Text KI-Wasserzeichen sind trivial entfernbar – das Wettrüsten bei der Erkennung war von vornherein nicht zu gewinnen

Eine technische Analyse bestätigt, dass textbasierte KI-Wasserzeichen mit trivialem Aufwand entfernt oder gefälscht werden können – was die Wasserzeichenbestimmungen in der KI-Regulierung untergräbt, die davon ausgehen, dass der Mechanismus gegen motivierte Angreifer zuverlässig ist.

In einfachen Worten: Statistische Wasserzeichen, die in KI-Textausgaben eingebettet sind, können durch einen einzigen Umformulierungsdurchlauf umgangen werden. Umgekehrt können Wasserzeichen in von Menschen geschriebene Texte eingebettet werden, um sie fälschlicherweise als KI-generiert zu kennzeichnen. Der Mechanismus ist in beide Richtungen gebrochen.

Die Fakten

Eine auf seangoedecke.com veröffentlichte Analyse (auf Hacker News aufgetaucht) erklärt, warum Textwasserzeichen von Grund auf brüchig sind: Jede semantikerhaltende Transformation – Umformulierung, Übersetzung, leichte Bearbeitung – entfernt das statistische Signal, das in Wortwahl oder Token-Mustern eingebettet ist. Der Angriff kostet O(1). Keine speziellen Fähigkeiten erforderlich.

Unsere Einschätzung

Das ist nicht nur eine technische Detailfrage, denn Wasserzeichen wurden als praktisches Werkzeug zur KI-Inhaltszuordnung positioniert. Der EU-KI-Akt enthält Bestimmungen zu Wasserzeichen für synthetische Inhalte. Mehrere KI-Labore haben Wasserzeichen als Transparenzmechanismus beworben. Wenn der Mechanismus gegen motivierte Angreifer versagt – und die Entfernung trivial ist –, übernimmt die darauf aufbauende politische Ebene den Fehler. Alternative Ansätze (kryptografische Signierung zum Zeitpunkt der Generierung, Herkunftsmetadaten, die in die Modellausgabekette eingebettet sind) sind robuster, erfordern aber Infrastrukturverpflichtungen von Laboren, die dies bisher nicht priorisiert haben.

[Under the hood] Ein robustes Wasserzeichen, das semantikerhaltende Transformationen übersteht, würde entweder eine spürbare Verschlechterung der Ausgabequalität erfordern oder steganografische Strukturen einbetten, die vom gleichen Angreifer erkannt werden können, der sie entfernen will. Beide Ansätze vereiteln den Zweck.

Zu beachten

Ob das EU-KI-Büro seine technische Leitlinie zu Wasserzeichen aktualisiert, wenn sich diese Beweislage anhäuft – oder ob die Bestimmung trotz ihrer effektiven Unvollziehbarkeit bestehen bleibt.