM, chỉ cần thay đổi quy trình tạo văn bản là dùng được. Khi phát hiện cũng không cần đến LLM gốc.

Cách nhà phát triển sử dụng

SynthID Text được tích hợp trong thư viện Transformers của Hugging Face (phiên bản 4.46.0 trở lên). Công nghệ này cũng được công bố trong Responsible GenAI Toolkit của Google và trên GitHub tại google-deepmind/synthid-text. Mã trên GitHub dùng giấy phép Apache 2.0 và được định vị là bản triển khai tham chiếu để tái tạo kết quả của bài báo. Khi dùng trong môi trường production, Google khuyến nghị dùng bản triển khai chính thức trong Transformers.

Khi dùng với Transformers, bạn tạo thiết lập watermark (SynthIDTextWatermarkingConfig) rồi truyền vào hàm tạo văn bản. Các tham số chính như sau.

keys (bắt buộc): Danh sách các số nguyên ngẫu nhiên làm khóa cho watermark. Nếu bị lộ ra ngoài, watermark có thể bị giả mạo, nên cần giữ bí mật
ngram_len (bắt buộc): Số từ ngay trước đó dùng để tính điểm. Càng lớn càng dễ phát hiện, càng nhỏ càng chịu được việc viết lại. Tài liệu chính thức khuyến nghị giá trị mặc định là 5
sampling_table_size: Kích thước bảng dùng nội bộ. Để tránh sai lệch, khuyến nghị từ 2 mũ 16 (65536) trở lên
sampling_table_seed: Hạt giống số ngẫu nhiên để tạo bảng. Có thể là số nguyên bất kỳ
context_history_size: Lượng ngữ cảnh được ghi lại để phát hiện sự lặp lại. Mặc định là 1024

Tài liệu chính thức của Transformers có mã mẫu cho cách viết thiết lập cụ thể.

Cách phát hiện watermark

Để phát hiện watermark, cần cùng thiết lập khóa và cùng tokenizer như khi tạo văn bản. Vì vậy, chỉ người đã chèn watermark (hoặc người được chia sẻ khóa) mới phát hiện được.

Bản triển khai chính thức có ba cách phát hiện: dùng trung bình điểm số, dùng trung bình có trọng số, và bộ phát hiện Bayes (Bayesian detector) đã được huấn luyện. Bộ phát hiện Bayes trả về kết quả theo ba mức "có watermark", "không có watermark" và "không xác định được", và có thể điều chỉnh độ chặt của phán định bằng hai ngưỡng.

Bộ phát hiện Bayes cần được huấn luyện bằng mô hình và khóa của chính bạn trước khi dùng, và hướng dẫn của Hugging Face cho biết cần ít nhất 10.000 ví dụ. Ngoài ra, theo tài liệu dành cho nhà phát triển của Google, phạm vi công khai bộ phát hiện có thể chọn trong ba cách: chỉ dùng nội bộ, cung cấp ra bên ngoài dưới dạng API, hoặc phân phối chính bộ phát hiện.

Lưu ý rằng không có hướng dẫn nào cho biết watermark chèn bằng khóa của riêng bạn có thể được phát hiện bằng SynthID Detector của Google hay các công cụ tương tự.

Trường hợp kém hiệu quả và giới hạn

Tài liệu dành cho nhà phát triển của Google và bài báo trên Nature nêu các giới hạn sau.

Câu trả lời mang tính sự thật: Với câu hỏi mà đáp án gần như chỉ có một, ít dư địa để thay đổi cách chọn từ nên hiệu quả của watermark giảm
Viết lại nhiều: Nếu văn bản bị viết lại triệt để, độ tin cậy của việc phát hiện giảm mạnh
Dịch thuật: Nếu dịch sang ngôn ngữ khác, độ tin cậy của việc phát hiện giảm mạnh
Tấn công có chủ đích: Việc bảo vệ trước đối thủ có ý đồ xóa watermark không nằm trong mục tiêu thiết kế
Mô hình mở: Với mô hình ai cũng chạy được, khó bắt buộc phải chèn watermark

Khác biệt với công cụ phát hiện văn bản AI

Để nhận biết văn bản do AI viết, ngoài watermark như SynthID Text còn có công cụ phát hiện AI ước đoán mức độ "giống AI" từ đặc điểm văn bản.

Watermark: Bên tạo nội dung chèn dấu từ trước. Nếu có khóa thì phán định có căn cứ, nhưng không nhận biết được văn bản từ AI không chèn watermark
Công cụ phát hiện AI: Có thể ước đoán văn bản từ bất kỳ AI nào, nhưng chỉ là ước đoán, và có thể nhận diện nhầm văn bản do người viết là của AI

Xu hướng gắn dấu cho đầu ra của AI đang lan sang các công ty khác. Ví dụ, Anthropic chèn watermark dựa trên phương pháp của SynthID Text vào văn bản do Claude tạo ra (việc phát hiện hiện là bản xem trước không công khai, chỉ dành cho cơ quan quản lý và một số đối tượng tương tự). OpenAI cũng đã công bố watermark văn bản riêng "textGrain" vào tháng 10 năm 2026. So sánh chi tiết giữa các phương pháp có trong bài "So sánh các loại watermark AI (thủy vân số)".

Kết luận

SynthID Text là công nghệ để lại watermark trong quá trình AI chọn từ, nhờ đó gắn dấu cho văn bản của AI theo cách người đọc không nhận ra. Kiểm chứng trên khoảng 20 triệu câu trả lời của Gemini cho thấy gần như không ảnh hưởng đến chất lượng, và một phép đo riêng cho thấy ảnh hưởng đến tốc độ cũng rất nhỏ. Công nghệ được công bố để ai cũng dùng được qua Transformers.

Mặt khác, nó yếu trước các câu trả lời ngắn mang tính sự thật, bản dịch và việc viết lại nhiều, và chỉ người đã chèn watermark mới phát hiện được. Thay vì coi đây là công cụ quyết định để nhận biết văn bản AI, nên xem nó là một trong những cơ chế giúp doanh nghiệp chịu trách nhiệm về đầu ra từ AI của chính mình.