Dein KI-Bild aus Paint trägt eine versteckte Nummer

Der Prompt reist, auch wenn das Bild bleibt

Auf einem Copilot+-PC kann Paint ein Bild erzeugen, ohne die Cloud zu fragen. Das Generierungsmodell läuft auf dem NPU, dem KI-Chip, der diese Rechnerklasse definiert. Die Werkstatt steht im Wohnzimmer.

Der Auftrag selbst geht trotzdem an die Zentrale. Bevor die Generierung beginnt, schickt Paint den Prompt an einen Moderations-Server von Microsoft. Und dieser Server liefert nicht nur den gefilterten Text zurück: Er schickt eine Nummer mit, die Paint anschließend in die Pixel des auf dem eigenen Rechner erzeugten Bildes schreibt.

Das hat Xusheng Li, Entwickler bei Vector 35, in einem Reverse-Engineering-Beitrag vom 20. August nachgewiesen. The Register griff die Recherche am Dienstag auf.

Sechzehn Byte, und 193.376 Pixel, die sich ändern

Li hat Watermarker.dll disassembliert, eine 1,67 MB große Bibliothek, die mit Paint 11.2605.71.0 ausgeliefert wird. Sie enthält eine Funktion zum Einschreiben des Wasserzeichens, die ausschließlich eine Nutzlast von exakt sechzehn Byte akzeptiert, mit zwei unterschiedlichen Fehlercodes, je nachdem, ob die Nutzlast zu kurz oder zu lang ist.

Sechzehn Byte entsprechen genau der Größe eines GUID, einer global eindeutigen Kennung. Die Signatur der aufrufenden Funktion sagt es unverblümt: Sie verlangt ein winrt::guid.

Diese GUID wird mit Präfix und Prüfsumme auf achtzehn Byte, also 144 Bit, erweitert und dann über das Bild verteilt. Der Encoder verlangt, dass jedes Bit mindestens dreimal gesetzt wird, so wie eine Adresse, die man vorsichtshalber auf drei Seiten eines Pakets notiert, falls sich ein Etikett löst. An einem 512-mal-512-Testbild zählte Li 193.376 von 262.144 veränderten Pixeln.

Dieses unsichtbare Wasserzeichen ist ein eigener Mechanismus, getrennt von dem kleinen Copilot-Logo, das Paint unten rechts einblenden kann: zwei getrennte Codepfade, und die Einstellung, die den zweiten steuert, hat keinerlei Wirkung auf den ersten.

Die Antwort des Servers passt in vier Felder

Li blieb nicht beim Code stehen. Er spielte eine echte Anfrage an den Moderations-Endpunkt nach, mit der authentifizierten Sitzung von Paint und dem Prompt „a cobalt blue circle above a tiny orange square“.

Der Server antwortete mit vier Angaben: revisedPrompt, dem eventuell umgeschriebenen Text; promptGenerationId, einer Kennung der Generierung; watermarkId, der GUID, die am Ende in den Pixeln landet; und containsHumanReference, einem Boolean, der angibt, ob der Prompt eine Person beschreibt. Bei einem zweiten Prompt, der ein Porträt beschrieb, sprang dieses Feld auf wahr.

Zwei Details fallen ins Gewicht. Paint schickt die vorherige promptGenerationId bei der nächsten Anfrage mit, wodurch aufeinanderfolgende Generierungen derselben Serie ausdrücklich verkettet werden. Und schlägt das Einschreiben des Wasserzeichens fehl, macht Paint aus der gesamten Generierung einen Fehler, statt ein unmarkiertes Bild auszuliefern.

Die Markierung ist also eine Lieferbedingung, kein Feinschliff. Photos zeigt sich großzügiger: Es protokolliert den Fehlschlag und liefert das Bild trotzdem aus.

Dieselbe Nummer, signiert in den Metadaten

Bleibt der sichtbare Teil des Verfahrens, jener Teil, den Microsoft dokumentiert. Generierte Bilder tragen ein C2PA-Manifest, den Herkunftsstandard, dessen Mitbegründer Microsoft ist.

Li öffnete eine von Paint gespeicherte PNG-Datei. Das Manifest enthält eine Aussage namens c2pa.soft-binding, mit dem Algorithmus com.microsoft.invismark.1 und, als Wert, exakt derselben GUID, die auch in den Pixeln steht. Alles kryptografisch signiert, mit dem Vermerk „Content watermarked by Microsoft Responsible AI“.

Ein Soft-Binding dient genau dazu, das Löschen von Metadaten zu überstehen. Das Manifest ist die Katalogkarte, das Wasserzeichen ist die Nummer, die auf die Rückseite des Gemäldes graviert ist: Man kann die Karte verlieren, das Bild findet man trotzdem wieder. Passend dazu ist das BMP-Format, historisch bei Paint, aus der Liste der möglichen Speicherformate für generierte Bilder verschwunden. Es kann kein Manifest tragen.

Was Microsoft selbst dazu sagt

Die Microsoft-Hilfeseite zu Image Creator ist öffentlich einsehbar, und aufschlussreicher, als man denkt. Sie besagt, dass ein Microsoft-Konto Pflicht ist. Der auf Microsoft Learn veröffentlichte Anwendungshinweis präzisiert, dass diese Pflicht auch für Funktionen gilt, die lokal laufen.

Der Datenschutzabschnitt sagt: „Microsoft collects attributes such as device and user identifiers, along with the user prompts, to facilitate abuse prevention and monitoring.“ Geräte- und Kontokennungen werden also zusammen mit den Prompts erfasst.

Und der nächste Satz lautet: „Microsoft does not store your generated images.“

Die chemische Reinigung behält nicht das Kleidungsstück. Sie behält den Bon. Nur dass hier die Nummer des Bons in das Futter des Kleidungsstücks eingenäht ist, das die Kundschaft mit nach Hause nimmt.

Was diese Nummer ermöglicht, und was niemand gezeigt hat

Hier muss man genau bleiben, denn genau an dieser Stelle geht ein Artikel in die Irre. Li weist an keiner Stelle nach, dass Microsoft eine Tabelle führt, die diese GUID mit einem Konto verknüpft. Er behauptet das auch nicht. Was er schreibt, ist, dass er keinerlei Dokumentation gefunden hat, die die Existenz dieser Kennung erklärt, ihren Ursprung in der Prompt-Moderation oder ihre Präsenz in den Pixeln.

Niemand kann zum jetzigen Zeitpunkt sagen, dass Microsoft ein Bild bis zu seinem Urheber zurückverfolgen kann.

Bleibt, dass diese Nummer nichts von einem wegwerfbaren Sitzungs-Token hat, und genau das macht die Frage legitim. Sie wird pro Generierung vergeben, wobei jeder Prompt sein eigenes Kennungspaar erzeugt. Sie durchläuft eine authentifizierte Anfrage, auf einem Dienst, der ein Konto voraussetzt.

Hinzu kommen die gewollte Verkettung aufeinanderfolgender Generierungen und eine kryptografische Signatur. Eine Kennung, die man signiert, ist eine Kennung, die halten soll.

Alle technischen Glieder einer Zuordnung existieren auf Seiten des Servers. Das Einzige, das sich von außen nicht überprüfen lässt, ist die Aufbewahrung. The Register formuliert dasselbe im Konjunktiv und erinnert an einen alten Fall: die Markierung, die Hersteller von Laserdruckern einst in jede gedruckte Seite einbauten, und die Datenschützer erst beunruhigte, als sie entdeckt wurde.

Die Pflicht verlangte weniger als das

Artikel 50 des AI Act trat am 2. August in Kraft. Diesen Termin hatten wir hier eingeordnet: Er verlangt, dass generierte Inhalte eine maschinenlesbare und erkennbare Markierung tragen. Eine eindeutige Kennung pro Generierung schreibt er nicht vor.

Am 13. August ging es hier um die Fallstricke des Claude-Wasserzeichens, dasselbe Thema aus Sicht der Pflicht: eine Markierung, die mit dem Text der Nutzerin oder des Nutzers mitreist, während die Pflicht selbst beim Anbieter bleibt. Hier nun dieselbe Markierung, betrachtet aus Sicht dessen, was sie transportiert.

Die Verordnung gibt ein Ziel vor, ohne eine Methode vorzuschreiben, was jedem Unterzeichner die Wahl der eigenen Umsetzung lässt. Microsoft hat sich für eine entschieden, die über das geforderte Minimum hinausgeht, wie The Register anmerkt. Bleibt die Frage, was das Minimum gekostet hätte.

Von The Register angefragt, hatte Microsoft zum Zeitpunkt der Veröffentlichung nicht geantwortet. Die Hilfeseite hält weiterhin ihre zwei Sätze im selben Absatz: Die Prompts werden zusammen mit den Kennungen erfasst, und die generierten Bilder werden nicht aufbewahrt. Das stimmt. Das Unternehmen muss das Bild nicht behalten: Das Bild behält die Nummer.