گسترش روزافزون ابزارهای تولید متن و تصویر، ردیابی اصالت محتوا و مقابله با دیپ‌فیک‌ها را به چالشی حیاتی در امنیت هوش مصنوعی تبدیل کرده است. در این شرایط، سیستم‌های ردیابی منشأ (provenance) به شما کمک می‌کنند تا محتوای تولیدشده توسط ماشین را از تولیدات انسانی متمایز کنید و ردپای مدل‌های مختلف را به شیوه‌ای قابل اتکا بسنجید.
این درس به بررسی دقیق سه ستون اصلی منشأ محتوا در سال 2026 می‌پردازد: واترمارکگذاری آماری متن به سبک SynthID، درج پیام در دکودر تصویر با الگوریتم Stable Signature و ساختار فرادادههای امضاشده در استاندارد C2PA. با درک این مبانی، نقاط قوت، شکنندگی در برابر حملات بازنویسی و فاینتیونینگ و محدودیت‌های هر روش را در سطح تولید و استقرار مدل‌ها تحلیل خواهید کرد.
سه فناوری اصلی، پایه‌های منشأ و سندیت (provenance) محتوای تولیدشده با هوش مصنوعی را در سال 2026 شکل می‌دهند. فناوری SynthID (متعلق به Google DeepMind) — واترمارکگذاری تصویر را در اوت 2023 و متن به‌همراه ویدیو را در مه 2024 (برای Gemini و Veo) عرضه کرد، بخش متن را در اکتبر 2024 از طریق Responsible GenAI Toolkit متن‌باز نمود و در نوامبر 2025 هم‌زمان با Gemini 3 Pro یک آشکارساز یکپارچه‌ی چندرسانه‌ای برای آن ارائه داد. واترمارکگذاری متن، احتمال نمونهبرداری توکن بعدی را به‌شکلی نامحسوس تغییر می‌دهد؛ واترمارک‌های تصویر و ویدیو نیز در برابر فشرده‌سازی، برش (cropping)، فیلترها و تغییر نرخ فریم دوام می‌آورند. فناوری Stable Signature (کار Fernandez و همکاران، ICCV 2023، با شناسه‌ی arXiv:2303.15435) — رمزگشای (decoder) دیفیوژن نهان (Latent Diffusion) را فاین‌تیون میکند تا هر خروجی حاوی یک پیام ثابت باشد؛ تصاویری که تا 10% از محتوای آنها برش خورده است، با نرخ مثبت کاذب (FPR) کمتر از 1e-6 با دقت بیش از 90% شناسایی میشوند. مقاله‌ی تکمیلی با عنوان «Stable Signature is Unstable» (با شناسه‌ی arXiv:2405.07145، مه 2024) نشان داد که فاینتیونینگ می‌تواند بدون افت کیفیت، واترمارک را حذف کند. استاندارد C2PA — استاندارد فراداده‌ی (metadata) امضاشده با رمزنگاری و آشکارساز دستکاری (tamper-evident) است (سند توضیحی C2PA 2.2، سال 2025). واترمارکگذاری و C2PA مکمل یکدیگرند: فراداده ممکن است حذف شود اما اطلاعات منشأ و سندیت بسیار غنی‌تری حمل میکند؛ در مقابل، واترمارک با تغییر انکودینگ (transcoding) باقی میماند اما اطلاعات کمتری در خود نگه می‌دارد.
اهداف یادگیری
- واترمارکگذاری در سطح توکن (به سبک SynthID-text) و سازوکار شناسایی آن را شرح دهید.
- فناوری Stable Signature و حملهی حذفی سال 2024 را که آن را بی‌اثر کرد توضیح دهید.
- نقش C2PA و دلیل مکمل بودن آن با واترمارکگذاری را بیان کنید.
- محدودیت‌های کلیدی را تشریح کنید: سیگنال وابسته به مدل، میزان پایداری در برابر بازنویسی (paraphrase) و حملات حفظ‌کننده‌ی معنا (arXiv:2508.20228).
صورت مسئله
در سال‌های 2023 و 2024، دیپ‌فیک‌ها و محتوای تولیدشده با هوش مصنوعی در مقیاسی گسترده وارد عرصه‌های سیاسی و عمومی شدند. واترمارکگذاری به‌عنوان سیگنال فنی پیشنهادی برای اثبات منشأ و سندیت مطرح است: محتوا را هنگام تولید علامت‌گذاری کنید و بعداً آن را تشخیص دهید. شواهد سال 2025 نشان می‌دهد: هیچ واترمارکی به‌صورت مطلق و بدون قیدوشرط پایدار و نفوذناپذیر نیست، اما وقتی با فرادادههای C2PA لایه‌بندی شود، این ترکیب روایتی کارآمد و کاربردی از منشأ و سندیت ارائه می‌دهد.
مفاهیم پایه
واترمارکگذاری متن (به سبک SynthID-text)
سازوکار معرفی‌شده توسط Kirchenbauer و همکاران در سال 2023 که گوگل آن را وارد محیط عملیاتی (پروداکشن) کرد:
- در هر گام رمزگشایی (Decode)، تعداد K توکن قبلی را هش کنید تا دایرهی واژگان (vocabulary) به‌شکل شبه‌تصادفی به دو دستهی «سبز» و «قرمز» افراز شود.
- با اضافه کردن مقدار δ به لاجیتهای دستهی سبز، نمونهبرداری را به نفع این دسته سوگیرانه (bias) کنید.
- در نتیجه، متن خروجی شامل توکنهای سبز بیشتری نسبت به حالت تصادفی خواهد بود.
آشکارسازی: هر پیشوند را دوباره هش کنید، تعداد توکنهای سبز را در متن تولیدشده بشمارید و امتیاز z (یا همان z-score) را به دست آورید. امتیاز z برای متن واترمارک‌شده بزرگ‌تر از صفر (0 < z) و برای متن نوشته‌شده توسط انسان نزدیک به صفر (~0) است.
ویژگی‌ها:
- برای خواننده نامحسوس است (مقدار δ به‌قدری کوچک است که افت کیفیت بسیار ناچیز خواهد بود).
- با دسترسی به تابع افراز دایرهی واژگان قابل شناسایی است.
- در برابر بازنویسی پایدار نیست — بازنویسی متن، سیگنال واترمارک را از بین می‌برد.
ابزار SynthID-text در اکتبر 2024 از طریق Responsible GenAI Toolkit گوگل به‌صورت متن‌باز منتشر شد.
فناوری Stable Signature (برای تصویر)
ارائه‌شده توسط Fernandez و همکاران در ICCV 2023. این روش، رمزگشای دیفیوژن نهان را طوری فاین‌تیون میکند که هر تصویر تولیدی، یک پیام باینری ثابت تعبیه‌شده در دل نمایش نهان خود داشته باشد. عملیات آشکارسازی با استفاده از یک دکودر عصبی از درون فضای نهان رمزگشایی میشود. تصاویری که حتی تا 10% از محتوا برش خورده‌اند، با نرخ مثبت کاذب کمتر از 1e-6 با دقتی بالاتر از 90% قابل شناسایی هستند.
مقاله‌ی مه 2024 با عنوان «Stable Signature is Unstable» (با شناسه‌ی arXiv:2405.07145) نشان داد: فاینتیونینگ دکودر، واترمارک را بدون آسیب به کیفیت تصویر پاک میکند. فاینتیونینگ خصمانه پس از تولید، هزینه‌ی پردازشی پایینی دارد؛ بنابراین پایداری این واترمارک در برابر حملات خصمانه محدود است.
آشکارساز یکپارچه‌ی SynthID (نوامبر 2025)
هم‌زمان با Gemini 3 Pro معرفی شد: یک آشکارساز چندرسانه‌ای که سیگنال‌های SynthID را از متن، تصویر، صوت و ویدیو در قالب یک API واحد می‌خواند و پشته‌ی منشأ و سندیت گوگل را یکپارچه می‌سازد.
استاندارد C2PA
مخفف Coalition for Content Provenance and Authenticity (ائتلاف برای منشأ و اصالت محتوا). این استاندارد، فراداده‌ای امضاشده با رمزنگاری و آشکارساز دستکاری ارائه می‌دهد (سند توضیحی C2PA 2.2 در سال 2025). یک مانیفست C2PA ادعاهای مربوط به سندیت محتوا (چه کسی ساخته، چه زمانی ساخته و چه تغییراتی اعمال شده) را که با کلید اختصاصی سازنده امضا شده‌اند، ثبت میکند.
مکمل واترمارکگذاری است زیرا:
- فراداده ممکن است از فایل جدا شود؛ اما واترمارک را نمی‌توان (به‌سادگی) حذف کرد.
- فراداده بسیار غنی است (کل زنجیرهی منشأ و سندیت را در بر دارد)؛ در حالی که واترمارک تنها چند بیت اطلاعات حمل میکند.
- استاندارد C2PA به پذیرش پلتفرم‌ها وابسته است؛ اما واترمارک بهطور خودکار درون اثر تعبیه میشود.
گوگل هر دو روش را در موتور جستجو، سرویس Ads و قابلیت «About this image» یکپارچه کرده است.
محدودیت‌ها
- وابستگی به مدل: فناوری SynthID فقط خروجی مدل‌هایی را نشانه‌گذاری میکند که این قابلیت را فعال داشته باشند. محتوای مدلی که فاقد SynthID است واترمارک ندارد؛ بنابراین «نبود سیگنال SynthID» اثبات اصالت اثر نیست.
- بازنویسی: واترمارک‌های متنی در برابر بازنویسی‌هایی که معنا را حفظ می‌کنند، دوام نمی‌آورند.
- حملات مبتنی بر تبدیل داده: مقاله‌ی arXiv:2508.20228 (سال 2025) نشان می‌دهد که حملات حفظ‌کننده‌ی معنا، هم واترمارک‌های متنی و هم بسیاری از واترمارک‌های تصویری را از بین می‌برند.
- حذف با فاینتیونینگ: طبق یافته‌های مقاله‌ی «Stable Signature is Unstable»، فاینتیونینگ پس از تولید محتوا می‌تواند واترمارک‌های تعبیه‌شده را پاک کند.
ماده‌ی 50 قانون هوش مصنوعی اتحادیه‌ی اروپا (EU AI Act)
آیین‌نامه‌ی شفافیت برای برچسب‌گذاری محتوای تولیدشده با هوش مصنوعی (پیش‌نویس اول در دسامبر 2025، پیش‌نویس دوم در مارس 2026 و نسخه‌ی نهایی مورد انتظار در ژوئن 2026 طبق صفحه‌ی وضعیت کمیسیون اروپا). تا آوریل 2026، این آیین‌نامه هنوز در قالب پیش‌نویس است و جدول زمانی آن ممکن است تغییر کند. این چارچوب حقوقی، همان لایه‌ی قانونی است که پیاده‌سازی لایه‌ی فنی را الزامی میکند: دیپ‌فیک‌ها باید حتماً برچسب‌گذاری شوند.
جایگاه این درس در فاز 18
درس‌های 22 و 23 به خروجی‌های مدل اختصاص دارند (داده‌های خصوصی، سیگنال منشأ و سندیت). درس 27 حاکمیت داده‌های آموزشی را پوشش می‌دهد. درس 24 نیز به چارچوب‌های قانونی و مقرراتی الزام‌آور برای این راهکارهای فنی می‌پردازد.
استفاده از ابزارهای واقعی
فایل code/main.py یک سیستم واترمارک متنی ساده می‌سازد. توکنها اعدادی صحیح در بازه‌ی 0 تا N-1 هستند؛ نمونهبرداری واترمارک‌شده بر اساس هش، به نفع توکنهای دستهی سبز سوگیری ایجاد میکند. سپس آشکارساز، امتیاز z توکنهای سبز را محاسبه میکند. می‌توانید فرایند شناسایی را در متن‌های 1000 توکنی مشاهده کنید، تخریب سیگنال بر اثر بازنویسی را ببینید و نرخ مثبت کاذب را روی متن‌های نوشته‌شده توسط انسان بسنجید.
خروجی این درس
خروجی این درس فایل outputs/skill-provenance-audit.md است. این گزارش، پیاده‌سازی یک سامانه‌ی تولید محتوا با ادعای منشأ و اصالت را ممیزی میکند: بررسی سازوکار واترمارک (در صورت وجود)، زنجیرهی امضای C2PA (در صورت وجود)، پایداری هرکدام در برابر حملات خصمانه و میزان پوشش تفکیک‌شده به ازای هر نوع رسانه.
تمرین‌ها
-
اسکریپت
code/main.pyرا اجرا کنید. امتیازهای z را برای متن 1000 توکنی واترمارک‌شده در برابر متن دست‌نویس انسان گزارش دهید. نرخ مثبت کاذب را در آستانه‌ی اطمینان 95% تعیین کنید. -
یک حملهی بازنویسی پیاده کنید که 30% از توکنها را با کلمات مترادف جایگزین کند. سپس مجدداً امتیاز z را اندازه بگیرید.
-
بخش 6 مقاله‌ی Kirchenbauer و همکاران (2023) در مورد پایداری را مطالعه کنید. چرا واترمارک متنی با بازنویسی از بین می‌رود، اما واترمارک تصویر در برابر برش تصویر دوام می‌آورد؟
-
معماری سیستمی را طراحی کنید که از ترکیب SynthID-text و فرادادههای C2PA بهره می‌برد. زنجیرهی منشأ و سندیتی را که کاربر نهایی مشاهده میکند شرح دهید. برای هر مؤلفه یک حالت شکست (failure mode) مشخص کنید.
-
نتیجه‌ی مقاله‌ی «Stable Signature is Unstable» در سال 2024 نشان داد که فاینتیونینگ باعث پاک شدن واترمارک تصویر میشود. یک کنترل امنیتی برای استقرار سیستم طراحی کنید که مانع این حمله شود — برای نمونه، الزام به ارائه‌ی چک‌پوینت‌های فاین‌تیون‌شده همراه با امضای معتبر.
اصطلاحات کلیدی
| اصطلاح | در گفت‌وگوهای عامیانه | معنای دقیق فنی |
|---|---|---|
| SynthID | «واترمارک گوگل» | سیگنال چندوجهی منشأ و سندیت برای متن، تصویر، صوت و ویدیو |
| واترمارک توکن (Token watermark) | «واترمارک به سبک Kirchenbauer» | واترمارک متن از طریق نمونهبرداری سوگیرانه، قابل شناسایی با امتیاز z توکنهای سبز |
| Stable Signature | «واترمارک تصویر» | روش واترمارکگذاری با فاینتیونینگ دکودر؛ ICCV 2023 |
| C2PA | «استاندارد فراداده» | فراداده‌ی منشأ و سندیت که با رمزنگاری امضا شده و آشکارساز دستکاری است |
| پایداری در برابر بازنویسی (Paraphrase robustness) | «آیا تغییر کلمات خرابش می‌کنه» | ویژگی واترمارک متنی؛ که در حال حاضر توانمندی محدودی دارد |
| حذف با فاینتیونینگ (Fine-tune removal) | «حذف خصمانه‌ی واترمارک» | نوعی حمله که واترمارک تصویر را با فاین‌تیون کردن دکودر پاک میکند |
| آشکارساز چندوجهی (Cross-modal detector) | «SynthID یکپارچه» | رابط برنامه‌نویسی (API) یکپارچه‌ی ارائه‌شده در نوامبر 2025 برای رسانه‌های مختلف |
برای مطالعه‌ی بیشتر
- Kirchenbauer et al. — A Watermark for Large Language Models (ICML 2023, arXiv:2301.10226) — سازوکار واترمارکگذاری بر پایه‌ی توکن
- Fernandez et al. — Stable Signature (ICCV 2023, arXiv:2303.15435) — مقاله‌ی واترمارکگذاری روی تصویر
- "Stable Signature is Unstable" (arXiv:2405.07145) — مقاله‌ی بررسی حملهی حذفی
- Google DeepMind — SynthID — واترمارک چندوجهی گوگل
- C2PA 2.2 Explainer (2025) — سند توضیحی استاندارد فراداده