Ton image générée par Paint sort avec un numéro dedans

Le prompt part, même quand l'image reste

Sur un PC Copilot+, Paint sait fabriquer une image sans rien demander au cloud. Le modèle de génération tourne sur le NPU, la puce dédiée à l'IA qui définit cette catégorie de machines. L'atelier est dans le salon.

Le bon de commande, lui, passe par le siège. Avant que la génération démarre, Paint envoie le prompt à un serveur de modération Microsoft. Et ce serveur ne renvoie pas seulement le texte filtré : il renvoie un numéro, que Paint écrit ensuite dans les pixels de l'image produite sur la machine.

C'est ce qu'a établi Xusheng Li, développeur chez Vector 35, dans un billet de rétro-ingénierie publié le 20 août. The Register l'a repris ce mardi.

Seize octets, et 193 376 pixels qui bougent

Li a désassemblé Watermarker.dll, une bibliothèque de 1,67 Mo livrée avec Paint 11.2605.71.0. Elle expose une fonction d'écriture de filigrane qui refuse toute charge utile différente de seize octets exactement, avec deux codes d'erreur distincts selon qu'elle est trop courte ou trop longue.

Seize octets, c'est la taille d'un GUID, un identifiant unique universel. La signature de la fonction appelante le dit sans détour : elle réclame un winrt::guid.

Ce GUID est étendu à dix-huit octets, soit 144 bits, avec un préfixe et une somme de contrôle, puis dispersé dans l'image. L'encodeur exige que chaque bit soit posé au moins trois fois, comme une adresse recopiée sur trois faces d'un colis au cas où une étiquette se décolle. Sur une image de test de 512 par 512, Li a mesuré 193 376 pixels modifiés sur 262 144.

Ce filigrane invisible est un dispositif distinct du petit logo Copilot que Paint propose d'apposer en bas à droite : deux chemins de code séparés, et le réglage qui gouverne le second n'a aucun effet sur le premier.

La réponse du serveur tient en quatre champs

Li ne s'est pas arrêté au code. Il a rejoué une vraie requête vers le point d'entrée de modération, en réutilisant la session authentifiée de Paint, avec le prompt « a cobalt blue circle above a tiny orange square ».

Le serveur a répondu quatre choses : revisedPrompt, le texte éventuellement réécrit ; promptGenerationId, un identifiant de génération ; watermarkId, le GUID qui finit dans les pixels ; et containsHumanReference, un booléen qui dit si le prompt évoque une personne. Avec un second prompt décrivant un portrait, ce dernier champ est passé à vrai.

Deux détails comptent. Paint renvoie le promptGenerationId précédent à la requête suivante, ce qui relie explicitement les générations d'une même série. Et si l'écriture du filigrane échoue, Paint transforme toute la génération en erreur plutôt que de rendre une image non marquée.

Le marquage est donc une condition de livraison, pas une finition. Photos se montre plus souple : il journalise l'échec et rend l'image quand même.

Le même numéro, signé dans les métadonnées

Reste la partie visible du dispositif, celle que Microsoft documente. Les images générées portent un manifeste C2PA, le standard de provenance dont Microsoft est cofondateur.

Li a ouvert un PNG sauvé depuis Paint. Le manifeste contient une assertion nommée c2pa.soft-binding, avec l'algorithme com.microsoft.invismark.1 et, comme valeur, exactement le même GUID que celui écrit dans les pixels. Le tout signé cryptographiquement, avec la mention « Content watermarked by Microsoft Responsible AI ».

Un soft-binding sert précisément à survivre au nettoyage des métadonnées. Le manifeste est la fiche du catalogue, le filigrane est la cote gravée au dos du tableau : on peut perdre la fiche, on retrouve le tableau. Détail cohérent avec ça, le format BMP, historique de Paint, a disparu de la liste des enregistrements possibles pour une image générée. Il ne sait pas porter de manifeste.

Ce que Microsoft dit de son côté

La page d'aide de Microsoft sur Image Creator est publique, et plus instructive qu'on ne l'imagine. Elle indique qu'un compte Microsoft est obligatoire. La fiche d'application publiée sur Microsoft Learn précise que cette obligation vaut aussi pour les fonctions qui tournent en local.

La section vie privée dit ceci : « Microsoft collects attributes such as device and user identifiers, along with the user prompts, to facilitate abuse prevention and monitoring. » Les identifiants d'appareil et de compte sont collectés avec les prompts.

Et la phrase suivante dit : « Microsoft does not store your generated images. »

Le pressing ne garde pas le vêtement. Il garde le ticket. Sauf qu'ici, le numéro du ticket est cousu dans la doublure du vêtement que le client remporte chez lui.

Ce que ce numéro permet, et ce que personne n'a montré

Il faut être précis, parce que c'est exactement le point où un papier se perd. Li ne démontre nulle part que Microsoft conserve une table reliant ce GUID à un compte. Il ne l'affirme pas. Ce qu'il écrit, c'est qu'il n'a trouvé aucune documentation expliquant l'existence de cet identifiant, son origine dans la modération du prompt, ni sa présence dans les pixels.

Personne, à ce stade, ne peut dire que Microsoft peut remonter à l'auteur d'une image.

Reste que ce numéro n'a rien d'un jeton de session jetable, et c'est ce qui rend la question légitime. Il est délivré par génération, chaque prompt produisant sa propre paire d'identifiants. Il transite par une requête authentifiée, sur un service qui impose un compte.

S'y ajoutent le chaînage volontaire des générations successives et une signature cryptographique. Un identifiant qu'on signe est un identifiant fait pour durer.

Tous les maillons techniques d'un rattachement existent du côté du serveur. Le seul qu'on ne peut pas vérifier de l'extérieur est celui de la conservation. The Register formule la même chose au conditionnel, et rappelle une affaire ancienne : le marquage que des fabricants d'imprimantes laser avaient intégré à chaque page imprimée, et qui n'a inquiété les défenseurs de la vie privée qu'une fois découvert.

L'obligation demandait moins que ça

L'article 50 de l'AI Act est entré en application le 2 août. On avait daté cette échéance ici : il impose que les contenus générés portent une marque détectable et lisible par machine. Il n'impose pas un identifiant unique par génération.

Le 13 août, on écrivait les pièges du filigrane Claude, le même sujet vu du côté de l'obligation : une marque qui part avec le texte de l'utilisateur pendant que l'obligation, elle, reste chez le fournisseur. Voici la même marque vue du côté de ce qu'elle transporte.

Le règlement fixe un but sans imposer de méthode, ce qui laisse à chaque signataire le choix de son implémentation. Microsoft en a choisi une qui dépasse le minimum exigé, relève The Register. Reste à savoir ce que le minimum aurait coûté.

Sollicité par The Register, Microsoft n'avait pas répondu à l'heure de la publication. La page d'aide, elle, tient toujours ses deux phrases dans le même paragraphe : les prompts sont collectés avec les identifiants, et les images générées ne sont pas conservées. C'est vrai. L'entreprise n'a pas besoin de garder l'image : l'image, elle, garde le numéro.