Tu génères une image avec l’IA dans Paint ou Fotos sur Windows, tu la sauvegardes, et tu penses que le fichier ne contient que ce que tu as créé. Faux. Un chercheur vient de démonter le mécanisme : Microsoft incruste dans les pixels une marque d’eau invisible, un identifiant unique lié au prompt que tu as envoyé. Et ça, la page d’aide ne le dit pas.
Xusheng Li, développeur chez Vector 35, a passé Paint au crible avec des outils de rétro-ingénierie. Son analyse, publiée sur son blog, montre que les deux applications envoient ton prompt à un serveur de modération de Microsoft, reçoivent en retour un identifiant (un GUID), puis l’encodent directement dans l’image générée en local.
Une marque invisible, pas le petit logo
Il ne faut pas confondre avec la marque d’eau visible que Paint peut ajouter : un petit logo Copilot en bas à droite, que tu peux activer ou désactiver. Là, c’est autre chose. Le GUID de 16 octets est éparpillé dans les blocs de l’image par un algorithme de type SVD, une technique qui résiste aux conversions de format. Tu ne le vois pas, mais il est là.
Le plus parlant : si l’encodage échoue, Paint transforme toute la génération en erreur plutôt que de te rendre une image sans la marque. Autrement dit, la marque n’est pas optionnelle. C’est un prérequis pour que l’image existe.
Schéma du flux de génération et d’incrustation du GUID, Xusheng Li.
Pourquoi ton prompt est dans l’équation
Le point clé, c’est que le GUID vient du serveur. Avant de générer l’image, Paint envoie ton prompt à un service de modération de Microsoft. Le serveur renvoie un prompt révisé et un identifiant de génération, qui est ensuite gravé dans les pixels. Si Microsoft associe chaque prompt à l’utilisateur qui l’a envoyé, alors la marque d’eau permet en théorie de remonter jusqu’à toi.
Pire : Paint envoie aussi l’identifiant de la génération précédente avec la suivante. Les requêtes successives d’un même utilisateur sont donc explicitement chaînées. En théorie, Microsoft pourrait reconstituer un historique de tes créations IA, même celles que tu as générées en local sur un PC Copilot+.
Ce que Microsoft dit, et ce qu’il tait
Microsoft documente bien que Paint ajoute des métadonnées C2PA aux images générées par IA, et que le prompt part vers des services en ligne pour la modération. C’est dans la page d’aide. Ce que la page ne dit pas, c’est que ce manifeste contient un GUID lié au prompt, ni que ce GUID est aussi incrusté dans les pixels.
Le chercheur le résume bien : la marque d’eau visible et le GUID invisible sont deux couches du même système de provenance, mais seule la première est contrôlable depuis l’interface. Pour l’invisible, il n’y a pas de réglage.
Ce que ça change pour toi
Ce n’est pas une faille de sécurité au sens classique, et Microsoft n’a rien fait d’illégal : la réglementation européenne sur la transparence de l’IA encourage ce type de marquage. Mais c’est une question de vie privée et de droit à savoir. Chaque image que tu génères avec l’IA de Microsoft porte un identifiant que tu ne peux ni voir ni retirer.
Si tu veux générer des images sans que ton prompt quitte ta machine ni qu’un identifiant soit gravé dedans, la solution est simple : un modèle à poids ouverts comme Stable Diffusion, lancé en local avec des outils open source. Ton prompt reste chez toi, et aucune marque serveur ne vient s’ajouter.
Le mot de la fin
La transparence de l’IA est une bonne chose, mais elle ne devrait pas se transformer en traçabilité silencieuse de tes créations. Quand une marque d’eau est invisible, qu’elle est liée à ton prompt et qu’elle ne se désactive pas, ce n’est plus de la transparence : c’est de la surveillance. Et ça, ça mérite qu’on en parle.
Sources
Xusheng Li — l’analyse technique complète du chercheur, avec le détail du reverse engineering.
The Register — l’article qui a mis en lumière la découverte et le contexte réglementaire.
SoftZone — le tour d’horizon en espagnol, avec les questions fréquentes et les alternatives.
—
Recherche, relecture et illustration assistées par IA. Le contenu reflète le travail éditorial de la rédaction.
No comments yet