Đánh dấu bản quyền AI (watermark) âm thầm thay đổi hành vi của các tác nhân AI

Việc gắn watermark (dấu đánh dấu bản quyền) vào nội dung do AI tạo ra — yêu cầu bắt buộc theo luật EU — có thể làm thay đổi hành vi của các tác nhân AI (AI agent), đặc biệt là cách chúng gọi công cụ và từ chối các yêu cầu độc hại.

Theo nghiên cứu mới của Lasso Security, watermark không chỉ đơn thuần là một lớp nhãn vô hại mà còn tác động trực tiếp đến quá trình sinh văn bản, từ đó ảnh hưởng đến cả những hành vi an toàn mà chúng ta vẫn tin tưởng.

Watermark hoạt động như thế nào?

Khi Đạo luật AI của EU (EU AI Act) bắt đầu có hiệu lực, các nhà cung cấp mô hình AI buộc phải chèn mã nhận dạng có thể đọc được bằng máy vào đầu ra của phần mềm. Một trong những phương pháp phổ biến là SynthID-Text của Google DeepMind, hiện đã được Anthropic và OpenAI áp dụng.

Về cơ bản, cách hoạt động của watermark khá tinh vi. Khi Claude sắp viết một câu như "Thời tiết hôm nay lạnh và…", nó sẽ chọn một từ có khả năng xuất hiện cao theo xác suất thống kê — ví dụ chọn "nhiều mây" thay vì "xám xịt". Những lựa chọn tưởng như nhỏ nhặt, ít quan trọng này được lặp đi lặp lại nhiều lần trong suốt văn bản, tạo nên một khuôn mẫu ẩn mà người đọc không thể nhận ra, nhưng bất kỳ ai có "chìa khóa" giải mã đều có thể phát hiện.

"Watermark được thiết kế để xác minh nguồn gốc, nhưng SynthID-Text lại thay đổi chính quá trình mô hình sinh ra từng token tiếp theo," Lasso giải thích. "Ở cấp độ mô hình, điều này có thể thay đổi hành vi an toàn, bao gồm việc mô hình có từ chối yêu cầu độc hại hay không, và liệu sự từ chối đó có đứng vững trước prompt injection hay không."

Tác động đến khả năng gọi công cụ

Vấn đề trở nên nghiêm trọng hơn khi các tác nhân AI — vốn rất nhạy cảm với những khác biệt nhỏ trong từ ngữ — phải xử lý văn bản đã qua watermark.

Trong bài kiểm tra BFCL v4 single-turn AST, watermark đã làm giảm độ chính xác gọi công cụ trên 6 trong số 7 mô hình được thử nghiệm: phi-4, Llama-3.1-8B, Qwen3-32B, Qwen3-4B, gemma-3-12b, gemma-3-27b và Granite-3.2-8B.

Dù mức giảm tổng thể có vẻ không lớn, nhưng Lasso cảnh báo rằng con số trung bình này che giấu những thay đổi thực tế:

"Sự thay đổi ròng về độ chính xác không cho biết liệu cùng một lệnh gọi có thành công hay không khi có và không có watermark. Một lệnh gọi trở nên sai có thể được bù đắp bởi một lệnh gọi khác trở nên đúng, khiến kết quả tổng hợp gần như không đổi — dù mô hình đã hành xử khác đi ở cả hai trường hợp."

Khi gọi công cụ kém chính xác hơn, tác nhân AI có thể chọn sai công cụ cho nhiệm vụ, hoặc dùng sai tham số cho đúng công cụ, dẫn đến lỗi do đầu vào không hợp lệ hoặc lỗi phân tích cú pháp.

Prompt injection — lỗ hổng bị khuếch đại

Điều đáng lo ngại nhất là tác động của watermark lên khả năng từ chối yêu cầu độc hại. Dựa trên các thử nghiệm với HarmBench và JailbreakBench, watermark chỉ gây ảnh hưởng nhỏ đối với các yêu cầu độc hại rõ ràng.

Tuy nhiên, khi kết hợp với prompt injection — kỹ thuật tấn công chèn chỉ thị đối kháng nhằm vô hiệu hóa bộ lọc an toàn và buộc mô hình phải tuân theo — tỷ lệ tấn công thành công lại tăng đáng kể. Nói cách khác, các mô hình có watermark trở nên ít có khả năng từ chối các yêu cầu độc hại hơn.

Không phải là lý do để bỏ watermark

Lasso nhấn mạnh rằng những phát hiện này không có nghĩa là watermark là vô ích hay không nên tồn tại. Vấn đề nằm ở chỗ các quy trình đánh giá an toàn và red-teaming hiện nay chưa tính đến nội dung đã qua watermark.

Nhóm nghiên cứu khuyến nghị:

• Bổ sung nội dung có watermark vào các bài kiểm tra bảo mật và red-teaming khi đánh giá triển khai tác nhân AI.
• Đo lường sự khác biệt hành vi một cách có hệ thống, thay vì chỉ nhìn vào điểm số tổng hợp.
• Xem xét lại tác động của watermark không chỉ ở cấp độ mô hình mà còn ở cấp độ tác nhân và toàn bộ chuỗi công cụ.

Đối với các nhà phát triển và doanh nghiệp Việt Nam đang ứng dụng AI agent vào tự động hóa quy trình, đây là lời nhắc nhở quan trọng: một tính năng tưởng chừng chỉ mang tính tuân thủ pháp lý lại có thể âm thầm thay đổi hành vi của hệ thống theo những cách khó lường — và những thay đổi đó cần được kiểm thử kỹ lưỡng trước khi triển khai thực tế.