Ngày 11 tháng 8 năm 2026, Anthropic tuyên bố: Kể từ phiên bản Claude mới phát hành từ ngày 2 tháng 8, sẽ nhúng trực tiếp vào văn bản được tạo ra một loại watermark ẩn mà mắt người không thể nhìn thấy, máy có thể đọc được, giúp cho nội dung do AI tạo ra vẫn có thể được phần mềm nhận diện và truy xuất nguồn gốc sau khi bị sao chép, lan truyền.
Tài liệu chính thức viết: "Khi các mô hình Claude được hỗ trợ tạo ra văn bản, nó sẽ nhúng trực tiếp một loại watermark khó phát hiện vào văn bản đó. Bạn sẽ không nhìn thấy nó, và nó không làm thay đổi ngữ nghĩa, chất lượng câu trả lời của Claude, cũng không ảnh hưởng đến khả năng đọc của nó."
Cơ chế này bao phủ toàn bộ sản phẩm từ giao diện web Claude, API đến Claude Code, có hiệu lực với người dùng toàn cầu và không thể tắt; các tệp hình ảnh, v.v. được tạo ra còn sẽ đi kèm siêu dữ liệu truy xuất nguồn gốc có chữ ký số tuân thủ tiêu chuẩn C2PA.
Đây là bước đi mang tính biểu tượng của Anthropic sau khi ký kết Điều 50 - Quy tắc ứng xử về minh bạch trong "Đạo luật AI" của Liên minh Châu Âu.
Việc "đóng dấu watermark" lên nội dung do AI tạo ra, đang từ sáng kiến doanh nghiệp tiến tới sự đồng thuận toàn cầu. Tháng 6/2025, Diễn đàn Kinh tế Thế giới tại Diễn đàn Mùa hè Davos ở Thiên Tân đã công bố "Top 10 công nghệ mới nổi năm 2025", trong đó "Watermark dành cho nội dung sinh thành" (Generative watermarking) xếp thứ hai; nhà tương lai học Kevin Kelly trong cuốn "2049: Những khả năng trong 10.000 ngày tới" đã dự đoán, thời đại trí tuệ nhân tạo cần "định nghĩa lại sự thật", cần "thêm những dấu hiệu phân biệt thật giả giống như watermark lên hình ảnh và video do AI tạo ra".
Hình 1 Diễn đàn Davos Mùa hè và dự đoán của Kevin Kelly
Nhưng để "làm đúng" watermark không hề dễ dàng.
Ngay trong ngày Anthropic công bố, nghi vấn tập trung nhất từ người dùng chính là: Đóng dấu watermark, liệu có làm tổn hại mô hình không? Liệu có làm giảm chất lượng sinh thành?
"Hiệu năng không tổn hao có thể chứng minh được" (Provably performance-lossless), từ đó trở thành mệnh đề trọng tâm trong nghiên cứu ẩn thông tin thời đại GenAI. Để hiểu mệnh đề này, cần quay lại nguồn gốc lý thuyết của nó – Ẩn viết an toàn có thể chứng minh (Provably secure steganography).
Ẩn viết an toàn có thể chứng minh, chờ đợi mô hình sinh thành hai mươi năm
Ẩn viết (Steganography) và watermark cùng thuộc về ẩn thông tin. Ẩn viết truyền thống trong nhiều năm vẫn dừng lại ở "an toàn kinh nghiệm" (empirical security): dùng thuật toán phát hiện ẩn viết để kiểm tra độ an toàn của ẩn viết, nhưng không thể đưa ra đảm bảo toán học. Ẩn viết an toàn có thể chứng minh thì yêu cầu chứng minh chặt chẽ: dữ liệu chứa thông tin mật và dữ liệu bình thường là không thể phân biệt được về mặt phân phối.
Lộ trình lý thuyết này đã có từ lâu.
Năm 1949, Shannon chỉ ra khó khăn trong việc xây dựng lý thuyết thông tin liên lạc bí mật; năm 1998, Cachin đưa vào entropy tương đối, đưa ra định nghĩa an toàn theo nghĩa lý thuyết thông tin; năm 2002, người đoạt giải Turing Manuel Blum hướng dẫn Hopper và những người khác xây dựng khung ẩn viết an toàn tính toán (computational secure steganography), năm 2004 lại phát triển thêm ẩn viết khóa công khai (public-key steganography) và thỏa thuận khóa bí mật (covert key agreement).
Tuy nhiên, tất cả các cấu trúc ẩn viết an toàn có thể chứng minh đều phụ thuộc vào một tiền đề khắt khe – phân phối của vật mang (carrier distribution) có thể lấy mẫu chính xác. Phân phối dữ liệu tự nhiên không kiểm soát được, lý thuyết do đó trầm lắng nhiều năm.
Hình 2 Lược trình phát triển của ẩn viết an toàn có thể chứng minh
Năm 2018, mô hình sinh thành AI mang đến bước ngoặt: mô hình trước tiên học được phân phối dữ liệu tự nhiên, sau đó lấy mẫu theo phân phối đó, tự nhiên cung cấp "phân phối tường minh hoặc bộ lấy mẫu hoàn hảo".
Đội ngũ Đại học Khoa học và Công nghệ Trung Quốc (USTC) sớm nhất trên thế giới đề xuất ý tưởng ẩn viết an toàn có thể chứng minh kiểu sinh thành, đưa ra hai khung "lấy mẫu hộp đen" (black-box sampling) và "nén - lấy mẫu khả nghịch" (compress-reversible sampling) (IWDW 2018, arXiv 2018), quy ước hóa an toàn ẩn viết về an toàn thuật toán mã hóa – mã hóa thông điệp thành bản mã giả ngẫu nhiên, dùng bản mã điều khiển lấy mẫu sinh thành nội dung, phía nhận thông qua lấy mẫu nghịch đảo để khôi phục bản mã.
Khi đó AI sinh thành chưa bùng nổ, ý tưởng này có vẻ "siêu việt", từng khó được giới học thuật công nhận. Khi chất lượng của các mô hình sinh thành như giọng nói, v.v. nhanh chóng được nâng cao, các thành quả liên quan dần được thừa nhận, Hội thảo quốc tế về Watermark và Điều tra kỹ thuật số (IWDW) đã mời đội ngũ USTC báo cáo chủ đề chính với tiêu đề "When Provably Secure Steganography Meets Generative Models".
Hình 3 Bài báo đầu tiên về ẩn viết an toàn có thể chứng minh kiểu sinh thành
Khoảng trước sau năm 2021, dữ liệu sinh thành AI dần trở thành hình thái chủ yếu của nội dung mạng, ẩn viết an toàn có thể chứng minh được sự quan tâm rộng rãi trên toàn cầu: Đại học Thanh Hoa đề xuất ẩn viết ngôn ngữ an toàn có thể chứng minh dựa trên phân nhóm mẫu (Findings of ACL 2021); Đại học Boston và Đại học Johns Hopkins đề xuất ẩn viết an toàn mật mã học hướng đến phân phối thực tế Meteor (ACM CCS 2021); Đại học Oxford đề xuất ẩn viết an toàn hoàn hảo dựa trên ghép nối entropy tối thiểu (ICLR 2023).
Đội ngũ USTC đề xuất cấu trúc Discop dựa trên "bản sao phân phối" (IEEE S&P 2023), nâng cao đáng kể tốc độ tải nhúng (embedding payload rate). Cùng năm, Tạp chí Quanta đã xếp "giấu thông tin mật hoàn hảo trong dữ liệu sinh thành" vào top 7 đột phá khoa học máy tính quốc tế trong năm, tuyên bố ẩn thông tin bước vào thời đại "có thể chứng minh".
Từ đối xứng đến bất đối xứng, từ "có hộp" đến "không hộp"
Các phương pháp ẩn viết an toàn có thể chứng minh kiểu sinh thành thời kỳ đầu đều là thể chế "khóa đối xứng" (symmetric key), hai bên gửi và nhận phải chia sẻ khóa trước, và phụ thuộc vào trích xuất hộp trắng (white-box extraction), làm hạn chế các tình huống sử dụng.
Ngoài ra, sự mơ hồ về từ con (subword ambiguity) có thể dẫn đến trích xuất thất bại. Đội ngũ USTC đẩy tuyến kỹ thuật hướng tới ẩn viết khóa công khai, các tình huống không hộp/hộp xám, và loại bỏ sự mơ hồ từ con, đưa ẩn giấu kiểu sinh thành tiến tới thực dụng.
Ẩn viết khóa công khai (IEEE TIFS 2024): Đề xuất phương án ẩn viết khóa công khai an toàn có thể chứng minh kết hợp mật mã đường cong elliptic (ECC) với mô hình sinh thành, và đề xuất giao thức trao đổi khóa ẩn viết. Giải quyết vấn đề thỏa thuận khóa ẩn viết và trích xuất thông tin ẩn "bất đối xứng".
Ẩn viết không hộp (IEEE TMM 2026): Phương pháp truyền thống phụ thuộc trích xuất "hộp trắng", bên nhận phải nắm giữ mô hình ngôn ngữ hoàn toàn giống với bên gửi. Đội ngũ đề xuất Disreo, thông qua việc ngẫu nhiên hóa vị trí token và tổ chức lại xác suất đầu ra để thực hiện "trích xuất không hộp", bên nhận không cần truy cập mô hình cơ bản vẫn có thể khôi phục thông điệp, cung cấp sự thuận tiện lớn hơn cho triển khai thực tế.
Ẩn viết hộp xám (ACM CCS 2026): Giữa hộp trắng và không hộp còn tồn tại tình huống "hộp xám" – nguồn lực hai bên gửi nhận không tương đương, bên nhận có thể chỉ có khả năng chạy mô hình nhỏ (ví dụ thiết bị di động). SpecStega dựa trên lấy mẫu suy đoán (speculative sampling): sử dụng mô hình nhỏ mà hai bên chia sẻ để hoàn thành việc nhúng và trích xuất thông điệp, sau đó nhờ mô hình lớn mục tiêu tinh chỉnh đầu ra, làm cho văn bản chứa mật cuối cùng vừa căn chỉnh với phân phối đầu ra của mô hình lớn – duy trì chất lượng cao và tính an toàn, vừa có thể được giải mã hiệu quả ở phía nhận chỉ dựa vào mô hình nhỏ, tốc độ tải tăng hơn 20 lần so với các phương án hộp đen hiện có – cung cấp con đường thứ ba cho ẩn viết an toàn có thể chứng minh, nằm giữa "có hộp" và "không hộp".
Giải quyết mơ hồ từ con (IEEE TDSC): Ẩn viết dựa trên mô hình ngôn ngữ lớn phổ biến đối mặt với sự mơ hồ giải mã từ thông (token) – cùng một đoạn văn bản có thể được cắt thành các chuỗi từ con khác nhau, dẫn đến trích xuất thất bại. Đội ngũ đề xuất SyncPool, trước khi nhúng sẽ thống nhất nhóm các token có quan hệ tiền tố tồn tại, về nguyên tắc loại bỏ sự mơ hồ, thực hiện trích xuất đáng tin cậy cho ẩn viết an toàn có thể chứng minh.
Từ ẩn viết đến watermark, đưa "không tổn hao có thể chứng minh" tiến vào ngành công nghiệp
Mô hình lớn AIGC trước tiên học được phân phối của dữ liệu tự nhiên, sau đó lấy mẫu theo phân phối đó để sinh thành văn bản, hình ảnh, âm thanh-video, v.v. Nếu có thể thực hiện được: nhúng watermark vào nội dung sinh thành nhưng không ảnh hưởng đến phân phối lấy mẫu, thì điều đó có nghĩa là việc nhúng watermark không ảnh hưởng đến chất lượng sinh thành.
Ẩn viết an toàn có thể chứng minh về lý thuyết đảm bảo rằng dữ liệu chứa mật và dữ liệu sinh thành bình thường là không thể phân biệt được về mặt phân phối – tức là việc nhúng thông tin không thay đổi phân phối lấy mẫu của mô hình. Đây chính là định nghĩa của "watermark không tổn hao chất lượng sinh thành có thể chứng minh" (Provably generation quality-lossless watermark). Watermark không cần dung lượng lớn như ẩn viết, vì vậy còn có thể đánh đổi dung lượng để lấy độ bền (robustness).
Trong lĩnh vực văn bản, hệ thống watermark không tổn hao chất lượng sinh thành có thể chứng minh do đội ngũ USTC phát triển, có thể cắm-và-chạy, không cần sửa tham số mô hình, hỗ trợ phân biệt bền vững bit đơn và quy nguồn mô hình đa bit, đã được ứng dụng trên mô hình lớn Spark (星火大模型), mô hình GPT an toàn và các nền tảng khác, phục vụ 13 nghìn nhà phát triển.
Đồng thời, nghiên cứu về watermark văn bản sinh thành không tổn hao có thể chứng minh trên thế giới cũng đang tiến triển nhanh chóng:
Năm 2024, đội ngũ Đại học Maryland và các trường khác với "Unbiased Watermark for Large Language Models" (ICLR 2024 Spotlight) định nghĩa watermark không thiên vị và đưa ra cấu trúc phổ dụng;
Cùng năm, Đại học Stanford đề xuất watermark không thiên vị bền vững chống biến dạng (TMLR 2024);
Năm 2025, watermark không thiên vị đa kênh MCmark (ACL 2025) trong khi giữ tính không thiên vị nghiêm ngặt, đã nâng cao độ bền của việc trích xuất watermark.
Trong lĩnh vực hình ảnh, đội ngũ USTC đề xuất Gaussian Shading (CVPR 2024), ánh xạ watermark sau khi được mã hóa ngẫu nhiên hóa thành biến tiềm ẩn (latent variable) Gaussian không thể phân biệt được với sinh thành bình thường, sau đó thông qua quá trình khuếch tán tác động lên toàn bộ không gian tiềm ẩn, không cần huấn luyện, cắm-và-chạy, có thể chứng minh hiệu năng không tổn hao;
Gaussian Shading++ và T2SMark (NeurIPS 2025) tiếp tục giải quyết các vấn đề về độ bền, thay đổi tham số sinh thành và tính đa dạng sinh thành trong triển khai thực tế;
TAG-WM (ICCV 2025) giới thiệu cơ chế kép "watermark mẫu + watermark thông tin", trong điều kiện tiên quyết không tổn hao đồng thời thực hiện định vị giả mạo và xác nhận quyền sở hữu;
SemBind (ICML 2026) thông qua bộ che ngữ nghĩa (semantic masker) liên kết watermark với ngữ nghĩa hình ảnh, chống lại các cuộc tấn công giả mạo hộp đen.
Hình 4 Watermark hình ảnh sinh thành không tổn hao có thể chứng minh Gaussian Shading (CVPR 2024)
Từ watermark nội dung đến watermark mô hình. Bản thân mô hình cũng là tài sản số quan trọng, cũng cần bằng chứng thuộc về đáng tin cậy, và watermark mô hình luôn không thể tránh khỏi một nghi vấn: Liệu có ảnh hưởng đến việc sử dụng bình thường của mô hình không?
Tham khảo cấu trúc "cửa hậu không thể phát hiện có thể chứng minh" (Provably undetectable backdoor) do người đoạt giải Turing Shafi Goldwasser và những người khác đề xuất tại FOCS 2022, đội ngũ USTC đề xuất giao thức watermark mô hình hộp đen không tổn hao hiệu năng có thể chứng minh (IEEE TDSC 2026): sử dụng mã xác thực thông điệp không thể giả mạo (unforgeable message authentication code) để tạo chỉ thị nhánh, làm cho xác suất người dùng bình thường kích hoạt nhánh watermark là không đáng kể về mặt tính toán, từ đó quy ước hóa tính không tổn hao hiệu năng về an toàn mật mã học.
"Không tổn hao có thể chứng minh" từ đó được mở rộng từ nội dung sinh thành đến chính bản thân mô hình.
Từ "an toàn kinh nghiệm" đến "an toàn có thể chứng minh"
Watermark ẩn của Anthropic ra mắt ngày đầu tiên đã gây tranh cãi: Người viết lo lắng về quyền tác giả, nhà phát triển lo lắng "watermark có làm giảm chất lượng sinh thành không". Những người tiên phong trong ngành đã chọn "chạy nhanh theo hướng kỹ thuật", còn mục tiêu "đánh dấu chính xác, không làm tổn hại, chịu được viết lại và xóa bỏ, và còn có thể đưa ra bằng chứng xác định" đòi hỏi sự hỗ trợ lý thuyết vững chắc.
Từ ý tưởng đặt vấn đề thách thức của Shannon đến khung lý thuyết của Blum và những người khác, từ thuật toán ẩn viết an toàn có thể chứng minh kiểu sinh thành đầu tiên năm 2018 đến watermark của mô hình lớn Spark và watermark của Claude, ẩn thông tin đã đi bảy mươi bảy năm, cuối cùng đã vượt qua nâng cấp từ "an toàn kinh nghiệm" lên "an toàn có thể chứng minh", biến "lo lắng nhúng watermark làm tổn hại mô hình" thành "toán học chứng minh không tổn hao" – bất kể là đối với nội dung được sinh thành, hay đối với chính bản thân mô hình – cung cấp hỗ trợ kỹ thuật có đảm bảo lý thuyết cho quản trị nội dung AI.
Công và phòng của watermark
Thiết kế watermark khó, xóa watermark dễ. Thực ra cũng không hẳn vậy. Thiết kế watermark phải đồng thời theo đuổi chất lượng không tổn hao và độ bền, còn kẻ tấn công cũng cần xóa watermark trong ràng buộc về chất lượng.
Không có ràng buộc, watermark rất dễ xóa. Viết lại từng câu để xóa watermark, vậy có còn tính là nội dung do mô hình gốc sinh thành không? Có lẽ không bằng trực tiếp sử dụng các mô hình mã nguồn mở khác để sinh thành.
Cũng giống như các lĩnh vực an ninh khác, hai bên công và phòng đấu tranh trong điều kiện ràng buộc của mỗi bên, có công có phòng thì hướng kỹ thuật này mới có sức sống.
Và "không tổn hao" chính là ràng buộc và mục tiêu theo đuổi của cả hai bên công và phòng.
Bên phòng thủ không muốn vì nhúng watermark mà hy sinh chất lượng sinh thành; bên tấn công cũng không mong muốn vì xóa watermark mà làm giảm chất lượng.
Chưa bao giờ có sự an toàn tuyệt đối, ý nghĩa của phòng thủ là tạo ra cái giá càng lớn càng tốt cho cuộc tấn công. Bản chất của công và phòng là đấu tranh về cái giá, watermark cũng vậy.
Bài viết này đến từ tài khoản công chúng WeChat "新智元" (New Zhi Yuan), tác giả: 新智元
