Microsoft Paint versieht Ihre lokalen KI-Bilder heimlich mit einer Server-GUID als unsichtbares Wasserzeichen

Ein Sicherheitsforscher hat entdeckt, dass Microsofts Paint- und Photos-Apps unsichtbar vom Server ausgestellte Tracking-Kennungen in KI-generierte Bilder einbetten — selbst wenn diese Bilder vollständig auf dem Gerät mit lokalen Modellen auf Copilot+ PCs erzeugt werden.

Was das Reverse Engineering ergab

Forscher Xusheng Li entdeckte durch Binäranalyse, dass beide Apps einer verborgenen Abfolge folgen: Selbst wenn die Generierung lokale ONNX-Modelle in der App nutzt, wird der Prompt-Text des Nutzers stillschweigend zur "Moderation" an einen Microsoft-Server übertragen. Dieser Server gibt eine GUID (global eindeutigen Bezeichner) zurück, die anschließend als unsichtbares Wasserzeichen in die Pixel des generierten Bildes eingebettet wird.

Dieses unsichtbare Wasserzeichen ist vollständig unabhängig von Paints sichtbarer Wasserzeichen-Funktion (dem optionalen Copilot-Logo) und wird durch deren Deaktivierung nicht beeinflusst. Microsoft bietet keine Möglichkeit, es zu deaktivieren.

Warum "lokale KI" nicht vollständig lokal ist

Der Fund stellt ein zentrales Marketing-Versprechen von Copilot+ PCs in Frage: dass KI-Verarbeitung auf dem Gerät stattfindet. Die Implementierung von Paint und Photos ist teilweise lokal — die Pixel werden auf dem Gerät berechnet — aber der Prompt-Text verlässt das Gerät, bevor ein Bild generiert wird, und ein dauerhafter, unsichtbarer Bezeichner wird in das Bild eingebettet.

Microsoft beschränkt KI-generierte Bilder auf vier Formate: PNG, JPEG, GIF und .paint — genau die Formate, die C2PA-Metadaten intakt erhalten.

Was Microsoft offenbart — und was nicht

Microsoft legt offen, dass Paint C2PA-Metadaten zu KI-generierten Bildern hinzufügt, gemäß Artikel 50 des EU-KI-Gesetzes. Was in der Nutzerdokumentation fehlt, ist das unsichtbare GUID-Wasserzeichen in den Bildpixeln sowie die Tatsache, dass der Prompt während der "lokalen" Generierung an einen Remote-Server übertragen wird.

Microsoft hat die Forschungsergebnisse bisher nicht öffentlich kommentiert.