Watermark invisibili, metadati 'allucinati' e il rischio di elusione

Google ha inserito un interruttore per togliere il marchio visibile dai media generati con Gemini. Anthropic ha spiegato come Claude nasconderà un watermark nel testo scegliendo tra sinonimi “a basso rischio”. Nel frattempo, Simon Willison documenta come far “allucinare” tag a un LLM e rimapparli sui tag reali tramite embeddings. La tesi: quando il segnale di provenienza sta in scelte statistiche o metadati, pipeline automatiche possono riscriverlo o trasformarlo. Servono verifiche più robuste di un singolo strato di watermark.

Come funziona il watermark testuale di Claude

Anthropic descrive un segnale invisibile inserito nelle “low-stakes choices”. Il modello preferisce, tra alternative equivalenti, una parola rispetto a un’altra. Per esempio “overcast” invece di “grey” per indicare il meteo. Nel tempo, queste preferenze compongono un disegno statistico nel testo. Chi legge non vede nulla. Chi possiede una chiave può rilevarlo.

L’azienda collega il meccanismo al Transparency Code del regolamento UE sull’IA. L’annuncio segue la rivelazione, a inizio settimana, dell’introduzione del watermarking per conformarsi alle regole UE sulla trasparenza dei contenuti generati dall’IA. Il post affronta aspetti pratici: come funzionerà il watermarking, se l’editing può nasconderlo, che cosa cambia per il codice generato da Claude. L’obiettivo è un segnale che non altera il senso della frase e resta leggibile con una chiave.

Questa scelta punta su segnali distribuiti. Non introduce marcatori visibili. Non cambia il contenuto semantico. Controlla la statistica delle alternative accettabili. È un’impronta che vive nelle pieghe dello stile, non nella struttura esplicita del testo.

Watermark visibili vs invisibili: il caso Google

Google separa estetica e tracciabilità. In Gemini e nell’editor video Flow arriva un toggle nelle impostazioni (Settings > Media Watermark). L’utente può disattivare lo “sparkle” visibile su immagini, video e musica generati. Il rollout è in corso. L’azienda nota che molti rimuovevano già il segno in post‑produzione. Altri generatori, come quelli di OpenAI e Meta, non applicano di default segni visibili.

Il vicepresidente Josh Woodward precisa che la novità non tocca i tracciamenti invisibili. I media generati mantengono i watermark SynthID e i metadati C2PA incorporati. Restano disponibili le verifiche integrate: si può chiedere a Gemini o a Search se un’immagine, un video o un brano audio provengono dall’IA. La linea è di equilibrio tra controllo creativo e sicurezza: i watermark visibili diventano opzionali, quelli invisibili e i metadati restano in uso.

Qui la strategia è multilivello. Il segno visibile diventa una scelta. L’identificazione tecnica si sposta su meccanismi non percepibili a occhio. La fruizione si pulisce, ma la provenienza resta ancorata a tracce incorporate e a servizi di verifica.

Generare e rimappare metadati: la scorciatoia degli “allucinati”

Simon Willison ha 1.856 tag nel suo blog. Non può passarli tutti a un LLM in un’unica richiesta. Il 14 agosto 2026 descrive la scorciatoia proposta da Doug Turnbull: si chiede al modello di “allucinare” nuovi tag plausibili, senza esporre il vocabolario esistente. Poi si mappano quei nomi inventati sui tag reali calcolando embeddings e cercando, contro il corpus dei tag reali, i più vicini nello spazio semantico.

La tecnica risolve un vincolo pratico di input. Evita di caricare l’intero elenco di categorie. Usa la capacità del modello di proporre etichette coerenti col contenuto. Il passaggio chiave è il mapping: gli embeddings fungono da ponte tra i nomi inventati e i tag veri.

Turnbull suggerisce di vincolare la “forma” dei tag attesi. Non i nomi, ma la struttura. Nel prompt compaiono esempi come “Furniture / Living Room Furniture / Coffee Tables & End Tables / Coffee Tables”. O “Décor & Pillows / Decorative Pillows & Blankets / Throw Pillows”. La forma guida l’output del modello, senza rivelare il lessico di destinazione.

Questa pratica mostra come si possano generare metadati utili senza mostrare il vocabolario originale. E come si possano trasformare etichette in modo sistematico tramite uno strato di embeddings.

Dove si incrociano watermark e tecniche di metametadati

Il watermark testuale di Anthropic vive nelle scelte lessicali “a basso rischio”. Sinonimi, preferenze stilistiche, varianti equivalenti. Lo stesso tipo di segnali che pipeline come quella descritta da Willison possono riscrivere o ricostruire. Un LLM può rigenerare testo cambiando preferenze di superficie. Un sistema a embeddings può mappare etichette verso un nuovo lessico senza passare dall’originale.

Questo incrocio mette alla prova la robustezza della tracciabilità. Se il segnale è statistico e richiede una chiave, un passaggio di riscrittura potrebbe attenuarlo? Anthropic non lo afferma. Il post apre domande su editing e codice. Qui il punto è metodologico: un watermark distribuito nella resa stilistica convive con filiere che normalizzano stile e metadati in automatico.

Sul fronte dei media, Google sposta l’onere della riconoscibilità sul watermark invisibile e sui metadati C2PA. L’utente può eliminare il segno visibile. La verifica passa da strumenti dedicati, come Gemini o Search, o dalla lettura di metadati incorporati. Anche qui c’è una separazione tra ciò che l’utente vede e ciò che i sistemi possono rilevare.

Messe insieme, queste mosse indicano una tendenza: i segnali di provenienza si spostano sotto la superficie. Diventano leggibili da chi ha la chiave o i tool giusti. Nello stesso tempo, le pipeline operative mostrano come creare, riformattare o rimappare metadati senza esporre i dizionari di origine.

Implicazioni per chi progetta catene di provenienza e verifica

Chi progetta controlli di provenienza deve assumere che il contenuto attraversi trasformazioni automatiche. Testi rigenerati da LLM. Etichette allucinate e poi rimappate via embeddings. Media pubblicati senza watermark visibile. In questo contesto, un solo segnale rischia di non bastare.

Servono più livelli coordinati. Nei testi, segnali progettati per convivere con variazioni e editing e decodificabili con una chiave, come descritto da Anthropic. Nei media, metadati incorporati e watermark invisibili, come SynthID e C2PA, affiancati da servizi di verifica. La combinazione di chiavi, metadati e strumenti punta a ridurre il rischio di elusione accidentale lungo la catena di pubblicazione.

Le pratiche di tagging mostrano anche un’opportunità: si possono aggiungere metadati utili senza esporre l’intero vocabolario. Questo aiuta la scalabilità, ma impone disciplina. Se i metadati guidano policy e moderazione, cambiare forma non deve alterarne il significato. La verifica deve agganciarsi a segnali che restano utilizzabili quando il lessico si sposta per ragioni operative.

La chiave è rendere la provenienza interrogabile dai sistemi e, quando serve, dalle persone. Google mantiene la possibilità di chiedere a Gemini o a Search l’origine di un contenuto. Anthropic punta su segni statistici leggibili con una chiave. La coerenza tra segnale, strumento e processo entra nel design del prodotto.

Il prossimo passo tocca l’integrazione: come far dialogare watermark invisibili, metadati incorporati e pratiche di trasformazione dei contenuti dentro pipeline che già oggi “allucinano” e rimappano etichette senza rivelare i dizionari di partenza.