За каждой «бронёй» неизбежно появляется новый, более совершенный «снаряд». Как мы подробно разбирали в материале о столетней гонке вооружений в детекции плагиата, эволюция систем проверки всегда стимулирует появление изощренных методов обхода. Сегодня мы переходим от исторического обзора к самому технически развитому современному «снаряду» — adversarial machine learning (состязательному машинному обучению). Если детекторы, о которых мы писали в сравнительном техническом разборе «Антиплагиат.ВУЗ» и «Думейт», полагаются на статистические аномалии, то adversarial-атаки целенаправленно манипулируют этими аномалиями, компрометируя классификатор за секунды вычислений при минимальных правках текста.
Классификация атак по уровню воздействия
Состязательные атаки на текстовые детекторы можно разделить на три уровня сложности. На символьном уровне атакующий вставляет невидимые символы или меняет кодировку, что сегодня легко блокируется базовой предобработкой. На уровне слов применяются embedding-замены: алгоритм подбирает синонимы, которые повышают неопределённость детектора, но сохраняют семантическую близость через векторное сходство.
Исследование Kadhim et al. (2025) демонстрирует важный нюанс: подход на базе Word2Vec оказывается эффективнее современных BERT-эмбеддингов при атаке на системы типа Fast-DetectGPT. Причина парадоксальна: BERT-эмбеддинги слишком хорошо соответствуют ожидаемым распределениям самой языковой модели, которую использует детектор, тогда как более «грубые» векторные представления Word2Vec создают именно тот уровень шума, который сбивает статистические метрики перплексии и бурстности, не разрушая при этом читаемость текста для человека.
Фреймворк динамической атаки (HMGC)
Наиболее продвинутым методом являются динамические обучаемые атаки. В работе Zhou et al. (LREC-COLING 2024) представлен фреймворк HMGC, формализующий задачу ADAT (Adversarial Detection Avoidance Text). Атака может быть white-box (с полным доступом к весам и архитектуре детектора) или black-box (доступен только итоговый скор детектора).
Пошаговый алгоритм атаки
Процесс оптимизации текста выглядит как итеративный цикл:
- Инициализация состояния: берется исходный сгенерированный текст.
- Выбор кандидатов: алгоритм идентифицирует слова, внесение изменений в которые даст максимальный вклад в снижение оценки «машинности».
- Действие: замена выбранного слова на синоним из заранее построенного графа замен.
- Обратная связь (Reward): запрос к детектору для оценки нового состояния.
- Ограничение на сохранение смысла: проверка через косинусное сходство эмбеддингов исходного и измененного предложения.
- Итеративное уточнение: цикл повторяется до достижения целевого порога «человечности» или исчерпания лимита итераций.
В ответ на это развивается defense loop: разработчики детекторов пытаются дообучать свои модели на текстах, уже прошедших через подобные атаки, что, однако, лишь временно сдвигает границу и часто приводит к росту ложных срабатываний на легитимных работах.
Нужно убрать ИИ из текста? Пишите, сделаем с гарантией!
Математический аппарат: объяснение «на пальцах»
Чтобы понять, почему эти атаки так эффективны, нужно заглянуть в их математическое ядро. Процесс модификации текста формулируется как Марковский процесс принятия решений (MDP), где состояние ($s_t$) — это текущая версия текста, а действие ($a_t$) — замена конкретного слова.
Ключевую роль играет функция вознаграждения: $R(s_t,a_t) = -\Delta D(s_t) + \lambda \cdot Sim(s_t,s_0)$. Она представляет собой компромисс: первая часть ($-\Delta D$) требует максимально снизить оценку детектора, а вторая часть ($\lambda \cdot Sim$) штрафует за отклонение от исходного смысла ($s_0$). Для оптимизации этой функции в условиях недифференцируемых дискретных действий (слов) используется метод Policy Gradient (REINFORCE): $\nabla_\theta J(\theta) = \mathbb{E}[\sum \nabla_\theta \log \pi_\theta(a_t|s_t) \cdot R_t]$. Грубо говоря, алгоритм «пробует» замены, запоминает, какие из них дали хороший «приз» (снижение детекции без потери смысла), и корректирует свою стратегию ($\pi_\theta$) в эту сторону.
В сценарии white-box применяется continuous relaxation (например, Gumbel-Softmax), позволяющий «дифференцировать» выбор слов. В сценарии black-box используется zeroth-order optimization (аналог ZOO-атак), где градиент оценивается через множественные пробные запросы к API детектора. В ответ на это развивается adversarial training по min-max формулировке (аналог Madry et al.), где модель учится на худших возможных примерах.
Теоретические пределы и параллели с компьютерным зрением
Проблема adversarial-атак на текст является прямым аналогом проблемы adversarial examples в компьютерном зрении (знаменитые атаки FGSM и PGD, Goodfellow, Madry), где незаметное для глаза изменение нескольких пикселей заставляет нейросеть видеть панду вместо гиббона. В тексте роль «пикселей» играют токены.
Существуют ли теоретические пределы защиты? Да. Методы сертифицированной устойчивости (Cohen et al., randomized smoothing) предлагают доказуемые, а не эмпирические гарантии: текст классифицируется верно, даже если изменить до $k$ слов. Однако цена такой защиты — резкий рост false negative (пропуск реального ИИ), что делает систему бесполезной на практике. Более того, действует аргумент no-free-lunch: при доступности открытых моделей без встроенной маркировки чисто статистическая детекция имеет фундаментальный потолок точности, который нельзя преодолеть только за счет усложнения архитектуры классификатора.
Sequential rewriting против множественных перезапусков
На практике атакующие выбирают между двумя стратегиями. Последовательное переписывание (sequential rewriting) — это направленный поиск, который эффективен, но несет риск «дрейфа» (compounding drift): после 10-15 итераций текст может застрять в локальном оптимуме или потерять связность. Множественные независимые перезапуски от исходника дают более широкое покрытие пространства вариантов, но требуют экспоненциально большего числа запросов к детектору. Практическим компромиссом сегодня является гибрид с использованием beam search или tree search, который балансирует между глубиной проработки и сохранением исходной семантики.
Институциональные последствия и тупик метрик
Существование таких изощренных методов обхода ставит под сомнение саму идею автоматизированной проверки. Когда студент может скомпрометировать детектор за секунды, формальная метрика теряет смысл. Это ярчайшая иллюстрация того, о чем мы говорили, разбирая закон Гудхарта в высшем образовании: система, редуцирующая сложную задачу оценки компетентности к одному числу, неизбежно становится мишенью для оптимизации.
В этих условиях инструментарий преподавателя должен смещаться от слепого доверия отчетам к диагностическому разговору и процессуальной проверке. Ведь если детектор структурно уязвим к целенаправленной атаке, логично задать вопрос: есть ли путь вне этой бесконечной и бессмысленной гонки?
Ответ на этот вопрос лежит не в области постфактум-анализа, а в области превентивной маркировки. О том, могут ли водяные знаки и криптографическое встраивание меток сделать детекцию по-настоящему надёжной, мы поговорим в следующей статье. Эта техническая неопределённость неизбежно поднимает и более глубокие вопросы: этично ли вообще использовать ИИ в учёбе и где проходит граница допустимого. Более того, этот паттерн универсален: та же самая гонка брони и снаряда разворачивается за пределами текста: в коде, изображениях и дипфейках. В конечном итоге, именно это заставляет систему образования искать новые пути, о чем мы расскажем в финальной статье о том, как вузы меняют формат оценивания после эры детекторов.
Нужно убрать ИИ из текста? Пишите, сделаем с гарантией!