Ghi chép từ Việt Nam về pháp luật, công nghệ, ngôn ngữ, lịch sử, văn hóa và du lịch.

OpenAI gắn thủy vân ẩn vào văn bản ChatGPT tại châu Âu: textGrain hoạt động ra sao và giới hạn ở đâu

Thứ Hai, ngày 5/10/2026, OpenAI cho biết sẽ bắt đầu gắn một dấu thủy vân (watermark) vô hình vào văn bản do ChatGPT và Codex viết cho người dùng tại Liên minh châu Âu (EU). Việc triển khai diễn ra “trong vài tuần tới”, áp dụng cho mọi gói thuê bao, nhưng chỉ trong EU. Với API, khách hàng ở bất kỳ đâu có thể tự bật cùng loại thủy vân này cho một số model kể từ ngày công bố. Mặc định tính năng này tắt. OpenAI cũng mở đơn đăng ký dùng công cụ phát hiện (detector), nhưng hiện chỉ cấp cho các nhà nghiên cứu và tổ chức chuyên môn đã được duyệt.

Cơ chế này có tên textGrain. Cùng với bài blog, OpenAI đăng một báo cáo kỹ thuật ngắn, textGrain: Entropy-Calibrated Watermarking for Language Model Text, do các tác giả từ OpenAI, Đại học Pennsylvania và Đại học Yale viết. Hiếm có hệ thống thủy vân nào đang chạy thực tế mà công khai phần toán đến mức này, và báo cáo đó là phần đáng đọc nhất của đợt công bố.

Vì sao là lúc này: Điều 50 và việc Anthropic đã đi trước

Lý do trực tiếp là pháp luật. Các nghĩa vụ minh bạch trong Đạo luật AI của EU (Điều 50) có hiệu lực từ ngày 2/8/2026. Theo đó, nhà cung cấp AI tạo sinh phải đánh dấu nội dung do máy tạo ra theo cách máy đọc được và phát hiện được. Bộ Quy tắc thực hành (Code of Practice) về minh bạch nội dung do AI tạo ra hướng dẫn cách làm, nhưng chỉ mang tính tự nguyện.

Anthropic là hãng đi trước. Ngày 11/8, hãng thông báo các model Claude phát hành sau ngày 2/8 sẽ gắn thủy vân ẩn vào văn bản, trên toàn cầu và bật sẵn mặc định. Phản ứng rất gay gắt. TechCrunch đưa tin có người dùng trả phí hủy gói vì văn bản họ soạn cùng Claude vẫn có thể bị nhận diện dù đã sửa lại. John Gruber cũng viết một bài dài phản đối và được chia sẻ rộng rãi.

Các lựa chọn của OpenAI trông như rút kinh nghiệm từ chuyện đó. Thủy vân chỉ bắt buộc ở nơi luật yêu cầu, những nơi khác do người dùng tự chọn, và detector không phát hành công khai.

Chuyện này cũng có tiền lệ. Tháng 8/2024, Wall Street Journal đưa tin OpenAI đã có sẵn một hệ thống thủy vân văn bản chính xác khoảng 99,9% nhưng để đó suốt khoảng một năm. Một trong các lý do là khảo sát nội bộ: gần 30% người dùng ChatGPT nói họ sẽ dùng ít đi nếu văn bản bị gắn thủy vân trong khi sản phẩm của đối thủ thì không. Hai năm sau, pháp luật đã trả lời câu hỏi đó, ít nhất là trong phạm vi EU.

Cái mới thực sự: coi thủy vân là bài toán vận tải tối ưu

Các kiểu thủy vân văn bản đều dựa trên cùng một ý tưởng. Ở mỗi bước, model có một phân phối xác suất cho token tiếp theo. Một khóa bí mật, kết hợp với vài token đứng trước, sinh ra các giá trị giả ngẫu nhiên để “lái” nhẹ việc chọn token. Người giữ khóa về sau có thể tính lại các giá trị đó và kiểm tra xem các token trong văn bản có khớp với chúng thường xuyên hơn mức ngẫu nhiên hay không. Các thiết kế trước đây gồm “danh sách xanh” (green list) của Kirchenbauer và cộng sự (2023), cơ chế Gumbel-max của Scott Aaronson làm cho OpenAI, và SynthID-Text của Google DeepMind đăng trên Nature năm 2024. textGrain kế thừa những thiết kế này và thay đổi ba điểm.

1. Coi việc chọn token là bài toán vận tải tối ưu (optimal transport, OT). Ở mỗi bước, textGrain dùng khóa và ngữ cảnh để chia từ vựng thành vài khối (block), rồi cộng xác suất các token trong từng khối. Sau đó nó ghép (coupling) phân phối của các khối với m “cột” có xác suất ngang nhau. Bảng chi phí được sinh từ các biến ngẫu nhiên Gumbel theo khóa, và lời giải được tính bằng thuật toán Sinkhorn với một khoản phạt KL-divergence. Khóa chọn ra một cột, từ cột đó ra một khối, rồi token được lấy mẫu trong khối theo đúng tỷ lệ xác suất gốc của model. Tính trung bình trên mọi khóa, phân phối đầu ra trùng khớp hoàn toàn với model không gắn thủy vân. Đây là tính chất “không thiên lệch” (unbiased).

2. Nút chỉnh độ mạnh có ý nghĩa rõ ràng. Kết quả trung tâm của báo cáo là khoản phạt KL đúng bằng thông tin tương hỗ giữa token và phần ngẫu nhiên sinh từ khóa, tức là đúng bằng lượng entropy (độ ngẫu nhiên) trung bình mà thủy vân lấy đi khỏi quá trình lấy mẫu. Người vận hành đặt một “ngân sách” β, là tỷ lệ entropy mà thủy vân được phép dùng. Cách này giải quyết một vấn đề thực tế của Gumbel-max: với cùng khóa và cùng prompt, Gumbel-max luôn chọn cùng một token, nên hỏi lại một câu sẽ nhận lại đúng câu trả lời cũ. Với các sản phẩm có nút “tạo lại” hoặc cần sinh nhiều lời giải để chọn, đó là lỗi thật sự. textGrain giữ lại một phần độ ngẫu nhiên được đảm bảo tính theo trung bình, dù báo cáo nói rõ không đảm bảo được cho từng khóa riêng lẻ.

3. Detector nhẹ, không cần đến model. Để phát hiện, chỉ cần văn bản, tokenizer và khóa bí mật. Không cần model, xác suất hay giá trị β. Với mỗi ngữ cảnh mới, detector dựng lại chi phí của khối chứa token quan sát được, đổi thành một điểm số tuân theo phân phối mũ đơn vị nếu văn bản không có thủy vân, rồi cộng các điểm lại. Với văn bản không có thủy vân, tổng này theo phân phối Gamma(n, 1), nên ngưỡng dương tính giả tính được trực tiếp bằng công thức. Báo cáo còn có một phụ lục chứng minh cơ chế tương thích với speculative decoding (giải mã suy đoán). Điều này quan trọng vì gần như mọi hệ thống suy luận chạy thực tế hiện nay đều dùng kỹ thuật đó.

Số liệu do chính OpenAI công bố

Theo thông báo và các bài tường thuật, ở mức dương tính giả mục tiêu 1%, detector nhận ra thủy vân trong khoảng 80% đoạn văn dài 200 token và khoảng 95% đoạn dài 400 token với văn xuôi có nhiều cách diễn đạt như bài về tâm lý học. Với toán học, tỷ lệ thấp hơn hẳn, vì ít lựa chọn từ hợp lý cho mỗi vị trí nên có ít entropy để giấu tín hiệu. Khả năng chịu chỉnh sửa giảm nhanh. Thay 10% số từ bằng từ đồng nghĩa làm tỷ lệ phát hiện giảm từ khoảng 92% xuống 66%, và thay 25% thì chỉ còn 17%. Đoạn văn ngắn và văn bản đã dịch cũng được nêu là điểm yếu.

Về chất lượng, OpenAI cho biết gần như không bị ảnh hưởng. Điểm Artificial Analysis Intelligence Index tăng từ 49,57 lên 49,76 khi có thủy vân, còn GPQA Diamond giảm từ 94,44% xuống 93,94%. Cả hai thay đổi đều nằm trong biên độ nhiễu. Tất cả các con số này đều do OpenAI tự công bố. Detector chưa mở công khai nên chưa ai bên ngoài kiểm chứng được.

Ý nghĩa với lập trình viên

  • Người dùng API tự quyết định. Theo các bài tường thuật, thủy vân có thể bật ở cấp project hoặc tổ chức, cho những model bạn chọn. Nếu bạn xây sản phẩm trên OpenAI ngoài EU, mọi thứ giữ nguyên trừ khi bạn tự bật. Nếu sản phẩm phục vụ người dùng EU, giờ đã có cách đánh dấu nội dung ngay từ phía nhà cung cấp mà không phải tự xây.
  • Đầu ra của Codex cũng thuộc diện áp dụng. Tại EU, comment, commit message và tài liệu do Codex sinh ra có thể mang tín hiệu thủy vân. Bản thân code có entropy thấp, giống toán học, nên khả năng phát hiện ở đó nhiều khả năng yếu. OpenAI chưa công bố số liệu riêng cho code.
  • Detector là cổng có kiểm soát, chưa phải API. Bạn chưa thể tự kiểm tra văn bản nhận được. Một hệ thống xác minh nguồn gốc mà chỉ nhà cung cấp kiểm tra được thì tự nó đã có giới hạn.

Những điểm nên giữ thái độ hoài nghi

OpenAI nói khá thẳng về các giới hạn. Thủy vân chỉ cho biết model của OpenAI đã tham gia tạo ra văn bản. Nó không nói gì về độ chính xác, quyền sở hữu hay mức độ đóng góp của con người. Quan trọng nhất, không có thủy vân không chứng minh văn bản do người viết. Văn bản có thể quá ngắn, đã bị sửa, đã được dịch, hoặc do model của hãng khác hay một model open-weights (công khai trọng số) không gắn thủy vân tạo ra.

Điểm cuối cùng là quan trọng nhất. Model open-weights giờ đã gần ngang hàng đầu về chất lượng và chạy rất rẻ, nên ai muốn né phát hiện đều có lối đi dễ dàng. Thủy vân của các nhà cung cấp chịu quản lý sẽ bắt được trường hợp dùng AI cẩu thả, không chặn được người cố tình lạm dụng. Rủi ro thật nằm ở chỗ trường học, nhà tuyển dụng hay tòa soạn coi kết quả “không phát hiện thủy vân” là bằng chứng. Hiện đã có hai nhà cung cấp dùng hai cơ chế không tương thích và đều giữ kín detector, nên mục tiêu của EU về nội dung “các hệ thống khác phát hiện được” vẫn còn rất xa.

Dù vậy, textGrain là một công trình kỹ thuật nghiêm túc. Cơ chế có đặc tả công khai, có tham số độ mạnh mang ý nghĩa lý thuyết thông tin, chứng minh được tính không thiên lệch, tương thích với speculative decoding, và tính được tỷ lệ dương tính giả bằng công thức. Những câu hỏi còn lại chủ yếu là chuyện chính sách chứ không phải chuyện toán: ai được dùng detector, và liệu có bao giờ có một chuẩn chung để công cụ của hãng này đọc được dấu của hãng kia.

Nguồn