Журналистка Келси Пайпер из The Argument на прошлой неделе провела эксперимент, от которого холодеет в животе у любого, кто хоть раз писал в интернете под ником. Она скормила свежей модели Claude Opus 4.7 отрывок из своего неопубликованного черновика — 125 слов, политическая колонка о телесериале «Слуга народа». Чат был запущен в инкогнито-режиме, без памяти, без какой-либо привязки к её аккаунту. Модель ответила: «Скорее всего, автор — Келси Пайпер». ChatGPT в том же тесте поставил на Мэтта Иглесиаса, Gemini — на Скотта Александера. Только Claude угадал. И не один раз, а на черновиках в жанрах, в которых Пайпер никогда не публиковалась.
Я бы хотел сказать, что это просто красивый трюк. Но это не трюк — это начало конца сетевой анонимности для всех, кто много пишет в открытом доступе.
Что именно сделала Пайпер
Тест воспроизводился последовательно и аккуратно. Чтобы исключить утечку через её собственный аккаунт, Пайпер прогнала те же отрывки на компьютере друга и через API напрямую. Результат не менялся.
Дальше она устроила модели по-настоящему сложные испытания, постепенно повышая ставки:
📰 Политическая колонка (125 слов, неопубликованный драфт) — Claude угадал автора.
🎓 Школьный отчёт о прогрессе ученика по письму — жанр, в котором Пайпер никогда публично не писала. Угадал.
🎬 Рецензия на фильм «Быть или не быть» Любича — снова промах для других моделей, у Claude — попадание.
📚 Глава из её фэнтези-романа — здесь модели потребовалось около 500 слов, но всё равно угадал. ChatGPT, кстати, тут красиво ошибся, предположив британскую писательницу K.J. Parker.
✍️ Эссе для поступления в колледж, написанное 15 лет назад — стиль с тех пор изменился до неузнаваемости. Угадал.
И вишенкой — Пайпер взяла сообщения из Discord-канала у подруги, у которой нет ни публичных соцсетей, ни заметного письменного следа в сети. Тут Claude её саму не вычислил — но назвал двух людей из этого же канала, в том числе саму Пайпер. То есть модель уловила не индивидуальный, а субкультурный отпечаток. Стилистические маркеры, которые мы перенимаем от своего круга общения, оказываются почти такими же выдающими, как личные.
Откуда вообще берётся «литературный отпечаток пальца»
Тут полезен исторический контекст. Идея, что человека можно идентифицировать по стилю, не нова — это поле называется стилометрией и восходит к XIX веку. В компьютерную эпоху она превратилась в утилитарную дисциплину с конкретными инструментами:
🔤 Burrows' Delta — статистический метод сравнения частотности служебных слов. Считает, насколько распределение «the», «of», «and», «но», «как» в тексте отклоняется от референса автора. На длинных текстах работает поразительно хорошо.
🧬 Character n-grams — самый удивительный для меня инструмент. Берутся не слова, а последовательности из, скажем, трёх символов подряд. Звучит дико, но именно символьные триграммы в исследованиях стабильно дают более высокую точность авторской атрибуции, чем однословные признаки. На Hinglish-датасете SVM-классификатор выбивает 95% точности на коротких сообщениях. Форензик-исследование 2020 года по твитам показало точность от 92% до 98.5% на 120–200 твитов на пользователя.
🧙 Самый известный кейс — программа JGAAP (Java Graphical Authorship Attribution Program) Патрика Юолы. Именно она в 2013 году сорвала псевдоним Дж. К. Роулинг, когда та опубликовала детектив под именем Robert Galbraith. Журналист попросил Юолу проверить — алгоритм за пару часов выдал верный ответ, после чего Sunday Times это уже подтвердила обычной журналистской работой.
Так что технически способность выявлять автора по стилю — это не магия LLM, а вполне зрелая область. Но и тут есть нюанс: классическая стилометрия работает в режиме «закрытого мира» — у тебя есть N кандидатов, ты сравниваешь стиль с их корпусами и выбираешь лучшее совпадение. Claude Opus 4.7 делает другое. Он работает в открытом мире, где кандидатами потенциально являются все авторы, чьи тексты попали в обучающую выборку. И именно это качественно меняет картину.
Что под капотом, и почему модель сама не понимает, что делает
Самое сладкое наблюдение Пайпер: когда она просила Claude обосновать свой ответ, модель выдавала откровенную чушь. Например, она заявила, что эффективные альтруисты якобы любят фильм «Быть или не быть» — и на этом основании опознала Пайпер. Или что эссе для поступления в колледж явно принадлежит человеку, который потом «будет объяснять сложные политические идеи» — поэтому это Пайпер.
Это не «глубокий анализ стиля». Это рационализация задним числом. Один из комментаторов под статьёй сформулировал блестяще: «AI — это идеальный CYA-bullshitter». Языковая модель не имеет интроспективного доступа к тому, как она пришла к ответу. Она генерирует ответ, а потом, когда её просят объяснить, генерирует самое правдоподобное объяснение — которое, как и любая галлюцинация, может быть полной выдумкой.
С инженерной точки зрения, модель, видимо, делает что-то вроде распознавания распределения активаций в очень многомерном пространстве: «эта совокупность синтаксических ритмов, лексических тиков, структуры абзацев, частоты тире, любви к паратаксису и характерных словосочетаний имеет высокую косинусную близость к кластеру, который я во время обучения видел подписанным как „Kelsey Piper“». Никаких явных счётчиков n-грамм там, скорее всего, нет — есть нейросетевая аппроксимация того же самого с учётом семантики и контекста.
И вот тут возникает важный контр-аргумент, который я нашёл в комментах под оригинальной статьёй и считаю реально интересным.
Гипотеза, что модель угадывает по априорному распределению.
Drew Margolin предположил: возможно, Claude угадывает Пайпер не потому, что её стиль такой уникальный, а потому что сама Келси Пайпер уже попадала в обучающие данные именно с этими экспериментами. То есть модель видела предыдущие итерации игры «угадай автора от Пайпер» и теперь имеет сильный априорное распределение: «если кто-то просит меня угадать автора текста, который немного похож на эссеистику, — попробую сначала Пайпер». В пользу этой версии — то, что модель угадала и подростковое эссе (стиль которого должен был сильно отличаться от нынешнего), и то, что она «нашла» друзей Пайпер по их сообщениям в Discord.
Другой комментатор, Ник Лукс, заметил похожий артефакт: пока в его личных предпочтениях был длинный список любимых авторов, Claude брал имена оттуда. После очистки предпочтений — модель всё равно угадывала Пайпер. То есть априорное распределение существует, но эффект всё-таки реальный.
Я бы сказал, истина где-то посередине: есть и стилометрический сигнал, и априорное распределение по контексту запроса. Это не отменяет вывода — для людей с большим публичным корпусом анонимность кончилась. Но это объясняет, почему у Пайпер всё работает так зловеще точно, а у её менее пишущих друзей — нет.
Что это значит на практике
Я смотрю на это через призму своего опыта в CTF и bug bounty, и для меня здесь несколько слоёв. Деанонимизация по стилю текста — это, по сути, мощнейший новый OSINT-инструмент, который теперь доступен любому через чат-интерфейс за 20 долларов в месяц. Раньше это требовало академической экспертизы и инструментов вроде JGAAP с настройкой канонизаторов и вручную собранным корпусом. Теперь — одна копипаста.
Что это ломает на практике:
🔓 Анонимные отзывы на Glassdoor. Компания берёт текст отзыва, скармливает Claude, получает имя сотрудника. Прецеденты с увольнениями появятся, я бы поспорил, в течение года.
🗣 Анонимные комментарии и whistleblowing. Если у тебя есть публичный блог под реальным именем и ты под ником разоблачаешь работодателя — у тебя серьёзная проблема.
🛡 Бэг-баунти и пентест-репорты в кулуарных каналах. Многие исследователи общаются в полузакрытых Discord/Telegram-каналах. История Пайпер с друзьями в Discord показывает: даже субкультурный стиль идентифицирует.
🌍 Диссиденты и журналисты в авторитарных режимах. Это самая страшная часть. Для людей, которые публикуют что-то под настоящим именем (научные статьи, посты в LinkedIn) и параллельно пишут анонимно — это смертный приговор анонимности. И не в метафорическом смысле, в зависимости от страны.
🎯 Социальная инженерия. Зная стиль человека, проще написать фишинг-письмо «от его имени» так, чтобы оно прошло «на зуб» у получателей. Эту дверь тоже только что приоткрыли.
Что с этим делать
Хороших ответов нет. Пайпер пишет об этом честно: единственный реальный способ остаться анонимным — либо писать в принципиально другом стиле, чем под настоящим именем, либо прогонять весь текст через ИИ-переписчик. Оба варианта дрянь: первый требует постоянного актёрского усилия, второй превращает живой текст в нейросетевую кашу.
Несколько менее радикальных тактик, которые имеют смысл уже сейчас:
🧱 Минимизировать публичный корпус под настоящим именем. Чем меньше у моделей данных для обучения по тебе — тем меньше точность атрибуции. Это особенно актуально для тех, кто ещё не «засветился».
🎭 Держать стилевую гигиену между аккаунтами. Разная пунктуация, разная длина предложений, разные любимые слова, разные опечатки. Звучит как паранойя — но в той же степени, в какой ею кажется использование разных паролей.
🧪 Тестировать себя. Возьмите свой неопубликованный черновик, скормите Claude в инкогнито, посмотрите. Если узнаёт — у вас есть отпечаток. Если нет — у вас, вероятно, мало публичного корпуса, и это пока ваше преимущество.
🤖 Использовать LLM как стилистический «шум». Не переписывать текст полностью, а слегка перемешивать структуру предложений и лексику. Это снижает точность стилометрии без потери авторского смысла.
Что я думаю обо всём этом
Меня в этой истории больше всего цепляет то, что мы получили новую модальность приватности, о которой раньше думали только узкие специалисты по форензике. Раньше «приватность текста» означала шифрование канала, метаданные, IP-адреса. Теперь оказывается, что сам текст — биометрия. Так же, как лицо или походка. И биометрию ты не сменишь.
И это, что важно понимать, не плохое поведение Claude. Модель не делает ничего противоправного — она просто хорошо находит закономерности в корпусе, на котором её обучили. Это не баг и не злой умысел Anthropic. Это эмерджентное свойство достаточно умной модели, обученной на достаточно большом интернет-корпусе. Запретить его невозможно — другие лаборатории воспроизведут эту способность в течение полугода-года, что бы ни делала Anthropic.
Пайпер заканчивает статью спокойной фразой: «Я не считаю это хорошим развитием событий. Я считаю его предсказуемым». И тут я с ней полностью соглашусь. Эпоха «написал что-то под ником — и поминай как звали» закончилась. Не для всех — пока. Но если вы много пишете в открытом интернете под настоящим именем — у вас уже есть литературный отпечаток пальца. И его уже нельзя смыть.
Самое разумное, что можно сделать сейчас — не паниковать, а знать, что эта дверь открыта. И принимать решения о том, что вы пишете под каким именем, с этим знанием в голове.
Источники:
🔗 Оригинальная статья Келси Пайпер в The Argument — theargumentmag.com: I can never talk to an AI anonymously again
🔗 Дискуссия Иглесиаса и Демсас об интернет-анонимности — theargumentmag.com: Destroy the Internet to save it
🔗 Стилометрия и кейс Роулинг/Гэлбрейт — Wikipedia: Stylometry
🔗 JGAAP — открытый инструмент авторской атрибуции от Patrick Juola — evllabs.github.io/JGAAP
🔗 Исследование точности стилометрии на твитах (92–98.5%) — arXiv: Forensic Authorship Analysis of Microblogging Texts
🔗 Authorship attribution на коротких текстах с char n-grams и SVM — arXiv: Supervised Learning Methods for Authorship Attribution
🔗 Обзор методов стилометрии и обфускации авторства — Springer: Analyzing Stylometric Approaches to Author Obfuscation