Paint і Photos додають до AI-зображень невидимий ідентифікатор

Microsoft Paint і Photos не обмежуються видимим логотипом Copilot, коли користувач створює або суттєво змінює зображення за допомогою генеративного AI. Розробник Сюшен Лі дослідив локальні компоненти застосунків Windows 11 і виявив окремий механізм невидимого маркування. За його аналізом, система змінює пікселі так, щоб записати машинозчитуваний ідентифікатор, а також додає до файлу облікові дані походження у форматі C2PA.

Що знайшли всередині застосунків

Під час перевірки AI-функцій Paint дослідник помітив у каталозі програми кілька моделей, схожих на ONNX. Після аналізу локальних бібліотек увагу привернув файл watermarker.dll. Очевидна функція AddPerceptibleWatermark відповідає за помітний знак Copilot у кутку зображення, однак розмір бібліотеки вказував на додаткову логіку. Подальше реверс-інженерне дослідження виявило функцію WmkWriteWatermark, призначену для непомітного запису даних.

Йдеться не про звичайний текстовий тег у властивостях JPEG або PNG. За описом Лі, отриманий із сервера GUID змішується з даними пікселів. Такий знак складніше видалити простим очищенням метаданих або повторним збереженням файлу. Водночас невидимість не означає абсолютної стійкості: масштабування, сильне стиснення, кадрування чи складне редагування можуть впливати на здатність детектора відновити сигнал. Microsoft публічно не деталізувала точну надійність цього механізму.

C2PA доповнює піксельний знак

Paint також прикріплює Content Credentials — структуровані дані стандарту C2PA, які можуть описувати походження та історію редагування медіафайлу. За цю частину відповідають ProvenanceHelper.dll і provenancesdk.dll. На відміну від прихованого сигналу в пікселях, C2PA працює як перевірюваний ланцюжок тверджень із криптографічним підписом. Разом два методи створюють резервування: метадані зручні для відкритої перевірки, а піксельний знак може зберегти хоча б частину інформації після видалення службових блоків.

У Paint невидиме маркування, судячи з дослідження, є обов’язковою частиною генерації Stable Diffusion. Якщо виклик WmkWriteWatermark завершується помилкою, застосунок припиняє весь процес і не повертає результат. Photos використовує подібний GUID-механізм, але поводиться м’якше: у разі збою записує помилку до журналу та все одно може віддати зображення користувачу. Така різниця показує, що політика маркування реалізована не однаково навіть у двох програмах однієї компанії.

Локальна генерація не повністю локальна

Ще один важливий висновок стосується приватності. Навіть коли обробка зображення виконується локально на пристрої, текстовий запит, за твердженням дослідника, надсилається на сервери Microsoft для модерації. Це не обов’язково означає збереження запиту назавжди, однак користувачеві не варто прирівнювати локальну модель до повністю автономного режиму без мережевої взаємодії. Політика конфіденційності й налаштування облікового запису залишаються важливою частиною оцінки функції.

Лі припускає, що механізм може бути пов’язаний із вимогами прозорості європейського AI Act, які передбачають машинозчитуване позначення синтетичного контенту. Це поки інтерпретація дослідника, а не підтверджена Microsoft причина конкретної реалізації. Також не слід плутати GUID-маркування з іншими суперечками навколо телеметрії Windows: у цьому випадку ідентифікатор описується як інструмент розпізнавання AI-походження зображення.

Що це означає на практиці

Маркування саме по собі не доводить, що зображення неправдиве, і не встановлює автора. Воно лише сигналізує про участь генеративного інструмента та може допомогти платформам, редакціям або перевіряльникам походження контенту. Так само відсутність знака не гарантує, що файл створила людина: існують інші генератори, а технічні перетворення можуть пошкодити детектований сигнал.

Для звичайного користувача новина означає, що експорт із Paint або Photos може містити більше інформації, ніж видно у вікні програми. Для редакцій і платформ це ще один крок до системи, де походження медіа перевіряється на кількох рівнях. Проте ефективність залежатиме від сумісності детекторів, відкритості документації та чесного повідомлення користувачу про те, які дані додаються до файлу і які запити передаються на сервер.