SynthID của Google: Hướng dẫn kèm ví dụ

Mục tiêu của watermark AI là làm cho nội dung số minh bạch và có thể truy vết hơn, nhất là khi AI ngày càng tiên tiến. Nếu thiếu dấu hiệu đáng tin cậy, nội dung do AI tạo rất dễ hòa lẫn và lan truyền mà không bị chú ý, dẫn đến nhiều vấn đề như lan truyền tin giả và deepfake hoặc sử dụng trái phép tác phẩm sáng tạo.

SynthID hỗ trợ watermark cho văn bản, hình ảnh, video và âm thanh. Cách tiếp cận của nó thích ứng với từng loại phương tiện, chúng ta sẽ tìm hiểu chi tiết sau. Watermark được thiết kế để sống sót qua các chỉnh sửa phổ biến như cắt, thêm nhiễu, nén, cắt xén và lọc, giúp nó có độ bền ấn tượng.

SynthID đã được tích hợp vào các sản phẩm AI sinh của Google: Gemini cho văn bản, Imagen cho hình ảnh, Lyria cho âm thanh và Veo cho video. Điều này có nghĩa là các mô hình này có thể nhúng watermark không thể nhận thấy trực tiếp vào đầu ra của chúng. Kết hợp với cổng phát hiện SynthID Detector, Google cung cấp một giải pháp watermark hoàn chỉnh, cho phép người dùng nhanh chóng xác minh nội dung do AI tạo trên mọi định dạng được hỗ trợ.

SynthID hoạt động như thế nào?

Quy trình watermark chi tiết phụ thuộc vào loại phương tiện. Tôi sẽ giải thích từng quy trình và độ bền của chúng.

SynthID cho hình ảnh và video

Đối với dữ liệu ảnh, SynthID sử dụng hai mạng nơ-ron. Mạng thứ nhất tinh chỉnh các giá trị màu (giá trị pixel) riêng lẻ trong ảnh ở mức tối thiểu đến nỗi mắt người không nhận ra khác biệt.

Các thay đổi được chọn sao cho watermark vẫn có thể được mạng nơ-ron thứ hai phát hiện ngay cả sau các chỉnh sửa ảnh điển hình như cắt xén, nén, lọc, xoay hoặc thậm chí chụp màn hình. Điều này giúp watermark đặc biệt bền vững trước các thao tác phổ biến thường xảy ra khi chia sẻ hoặc tái sử dụng hình ảnh.

SynthID cho video

Mỗi khung hình của video được xử lý giống như ảnh tĩnh: mỗi khung được đóng dấu riêng, đảm bảo dấu vẫn phát hiện được bất kể video bị cắt ngắn đến đâu. Điều này giúp watermark vô hình của SynthID cho video bền trước các chỉnh sửa cơ bản như cắt, nén hoặc cắt xén nhẹ.

Những người dùng quyết tâm hoặc các dịch vụ vượt rào thương mại vẫn có thể xóa hoặc che mờ watermark, nhất là khi họ muốn qua mặt các bộ lọc phương tiện trên nền tảng quảng cáo hoặc kiểm duyệt nội dung. Ví dụ, áp các bộ lọc mạnh—như bóp méo màu hoặc thay đổi độ tương phản cực đoan—hoặc mã hóa lại video với điều chỉnh lớn về nén, tốc độ khung hình hoặc hồ sơ màu có thể làm suy giảm watermark đủ để gây khó khăn cho phát hiện đáng tin cậy.

SynthID cho âm thanh

Với âm thanh, SynthID chuyển dạng sóng thành phổ đồ (spectrogram), là biểu diễn trực quan phổ tần số của tín hiệu âm thanh theo thời gian. Sau đó, watermark được nhúng vào phổ đồ và cuối cùng dựng lại âm thanh từ đó. Watermark vẫn không thể nghe thấy nhưng bền vững trước các xử lý âm thanh tiêu chuẩn.

Để xử lý các định dạng thông dụng, watermark được nhúng theo cách có thể sống sót qua nén mất dữ liệu. Tuy nhiên, các thao tác cực đoan như thay đổi cao độ (pitch-shifting) hoặc kéo giãn thời gian (time-stretching) có thể làm méo phổ đồ, giảm độ chính xác phát hiện. Hơn nữa, dù bền trước nén MP3, hiệu quả của SynthID có thể khác nhau trên các định dạng âm thanh sở hữu độc quyền.

SynthID cho văn bản

Khi một LLM tạo văn bản, nó phân tách ngôn ngữ thành các token—từ, ký tự hoặc phần của từ—rồi dự đoán token tiếp theo dựa trên điểm xác suất. SynthID tận dụng đặc điểm này để nhúng watermark trong quá trình tạo bằng cách tinh chỉnh các điểm xác suất đó. Việc chỉnh sửa được thực hiện có kiểm soát và giả ngẫu nhiên để khiến một số lựa chọn từ ngữ có xác suất cao hơn đôi chút.

Mẫu hình thống kê thu được trong văn bản là vô hình với người đọc và không ảnh hưởng đến ý nghĩa, chất lượng hay thậm chí tính sáng tạo của văn bản sinh ra. Khi cần phát hiện, SynthID phân tích văn bản để tìm các mẫu xác suất tinh vi này, so sánh với kỳ vọng giữa nội dung có và không có watermark. Watermark thường sống sót qua chỉnh sửa nhẹ và diễn đạt lại, nhưng có thể yếu đi khi viết lại nhiều hoặc dịch thuật.

Hạn chế của SynthID

SynthID đối mặt với nhiều hạn chế trong triển khai thực tế. Mặc dù watermark văn bản của nó hoạt động ổn định trên các ngôn ngữ—khác với các bộ phát hiện hậu kiểm thất bại trên ngôn ngữ chưa huấn luyện—tỷ lệ phát hiện sụt giảm mạnh khi diễn đạt lại nhiều hoặc dịch thuật.

Với các mô thức không phải văn bản (hình ảnh, video, âm thanh), thiếu các chỉ số độ chính xác đã công bố, khiến không thể kiểm chứng định lượng các tuyên bố về độ bền của Google.

Hơn nữa, việc nhúng watermark kém hiệu quả hơn với các câu trả lời thực chứng, nơi lựa chọn sinh bị hạn chế khiến khó chèn mẫu mà không làm giảm độ chính xác.

Giống các công cụ phát hiện AI khác, SynthID không giải thích cách đưa ra quyết định nhằm ngăn việc lách luật. Nếu tiêu chí hoặc thuật toán phát hiện được công khai, người dùng sẽ dễ điều chỉnh nội dung để né phát hiện hơn nhiều.

Ngoài ra, các mô hình nền tảng phức tạp và thường vận hành dựa trên mẫu thống kê hoặc điểm xác suất, khiến quyết định của chúng khó diễn giải đơn giản, ngay cả với chuyên gia.

Hiện tại, phát hiện đáng tin cậy nhất của SynthID đạt được với nội dung do chính các mô hình của Google tạo, nơi watermark được tích hợp sâu. Dù có phiên bản mã nguồn mở của SynthID-Text và có thể dùng với các mô hình ngôn ngữ tương thích qua Hugging Face Transformers, tỷ lệ phát hiện và độ bền nhìn chung thấp hơn so với triển khai gốc của Google.

Do đó, tính ứng dụng phổ quát của SynthID vẫn còn hạn chế, và có thể không nhận diện nhất quán nội dung do AI tạo từ các nhà cung cấp khác như OpenAI hoặc Meta, đặc biệt khi nội dung được chỉnh sửa bởi các hệ thống AI khác.

Thực hành: SynthID cho văn bản

Bắt đầu thôi! Bạn không cần quyền truy cập API đặc biệt của Google—SynthID hoạt động cục bộ trong khung transformers. Bạn chỉ cần:

• Môi trường Python (phiên bản 3.8 trở lên) với các gói transformers và torch đã cài đặt
• Truy cập một LLM qua Hugging Face.

Tạo môi trường

Môi trường Python có thể được thiết lập, chẳng hạn, bằng Anaconda và các lệnh sau. Lưu ý rằng phiên bản gói transformers nên là 4.46.0 hoặc mới hơn để hỗ trợ SynthID cho văn bản.

conda create -n synthid-env python=3.9
conda activate synthid-env
pip install "transformers>=4.46.0" torchĐược hỗ trợ bởi

Tải mô hình

Để sinh văn bản, chúng ta sẽ dùng mô hình nhẹ gemma-2b, vì nó được thiết kế để chạy hiệu quả trên phần cứng người dùng phổ thông nhưng vẫn cho hiệu năng tốt trên nhiều tác vụ ngôn ngữ. Vì là mô hình có kiểm soát truy cập, bạn cần đăng nhập tài khoản Hugging Face và chấp nhận điều khoản giấy phép của mô hình trên trình duyệt.

Mô hình Gemma-2b có hai định dạng chính:

1. Biến thể safetensors để dùng với PyTorch và Hugging Face Transformers
2. Biến thể gguf cho các engine suy luận chuyên biệt như llama.cpp

Trong hướng dẫn này, bạn chỉ cần các tệp safetensors, vì chúng cần cho việc tải và chạy mô hình trong Python với transformers. Tuy nhiên, bạn cũng cần tải các tệp cấu hình và tokenizer liên quan, vì chúng chứa thông tin thiết yếu về kiến trúc mô hình và cách xử lý văn bản—thiếu chúng, mô hình không thể được tải hoặc sử dụng đúng cách, bất kể bạn chọn định dạng trọng số nào.

huggingface-cli download google/gemma-2b model-00001-of-00002.safetensors model-00002-of-00002.safetensors config.json tokenizer.json tokenizer.model tokenizer_config.json special_tokens_map.jsonĐược hỗ trợ bởi

Tải mô hình vào bộ nhớ

Để có thể dùng Gemma-2b hoặc các mô hình có kiểm soát khác từ Hugging Face, chúng ta cũng cần cung cấp token truy cập Hugging Face. Token này chỉ cần quyền đọc. Khi tạo token trong phần cài đặt của Hugging Face, hãy chọn vai trò “read”; không cần quyền ghi hoặc quản trị.

# Logging in to Hugging Face
from huggingface_hub import login
login("<your_huggingface_token>")Được hỗ trợ bởi

Chúng ta cần import AutoTokenizer và AutoModelForCausalLM từ gói transformers, và khởi tạo cả hai với mô hình đã chọn.

# Loading the models
from transformers import AutoTokenizer, AutoModelForCausalLM
 model_name = "google/gemma-2b"
tokenizer = AutoTokenizer.from_pretrained(generator_model_name)
model = AutoModelForCausalLM.from_pretrained(generator_model_name)Được hỗ trợ bởi

Tạo cấu hình SynthID

Để áp watermark SynthID cho văn bản do AI tạo, bạn cần tạo một đối tượng cấu hình watermark dùng SynthIDTextWatermarkingConfig. Đối tượng này điều khiển cách watermark được nhúng trong quá trình sinh văn bản.

Tham số keys là danh sách số nguyên ngẫu nhiên (thường 20–30 giá trị) đóng vai trò như chữ ký số riêng của bạn. Chúng quyết định cách xác suất lựa chọn từ ngữ được điều chỉnh tinh vi trong quá trình sinh để tạo thành mẫu có thể phát hiện. Lưu ý rằng các keys này là bí mật—nếu lộ ra, kẻ tấn công có thể giả mạo watermark hoặc tạo văn bản AI không thể phát hiện.

Tham số ngram_len định nghĩa độ dài chuỗi từ dùng để phân tích mẫu watermark. Giá trị càng thấp thì watermark càng có khả năng sống sót qua chỉnh sửa nặng, nhưng càng khó phát hiện. Ngược lại, giá trị cao cải thiện phát hiện nhưng dễ vỡ dưới các chỉnh sửa nhỏ. Giá trị 5 được khuyến nghị là điểm cân bằng tốt cho thực tế.

from transformers import SynthIDTextWatermarkingConfig
# SynthID configuration
watermark_config = SynthIDTextWatermarkingConfig(
    keys=[634, 300, 846, 15, 310, ...], # list of 20-30 integer numbers, keep this secret!
    ngram_len=5
)Được hỗ trợ bởi

Áp watermark lên văn bản

Prompt cho văn bản cần đóng dấu trước hết phải được tokenize thành tensor PyTorch, để mô hình nhận được các token số mà nó hiểu. tokenized_prompt này sau đó được truyền vào phương thức generate() của mô hình cùng với đối tượng cấu hình. Tham số do_sample phải đặt True để bật phương thức lấy mẫu tương thích watermark.

tokenized_prompt = tokenizer(
    ["Answer in two sentences: What is AI?"],
    return_tensors=”pt”
)
output_sequences = model.generate(
    **tokenized_prompt,
    watermarking_config=watermark_config,,
    do_sample=True
)Được hỗ trợ bởi

Điều này điều chỉnh xác suất lựa chọn từ trong quá trình sinh, nhúng một mẫu vô hình đồng thời giữ nguyên chất lượng văn bản. Để đảm bảo khả năng tái sử dụng, hãy dùng cùng một keys giữa các phiên làm việc để có thể phát hiện watermark nhất quán.

Trong ví dụ này, chúng ta yêu cầu mô hình đưa ra định nghĩa về AI. Trước hết, hãy xem phản hồi bằng cách chuyển đổi các token trở lại văn bản mà con người đọc được bằng phương thức `batch_decode()`.

watermarked_text = tokenizer.batch_decode(
    output_sequences , # Model's tokenized output
    skip_special_tokens=True # Removes control tokens like [BOS], [EOS], etc.
)
print(watermarked_text)Được hỗ trợ bởi

['Answer in two sentences: What is AI?

Answer:
Artificial intelligence (AI) is a branch of computer science that deals with the development of intelligent machines that can perform tasks that normally require human intelligence, such as visual perception, speech recognition, decision-making, and language translation.
AI applications include autonomous vehicles, chatbots, and virtual personal assistants.']Được hỗ trợ bởi

Cách phát hiện watermark AI trong văn bản

Hiện có ba lựa chọn thực tế để phát hiện watermark SynthID trong văn bản do AI tạo.

Để trình diễn và thử nghiệm, Hugging Face Transformers cung cấp một lớp bộ phát hiện theo Bayes. Lớp này cho phép thử quy trình phát hiện trong mã Python bằng một mô hình giả mã nguồn mở. Tuy nhiên, cần lưu ý mô hình này chỉ nhằm mục đích demo và không mang lại độ chính xác đáng tin hay độ bền cấp sản xuất. 

Đối với các tổ chức cần phát hiện tùy chỉnh, lớp bộ phát hiện Bayes có thể được dùng để xây dựng các bộ phát hiện tương thích SynthID tùy biến. Ví dụ end-to-end này cho thấy có thể huấn luyện trên văn bản đã được đóng dấu bằng cấu hình cụ thể và tokenizer dùng chung để bật xác minh watermark nhất quán trên nhiều mô hình nội bộ.

Sau khi huấn luyện, các bộ phát hiện có thể được tải lên kho riêng tư trên Hugging Face Hub để tổ chức truy cập an toàn, và Responsible GenAI Toolkit của Google cung cấp hướng dẫn bổ sung cho triển khai sản xuất.

Để phát hiện xác thực watermark SynthID trong nội dung do các mô hình AI của Google (như Gemini hoặc Imagen) tạo, Google cung cấp Cổng SynthID Detector trên đám mây. Dịch vụ thân thiện với người dùng và không cần viết mã, nhưng là độc quyền, hiện chỉ có qua danh sách chờ và giới hạn ở việc xác minh nội dung trong hệ sinh thái của Google. Hiện chưa có API công khai hay phiên bản cục bộ cho nhà phát triển.

Thảo luận thêm về SynthID

Chuẩn hóa và quyền riêng tư dữ liệu

SynthID chưa được chấp nhận như một tiêu chuẩn toàn ngành, khi các ông lớn như Microsoft và Meta tiếp tục dùng hệ thống watermark độc quyền của riêng họ, tạo nên hệ sinh thái phân mảnh nơi khả năng phát hiện chéo nền tảng kém hiệu quả. Hiện chưa có giao thức đánh giá tiêu chuẩn cho độ bền watermark trên các mô thức văn bản, hình ảnh, âm thanh và video.

Các quan hệ đối tác trong ngành—như với Nvidia, nơi SynthID được dùng trong nền tảng Cosmos—có tồn tại nhưng hiếm. Vì vậy, dù triển vọng hứa hẹn, SynthID vẫn còn xa mới được xem là tiêu chuẩn chấp nhận rộng rãi.

Trái với một số lo ngại, SynthID không tự thân kích hoạt giám sát hay theo dõi nội dung bởi Google, vì watermark là định danh thụ động được nhúng khi sinh và yêu cầu người dùng tự nguyện tải nội dung lên cổng SynthID Detector để xác minh. Không có bằng chứng cho thấy Google theo dõi việc phân phối hay sử dụng nội dung ngoài quy trình quét-và-xóa của cổng. Google chưa tiết lộ liệu các tệp được tải lên có được lưu trữ dài hạn hay tái sử dụng hay không, tạo ra những khoảng trống tiềm ẩn về quyền riêng tư.

Hệ quả pháp lý và xã hội

Việc xóa watermark khỏi nội dung do AI tạo làm phức tạp thực thi bản quyền, đặc biệt khi các đạo luật như Đạo luật AI của EU chưa xác định rõ quyền sở hữu đầu ra AI. Dù Đạo luật COPIED của Mỹ (2024) hình sự hóa hành vi này, kẻ tấn công tận dụng lỗ hổng—như dịch văn bản hoặc biên tập lại phương tiện—để tước bỏ watermark mà không chịu hệ quả pháp lý. Sự mơ hồ này khiến nhà sáng tạo dễ bị tổn thương.

Các công cụ như SynthID, bị giới hạn trong hệ sinh thái Google, không giải quyết được quy mô vấn đề, vì chỉ một phần nhỏ bài đăng có watermark có thể phát hiện. Watermark tĩnh đơn lẻ không thể chống lại thông tin sai lệch do AI vì những lỗ hổng kỹ thuật, dương tính giả và không tương thích nền tảng. Trong kịch bản tệ nhất, các công cụ như SynthID có thể gây ra sự tự tin thái quá nguy hiểm bằng cách ngụ ý khả năng phát hiện đáng tin trong khi thất bại với nội dung không thuộc Google hoặc phương tiện đã chỉnh sửa.

Watermark sinh như SynthID-Text không phải câu trả lời toàn diện cho việc phát hiện AI; chúng là công cụ chiến thuật bổ trợ cho các chiến lược khác. Hiệu quả của chúng phụ thuộc vào sự hợp tác giữa các nhà cung cấp thực sự nhúng watermark trong quá trình sinh văn bản. Để nhận diện văn bản do AI tạo từ nguồn không dùng watermark, các phương pháp khác—như phát hiện hậu kiểm—vẫn là cần thiết.

Kết luận

SynthID cung cấp cách đóng dấu và xác minh văn bản do AI tạo, giúp nguồn gốc nội dung minh bạch hơn trong thời đại phương tiện tổng hợp. Tuy nhiên, hiệu quả của nó bị hạn chế bởi việc thiếu tiêu chuẩn toàn ngành và sự dễ dàng trong việc xóa bỏ hoặc vượt qua watermark.

Để tìm hiểu thêm về watermark AI và các thực hành AI có trách nhiệm khác, bạn có thể xem thêm các tài nguyên sau:

• Khóa học: Khái niệm về AI sinh
• Khóa học: Thực hành AI có trách nhiệm
• Blog: AI Watermarking: Cách hoạt động, ứng dụng, thách thức
• Blog: Deepfake là gì? Ví dụ, ứng dụng, thách thức đạo đức