Исследовательница Lasso Security Андреа Сипосова сравнила поведение моделей с включённым SynthID-Text и без него. Работа показывает, что статистический знак происхождения текста способен влиять не только на стиль формулировок, но и на отдельные решения модели.
SynthID-Text участвует в процессе выбора следующих токенов. Если сгенерированный ответ задаёт инструмент, адресата или аргументы вызова, такое изменение может повлиять на выполнение действия, а не ограничиться стилистическими отличиями.
В экспериментах Lasso наблюдались изменения корректности вызовов и реакции на вредоносные запросы, особенно в сочетании с фиксированной техникой prompt injection. Эффект зависел от конкретной модели и параметров маркировки: некоторые изменения шли в противоположных направлениях и могли нивелироваться при усреднении результатов.
Исследование не утверждает, что все водяные знаки всегда ослабляют защиту систем. Оно также не проверяло промышленную реализацию одной из коммерческих моделей: в работе использовались модели с открытыми весами и управляемая реализация на платформе для экспериментов.
Автор подчёркивает методологическое ограничение: отказы модели и вызовы инструментов измерялись отдельно, а полный сценарий атаки на действующего агента в рамках экспериментов не тестировался. Рекомендация для разработчиков и команд безопасности — повторять оценки и проверки с теми параметрами маркировки и теми настройками, которые планируются к использованию при развёртывании.