Filigrane des textes IA : peut-on vraiment le contourner ?

Les entreprises spécialisées dans l’intelligence artificielle cherchent depuis plusieurs années une solution à un problème compliqué : comment reconnaître un texte généré par une IA ?

Anthropic expérimente notamment le marquage des textes produits par Claude grâce à SynthID-Text, une technologie développée par Google DeepMind.

L’idée est séduisante : intégrer au texte une sorte de filigrane invisible permettant à un système informatique de reconnaître son origine, sans que le lecteur remarque quoi que ce soit.

En découvrant le principe, mon premier réflexe a pourtant été beaucoup moins sophistiqué :

Et si on copiait simplement le texte dans le Bloc-notes ?

C’est une vieille astuce informatique qui existait bien avant ChatGPT.

Malheureusement, dans ce cas précis, ça ne fonctionne pas vraiment.

Alors une deuxième idée m’est venue.

Une méthode encore plus sauvage et presque aussi vieille :

français → anglais → français.

Et là, le problème devient beaucoup plus intéressant.

Commençons par le bon vieux Bloc-notes

Les anciens utilisateurs de Word, les webmasters et ceux qui ont connu les premiers éditeurs de sites Internet connaissent probablement cette astuce.

Vous copiez un texte depuis Word ou une page Web. Vous le collez dans le Bloc-notes de Windows. Puis vous le recopiez vers votre destination finale.

Pourquoi ?

Parce que le Bloc-notes travaille essentiellement avec du texte brut.

Une bonne partie des styles, polices, couleurs et autres éléments de formatage transportés lors du copier-coller disparaissent.

À l’époque des anciens CMS et éditeurs WYSIWYG, cette petite manipulation pouvait éviter de récupérer derrière son texte une véritable soupe de code HTML provenant de Microsoft Word.

Aujourd’hui, la fonction « coller en texte brut » remplit souvent le même rôle.

Alors forcément, lorsqu’on parle de « filigrane invisible » dans un texte, le vieux réflexe revient immédiatement :

Passons-le en texte brut et voyons ce qu’il reste.

Sauf que SynthID est beaucoup plus malin

Le problème est que SynthID-Text ne fonctionne pas comme un simple élément invisible caché derrière les phrases.

Le principe intervient directement pendant la génération du texte.

Une intelligence artificielle ne rédige pas une réponse entière en une seule fois. Elle génère successivement des « tokens », c’est-à-dire des mots, des parties de mots ou certains caractères.

À chaque étape, plusieurs suites sont possibles.

Le modèle attribue des probabilités à ces différentes possibilités avant d’en sélectionner une.

SynthID modifie légèrement ce processus afin de créer un motif statistique particulier dans les tokens sélectionnés.

Pour un être humain, le résultat doit rester naturel.

Pour le système de détection, en revanche, suffisamment de petits indices statistiques peuvent permettre d’identifier la présence du filigrane.

Le filigrane n’est donc pas simplement derrière les mots.

Il se trouve en quelque sorte dans la manière dont les mots ont été choisis.

Et c’est là que mon Bloc-notes se fait battre

Imaginons que Claude écrive :

« Les nouvelles technologies transforment progressivement notre manière d’utiliser Internet. »

Je copie cette phrase dans le Bloc-notes.

Puis je la recopie.

J’obtiens toujours :

« Les nouvelles technologies transforment progressivement notre manière d’utiliser Internet. »

J’ai éventuellement supprimé du formatage.

Mais je n’ai pas changé les mots.

Le motif statistique produit lors de leur génération peut donc toujours être présent.

Pour une fois, notre vieille astuce informatique des années 2000 ne suffit pas.

Alors utilisons une méthode plus sauvage

Puisque le problème se trouve dans le choix des mots, il faut se poser une autre question :

Que se passe-t-il si quelqu’un force un autre système à reconstruire entièrement le texte ?

Et c’est là qu’intervient une technique qui, elle aussi, existait bien avant l’intelligence artificielle générative moderne.

Prenons notre texte français.

On le donne à un service de traduction automatique et on demande :

français → anglais.

On obtient donc un nouveau texte anglais.

Puis on prend ce résultat et on demande :

anglais → français.

À première vue, le texte final raconte toujours approximativement la même chose.

Mais informatiquement, quelque chose de fondamental s’est produit.

Le texte original n’a pas simplement été copié.

Il a été reconstruit deux fois.

Le traducteur ne transporte pas nécessairement les mêmes choix

Lors du passage du français vers l’anglais, le système de traduction doit choisir comment exprimer chaque phrase dans une autre langue.

La syntaxe change.

Certains mots n’ont pas d’équivalent parfaitement identique.

L’ordre des éléments peut changer.

Une expression française peut être remplacée par une expression anglaise différente.

Puis exactement le même phénomène se reproduit lors du retour vers le français.

Le résultat peut rester très proche sémantiquement tout en étant différent dans sa construction.

Notre phrase pourrait par exemple revenir sous une forme comme :

« Les nouvelles technologies changent peu à peu notre façon de naviguer sur Internet. »

L’idée générale reste la même.

Mais une grande partie des choix précis effectués par l’IA lors de la génération originale a disparu.

Et cette fois, contrairement au passage par le Bloc-notes, nous attaquons précisément la couche sur laquelle repose le filigrane statistique.

Google reconnaît lui-même cette limite

Ce n’est d’ailleurs pas simplement une théorie sortie d’un chapeau.

Dans ses explications concernant SynthID-Text, Google DeepMind reconnaît que le système possède des limites.

Le filigrane peut résister à certaines modifications du texte, notamment lorsque seuls quelques mots sont changés ou lorsqu’une partie du contenu est supprimée.

Mais plus le texte est profondément transformé, plus la détection devient difficile.

Google cite notamment la traduction dans une autre langue parmi les transformations susceptibles de réduire fortement le niveau de confiance de la détection.

Et c’est parfaitement logique.

Si votre signature repose sur les décisions statistiques prises au moment de choisir les mots, demander à un autre système de reconstruire complètement le texte revient à bouleverser ces décisions.

Avec un aller-retour entre deux langues, l’opération est réalisée deux fois.

Cela ne signifie pas que le filigrane disparaît systématiquement

Attention cependant à ne pas transformer cette observation en certitude.

Faire français → anglais → français ne signifie pas automatiquement que SynthID indiquera ensuite :

« Aucun texte IA détecté. »

Cela dépend de nombreux paramètres : longueur du texte, quantité de modifications produites par la traduction, langue utilisée, structure originale et fonctionnement du détecteur.

Certains passages peuvent également revenir presque identiques après traduction.

Il faudrait donc réaliser une expérience sur un nombre important de textes pour mesurer réellement l’efficacité de la méthode.

Mais le principe permet de comprendre une faiblesse fondamentale de tout filigrane statistique :

plus quelqu’un transforme profondément le texte, plus il devient difficile de conserver une signature reposant sur sa formulation originale.

Et pourquoi pas plusieurs langues ?

À partir de là, le petit informaticien curieux commence forcément à pousser le raisonnement.

Que donnerait :

français → anglais → français ?

Puis :

français → allemand → français ?

Ou même :

français → anglais → allemand → français ?

Plus on ajoute de transformations, plus le texte risque évidemment de perdre certaines nuances et de devenir maladroit.

Mais parallèlement, plus les choix linguistiques originaux risquent d’être remplacés.

On arrive alors à un paradoxe intéressant.

Pour supprimer complètement la trace statistique d’une génération, il faudrait potentiellement transformer suffisamment le texte.

Mais à force de le transformer, on risque aussi d’abîmer ce qui faisait sa qualité.

C’est exactement le problème des détecteurs d’IA

Cette expérience permet surtout de comprendre pourquoi la détection automatique des textes générés par intelligence artificielle est un sujet beaucoup plus compliqué qu’il n’y paraît.

On aimerait disposer d’une machine capable d’affirmer :

« Ce texte vient de Claude. »

« Celui-ci vient de ChatGPT. »

« Celui-là a été écrit par un humain. »

La réalité est beaucoup moins confortable.

Un texte peut être généré par une IA puis corrigé par un humain.

Un humain peut écrire un brouillon puis demander à une IA de le reformuler.

Un texte généré peut être traduit.

Il peut être résumé.

Plusieurs paragraphes peuvent être mélangés.

Une partie peut être entièrement réécrite.

À partir de quel moment s’agit-il encore du texte produit initialement par l’intelligence artificielle ?

La technologie peut apporter des indices.

Elle ne transforme pas nécessairement ces indices en preuve absolue.

Une expérience toute simple qui explique un problème très moderne

Finalement, le plus amusant dans cette histoire est que les deux premières idées qui viennent à l’esprit sont extrêmement anciennes.

D’abord :

copier → Bloc-notes → recopier.

Une astuce vieille comme le Web moderne.

Ça ne suffit pas, parce que SynthID ne repose pas simplement sur du formatage invisible.

Alors on ressort une autre vieille technique :

traduire → retraduire.

Cette fois, on ne nettoie plus l’emballage.

On reconstruit le contenu.

Et c’est précisément ce qui permet de comprendre la différence entre un simple marqueur invisible et un véritable filigrane statistique.

Les technologies évoluent.

Les intelligences artificielles deviennent incroyablement sophistiquées.

Mais lorsqu’on veut comprendre leurs limites, une méthode reste particulièrement efficace :

se demander ce qui se passe lorsqu’un utilisateur commence à bricoler.