O WaveMark é um método de watermarking para modelos de difusão que embute a marca d'água no ruído inicial da geração, distribuindo réplicas do bit da mensagem por posições espaciais, orientações e escalas no domínio wavelet, em vez de depender de um único ponto frágil de inserção. Testado contra 14 ataques de remoção, o método manteve mais de 88% de acurácia de bits mesmo sob os ataques mais fortes avaliados (MarkNull e MarkNull-A), superando as técnicas de referência.
Verificar a origem de audio gerado por IA depois que ele circula e passa por diferentes codecs e dificil porque o processamento altera a sequencia de tokens recuperada do sinal, derrubando a confiabilidade de marcas d'agua existentes, que em geral so conseguem dizer se ha marca presente, nao de qual geracao especifica ela veio. O MARC combina representacoes intrinsecas de token com padroes de confusao induzidos por multiplos codecs para embutir uma marca d'agua multi-bit, atingindo 97,3% de acuracia de extracao mesmo apos processamento adversarial de codec.
Pesquisadores propõem SWIFT, um framework que incorpora a marcacao de agua (watermarking) de saidas de LLM diretamente no motor de inferencia, em vez de trata-la como um componente externo separado, reduzindo a latencia em 5,9x frente a abordagens anteriores e mantendo 97,7% de deteccao mesmo sob ataques de remocao de marca de agua. O trabalho ataca o problema pratico de que mecanismos de verificacao de autoria/propriedade de texto gerado por IA costumam ser caros demais para uso em producao em escala.
O framework Thrive embute identificadores multi-bit em fala gerada por sistemas de texto-para-fala autoregressivos, permitindo rastrear a origem e atribuir a autoria da fala sintetica mesmo depois que ela passa por transformacoes de edicao ou reconstrucao projetadas para remover o sinal. O sistema mantem 87,6% de acerto medio na recuperacao da marca de agua sob ataque e suporta atribuicao entre ate 10 mil identidades distintas, sem degradar a qualidade do audio gerado.
Pesquisadores propõem o RMCW, um método de watermarking para textos gerados por LLMs que resiste a ataques de deleção de tokens, um dos pontos mais frágeis das técnicas atuais. A técnica usa estrutura algébrica de códigos Reed-Muller para manter a detectabilidade mesmo quando trechos do texto são removidos ou reescritos. Testes em OPT-1.3B e Llama-3.1-8B-Instruct mostram desempenho igual ou superior a baselines existentes sob ataques de deleção e reescrita.
O estudo avalia mecanismos de "trigger-tag", que inserem sinais detectáveis em modelos de peso aberto para sinalizar quando são usados para fins maliciosos, como gerar phishing, e demonstra que ataques relativamente simples os tornam completamente ineficazes. Os autores formalizam dois tipos de trigger-tag, baseados em watermark no nível de token e baseados em backdoor no nível de peso, e criam um framework de ataque unificado para testá-los. A conclusão é que, embora úteis em ambientes controlados, esses mecanismos não devem ser considerados detectores robustos contra atacantes capazes de transformar saídas ou modificar os pesos do modelo.
Um novo método embute assinaturas físicas únicas (PUFs, Physical Unclonable Functions) derivadas de FPGAs diretamente nos logits do modelo professor durante a destilação de conhecimento, fazendo com que qualquer modelo aluno treinado a partir desses logits herde uma identidade rastreável ao dispositivo de origem. A técnica resiste a modificações pós-destilação e permite atribuir vazamentos de propriedade intelectual a um dispositivo específico, algo que watermarking de software tradicional não consegue.
Modelos de difusão texto-para-imagem permitem ataques de “mimicry” com poucos dados: um adversário faz fine-tuning do modelo em um punhado de fotos públicas de uma pessoa para gerar falsificações convincentes dela. O FeatMark propõe substituir watermarks tradicionais de pixel, facilmente removíveis por pós-processamento leve, por micro-edições semânticas naturais à cena, e se manteve robusto contra os dez ataques de remoção testados, incluindo purificação por regeneração.
O MarkSec unifica a avaliação de três famílias de ataque contra watermarking de texto gerado por LLM -- roubo, remoção e forjamento da marca -- sob um protocolo comum de calibração e uma métrica que mede sucesso do ataque e qualidade do texto ao mesmo tempo. O achado central é que ataques que parecem vencer olhando só a remoção do watermark muitas vezes perdem para uma reescrita genérica simples quando a qualidade do texto também é exigida.
Pesquisadores reproduziram, em hardware modesto, o ataque de forjamento "Reprompt" contra a marca d'água semântica Tree-Ring usada em modelos de difusão como o Stable Diffusion XL, conseguindo fazer o detector legítimo aceitar como autênticas imagens que o atacante nunca assinou com a chave secreta do sistema. O resultado reforça que watermarking, cotado como mecanismo de prova de proveniência de conteúdo gerado por IA, pode ser forjado, e não apenas removido, por quem nunca teve acesso ao segredo do esquema.
Pesquisadores propõem o WoE, uma técnica de watermarking que embute o sinal de proveniência diretamente nos pesos de modelos Mixture-of-Experts esparsos, em vez de depender do wrapper de inferência controlado pelo dono do modelo. Isso permite atribuir texto gerado mesmo depois que os pesos são roubados ou vazados — algo que os métodos de watermark tradicionais, dependentes do sampler de inferência, não conseguem fazer — com taxa de detecção de até 94,9% e resistência a fine-tuning, extração de modelo e paráfrase.
Pesquisadores propõem o MarkNull, um ataque de remoção de marca d'água agnóstico a modelo que explora a dependência estatística entre o ruído inicial usado na geração e a representação latente da imagem, reduzindo a acurácia de detecção para perto do acaso (53,14%) sem degradação perceptível. O ataque funciona contra os três principais paradigmas de watermarking e inclusive compromete o SynthID-Image do Google, e uma variante amortizada leva apenas 0,5 segundo por imagem.
Embeddings de modelos de fundação são hoje um ativo de dados valioso, mas a infraestrutura de proveniência de conteúdo criada para imagens e áudio (C2PA) não funciona para eles, já que quantização, projeção e fine-tuning alteram os vetores de forma rotineira e quebram qualquer hash fixo. O HaloMark resolve isso assinando um "commitment" derivado do vetor diretamente no manifesto C2PA, mantendo AUROC de detecção acima de 0,98 mesmo sob tentativas adaptativas de remoção da marca.
Um estudo submetido à AIES 2026 testa três métodos de watermarking de LLM (KGW, Unigram e SynthID-Text) contra os critérios legais Daubert e o processo forense NIST SP 800-86. Uma simples paráfrase que preserva o sentido remove a marca d'água em praticamente 100% dos casos para KGW e Unigram e em 98,3% para SynthID, e nenhum dos três métodos atende a mais de dois dos cinco fatores Daubert.