Paint і Photos вбудовують серверні GUID як невидимі водяні знаки в зображення

Дослідження, опубліковане на xusheng.dev, показує, що Microsoft Paint і Photos додають невидимий водяний знак до AI-зображень навіть тоді, коли картинка створюється локально на пристрої. Знак містить GUID, виданий сервером Microsoft.

Watermarker.dll усередині Paint

Дослідник знайшов у пакеті Paint файл Watermarker.dll розміром 1,67 МБ. У ньому два різні механізми: AddPerceptibleWatermark додає видимий логотип Copilot і керується параметром із варіантами «Ніколи», «Завжди» або «Питати щоразу», а WmkWriteWatermark виконується після локальної генерації Stable Diffusion. Якщо другий механізм не спрацьовує, Paint перетворює всю генерацію на помилку, а не повертає зображення без позначки.

Функція приймає навантаження рівно з 16 байтів і будує з нього 18-байтове, 144-бітне повідомлення: 0x4c, 16 байтів GUID і байт контрольної суми — сума цих байтів за модулем 256. Кодер округлює розміри зображення до кратних восьми, тримає 144 лічильники бітів і вимагає, щоб кожен біт було розміщено щонайменше тричі, повертаючи помилку за браком ємності. У тесті на синтетичному зображенні 512×512 змінилися 193 376 з 262 144 пікселів.

GUID надходить від віддаленої модерації підказок

Аналіз показав, що перед запуском локальної моделі Paint надсилає підказку та стиль на сервер модерації, розміщений на Azure Front Door (шлях /v1/paint-cocreator/moderate-prompt), і отримує у відповідь виправлену підказку, promptGenerationId, watermarkId та ознаку containsHumanReference. Дослідник надіслав власну підказку й отримав відповідь HTTP 200 з watermarkId 83424621-03cb-40e3-9808-a9fae837156d. Саме цей GUID потрапляє і в пікселі готового зображення.

Метадані C2PA та формати збереження

Paint також додає до файлу підписані C2PA Content Credentials. У збереженому PNG фрагмент caBX містив маніфест на 18 979 байтів, де в c2pa.soft-binding вказано алгоритм com.microsoft.invismark.1 і той самий GUID, а дія описана як «Content watermarked by Microsoft Responsible AI». Тому збереження AI-результатів обмежене форматами з підтримкою C2PA — PNG, JPEG, GIF і власним .paint; класичного BMP у переліку немає.

Що розкриває Microsoft

Документація Microsoft визнає фільтрацію вмісту та наявність маніфесту C2PA, але не пояснює, що маніфест містить GUID невидимого водяного знака і що цей GUID походить із модерації підказок. Photos використовує той самий Watermarker.dll у функціях Image Creator і Restyle Image; різниця в тому, що в разі помилки нанесення знака Photos все одно повертає зображення, а Paint — ні. Дослідження згадує можливий зв'язок зі статтею 50 AI Act ЄС, правила прозорості якої набули чинності 2 серпня 2026 року, хоча закон не вимагає ідентифікатора, прив'язаного до підказки.