На этой неделе стало известно, что все модели Claude по всему миру вскоре начнут «маркировать водяными знаками» весь генерируемый контент, включая текст, — во исполнение регуляции ЕС. При этом Anthropic не дала даже приблизительного описания механизма, несмотря на то что документ назывался «Как Claude маркирует сгенерированный ИИ контент».

Изначальное предположение сводилось к тому, что где-то в тексте прячутся невидимые непечатаемые Unicode-символы. Оказалось, что это не так. На деле применяется форма стеганографии: выбор слов (или иных токенов) на этапе инференса оставляет «отпечатки пальцев», которые впоследствии можно вероятностно распознать.

Предположение о «невидимых символах» родилось не потому, что семантическая техника выбора слов не приходила в голову, а потому, что изначальный текст саппорт-документа был принят за чистую монету. Там утверждалось:

Когда поддерживаемая модель Claude генерирует текст, она вплетает в него незаметный водяной знак напрямую. Вы его не увидите, и он не меняет смысл, качество или читаемость ответа Claude.

«Незаметный». «Не меняет смысл, качество или читаемость». Не «почти незаметный». Не «слегка меняет». Именно этого и стоило бы требовать от любого инструмента: недопустимо жертвовать хоть каплей ясности, связности или качества текста ради встраивания скрытых меток о его происхождении. И документ Anthropic (в исходной версии) недвусмысленно утверждал именно это. Если бы это было правдой, единственным вариантом реализации оставалось бы сокрытие невидимых символов в тексте.

Ошибка заключалась в том, чтобы поверить Anthropic на слово — что их система не будет искажать и портить семантику текста, генерируемого моделями. Именно это они и планируют делать. Стоило бы догадаться не доверять ни единому слову документа под названием «Как Claude маркирует сгенерированный ИИ контент», который вообще не объясняет, как именно Claude это делает.

Как это работает на самом деле

Вчера, на совершенно другом сайте, нежели оригинальная статья (та самая, которая ничего не объясняла), Anthropic опубликовала «Как работает текстовый водяной знак Claude» — документ, который уже действительно объясняет механизм на доступном языке.

По теме существует немало исследований, часть из них приведена ниже. Но лучшее описание общей идеи техники — интерактивное эссе Джеймса Падолси «Как работает водяная маркировка AI-текста». Это на редкость внятный текст, а интерактивные элементы прекрасно иллюстрируют основные концепции. Работа отличная — если тема хоть немного интересна, стоит и прочитать, и «поиграть» с материалом Падолси.

Вот упрощённое объяснение сути. Если подбросить монету N раз и зафиксировать результаты, можно с определённой степенью уверенности определить, честная монета или нет. Языковые модели в своих популярных реализациях недетерминированы: один и тот же вопрос одной и той же модели часто даёт хотя бы немного разные ответы. Возможно, тот же смысл, но другая формулировка. В каждой точке генерации следующего токена модель делает выбор. При семантическом водяном маркировании для части токенов выбор смещается на основе списков слов, условно называемых «зелёным» и «красным». В каждой точке принятия решения слово из зелёного списка выбирается чуть чаще, чем из красного. Это не значит, что красные слова никогда не выбираются — просто вероятность их выбора ниже, чем была бы без искажающей техники маркировки (как «нечестная» монета 51-49 всё равно упадёт «неправильной» стороной в среднем 49 раз из 100).

Слова или словосочетания распределяются по зелёным и красным спискам детерминированно «на лету», в каждой точке генерации следующего токена. Поэтому одно и то же слово в одной точке может оказаться в зелёном списке, а в другой — в красном. Тот, у кого есть секретный ключ, может определить, в каком списке окажется слово в конкретной точке генерации (именно так детектируется маркировка); без ключа сделать это невозможно. Это значит, что не существует какого-то фиксированного набора слов, которые Claude предпочитает или избегает в принципе.

Как и с подбрасыванием монеты: чем больше N — количество бросков, — тем увереннее можно судить о честности или предвзятости монеты. То же самое с семантическим водяным знаком: чем больше слов в тексте, тем точнее анализ на предмет того, был ли текст сгенерирован конкретной моделью ИИ. При слишком малом числе бросков нельзя достичь никакой уверенности насчёт честности монеты. При слишком малом объёме текста (или токенов) невозможно достичь уверенности, был ли фрагмент сгенерирован ИИ.

Если в анализируемом тексте больше слов, помеченных как зелёные, и меньше помеченных как красные, чем ожидалось бы случайно, текст можно с определённой степенью уверенности пометить как сгенерированный (или просто изменённый) той системой ИИ, которая применяет данную схему маркировки с секретным ключом. Степень уверенности в определении, разумеется, существенно варьируется в зависимости от объёма текста и рандомизированных весов слов в зелёном и красном списках. Но только Anthropic сможет определить, был ли текст сгенерирован именно Claude, и только применительно к меткам, которые ставит сам Claude. Claude не может обнаружить скрытые сигналы водяных знаков, созданные, скажем, Gemini, и наоборот — потому что каждая реализация опирается на секретные ключи, известные только конкретному поставщику модели.

Возражения по существу технологии

Фундаментальная проблема в том, что никакие два синонима не несут абсолютно одинакового смысла. «Он ухватился за шанс» и «он воспользовался возможностью» — очень похожие предложения, выражающие схожее настроение, но они не идентичны. Точный выбор слов при письме имеет значение. От любой используемой языковой модели хочется, чтобы в каждой точке принятия решения выбирались наилучшие, наиболее точные слова. Единственное разумное ограничение — время и вычислительные ресурсы: в рамках быстрого инференса и определённой стоимости за токен нужны лучшие слова из возможных. Это ограничение схоже с человеческим письмом: колонку наверняка можно написать лучше, потратив больше времени. Забота о каждом слове и знаке препинания варьируется — одним абзацам, предложениям или отдельным словам уделяется больше внимания, когда того требует внутреннее чутьё.

Иными словами, это необходимые компромиссы — все они работают в интересах пользователя: скорость, стоимость, качество. В идеале хотелось бы идеального текста, мгновенной генерации и нулевой стоимости. Ничего из этого невозможно: вычисления не бесплатны (а облачный инференс топовых моделей и вовсе дорог), генерация не мгновенна, а качественный текст — человеческий или искусственный — может только приближаться к совершенству.

Идея, что при генерации текста для пользователя должно учитываться что-то ещё, помимо интересов самого пользователя, откровенно оскорбительна.

Речь не только о тексте, который кто-то планирует выдать за собственную работу, и не только о корректуре текста, написанного вручную языковой моделью. Anthropic заявляет, что все новые модели Claude будут искажать любой сгенерированный текст длиннее 200 токенов (примерно 150 слов), включая всё, что модель показывает пользователю для чтения. То есть даже в приватном диалоге, который никто, кроме самого пользователя, никогда не прочтёт, Claude начнёт делать выбор слов ради статистически предсказуемой маркировки, а не ради максимальной ясности и точности.

Даже сегодняшние так называемые передовые модели уже заметно хромают по части ясности изложения. Claude, ChatGPT, Grok и прочие пишут «лучше» большинства людей и выдают прозу выше медианного человеческого уровня. Но это неудивительно: большинство людей — плохие писатели. «Средний человек» довольно туп, и половина людей глупее среднего. При этом немало умных, интересных людей пишут посредственно. Так что при всей впечатляющести LLM планка низкая. Лучшие тексты, выходящие из этих моделей, всё равно хуже всего, что выбрано было бы для чтения ради удовольствия. И теперь Anthropic заявляет, что намеренно сделает их хуже, ради целей, никак не выгодных пользователю. Пусть даже совсем незначительно хуже.

Идите к чёрту.

Возражения к регуляции ЕС

Раз уж речь о возражениях: сама регуляция ЕС, послужившая поводом ко всему этому — «Кодекс практики прозрачности AI-генерируемого контента» — это бюрократическая, патерналистская чепуха из разряда несбыточных прожектов. Вот краткое изложение Бена Томпсона из платного выпуска Stratechery на этой неделе:

  • Регуляция применяется к тексту длиннее 200 токенов.
  • Провайдер обязан прописать в пользовательском соглашении запрет на удаление маркировки.
  • Решение должно быть устойчивым к «типичным способам обработки» — скриншотам, сканированию и OCR, копированию, переводу и так далее.

Если понимать буквально, соответствующие требованиям пользовательские соглашения LLM должны запрещать пользователям перефразировать вывод моделей — ведь именно выбор слов и есть метка. И тут дело не в том, что Евросоюз пытается навязать свою абсурдную, непрактичную, охоту-на-ведьм-провоцирующую регуляцию всему миру — эта задача ложится на Anthropic.

Соответствие этому требованию, особенно в части текста, создаст проблемы только для честных пользователей. Нечестные пользователи, пытающиеся выдать AI-текст за собственный (студенты, сотрудники — кто угодно), просто обойдут детекцию с помощью не подпадающих под регуляцию инструментов перефразирования.

Джеймс Падолси — автор упомянутого выше интерактивного объяснения — разбирает это в посте «Слабые водяные знаки Anthropic ублажают слабый закон»:

Та же логика, что породила этот закон, могла применяться и к калькуляторам на заре их появления, если бы их вывод раскрывал себя через артефакты. К счастью, сумма, полученная из головы, не рассматривается иначе, чем сумма, выданная калькулятором. То же со спелл-чекерами. Считать помощь подозрительной лишь с того момента, когда инструмент становится достаточно способным, чтобы составить целое предложение, — не принципиальная граница. Это моральная надбавка на саму сложность задачи.

При этом Anthropic выбрала повсеместную реализацию на уровне модели, которая выглядит шире минимальных требований закона. Возможно, это удобно с точки зрения инженерии соответствия, но отбрасывает различия, которые закон явно пытался сохранить. В результате получается сигнал, достаточно широкий, чтобы затронуть безобидное и вспомогательное использование, но достаточно хрупкий, чтобы мотивированный человек мог удалить его серьёзной переработкой текста. Это рискует сконцентрировать подозрения на обычных и вспомогательных пользователях, оставаясь при этом самым слабым звеном против намеренного обмана.

Падолси — создатель Declaude, приятно простого веб-приложения, которое позволяет «вставить AI-подобный текст и получить тот же контент в виде обычной прозы». Изначальная цель Declaude — очистка текста от приторного «личностного» стиля Claude (независимо от того, кем текст был создан), но если Anthropic будет упорствовать в намерении искажать весь генерируемый текст, Declaude заодно станет простым способом в один клик убрать эти метки. Declaude уже интересен и полезен сам по себе, но он же наглядно показывает, насколько непродуманна и бесполезна эта регуляция ЕС применительно к прозе.

Google SynthID

У Google есть собственная система водяных знаков под названием SynthID, применяемая к сгенерированным изображениям, видео, аудио и тексту. Речь здесь только о тексте. С мультимедиа встроенные метки могут быть метаданными внутри файлов, никак не затрагивая опыт восприятия работы при просмотре или прослушивании. С текстом же речь идёт о самих выбираемых словах. Из раздела «AI-generated text» собственного описания SynthID от Google DeepMind:

Мы расширили SynthID для маркировки и идентификации текста, сгенерированного приложением и веб-версией Gemini. Большие языковые модели генерируют текст по одному слову (токену) за раз. Каждому слову присваивается вероятностная оценка того, насколько вероятно оно будет выбрано следующим. Так, для предложения «Мои любимые тропические фрукты — манго и…» слово «бананы» получит более высокую вероятность, чем слово «самолёты». SynthID корректирует эти вероятностные оценки, чтобы сформировать водяной знак. Это незаметно для человеческого глаза и не влияет на качество вывода.

В групповом чате приятель процитировал этот фрагмент, и в ответ прозвучало: если бы чат-бот написал «Мои любимые тропические фрукты — манго и самолёты», это точно было бы замечено. Другой собеседник ответил вот этим:

Сгенерированное ИИ изображение самолёта, вырезанного из ананаса, на тропическом пляже.

Спустя несколько дней это всё ещё смешит.

Но нелепое описание Google само выдаёт ложность собственного утверждения о незаметности и показывает, насколько мало создатели подобных схем «отпечатков пальцев» текста заботятся о самом ремесле письма. Разумеется, у «бананов» вероятностная оценка выше, чем у «самолётов» — потому что самолёты не фрукты. Но как насчёт «ананаса»? Должно ли предложение завершиться «манго и бананы» или «манго и ананас»? Хороший вопрос — и единственный приемлемый ответ на то, почему модель должна выбрать «бананы», а не «ананас» (или «кокос», или «гуаву», или «папайю»…), — это что модель определила данный вариант как наилучшее соответствие задуманному смыслу, тону и настроению текста. Не потому, что «бананы» в зелёном списке маркировки, а «ананас» в красном, даже если «ананас» подходит лучше. Собственное шутливое описание Google того, как работает SynthID, на деле прекрасно демонстрирует, как схема извращает генерируемый текст.

Утверждение о незаметности строится на том, что если выбор падает на «бананы» вместо «ананаса» ради маркировки, то это, мол, всё равно тропические фрукты и разница не важна. Но заявлять, что разница «незаметна для человеческого глаза» — совершеннейшая чепуха. Семантическая разница между «бананом» и «ананасом» настолько же заметна глазу, насколько разница во вкусе заметна языку.

Если бы система действительно выдала «Мои любимые тропические фрукты — манго и самолёты», это было бы невероятно глупо, но не оскорбительно — потому что все бы сразу поняли, что что-то пошло не так. Оскорбительно то, что при системе вроде SynthID, где решения о «отпечатках» мотивированы секретным ключом, невозможно понять, завершилось ли предложение на «манго и бананы» потому, что «бананы» — лучший следующий токен по мнению модели, или потому что «бананы» просто оказались в «зелёной» корзине слов. Это ставит под вопрос буквально каждый выбор слова.

Вот статья, опубликованная в Nature, где команда Google, стоящая за SynthID, представила свою работу — уже после внедрения технологии в Gemini (тогда ещё Bard):

Мы проанализировали примерно 20 миллионов ответов с водяными знаками и без них и вычислили доли положительных и отрицательных оценок (как долю от общего числа полученных оценок «палец вверх» и «палец вниз»). Доля положительных оценок для двух моделей отличалась на 0,01% (выше у модели с водяным знаком); доля отрицательных отличалась на 0,02% (ниже у модели с водяным знаком). Оба этих различия признаны статистически незначимыми и находятся в пределах 95%-го доверительного интервала.

Из этого эксперимента можно заключить, что в широком спектре реальных взаимодействий с чат-ботом разница в качестве и полезности ответов, оцениваемая людьми, ничтожна. Впоследствии недисторсионная SynthID-Text была внедрена в продакшн и в настоящее время маркирует ответы в Gemini и Gemini Advanced. Насколько известно, это первое систематическое исследование водяной маркировки такого рода в крупномасштабной продакшн-системе.

На это можно возразить следующее:

  • Кнопки «палец вверх/вниз» в Gemini/Bard — плохой инструмент для оценки влияния на качество. Если чат-бот отвечает «мои любимые тропические фрукты — манго и бананы» вместо «манго и ананас», негативная оценка за выбор фрукта вряд ли последует. А вот за «самолёты» — да, но это уже утрирование. (В самой статье Nature даже используется пример «Мои любимые тропические фрукты — манго и...», но там рассматриваются только четыре следующих токена по убыванию вероятности: манго, личи, папайя и дуриан. Никаких самолётов. И, что удобно, в примере статьи «победителем» турнира маркировки оказывается именно манго — тот вариант, который и без маркировки был бы выбран как лучший.)

  • «Ничтожная», по оценке людей, разница в качестве и полезности ответа — не то же самое, что «незаметная». На деле это означает лишь, что текст слегка хуже, а люди либо слишком невнимательны, чтобы заметить, либо слишком безразличны, чтобы это волновало.

  • Широко признано, что Gemini отстаёт по качеству от ChatGPT и Claude. Возможно, внедрение SynthID-text — одна из причин этого. Проза Gemini действительно воспринимается как более слабая. Возможно, использование SynthID тут ни при чём — но тогда, возможно, именно то, что Gemini и так модель второго сорта, делает разницу «ничтожной», когда Google начала подмешивать токены ради маркировки. Гораздо более вероятно, что посетители ресторана не заметят подмены обычного кофе на растворимый Folgers, если обычный кофе там и так был второсортным.

Anthropic

Теперь снова к опубликованному вчера документу Anthropic «Как работает текстовый водяной знак Claude». Есть несколько замечаний.

Кратко:

  • Мы используем метод маркировки, не оказывающий практического влияния на качество или содержание вывода Claude;

  • Разница между текстом с маркировкой и без неё не будет заметна читателям;

Перевод: конкретные слова не имеют значения, и предполагается, что никто не читает текст внимательно.

  • В текст ничего не добавляется, скрытых символов нет;

Стоило прояснить это с самого начала.

  • Маркировка не будет специфична для Claude. С 2 августа ЕС требует от AI-провайдеров, работающих на его рынке, маркировать сгенерированный контент. Другие крупные разработчики моделей подписали тот же Кодекс практики и будут внедрять собственные водяные знаки.

Ни один другой AI-провайдер не заявлял, что будет применять подобную маркировку, искажающую весь сгенерированный текст, за пределами ЕС.

Возьмём предложение «Погода сегодня была холодной и…». Следующим словом крайне маловероятно окажется «сладкой». Но вполне вероятно — «пасмурной» или «серой». В большинстве случаев читателю не так уж важно, какое из этих двух слов в итоге выберет модель — смысл предложения остаётся практически тем же. В таких случаях выбор определяется случайным числом.

Утверждение, что выбор между «серой» и «пасмурной» «не так уж важен читателю», — это как раз суть возражения против всей затеи как извращения самого смысла письма и чтения. То, что это происходит незаметно, делает дело только более извращённым — из-за скрытности.

Во внутреннем тестировании не было выявлено никакого влияния маркировки на содержание, уровень креативности или читаемость текста Claude. В статье о SynthID-Text, представившей используемую технику, Google DeepMind оценила это влияние, направив часть трафика Gemini через модель с маркировкой и сравнив оценки «палец вверх/вниз». Статистически значимых различий с немаркированной моделью найдено не было. А в контролируемом исследовании люди-оценщики, сравнивая ответы с маркировкой и без бок о бок, не увидели разницы в качестве.

Выше уже приводился аргумент, почему данные по «палец вверх/вниз» абсолютно бесполезны для оценки того, ухудшает ли SynthID-подобная маркировка текст. По определению она обязана ухудшать текст — если только исходная оценка модели не ошибочна, — поскольку сама природа алгоритма маркировки требует иногда повышать вероятность выбора худшего варианта слова и понижать вероятность выбора наилучшего варианта. Вопрос только в степени ухудшения. Данные Google по «пальцам» показывают лишь, что ухудшение недостаточно велико, чтобы заставить пользователей Gemini ставить дизлайк.

Маркировка не меняет смысл или опыт для читающего человека, но если требуется впоследствии проверить, был ли текст, вероятно, сгенерирован Claude, водяной знак позволяет это сделать.

Нет, не позволяет. Поскольку вся схема завязана на секретные ключи, которыми владеет только сам AI-провайдер, проверить что-либо может только Anthropic, а не «вы».

Когда Claude вычитывает текст, написанный человеком, результат обычно лишь слегка отредактирован; поскольку почти все слова принадлежат человеку, водяному знаку почти не за что зацепиться. В зависимости от длины текста и того, насколько сильно Claude его отредактировал, этих изменений может быть недостаточно, чтобы сделать участие Claude обнаружимым. Чем больше пишет Claude, тем больше решений он принимает, и тем больше пространства для водяного знака.

Перевод: больше никто не сможет использовать Claude для вычитки собственного текста, не рискуя тем, что весь текст будет помечен как сгенерированный Claude.

Например, если модель уже написала «2 + 2 =», для следующего токена есть чёткий наилучший выбор (если модель завершает сумму, нет варианта, равноценного «4»; если речь о романе Джорджа Оруэлла «1984», нет варианта, равноценного «5»). «Подталкивание» водяного знака здесь не применяется. По той же причине код — который во многих случаях должен быть предельно точным — как правило, содержит меньше маркировки, чем другие формы текста.

При этом там, где в коде есть произвольный выбор между конкретными словами или терминами, водяной знак может применяться — например, в комментариях внутри кода. Но по определению это окажет незначительное влияние на сам сгенерированный код.

Перевод: точность ценится в программном коде, но не в прозе.

И крайне показательно, что в контексте оправдания схемы искажения текста, основанной на идее, что конкретные слова не важны, одобрительно цитируется роман Джорджа Оруэлла «1984». Что вообще происходит? Оруэлл!

Наконец, о причинах:

Мы внедряем маркировку водяными знаками для соответствия требованиям EU AI Act. Anthropic вместе с несколькими другими крупными разработчиками AI-моделей и в общей сложности 190 подписантами подписала Кодекс практики прозрачности AI-генерируемого контента ЕС в июле 2026 года. Это требует от провайдеров AI-систем использовать методы «маркировки» AI-генерируемого текста. Маркировка внедряется глобально с самого запуска, поскольку пока нет надёжного способа ограничить её действие определённым регионом.

Это заявление исходит от компании, которая, как сообщила Financial Times, находится в нескольких неделях от IPO с ожидаемой оценкой в $2 триллиона, что сделало бы её одной из 10 самых дорогих компаний мира — на сегодняшний день занимающей 7-е место, между TSMC ($2,2 трлн) и Broadcom ($1,9 трлн).

Остаётся поверить в одно из двух:

  • Вполне нормально, что технологическая компания с оценкой на уровне Amazon и TSMC технически неспособна обеспечить соответствие региональному закону ЕС только в пределах самого ЕС.1 Совершенно не повод для беспокойства.

  • Anthropic не справляется с задачей, на удивление слабо контролирует собственный технологический стек, и её грядущее IPO рискует запомниться лишь как новый пик безумного глобального пузыря ИИ.

И ещё вопрос: что произойдёт, если какой-то другой крупный мировой рынок объявит незаконным скрытое маркирование сгенерированного текста?

OpenAI

Из документа поддержки OpenAI под названием «Сигналы происхождения (Content Credentials, SynthID) в контенте, сгенерированном OpenAI»:

В соответствии с нашими обязательствами по Кодексу практики прозрачности AI-генерируемого контента Еврокомиссии, наша цель — распространить сигналы происхождения на все модальности, включая текст, чтобы у клиентов и разработчиков были чёткие способы выполнять собственные обязательства по прозрачности по мере развития стандартов и инструментов.

В этой краткой формулировке масса пространства для манёвра — она вполне может означать, что модели OpenAI будут искажать текст маркерами-отпечатками только по запросу пользователей или разработчиков. Или что это станет обязательным только для пользователей в ЕС. На месте OpenAI стоило бы прямо заявить, что ChatGPT никогда не будет маркировать сгенерированный текст, если пользователь сам этого не попросит — а тем, кому нужны инструменты, тайно работающие за спиной без объяснения принципов, стоит пользоваться Claude.

Дополнительное чтение

Три статьи на ArXiv:

При всём глубоком возмущении самой идеей лично использовать инструменты, оставляющие подобные водяные знаки в тексте, стоит признать: математика за этим стоит завораживающая.

Майкл Лопп, в блоге Rands in Repose, «RIP Claude»:

Как человек, которому доводилось разбираться с регуляциями ЕС, прекрасно понимаю, насколько трудоёмок этот бюрократический процесс, и могу предположить, с какими угрозами столкнулась Anthropic. Тем не менее это на редкость нечуткий, неуклюжий и тревожный первый залп их стратегии по водяным знакам. [...]

Мои тексты — это моя работа, а нынешняя стратегия Anthropic агрессивно враждебна по отношению к пишущим людям.

Джефф Гамет, «Водяной знак Claude от Anthropic сродни отравленной пилюле для ИИ»:

Стоит уточнить: маркировка встраивается практически в любой текст, к которому прикасается Claude. Помимо сгенерированного текста, это касается и текста, который он обрабатывает — например, при вычитке и суммаризации. Стоит ожидать множество ложных обвинений в использовании Claude для написания документов, которые на деле были написаны человеком, а лишь вычитаны ИИ.

Маркировка сохраняется в документах даже после копипаста. Представьте, что копируете текст из поста блога или письма — и то, что написали вы сами, оказывается помечено как потенциально сгенерированное ИИ. На деле именно это могло произойти и с этим постом. Весь контент здесь написан лично, без AI-инструментов, но цитата в начале материала скопирована напрямую с сайта Anthropic. Значит ли это, что написанное здесь будет выглядеть как AI-сгенерированное? Если для генерации или редактирования процитированного фрагмента использовались собственные модели Anthropic — ответ, скорее всего, «да».

Одна из процитированных выше статей на ArXiv утверждает, что подобная маркировка сохраняется даже при переводе текста, изначально сгенерированного на английском, на немецкий язык.

Секретность — вот главный яд во всей этой истории. Когда только Anthropic владеет секретными ключами, одновременно и создающими маркировку, и позволяющими вероятностно её обнаруживать, всем остальным остаётся только гадать: не помечен ли скрытым знаком текст, который читаешь; не помечена ли цитата, которую приводишь; и не будет ли собственный текст несправедливо обвинён в AI-происхождении на основании секретов, о которых ничего не известно и которые невозможно увидеть. «Ядовитый» — точное слово для этого.

Или, может, точнее сказать «токсичный»? Или «самолёты»?