텍스트의 빈틈에 심는 보이지 않는 표식

텍스트에는 데이터를 숨길 픽셀이 없고, 복사해서 붙여넣는 순간 메타데이터가 사라진다. 하지만 구글과 앤스로픽은 글자 자체가 아니라 '단어를 선택하는 과정'에 표식을 남기는 방식을 택했다. 구글은 2024년부터 제미나이(Gemini) 앱과 웹 경험에 워터마킹을 적용했으며, 앤스로픽은 2026년 8월부터 신규 클로드(Claude) 모델에 모델 레벨의 워터마크를 도입하고 기존 모델로 확대할 예정이다.

단어 선택의 틈새를 이용하는 이 기술의 핵심은 모델이 다음 단어를 고를 때 사용하는 확률 분포에 개입하는 것이다. LLM은 문장을 쓸 때 하나의 정답이 아니라 여러 후보 단어 중 하나를 확률적으로 선택한다. 워터마킹 시스템은 이 후보군을 비밀 키(key)를 이용해 '그린'과 '레드'로 임의로 나눈 뒤, 그린 색상 단어가 선택될 확률을 아주 미세하게 높인다.

사용자가 읽기에는 자연스러운 문장이지만, 키를 가진 검증자는 텍스트를 다시 훑으며 그린 단어가 통계적으로 과하게 많이 등장했는지를 계산한다. 구글의 SynthID(신스ID)는 이 과정을 더 정교한 토너먼트 방식으로 처리하며, 오픈AI에서 구축한 애런슨(Aaronson)의 방식은 주사위 굴리기 자체를 키에서 도출한다. 결과적으로 표식은 글자 속에 숨은 것이 아니라, 모델이 내린 '선택의 패턴' 속에 존재하게 된다.

모델 레벨의 채택과 식별 경쟁

이번 도입은 AI 생성 콘텐츠의 식별 주체가 외부 도구가 아닌 모델 자체로 옮겨갔음을 보여준다. 과거의 탐지 도구들이 문체나 통계적 특성을 분석해 'AI스러움'을 추측했다면, 이제는 모델 설계 단계에서부터 검증 가능한 신호를 심는 '채택'의 흐름으로 바뀌었다. 이는 복사-붙여넣기나 단순한 서식 변경만으로는 지울 수 없는 강력한 식별 수단을 확보하려는 움직임이다.

구현 방식에서는 정교함과 은밀함의 경쟁이 벌어지고 있다. 단순히 확률을 높이는 방식을 넘어, 모델이 원래 의도한 단어별 확률을 정확히 유지하면서도 표식을 남기는 기술적 장치들이 도입됐다. 특히 앤스로픽의 경우 실제 프로덕션에 적용된 세부 스킴(scheme)을 공개하지 않음으로써, 외부에서 이를 분석하거나 우회하려는 시도를 차단하는 폐쇄적 전략을 취하고 있다.

이러한 흐름은 AI 기업들이 생성물의 책임 소재를 명확히 하고, AI 생성 콘텐츠의 투명성을 확보해야 한다는 정책적 압박에 대응하는 결과로 풀이된다. 다만 구글의 경우 API 서비스는 현재 문서상 예외로 두고 있어, 일반 사용자 서비스와 개발자 도구 간의 적용 범위에 차이를 두고 있다.

우회 가능성과 탐지 신뢰도의 한계

실무적으로 주목해야 할 지점은 워터마크의 '생존 조건'이다. 이 방식은 이전 단어들의 흐름에 따라 다음 단어의 색상이 결정되므로, 원문 문구의 연속성이 유지되어야만 탐지가 가능하다. 단순한 오타 수정이나 가벼운 패러프레이징(paraphrasing)은 표식을 희석시킬 뿐 완전히 지우지 못한다. 실험 결과에 따르면 인간이 직접 패러프레이징한 경우에도 약 800토큰(약 600단어) 정도의 분량이 확보되면 다시 탐지 가능해진다.

하지만 의미를 유지한 채 문장 구조를 완전히 바꾸는 '전면 재작성(full-rewrite)' 앞에서는 무력해진다. 원문의 단어 배열(run)이 파괴되면 검증자는 더 이상 그린 단어의 빈도를 계산할 근거를 찾지 못하며, 탐지 정확도는 동전 던지기 수준인 50%까지 떨어진다. 즉, 단순 편집이 아니라 의미 공간(meaning-space)에서 다시 생성하는 방식이 유일한 우회로가 된다.

또한 텍스트의 길이는 탐지 신뢰도와 직결된다. 짧은 텍스트는 통계적 유의미성을 확보하기 어려워 판별이 매우 힘들다. 예를 들어 50/50 모델의 경우 1,500단어 정도의 문서가 되어야 약 55%의 그린 비율만으로도 AI 생성물임을 확신할 수 있다. 한국의 AI 실무자나 기업은 AI 생성물 판별 도구를 도입할 때, 입력 텍스트의 길이와 재작성 여부에 따라 판별 결과가 완전히 달라질 수 있다는 제약 조건을 반드시 고려해야 한다.