Le filigrane textuel qui perturbe les modèles d’IA

Anthropic a annoncé que ses futurs modèles Claude utiliseront SynthID-Text, le système de filigrane textuel de Google, pour répondre aux exigences européennes de traçabilité des contenus générés. Le principe vise la provenance, c’est-à-dire la capacité à identifier un texte comme produit par une IA. Une étude de Lasso Security publiée le 17 septembre 2026 montre toutefois que ce marquage peut aussi modifier le comportement des modèles, y compris leur propension à refuser une requête dangereuse ou la manière dont un agent appelle un outil. Autrement dit, le filigrane ne se contente pas de signer le texte : il peut aussi déplacer quelques dominos dans la chaîne de décision.

Un marquage discret, mais pas neutre

SynthID-Text agit sur l’échantillonnage des mots. Au lieu de choisir librement le prochain token, le modèle suit une procédure modifiée par une clé secrète, ce qui rend le texte détectable comme issu d’une plateforme donnée par ceux qui connaissent cette clé. Google l’a rendu open source, et Anthropic dit l’intégrer à ses futurs Claude pour se conformer à l’AI Act européen, selon ses explications du 14 août 2026.

La promesse est simple : garder la qualité du texte sans changement visible. Mais la recherche citée par Lasso Security nuance nettement ce discours. Les auteurs ont testé la version non distorsive de SynthID-Text, qui prétend préserver la distribution moyenne des tokens, sur six modèles open weight. Résultat : les sorties changent quand même, surtout dans les cas où le modèle hésite ou quand une consigne malveillante tente de contourner ses garde-fous.

Quand un mot de plus change tout

Le point sensible est là. Dans un texte libre, une variation de vocabulaire peut rester anodine. Dans une sortie structurée, comme du JSON ou un appel d’outil, elle peut au contraire remplacer un argument, un chemin de fichier ou un destinataire. Lasso Security parle de sampling drift pour désigner cet effet : le simple fait d’activer le filigrane décale la trajectoire d’échantillonnage et modifie parfois l’action finale d’un agent.

Les chercheurs ont comparé des générations avec et sans watermarking sur des tâches de tool calling, mais aussi sur des requêtes de sécurité comprenant des demandes malveillantes, avec et sans prompt injection. Cette technique consiste à insérer une consigne hostile dans le prompt comme si elle faisait partie d’un contenu récupéré. Dans plusieurs cas, le watermarking a rendu certains modèles plus enclins à répondre à une requête qu’ils refusaient auparavant. Le risque grandit dès qu’un agent peut exécuter une action, pas seulement rédiger une réponse.

Pourquoi les scores globaux ne racontent pas toute l’histoire

L’étude montre aussi qu’un indicateur agrégé peut masquer des bascules opposées. Une partie des erreurs devient correcte, une autre fait l’inverse, et le bilan final semble presque stable. Sur l’évaluation des appels d’outils, Lasso Security observe sur l’ensemble des combinaisons testées un taux moyen de 6,5 % de désaccord entre versions avec et sans watermark, avec des écarts visibles sur plusieurs modèles. Sur phi-4, à température 1.0, 16,8 % des verdicts diffèrent, alors que la perte nette d’exactitude n’est que de 2,87 points.

Les refus de requêtes dangereuses bougent eux aussi. Sur gemma-3-27b, la part de divergence passe de 6,0 % en requête malveillante simple à 23,5 % sous prompt injection, avec un changement net de conformité allant de -1,0 à +12,5 points. Sur gemma-3-12b, le même basculement monte de 7,5 % à 11,0 %. Ce n’est pas spectaculaire à l’œil nu. C’est précisément le problème.

Ce que cela change pour Anthropic et les éditeurs d’agents

Les limites méthodologiques comptent. L’étude ne teste pas directement les futurs Claude d’Anthropic, mais des modèles open weight via l’implémentation Hugging Face de SynthID-Text. Elle ne prétend donc pas décrire à l’identique le comportement des modèles propriétaires qui seront déployés. En revanche, elle montre qu’un mécanisme pensé pour la traçabilité peut avoir des effets secondaires sur la sécurité et sur les actions d’un agent, même quand la qualité perçue du texte semble intacte.

Dans ce contexte, les recommandations sont assez nettes : tester les systèmes exactement dans la configuration de watermarking prévue, rejouer les évaluations de sécurité avec et sans filigrane, et inclure des scénarios de prompt injection. Pour les développeurs d’agents, le sujet est plus large qu’Anthropic ou Google. Dès qu’un modèle génère aussi des appels d’outils, un léger déplacement dans la sélection des tokens peut changer ce que le système fait réellement. Et là, le filigrane n’est plus seulement une étiquette de provenance ; il devient un paramètre de comportement à part entière.