AI テキストの電子透かしの仕組みSynthID Text とグリーンリスト方式で、検出できる長さと消える条件を見極める

モデルが次のトークンを選ぶたびに、直前のトークンと秘密の鍵から乱数の種を作り、語彙全体を緑のリスト (green list) と赤のリストにランダムに分けます。緑に入れる割合を γ（ガンマ）と呼びます。γ = 0.25 なら、語彙の 4 分の 1 が緑です。

そのうえで、緑のトークンのロジットに一定の値 δ（デルタ）を足してから確率に直します。δ = 2 なら、緑のトークンは選ばれる重みが e² ≈ 7.4 倍になります。赤のトークンも選べるので、文脈上どうしても必要な単語が赤に入っていても、その単語は選ばれます。この「赤も選べる」形をソフト方式と呼び、赤を完全に禁じるハード方式より文章が崩れにくいため、実装ではソフト方式が使われます。

緑と赤の分け方は直前のトークンが変わるたびに変わるので、同じ単語でも、ある場所では緑、別の場所では赤になります。読み手から見ると、特定の単語が多いわけではなく、文章は自然なままです。

検出する側は、検査する文章をトークンに分け、各トークンについて直前のトークンと鍵から緑のリストを作り直し、そのトークンが緑だったかを数えます。モデル本体は要りません。透かしのない文章なら、緑の割合は偶然に任せて γ の付近に留まります。透かし入りなら γ を大きく超えます。

この差を、人間の文章で起きる偶然のばらつきと比べた値が z 値 (z-score) です。z 値が大きいほど、偶然では起きにくい偏りです。z 値を、透かしなしでその偏り以上が起きる確率に直したものが p 値 (p-value) です。

原論文は閾値を z = 4 に置いています。z = 4 を超える偏りが偶然で起きる確率は約 0.003%（10 万件に 3 件）で、これが人間の文章を誤って透かし入りと判定する偽陽性率 (false positive rate) の理論値になります。閾値を上げれば偽陽性は減り、そのぶん透かし入りの短い文章を見逃します。transformers の検出器は既定の閾値を z = 3 にしているので、使う場面に合わせて設定し直します。

SynthID Text の中心はトーナメントサンプリング (Tournament sampling) です。モデルの確率に従って次のトークンの候補を複数引き、その候補どうしで勝ち抜き戦をさせて、最後に残った 1 つを出力します。

各回戦では、鍵と直前の数トークンから作った採点関数 g が、候補のトークンに 0 か 1 の点を付け、点の高い方が勝ちます。同点なら無作為に決めます。回戦ごとに別の採点関数を使い、論文の既定の構成では 30 回戦を重ねます。勝ち残ったトークンは、多くの採点関数で 1 を取ったトークンなので、文章全体で見ると g の平均が 0.5 より高い側に偏ります。

候補はモデルの確率どおりに引いているので、確率の低い単語を無理に選ぶことは起きにくく、選ばれるのは、モデルがもともと選びうる候補の中の 1 つです。構成によっては、1 回の応答の分布を変えない形にも設定できます。

Nature 論文では、Gemini の本番環境で約 2,000 万件の応答に SynthID Text を入れ、利用者が付ける高評価・低評価の率を透かしなしの応答と比べています。両者に有意な差は見られませんでした。透かしを入れても、利用者が品質の違いを感じないことを大規模に示した実験です。生成の遅延についても、候補を複数引く処理は推論の中で並列に行えるので、増加はわずかです。

同じ論文と Google の説明は、限界も明記しています。事実を問う質問への応答のように答えが 1 つに決まる文章では検出力が下がり、徹底的に書き直された文章や他の言語に翻訳された文章では検出の確からしさが大きく下がります。03 グリーンリスト方式で見たエントロピーの制約は、方式を変えても残ります。

言い換えへの強さを測った研究は、2 つの方向の結果を出しています。Krishna らは 2023 年に、言い換え専用のモデル DIPPER を使うと、偽陽性率 1% の条件でグリーンリスト方式の検出率が 100% から 57% に下がることを示しました。一方、グリーンリスト方式の著者らは同じ年に、人間が強く言い換えた文章でも、偽陽性率 10 万分の 1 の条件で、平均 800 トークンほどあれば検出できることを示しています。文章が十分に長ければ、言い換えの後でも検出が残ります。言い換えで偏りは薄まりますが、元の文章の一部の語順は残り、その部分の偏りは数えれば積み上がるからです。2 つの結果は矛盾しておらず、どちらも「短い文章では消え、長い文章では残る」という06 検出力を決める 3 つのつまみの分かれ目を、別の側から測っています。

翻訳の往復と絵文字の挿入は、言い換えより確実に透かしを消します。どちらも利用者が意図すれば簡単にでき、OpenAI が 2024 年に透かしの公開を見送った理由の 1 つにもなりました（09 各社の導入状況）。透かしは、手を加えるつもりのない利用者の出力を見分ける技術であり、消そうとする人から守る技術ではありません。

OpenAI の経緯は、透かしの限界と事業上の判断が交わる例です。OpenAI は 2022 年から透かしを開発し、2024 年 8 月の Wall Street Journal の報道では、十分な長さの文章なら 99.9% の精度で検出できる段階にありました。それでも公開を見送った理由として、OpenAI は 3 つを挙げています。翻訳や別のモデルでの書き直し、単語ごとに特殊な文字を挟ませて後で消す操作で簡単に回避できること、透かしを入れると英語を母語としない利用者の AI の利用が不当に疑われかねないこと、そして利用者の約 3 割が「OpenAI だけが透かしを入れるなら利用を減らす」と答えたことです。

2026 年 10 月に発表した textGrain は、この判断を EU の規制を受けて改めたものです。04 文章の質を変えない方式の Aaronson 方式と同じ系統の選び方を土台に、文章のエントロピーに応じて透かしの強さを配分する方式です。公表された検出率は標準の条件で約 92% で、単語の 1 割を同義語に置き換えると 66% に下がり、短い文章、数学の解答、翻訳された文章では効きにくくなります。06 検出力を決める 3 つのつまみで確かめた分かれ目が、そのまま製品の数字に表れています。

Anthropic と OpenAI はどちらも、透かしが見つからないことは人間が書いた証拠にならないと明記しています。01 結論で据えた軸は、事業者自身の説明でもあります。

判断の目安を整理すると、次のようになります。長い文章を生成する製品（記事、報告書、要約、メールの下書き）を自前のモデルで提供していて、自社の出力かどうかを後から確かめたい理由があるなら、透かしは役に立ちます。理由とは、自社のモデルの出力が不正に使われたときの調査、規制への対応、利用者や取引先への説明です。

出力が短い、コードが中心、あるいは商用 API を使っているなら、自社で透かしを入れて検出する運用は成り立たず、出力のログを全件残すことが「自社のモデルが書いたか」を確かめるより確実な手段になります。ログと照合すれば、言い換えられていても、元の出力との類似で確かめられます。