AI文章の電子透かし、消えるかは編集箇所次第

AI文章の電子透かし、消えるかは編集箇所次第 研究・論文

【更新 2026-08-24】本記事を見直し、修正しました。主な修正点：①「保持率0.9でも当たり所が悪ければ理論上ゼロ」は誤りのため、論文の条件（残る信号がちょうどゼロになるのは編集率が 1/(h+1) 以上のとき）と数値実験の実測値に修正。②論文には実テキスト（往復翻訳）の実験があるため、「限界」の記述を実態に合わせて修正。③その実測が「消去」ではなく「摩耗」だったため、「推敲で透かしは消える」の記述を修正。

結論から書きます。生成AIの文章に埋め込む「統計的電子透かし」は、意味を変えない書き換え（言い換え・整形・翻訳）で弱まります。ただしどれだけ弱まるかは「元の文とどれくらい似ているか」では決まりません。2026年8月19日にarXivで公開された査読前の研究は、透かしの残存量が「編集がどこに落ちたか」でほぼ決まることを数式として示し、同じ書き換え率でも残る信号が「半分」「4分の1」「ちょうどゼロ」に分かれうると報告しています。

情シスにとっての含意は単純です。「AI生成かどうかは透かしで判定できる」という前提で社内ルールを組んではいけない、ということです。検知は補助情報にとどめ、統制は別の場所に置く必要があります。

この記事でわかること

  • 生成AIの「統計的電子透かし」が何をしている仕組みなのか（1文定義つき）
  • なぜ「言い換え後も意味が似ているか」という指標では透かしの強度を測れないのか
  • 同じ編集量でも検出できたりできなかったりする理由（種となる「窓」の話）
  • AI利用ポリシー・生成物の取り扱いルールを、検知に依存させないための考え方
  • この研究の限界（査読前・理論中心）と、鵜呑みにしてはいけない点

統計的電子透かしとは何か。どこで動いているのか

統計的電子透かしとは、言語モデルが次の単語（トークン）を選ぶ瞬間に、意味をほとんど変えない範囲で特定の候補へわざと偏らせ、その偏りを後から統計的に検出できるようにする仕組みです。画像の透かしのように「見えない模様を絵に重ねる」のではなく、語の選び方そのものに癖を仕込む点が特徴です。

ここで重要なのが、この偏りが「毎回同じ癖」ではないことです。多くの方式は、直前の数トークンをハッシュして乱数の種（シード）を作り、その位置でどの語を優遇するかを決めます。この「直前の数トークン」を、本記事では以後シード窓と呼びます。検出側は同じ手順で種を再計算し、偏りが想定どおり現れているかを数えます。

「うちは透かし入りの文章など扱っていない」と思われるかもしれません。しかし、この方式はすでに商用サービスで実運用されています。Google DeepMindのSynthID-Textは、Geminiの応答に対して大規模に適用された結果が2024年にNature誌で報告されています（査読済み）。つまり従業員が生成AIから持ち帰ってくる文章には、すでに透かしが入っている可能性がある。判定を当てにするなら、その強度がどう決まるのかを知っておく価値があります。

何がわかったのか

今回の研究は、Daniele Corradetti氏による単著のプレプリント「Linguistic Holonomy and Statistical Watermarks: Inner Geometry of Meaning-Preserving Transformations」（arXiv:2608.19369、2026年8月19日投稿。分野は cs.CL / cs.CR / math.DG）です。主張は大きく2点あります。

1. 「意味の類似度」は測る対象を取り違えている

これまでの研究の多くは、言い換え攻撃の強さを「書き換え前後のテキストがどれくらい意味的に似ているか」という終点の指標で測ってきました。本研究は、意味を保つ変換を連ねたときの不変量が、「終点の成分」と「元の状態を動かさないまま内部でぐるりと回った成分」に分解できることを証明したとしています。後者を、物理学のウィルソン・ループの類推からホロノミーと呼んでいます。

噛み砕くと、こういうことです。意味は元の場所に戻ってきているのに、文の「形」だけが別の道を通って一周している状態がある。意味の類似度だけを見ている指標には、この一周分がまったく見えません。しかし透かしは「形」の自由度に住んでいるので、この一周でしっかり削られます。「意味は変わっていないから透かしも残っているはず」という直感が外れるのは、このためだと説明されています。

2. 検出側には正確な等式がある。残るのは「無傷のシード窓の数」だけ

もう一方の主張はより実務に近い内容です。研究は、検出側に残る統計量が「シード窓が無傷で生き残った位置の個数に比例する」という厳密な等式を導いたとしています。ここから、編集が独立にばらまかれた場合の帰結として、減衰則 ρ^(h+1) が導かれます（ρはトークンの保持率、hはシード窓の長さに対応）。

そして本研究がもっとも強調するのが、その不都合な帰結です。アブストラクトの表現を借りれば、まったく同じ保持率でも、生き残る信号は「元の2分の1」「4分の1」「ちょうどゼロ」になりうる。違いを生むのは編集がどこに落ちたかだけ。これを小数点以下3桁まで一致することを確認した、としています。

観点 従来の見方 本研究の主張
言い換えの強さの指標 書き換え前後の意味的類似度（終点） 終点だけでは不十分。内部の「一周分」が見えていない
透かしが減る量 編集した量にほぼ比例するはず 無傷で残ったシード窓の個数で決まる
同じ編集量なら おおむね同じ検出力になるはず 編集の位置次第で 1/2・1/4・ゼロに分かれうる

なぜ「少ししか直していないのに検出できない」が起きるのか

直感的な理由はシード窓にあります。ある位置の透かしを検証するには、その直前のシード窓が丸ごと無傷である必要がある。つまり1か所の編集は、その位置だけでなく、その語をシード窓に含む後続の複数位置の検証も同時に壊します。編集が文中に散らばるほど、壊れる位置は編集回数より多くなります。

逆に言えば、編集がひとかたまりに集中すれば被害は限定的で、まんべんなく散らばれば少ない編集量でも壊滅する。減衰則が保持率のべき乗（ρ^(h+1)）になるのは、この「窓が丸ごと生き残る確率」の掛け算だからです。

感覚をつかむための例示計算を挙げます（本記事が減衰則に数値を当てはめた説明用の目安であり、研究の実測値ではありません）。シード窓が4トークン相当（h=4）だとすると、トークンの9割を残した書き換え（ρ=0.9）でも、無傷の位置は 0.95 ≒ 0.59、つまり6割弱まで落ちます。8割保持（ρ=0.8）なら 0.85 ≒ 0.33 で3分の1です。「ほとんど直していない」つもりの手直しが、検出力を半分近く削るということです。

そして本研究の主張は、さらにその先にあります。同じ保持率でも、当たり所次第で残る量は大きく変わる。論文の数値実験（h=1）では、保持率0.5のときに残る検出統計量は、編集が散らばれば元の0.247、ひとかたまりなら0.488、シード窓ごとに規則的に1か所ずつ入れば0.000でした。ただしちょうどゼロにできるのは編集率が 1/(h+1) 以上のときだけで、h=4なら保持率0.8以下が必要です（保持率0.9を保ったままゼロにはできません）。平均値だけを見て運用設計をすると、この最悪ケースを見落とします。

情シスの実務にどう効くのか

この研究は理論寄りですが、実務への含意ははっきりしています。

透かし検知を「統制」として設計しない

「生成AIで作った文書は検知ツールで判別し、申告漏れを検出する」という運用を考えている組織は少なくないはずです。しかし、検知は「陽性なら参考情報」にはなっても、「陰性ならAI生成ではない」の根拠にはなりません。編集の当たり所ひとつで信号が消える以上、陰性は「AIを使っていない証拠」ではなく「わからない」と読むべきです。人事評価や懲戒の判断材料にするのは、なおさら危険です。

「軽い手直し」で消えるという事実を、逆方向にも読む

これは悪意ある回避者だけの話ではありません。普通に真面目に推敲した文書でも透かしは弱まります。社内で校正・体裁調整・翻訳を通すのは日常業務です。ただし論文の実測では、往復翻訳を6系統かけても540本中464本は検出閾値（z=4）を超えており、この種の書き換えは「消去」ではなく「摩耗」でした。まとまった範囲をまとめて直す推敲は被害が小さく、効いてくるのは編集が全体に散る場合です。つまり検知の空振りは、悪用の兆候ではなく通常運用の副産物としても発生します。検知結果をそのままアラートとして流すと、運用が回らなくなる可能性が高い。

統制は「入口」と「記録」に置く

判定が当てにならない以上、押さえるべきは出力側ではなく利用の入口と記録です。どのAIサービスの利用を認めるか、何を入力してよいか、生成物をどう扱い、誰がレビューし、どこに記録するか。ここを決めておけば、後から「これはAI製か」を判定する必要がそもそも減ります。技術的な検知に頼るほど、統制はもろくなります。

現場目線の課題

正直なところ、この手の話がいちばん厄介なのは「検知できます」という説明が経営層に通りやすい点です。ツールのデモは分かりやすく、導入すれば対策した気になれる。一方で「編集の当たり所によっては検出できません」という説明は地味で、伝わりにくい。結果として、限界の共有が済まないまま運用だけが先に走ることになります。

加えて、情シスの側には検証手段がほとんどありません。どの生成AIがどの方式の透かしを入れているのか、シード窓が何トークンなのかは、提供側の実装依存で外からは見えない。手元で強度を測れないものを、統制の前提に据えるのは筋が悪い——というのが率直な実感です。少人数で運用している組織ほど、確認できないものを増やさないほうが結果的に安全だと思います。

なお本サイトでは、画像側の電子透かしについても同様の脆さを扱いました。AI画像の電子透かしは回転で消える｜研究解説と併せて読むと、透かしという技術そのものが「素直な変換」に弱いという共通の性質が見えてきます。

情シスはどうすべきか（公的指針への接続）

自前で長大なチェックリストを作るより、まずは公的な枠組みに沿って整理するのが早道です。

  • AI事業者ガイドライン（総務省・経済産業省）：AIの開発・提供・利用それぞれの立場で求められる事項が整理されています。生成AIに関する記載も版を重ねて拡充されており、社内ポリシーの骨格を作る際の出発点になります。総務省「AI事業者ガイドライン」掲載ページ
  • NIST AI 100-4（合成コンテンツのリスク低減）：透かし・来歴（プロベナンス）・検知といった技術的アプローチを、限界も含めて整理した報告書です。「検知だけでは足りない」という設計判断の根拠として引用しやすい。NIST 公式ページ
  • 中小企業の情報セキュリティ対策ガイドライン（IPA）：AI固有の話に入る前に、そもそもの体制・ルール整備を確認するための土台として。IPA 公式ページ

そのうえで地味に効くのが、利用者への啓発です。「AIで書いたものは検知されるから正直に申告しよう」ではなく、「検知は当てにならないので、使ったなら自分で申告し、内容の責任は使った人が持つ」と伝えるほうが、実態にも合っていて長持ちします。IPAの対策のしおりのようなエンドユーザ向け資料と組み合わせると、説明の手間を減らせます。

この研究の限界と留意点

鵜呑みにしないための注意点を挙げておきます。

  • 査読前のプレプリントです。arXivに投稿された段階であり、査読を経ていません。結論や証明の細部は今後変わりうるものとして読む必要があります。
  • 理論が中心で、実測は小規模です。実テキストを使った実験もありますが、0.5Bの指示調整モデルが生成した90本の文章に、Opus-MTによる往復翻訳6系統（計540本）をかけた範囲にとどまります。学習型の言い換えモデルには転移しないと論文自身が断っており、商用サービスの実装も測定の対象外です。「あらゆる透かし方式で必ずこうなる」と一般化はできません。
  • 対象は統計的（トークン選択型）の透かしです。すべての来歴技術が同じ弱点を持つわけではありません。たとえば署名やメタデータで来歴を運ぶ方式は、壊れ方の性質が異なります。
  • 日本語での挙動は本研究の対象外と考えるべきです。トークン化の仕方が言語で大きく異なるため、シード窓の実効的な長さも変わります。
  • 本記事中の 0.95 などの数値は、減衰則の感覚をつかむために本記事が当てはめた例示であり、論文が報告した実測値ではありません。

まとめ

  1. 生成AIテキストの統計的電子透かしは、意味を変えない書き換えで弱まる。しかも減り方は「意味がどれだけ似ているか」では予測できない——査読前研究は、決め手が「編集がどこに落ちたか」であることを示した。
  2. 同じ書き換え率でも、残る信号は半分・4分の1・ゼロに分かれうる。検知の陰性は「AI生成ではない」の根拠にならない。悪意のない推敲でも透かしは弱まる（ただし論文の往復翻訳実験では、多くが検出閾値を超えたままの「摩耗」だった）。
  3. 統制は検知ではなく、利用の入口と記録に置く。ポリシーの骨格はAI事業者ガイドラインとNIST AI 100-4に沿って整理し、利用者には「検知に頼らない」前提で申告と責任を求めるほうが実態に合う。

関連記事

出典

タイトルとURLをコピーしました