All’inizio del 2024 un impiegato di una multinazionale a Hong Kong ha autorizzato bonifici per circa venticinque milioni di dollari dopo una videochiamata. In collegamento c’erano il direttore finanziario e alcuni colleghi: volti noti, voci familiari, il tono giusto. Nessuno di loro era reale. Ogni partecipante alla riunione era un deepfake, ricostruito a partire da filmati pubblici dell’azienda. L’impiegato aveva avuto un dubbio iniziale, poi la presenza di tante persone «conosciute» lo aveva rassicurato. È esattamente il contrario di quello che dovrebbe succedere: più il falso è ricco di dettagli, più convince.
Storie come questa spiegano perché, negli ultimi due anni, laboratori e legislatori si siano concentrati su una domanda apparentemente semplice: si può marchiare in modo indelebile un contenuto generato dall’intelligenza artificiale, così da riconoscerlo dopo? La risposta breve è: sì, ma la marchiatura è fragile, e ogni difesa fa nascere un attacco. È una corsa agli armamenti, e vale la pena capire come è fatta l’arma.
Cosa vuol dire «firma statistica»
Un watermark non è un timbro visibile nell’angolo dell’immagine. È una perturbazione minima e distribuita, calibrata per non cambiare ciò che percepiamo ma per lasciare una traccia misurabile. Nel caso del testo generato da un modello linguistico, la tecnica più studiata funziona così: prima di scegliere la parola successiva, il generatore divide di nascosto tutto il vocabolario in due gruppi, chiamiamoli lista verde e lista rossa, usando un seme pseudocasuale. Poi spinge leggermente la probabilità verso le parole della lista verde. Il testo resta scorrevole e sensato — le alternative verdi sono comunque tante — ma finisce per contenere una frazione di parole verdi più alta di quella che ci si aspetterebbe dal caso.
Un’analogia: immaginate un dado truccato in modo impercettibile, che esce «pari» il 55% delle volte invece del 50%. Un singolo lancio non dice nulla. Ma su mille lanci lo squilibrio diventa statisticamente innegabile. Il rilevatore fa proprio questo: rigenera la stessa suddivisione verde/rossa con il seme segreto, conta le parole verdi nel testo sospetto e verifica se sono «troppe» per essere una coincidenza. Nessuna delle singole parole tradisce nulla; è la loro distribuzione complessiva a portare la firma.
Ogni singola parola resta plausibile; è la frazione complessiva di parole «verdi», più alta del previsto, a tradire l’origine artificiale del testo.
Per le immagini, lo stesso trucco in un altro linguaggio
Con le immagini e l’audio la logica non cambia, cambia il supporto. Invece di distorcere le probabilità delle parole, il watermark modifica di pochissimo migliaia di pixel — o le componenti in frequenza del segnale — secondo uno schema noto solo a chi possiede la chiave. L’occhio non nota niente: la foto è identica a quella non marchiata. Un rilevatore che conosce lo schema, invece, ritrova il pattern anche dopo compressioni moderate. Sistemi come SynthID, sviluppato da Google DeepMind, applicano questa idea a immagini, audio e video generati dai loro modelli.
Accanto al watermarking nascosto c’è un secondo approccio, complementare: la provenienza dichiarata. Lo standard C2PA (adottato da un consorzio che include Adobe, Microsoft, la BBC e altri) allega al file delle «credenziali di contenuto»: una scheda firmata crittograficamente che racconta chi ha creato il file, con quale strumento, e come è stato modificato. Non è nascosta nei pixel, è un’etichetta verificabile. La differenza pratica è cruciale: il watermark sopravvive a uno screenshot, i metadati C2PA no; ma i metadati raccontano una storia ricca, il watermark dice solo «sono artificiale».
Perché è una corsa, e non una soluzione
Qui arriva la parte scomoda. Ogni schema di marchiatura convive con un attacco che lo cancella, e spesso l’attacco è banale. Un testo con watermark si può parafrasare: basta chiedere a un altro modello di riscriverlo, e la distribuzione verde/rossa si dissolve. Un’immagine si può ridimensionare, ritagliare, ricomprimere, fotografare da uno schermo: ognuna di queste operazioni erode il segnale nascosto. I metadati C2PA sono ancora più fragili, perché un semplice screenshot li elimina del tutto — e nessuno vieta di rimuoverli.
C’è anche un limite più profondo, di natura teorica. Diversi gruppi di ricerca hanno mostrato che, oltre una certa qualità del contenuto, nessun watermark può essere insieme impercettibile e robusto contro un avversario determinato: se il falso è indistinguibile dal vero per un essere umano, allora esiste sempre una trasformazione che preserva il significato e cancella la marca. È lo stesso paradosso della sicurezza informatica: non esiste il lucchetto inviolabile, esiste solo il lucchetto che costa più della refurtiva.
Il watermarking non stabilisce cosa è vero. Alza il costo e la fatica di far passare un falso per autentico — e a volte è tutto ciò che serve.
Va aggiunto il problema speculare, altrettanto insidioso: i falsi negativi e i falsi positivi. Un rilevatore troppo aggressivo finisce per etichettare come «AI» anche testo umano — è già successo con studenti accusati ingiustamente dai rilevatori di compiti. Un rilevatore troppo prudente lascia passare i falsi. Tarare quella soglia è una decisione politica travestita da parametro tecnico.
Perché ti riguarda
Non serve produrre deepfake per essere dentro questa corsa: ci siamo tutti come destinatari. La lezione pratica è duplice. Primo: la presenza di un watermark o di credenziali di contenuto è un indizio utile ma non una prova — la sua assenza non dimostra nulla, perché può essere stata rimossa o non essere mai stata apposta. Secondo, e più importante: la verifica dell’autenticità non tornerà mai a essere qualcosa che facciamo guardando il contenuto. Un video convincente non è più una garanzia di niente. Ciò che conta torna a essere il contesto: da quale canale arriva, chi lo pubblica, se una fonte indipendente lo conferma.
Il watermarking non è la soluzione al problema dei deepfake, ed è onesto dirlo. È una fascia di attrito: rende più costoso e più lento far circolare un falso senza etichetta, sposta l’onere sull’attaccante, dà agli strumenti automatici un appiglio in più. In una corsa agli armamenti nessuno vince definitivamente; si tratta di non restare disarmati. E per chi legge, guarda e ascolta, l’arma migliore resta la più antica: chiedersi chi lo dice, e perché dovrei crederci.
I commenti sono riservati agli iscritti.
Accedi per commentare