Aplikacje Paint i Zdjęcia w Windows potajemnie wbudowują niewidzialne identyfikatory w obrazy generowane przez AI. Badacz Xusheng Li odkrył, że narzędzia te przypisują do grafiki ukryte kody GUID pochodzące z serwerów Microsoftu, nawet gdy sam proces generowania odbywa się lokalnie. Znak wodny trafia bezpośrednio do pikseli pliku oraz do metadanych C2PA. Działanie to ma związek z wymogami prawnymi Unii Europejskiej, jednak brak jasnych informacji o śledzeniu zapytań użytkowników budzi poważne wątpliwości dotyczące ochrony prywatności.
Ukryte znaczniki w aplikacjach Paint i Zdjęcia
Badacz zabezpieczeń Xusheng Li odkrył, że aplikacje Microsoft Paint oraz Zdjęcia potajemnie dodają niewidzialne identyfikatory w obrazy generowane przez AI. Mechanizm ten bazuje na 128-bitowych kodach GUID i działa całkowicie niezależnie od standardowych, widocznych logo charakterystycznych dla Copilota i innych tego typu narzędzi. Unikalny znak wodny jest zaszywany bezpośrednio w pikselach pliku, co umożliwia późniejsze rozpoznywanie pochodzenia materiału.
Proces tworzenia grafiki przy pomocy AI na lokalnym komputerze wymaga stałego połączenia z serwerami firmy. Wprowadzony przez użytkownika tekst trafia do weryfikacji online, po czym system odsyła zmodyfikowane polecenie wraz z przypisanym identyfikatorem. Nawet w przypadku generowania obrazu przez procesor NPU bezpośrednio na urządzeniu Paint wbudowuje odebrany z chmury kod GUID w gotową grafikę.
Użytkownik może nie wiedzieć o znaku wodnym
Badacz odkrył, że elementem odpowiadającym za modyfikację pikseli jest biblioteka Watermarker.dll o rozmiarze 1,67 MB. Zastosowano w niej algorytm typu SVD działający w dziedzinie blokowej, który wprowadza drobne, kwantyzowane zmiany w strukturze kolorów pliku. Próba uruchomienia modułu na testowej grafice o wymiarach 512 na 512 pikseli doprowadziła do zmodyfikowania 193 376 z 262 144 pikseli.
Microsoft Paint and Photos Embed Server-Issued GUIDs as Invisible Watermarks in Locally-Generated Images
— blackorbird (@blackorbird) August 25, 2026
Reverse engineering reveals how Paint and Photos embed a server-issued GUID into the pixels of locally generated AI images.https://t.co/AGSEcOIhP6 pic.twitter.com/7z8d4gIpKF
Wszystko to może umknąć uwadze użytkownika. "Nazwanie tej funkcji 'Content Credentials' jest trafne, ale nie sprawia, że ten powiązany z promptem identyfikator staje się oczywisty dla użytkownika Windowsa" - napisał Xusheng Li.
Aplikacje zaszywają informację o pochodzeniu pliku
Aplikacje systemu Windows dodają równolegle cyfrowe podpisy C2PA w nagłówkach zapisywanych plików. Kod identyfikacyjny zaszyty w strukturze obrazu jest tożsamy z wartością podaną w metadanych jako tzw. soft-binding. Trwałe połączenie pikseli z manifestem pozwala zachować pełną informację o pochodzeniu pliku nawet po usunięciu samych nagłówków.
Procedura reagowania na ewentualną awarię modułu znakującego różni się w zależności od używanego programu. Paint całkowicie blokuje wygenerowanie pliku i zwraca błąd, jeśli zapisanie niewidzialnego identyfikatora nie powiedzie się. Z kolei aplikacja Zdjęcia ignoruje problemy z kodowaniem i udostępnia gotową grafikę użytkownikowi.
Wdrożony przez Microsoft system znakowania wpłynął także na dostępne opcje zapisu plików w programie Paint. Uniemożliwia to bezpośredni eksport grafiki AI do tradycyjnego formatu BMP, oferując jedynie formaty obsługujące strukturę C2PA, takie jak PNG, JPEG, GIF czy własne rozszerzenie .paint.
Microsoft odpowiada na wymogi Unii Europejskiej
Działania Microsoftu są powiązane z weszłymi w życie 2 sierpnia 2026 r. przepisami Artykułu 50 unijnego aktu o sztucznej inteligencji (EU AI Act). Nakłada on obowiązki w zakresie przejrzystości na dostawców i użytkowników systemów AI. Rozporządzenie zakłada, że ludzie muszą wiedzieć, kiedy wchodzą w interakcję z AI lub kiedy konsumują treści wygenerowane bądź zmodyfikowane przez sztuczną inteligencję. Główne wymogi tego artykułu obejmują:
- Obowiązkowe znakowanie treści (ang. watermarking): dostawcy systemów AI generujących treści audio, wideo, tekstowe lub graficzne muszą zadbać o to, aby były oznaczone w formacie nadającym się do odczytu maszynowego oraz umożliwiającym wykrycie, że zostały wygenerowane lub zmanipulowane przez AI.
- Skuteczność i trwałość zabezpieczeń: rozwiązania techniczne użyte do znakowania mają być - na ile to technicznie możliwe - odporne na usunięcie, bezpieczne i trwałe (stąd np. stosowanie przez Microsoft niewidzialnych znaczników w pikselach obok zwykłych metadanych).
- Informowanie o interakcji: systemy AI przeznaczone do bezpośredniej interakcji z ludźmi (jak np. Copilot w Microsoft 365) muszą w jasny sposób informować użytkownika, że rozmawia z maszyną, chyba że wynika to jednoznacznie z kontekstu.
- Oznaczanie tzw. deepfake'ów: osoby lub podmioty wykorzystujące AI do tworzenia lub modyfikowania obrazów, nagrań audio czy wideo przedstawiających realne osoby, miejsca lub wydarzenia (w sposób, który mógłby fałszywie sprawiać wrażenie prawdziwych), mają obowiązek wyraźnego ujawnienia, że treść została wygenerowana lub zmieniona sztucznie.
- Oznaczanie tekstów udostępnianych publicznie: teksty generowane przez AI i publikowane w celu informowania opinii publicznej o sprawach interesu społecznego również muszą być oznaczone jako wygenerowane przez sztuczną inteligencję (z wyjątkiem sytuacji, gdy tekst przeszedł redakcję i kontrolę człowieka).
Choć te nowe zasady powinny sprawić, że użytkownikom internetu będzie łatwiej odróżnić prawdziwe treści od wygenerowanych, to brak pełnej informacji o mechanizmach wykorzystywanych do tworzenia znaków wodnych budzi pytania o ochronę prywatności - zwłaszcza w kontekście zapewnień o lokalnym działaniu niektórych funkcji AI. Microsoft nie odniósł się jeszcze oficjalnie do tych odkryć.
Warto przypomnieć, że Microsoft był jednym z pionierów rozwijających systemy oznaczeń treści generowanych przez AI (w tym niesławnych deepfake'ów) we współpracy z innymi gigantami technologicznymi. Dowiedz się więcej z naszych artykułów:
