Un module de 1,67 Mo pour poser un petit logo dans le coin d’une image. La disproportion a suffi à mettre en alerte un chercheur en rétro-ingénierie, qui a démonté les composants de Paint et de l’application Photos sous Windows. Il a publié ses relevés le 20 août 2026 : sous le filigrane visible, la fonction inscrit dans l’image un identifiant fabriqué par un serveur de Microsoft.
Une bibliothèque bien trop lourde pour un logo
L’analyse, publiée sur xusheng.dev, part d’une intuition de métier. Watermarker.dll, la bibliothèque dynamique (DLL, un module de code chargé à la demande par le système) chargée du filigranage des images générées par intelligence artificielle, pèse 1,67 Mo. « Inhabituellement lourd pour une fonctionnalité aussi triviale », relève le chercheur, qui ajoute qu’un filigrane visible ne réclame même pas une DLL séparée.
Le poids d’un binaire ne prouve rien à lui seul. Il signale une surface de code, donc des fonctions que personne n’a annoncées. Le chercheur a tiré ce fil.
Un identifiant venu du serveur, et un test de « référence humaine »
Avant que le modèle local ne produise l’image, Paint envoie le prompt à un service de modération de Microsoft. La réponse contient un prompt révisé, un identifiant de génération et un watermarkId : c’est ce dernier, un GUID (globally unique identifier, un identifiant unique sur 128 bits), qui finit inscrit dans les pixels de l’image. Deux valeurs relevées pendant l’analyse illustrent le mécanisme : 74d9e06b-adea-43ce-85fe-186a26e2e34a pour la génération, 83424621-03cb-40e3-9808-a9fae837156d pour la marque.
Deux champs complètent le tableau. Paint renvoie au serveur, sous le nom lastPromptGenerationId, l’identifiant de la requête précédente : les générations successives se chaînent donc explicitement. Et containsHumanReference porte le verdict d’un classificateur distant sur la présence d’une personne dans la demande, stocké aux côtés des identifiants. Aucune documentation publique de l’éditeur ne décrit cette couche.
« En local » ne veut pas dire hors ligne
L’argumentaire commercial, lui, dit tout autre chose. Ces fonctions de génération sont vendues comme s’exécutant sur l’appareil, promesse centrale du traitement local et principal argument de confidentialité des PC dits « IA ». Le calcul de l’image, effectivement, reste sur la machine. Le prompt, non : il part vers un serveur qui répond par des identifiants, et l’image repart ensuite avec l’un d’eux dans ses pixels.
Pour quiconque produit des visuels avec des éléments sensibles, la conséquence est immédiate : le périmètre de traitement annoncé n’est pas celui qui s’applique. Un dossier client décrit dans un prompt, une maquette produit, un visuel sous embargo, tout cela passe par une infrastructure distante que rien n’oblige à documenter. Le risque réel change sans que l’interface bouge d’un pixel.
C2PA d’un côté, une couche opaque de l’autre
Microsoft revendique un marquage par manifeste C2PA (Coalition for Content Provenance and Authenticity), le standard ouvert que l’industrie pousse pour attester l’origine d’un contenu. Ce standard a une qualité et un défaut. Sa qualité : il est lisible, vérifiable, spécifié, et chacun peut savoir ce que le fichier embarque. Son défaut : il s’efface au premier recadrage, à la première capture d’écran, à la première conversion de format.
La couche découverte dans Paint répare le défaut et abandonne la qualité. Un identifiant inscrit dans les pixels survit à ce que le manifeste ne supporte pas. Il ne se lit pas, ne se retire pas, ne se refuse pas. Le manifeste signé le mentionne bien, sous un nom d’algorithme maison, com.microsoft.invismark.1, et s’arrête là : le standard ouvert désigne un procédé dont la spécification, elle, n’est pas publiée. Le procédé n’a rien d’une spécialité de Redmond. Google inscrit lui aussi une marque invisible, SynthID, dans les pixels des images produites par ses modèles, et son outil de vérification reste réservé à une liste d’attente de journalistes et de chercheurs. La provenance des contenus générés devient une propriété du système, décidée par l’éditeur.
Le règlement européen récompense l’enfouissement
Le règlement européen sur l’IA impose aux fournisseurs de systèmes génératifs de marquer leurs sorties dans un format lisible par machine, et la Commission travaille encore aux modalités pratiques de cette obligation. Un marquage qu’un recadrage suffit à supprimer ne tiendra pas longtemps devant une autorité de contrôle. La robustesse va devenir le critère, et la robustesse pousse mécaniquement vers l’enfouissement.
La suite se devine sans grande prise de risque : d’ici mi-2027, les trois grands systèmes d’exploitation grand public auront chacun leur couche de provenance propriétaire, doublant le manifeste ouvert d’un marquage résistant qu’ils contrôlent seuls. Deux conditions rendent ce scénario probable, et elles sont déjà réunies : aucune obligation de publier la spécification de ces couches, et une pression réglementaire qui récompense la solidité technique sans exiger la transparence sur le procédé.
Un autre chemin reste ouvert. Il suppose qu’une autorité de protection des données qualifie ces identifiants de données à caractère personnel dès lors qu’ils sont rattachables à un compte, ce qui imposerait information préalable, base légale et durée de conservation. Cette qualification dépend de ce que l’éditeur garde côté serveur, information dont nous ne disposons pas.
L’hygiène minimale avant de publier une image
En attendant l’arbitrage, la parade reste rudimentaire, et autant l’appliquer tout de suite :
- traiter toute génération d’image issue d’un outil intégré au système comme une opération connectée, donc sans y verser d’élément confidentiel ;
- inspecter les fichiers produits plutôt que les croire sur parole, un examen des métadonnées et des segments annexes repère vite ce qui dépasse ;
- pour les productions sensibles, passer par une chaîne dont la spécification est publique, quitte à perdre en confort.
Personne ne conteste sérieusement l’utilité de tracer les contenus générés : l’écosystème en a besoin. Le désaccord porte sur qui en écrit les règles. Un standard ouvert se discute, s’audite et se conteste ; un identifiant serveur planté par défaut dans un accessoire livré avec le système ne laisse aucune de ces prises.
La première réquisition judiciaire demandant à l’éditeur de relier l’un de ces identifiants à un compte tranchera. Elle dira si cette couche n’était qu’un outil interne de modération, ou l’amorce d’un registre de provenance dont personne n’a discuté les termes.
