Microsoft Paint тайно встраивает невидимый водяной знак в локально сгенерированные изображения
Исследователь выяснил: Microsoft Paint перед локальной генерацией изображения отправляет промпт на удалённый сервер модерации. Сервер возвращает GUID, который встраивается в картинку как невидимый водяной знак. Настройка видимого водяного знака этим процессом не управляет. Изображения сохраняются только в форматы с поддержкой C2PA.
Исследователь обнаружил, что Microsoft Paint встраивает в каждое сгенерированное изображение невидимый водяной знак - даже если генерация выполняется полностью на устройстве, без облака.
Как работает генерация в Paint
Приложение Paint на Copilot+ PC поддерживает два режима: облачный и локальный. В локальном режиме модели работают прямо на устройстве - четыре файла с расширением .onnxe зашифрованы XOR-ключом и запускают Stable Diffusion без обращения к облаку.
Тем не менее перед каждой локальной генерацией AIServices.dll отправляет промпт и стиль на удалённую конечную точку. Это модерация контента.
GUID как водяной знак
Сервер модерации возвращает JSON с двумя полями: GUID и containsHumanReference - классификатор того, связан ли промпт с человеком. Paint парсит ответ и передаёт GUID в Watermarker.dll.
WmkWriteWatermark получает 16-байтную полезную нагрузку (это и есть GUID) и встраивает её в пиксели изображения. Алгоритм - блочно-доменный водяной знак в стиле SVD: вносятся небольшие квантованные изменения в выбранные блоки. На синтетическом изображении 512×512 после встраивания изменились 193 376 из 262 144 пикселей.
Важный момент: если WmkWriteWatermark завершается с ошибкой, Paint не возвращает изображение без водяного знака - вся генерация считается ошибкой.
Видимый и невидимый - два разных механизма
В настройках Paint есть переключатель видимого водяного знака - маленький логотип Copilot в правом нижнем углу. Он добавляется отдельной функцией AddPerceptibleWatermark.
Эта настройка никак не влияет на невидимый водяной знак с GUID. Отключить видимый знак - не значит убрать невидимый.
C2PA и форматы сохранения
Microsoft открыто раскрывает, что Paint добавляет к сгенерированным изображениям метаданные C2PA (стандарт происхождения контента). Именно поэтому сохранить такое изображение можно только в форматы, поддерживающие C2PA: PNG, JPEG, GIF и .paint.
Что это значит
Если ты используешь Paint для генерации изображений на Copilot+ PC и рассчитываешь на полную приватность - это не так. Каждый промпт уходит на сервер Microsoft, даже если сама картинка рисуется локально. А в каждом сохранённом файле лежит уникальный GUID, связанный с этим промптом.
Настройка видимого водяного знака - только косметика. Управлять невидимым через интерфейс нельзя.
FAQ
Это касается только Paint? Нет - Photos тоже содержит локальные ИИ-модели и, по данным исследователя, работает аналогично.
Можно ли убрать GUID из файла? Технически невидимый водяной знак встроен в пиксели изображения. Исследователь не описывает простого способа его извлечь или удалить.
Microsoft это скрывала? Факт добавления метаданных C2PA Microsoft раскрывает публично. Что именно является полезной нагрузкой и что промпт уходит на сервер даже при локальной генерации - стало понятно только из этого реверс-инжиниринга.
Источник: Habr, перевод исследования, 25 августа - https://habr.com/ru/articles/1074304/