Deux mécanismes qu’on confond

On appelle « filigrane » deux mécanismes très différents, et cette confusion coûte cher. Le premier déclare l’origine d’un fichier dans ses métadonnées, comme une étiquette collée dessus. Le second modifie discrètement le contenu lui-même, comme une texture tissée dans le tissu. Un fichier peut porter l’un, l’autre, les deux, ou aucun des deux.

Ce chapitre fabrique le second mécanisme sous vos yeux, dans un texte puis dans une image, parce qu’il se calcule. Le premier ne se calcule pas : il se déclare, ou il ne se déclare pas. Vient ensuite la comparaison des deux, avec ce que chacun survit et ce qu’aucun des deux ne remplace.

Un filigrane à liste verte, posé sur un texte

À chaque mot qu’il engendre, le modèle jouet de ce site calcule une liste de candidats possibles. Une clé secrète, combinée au mot qui précède, désigne une moitié de cette liste comme « verte ». Le tirage est ensuite légèrement poussé vers cette moitié. Réglez la clé et la force de cette poussée, puis engendrez un texte : chaque mot produit s’affiche avec l’étiquette que la clé lui donne à cet instant.

Le texte ci-dessus se mesure avec la même clé, et n’importe quel autre texte aussi : collez-en un, ou modifiez celui qui vient d’apparaître, puis mesurez. Le résultat n’est jamais « filigrané » ou « pas filigrané » : c’est une proportion, à comparer à ce qu’elle vaudrait sans filigrane.

Un filigrane dans les bits de poids faible d’une image

Une image numérique est une grille de nombres, un par canal de couleur et par pixel, de zéro à deux cent cinquante-cinq. Changer le bit le plus faible d’un seul de ces nombres modifie sa valeur d’au plus un : rien qui se voie. Cette démonstration dessine une image, y cache un message dans exactement ces bits-là, le retrouve, puis vous laisse le détruire.

Choisissez maintenant une opération banale, de celles qu’un envoi par messagerie ou un partage sur un réseau applique tout seul, et regardez si le message survit.

La méthode

Le filigrane à liste verte, pas à pas

1. Pour le mot en cours, obtenir la liste des candidats possibles et leur probabilité, exactement comme au chapitre le prochain mot.
2. Combiner la clé secrète et le mot qui précède immédiatement, puis en tirer un nombre entre zéro et un par une fonction de hachage. En dessous d’un demi, le candidat est vert ; au-dessus, il est rouge. La moitié du vocabulaire est verte à chaque étape, mais jamais la même moitié : elle change avec le mot qui précède.
3. Ajouter la force choisie au logit de chaque candidat vert, avant la température et le tirage : c’est le biais que le modèle jouet accepte à cette étape précise.
4. Tirer normalement dans cette distribution corrigée. Un mot vert a maintenant plus de chances d’être choisi, sans qu’aucun mot ne devienne impossible ; et quand tous les candidats de ce pas partagent la même couleur, le biais ne change rien, faute de choix à départager.
5. Répéter pour le mot suivant : le mot qui précède a changé, donc la liste verte aussi.
6. Pour mesurer un texte, refaire le calcul de l’étape deux sur chacun de ses mots, avec la même clé, et compter la part de mots verts. Sous la clé qui a servi à engendrer, cette part dépasse nettement la moitié ; sur un texte quelconque, ou sous une autre clé, elle reste proche de la moitié.
7. Comparer cette part mesurée à la moitié attendue par un calcul d’écart réduit : plus l’écart est grand, plus la proportion observée serait rare dans un texte qui n’aurait pas reçu ce filigrane. Ce nombre ne devient jamais un verdict.

Cacher un message dans les bits de poids faible, pas à pas

1. Dessiner l’image et lire ses pixels : pour chacun, trois nombres de zéro à deux cent cinquante-cinq, un par canal de couleur.
2. Écrire la longueur du message, en nombre d’octets, sur les trente-deux premiers bits disponibles.
3. Écrire chaque octet du message à la suite, huit bits chacun.
4. Pour chaque bit à écrire, prendre le nombre suivant dans la grille des canaux de couleur, effacer son bit le plus faible et y mettre le bit du message. Le nombre change d’au plus un, sur une échelle de deux cent cinquante-cinq : aucun oeil ne voit la différence.
5. Pour retrouver le message, relire les mêmes bits dans le même ordre, reconstituer la longueur puis les octets, et les convertir en texte.
6. Une opération qui recalcule les pixels, une recompression ou un redimensionnement, recalcule aussi leur bit le plus faible, sans se soucier de ce qu’il portait. Le message ne survit que si cette valeur reste identique, au bit près.

Deux façons de marquer un contenu

Les deux essais ci-dessus donnent leur juste place aux deux mécanismes que ce chapitre distingue.

La provenance déclarée : lisible, et fragile

Une norme technique publique, C2PA, dit comment attacher à un fichier des informations signées sur son origine et son historique : quel appareil ou quel logiciel l’a produit, quelles modifications il a subies. Une application qui lit cette norme affiche ces informations en clair, sous le nom de Content Credentials. C’est une étiquette, au sens propre : elle dit d’où vient le fichier, elle ne touche à rien dans le fichier lui-même.

Une étiquette se décolle. La norme elle-même le reconnaît : ses informations de provenance peuvent être séparées du fichier, ce qui les rend perdables par une simple capture d’écran ou une réédition du fichier. Un envoi par messagerie qui recompresse une image, une capture d’écran qui ne recopie que les pixels affichés, un export vers un format qui ignore ce bloc de métadonnées : aucun de ces gestes n’est une attaque, et chacun suffit à effacer la provenance sans laisser de trace de l’effacement.

C’est là le contresens le plus répandu : une image sans provenance déclarée n’est pas une image qui cache quelque chose. C’est peut-être une image dont l’étiquette est simplement tombée en chemin, ce qui arrive à la quasi-totalité des images qui circulent.

Le filigrane statistique : discret, et plus résistant, pas invincible

Le filigrane statistique ne s’ajoute pas à côté du contenu : il modifie le contenu lui-même, de façon minime et répartie. Dans un texte, en poussant le tirage vers une liste de mots choisie par une clé, comme la démonstration plus haut vient de le faire. Dans une image, en modifiant des pixels d’une façon qui peut être bien plus discrète que les bits de poids faible employés ici pour rester explicable.

Cette différence de nature change tout pour la résistance. Une étiquette de métadonnées disparaît d’un seul geste, parce qu’elle n’est jamais que des données à côté des données. Un filigrane statistique doit être défait dans le contenu lui-même : recopier un texte à la main ne change rien à sa liste verte, et une image conserve parfois un filigrane à travers des opérations qui effaceraient sa provenance sans effort.

Cette résistance a deux limites, et les deux viennent de se voir plus haut. La première : un filigrane suppose que le fabricant l’ait posé au moment de la création. Rien n’oblige un service à le faire, et rien ne le prouve après coup si le contenu a circulé sans lui. La seconde : un filigrane n’est pas invincible non plus. Un travail cité au chapitre une image fabriquée montre qu’une attaque de régénération, qui ajoute du bruit à une image puis la reconstruit, retire les filigranes invisibles au niveau du pixel en préservant la qualité visuelle. La recompression ou le redimensionnement que vous venez de choisir plus haut en est la version élémentaire, appliquée à un mécanisme différent mais à la même idée : recalculer les pixels efface ce qui s’y cachait.

Ce que la recherche a mesuré

Une norme technique publique définit comment attacher à un fichier des informations vérifiables et signées sur son origine et son historique de modification, et reconnaît elle-même que ces informations sont séparables du fichier, donc perdables par une capture d’écran ou une réédition, sans que rien ne signale la perte.

Insérer dans un texte engendré un filigrane statistique invisible à l’oeil, en favorisant légèrement certains mots à chaque étape, puis le détecter par un test statistique : c’est exactement le mécanisme que la démonstration plus haut vient de faire tourner. Un mécanisme de cette famille, intégré à l’échantillonnage d’un service réel, a été publié et évalué par les pairs dans la revue Nature : ce que cette page simplifie à des fins pédagogiques est déployé ailleurs à une tout autre échelle.

Le geste à garder

Devant un fichier dont l’origine compte, deux réflexes se substituent trop souvent à un jugement. Le premier : chercher une provenance déclarée et, faute de la trouver, conclure que le fichier cache quelque chose. La norme elle-même dit le contraire : l’absence de provenance est l’état normal de la quasi-totalité des fichiers qui circulent, pas une preuve. Le second : demander à un outil de détection un verdict, sur un texte ou sur une image. Une évaluation indépendante de quatorze outils de détection de texte, y compris des outils employés dans l’enseignement, conclut qu’aucun n’est à la fois fiable et précis ; le fabricant de l’un des plus utilisés a lui-même retiré son outil six mois après son lancement, en invoquant un taux de fiabilité trop faible pour être utile.

La démonstration de filigrane à liste verte plus haut s’applique cette même prudence à elle-même : son résultat est une proportion et un écart réduit, jamais un mot pour trancher. Devant un contenu dont l’origine compte réellement, la question utile reste toujours la même : qui l’a publié en premier, à quelle date, et est-ce corroboré ailleurs. Un indice technique documente un doute, il ne le remplace jamais.

Pour aller plus loin

Le mécanisme que ce chapitre laisse de côté, celui qui repère la trace involontaire d’une fabrication plutôt qu’un filigrane posé exprès, est traité aux chapitres une image fabriquée et une voix fabriquée. Le tirage que le filigrane de texte vient biaiser est expliqué en détail au chapitre le prochain mot. Les situations où aucun de ces outils ne suffit sont réunies dans quand ne pas s’en servir. Toutes les démonstrations du site sont réunies à la page démonstrations, et le sommaire du cours à la page comprendre.

Sources

• Content Credentials: C2PA Technical Specification (version 2.4) Coalition for Content Provenance and Authenticity (C2PA), 2026. Établit qu’il existe une norme technique publique qui définit comment attacher à un fichier des informations vérifiables et signées sur son origine et son historique de modification.
• C2PA Frequently Asked Questions Coalition for Content Provenance and Authenticity (C2PA), 2026. Établit que le standard C2PA reconnaît lui-même que ses manifestes de provenance peuvent être séparés du fichier, ce qui rend cette information perdable lors d’une simple capture d’écran ou d’une réédition du fichier.
• A Watermark for Large Language Models John Kirchenbauer, Jonas Geiping, Yuxin Wen, Jonathan Katz, Ian Miers, Tom Goldstein, 2023. Établit qu’il est possible d’insérer dans un texte généré un filigrane statistique invisible à l’oeil humain, en favorisant légèrement certains mots à chaque étape, et de le détecter ensuite par un test statistique.
• Scalable watermarking for identifying large language model outputs Sumanth Dathathri, Abigail See, Sumedh Ghaisas, Po-Sen Huang, Rob McAdam, Johannes Welbl, et al., 2024. Établit que SynthID-Text, un filigrane statistique intégré à l’échantillonnage spéculatif utilisé en production, a été publié et évalué par les pairs dans la revue Nature (volume 634, p. 818-823).
• Testing of detection tools for AI-generated text Debora Weber-Wulff, Alla Anohina-Naumeca, Sonja Bjelobaba, Tomas Foltynek, Jean Guerrero-Dib, Olumide Popoola, Petr Sigut, Lorna Waddington, 2023. Établit qu’une évaluation indépendante de quatorze outils de détection de texte généré par IA, incluant des outils commerciaux utilisés dans l’enseignement, conclut qu’aucun d’entre eux n’est à la fois fiable et précis.
• OpenAI scuttles AI-written text detector over ‘low rate of accuracy’ Devin Coldewey / TechCrunch, citant OpenAI, 2023. Établit qu’OpenAI a retiré son propre outil de détection de texte généré par IA six mois après son lancement, en invoquant lui-même un taux de fiabilité trop faible pour être utile.