Vos images générées dans Paint sortent avec un numéro invisible délivré par un serveur Microsoft

Décryptage

Vos images générées dans Paint sortent de votre PC avec un numéro que vous ne voyez pas. Le développeur Xusheng Li a publié le 21 août 2026 le détail de ce marquage : Paint et Photos de Windows encodent dans les pixels un identifiant de 16 octets délivré par un serveur Microsoft, au moment où la demande de l’utilisateur part en modération dans le cloud. Sur une image test de 512 par 512 pixels, le filigrane invisible de Paint en modifie 193 376 sur 262 144, soit 73,8 % : depuis le 2 août 2026, ce marquage lisible par machine est une obligation européenne applicable en France.

L’image, elle, est bien calculée sur la machine. Le numéro, lui, vient d’ailleurs. The Register a relayé la trouvaille le 25 août 2026, et Microsoft n’avait pas répondu aux demandes de commentaire à la publication.

Ce que Paint écrit vraiment dans vos pixels

Le fichier enregistré contient deux choses en plus de votre dessin. La première est un manifeste C2PA, une fiche d’identité rangée dans les métadonnées. La seconde est un nombre de 16 octets écrit directement dans les pixels, invisible à l’œil.

Ce nombre ne naît pas sur votre machine. Quand vous validez une demande dans Image Creator, le texte part vers un service de modération hébergé par Microsoft. La réponse renvoie une version révisée de la demande et un identifiant de filigrane, et c’est cet identifiant qui est encodé dans l’image.

Selon nos calculs, à partir du relevé publié par le chercheur, le marquage touche presque trois pixels sur quatre de cette image test. Il ne s’agit donc pas d’une signature glissée dans un coin, mais d’une couche répartie sur toute la surface.

Le réglage de filigrane visible, ce petit logo que Paint propose de poser en bas à droite, ne commande pas ce marquage. Les deux signaux sont indépendants et coexistent dans le même fichier.

C2PA, Content Credentials : le jargon en clair

C2PA est le nom d’une coalition industrielle et de la spécification technique qu’elle publie. Content Credentials est le nom d’usage de ce que cette spécification produit : une fiche attachée au fichier qui indique quel outil a créé l’image et ce qui lui est arrivé ensuite.

Concrètement, c’est un bloc de métadonnées signé cryptographiquement. Il voyage avec le fichier comme une étiquette collée sur un colis. Tant que l’étiquette tient, n’importe quel lecteur compatible peut l’ouvrir et afficher son contenu.

La fiche produit de Paint dit exactement cela : les images générées par IA incluent des Content Credentials fondés sur le standard C2PA, et des services cloud assurent le filtrage de contenu pendant que la génération de l’image, elle, se fait sur l’appareil.

Ce qu’elle ne dit pas : que le manifeste contient un identifiant unique, que ce même identifiant est écrit dans les pixels sous l’algorithme baptisé com.microsoft.invismark.1, et qu’il est délivré au moment précis où la demande est modérée.

Ce qui survit à une capture d’écran, et ce qui disparaît

Les métadonnées sont fragiles, le filigrane l’est beaucoup moins. Une capture d’écran produit un nouveau fichier : le manifeste ne suit pas. Une recompression ou un passage par une plateforme sociale peuvent avoir le même effet, puisque rien n’oblige un hébergeur à conserver ces données. La coalition C2PA le reconnaît elle-même : un manifeste est généralement embarqué dans le fichier, mais il peut en être séparé.

La spécification le reconnaît et propose une parade : les Content Credentials durables, qui utilisent un filigrane invisible ou une empreinte calculée sur l’image pour retrouver le manifeste dans une base en ligne. Le filigrane sert alors de fil conducteur quand l’étiquette a été arrachée.

Ce filigrane a toutefois une limite matérielle. L’encodeur de Paint exige une image d’au moins 192 pixels de côté et au moins trois placements réussis par bit : en dessous, il n’écrit rien. Une vignette de forum ou un avatar redimensionné sortent donc du dispositif.

Le graphique ci-dessous compte, pour cinq manipulations courantes, combien des deux signaux subsistent.

Lecture : une seule situation fait tomber les deux marques à la fois, et ce n’est pas celle qu’on croit.

Microsoft, OpenAI, Google : trois marquages, une logique commune

Aucun des trois éditeurs ne se contente des métadonnées. OpenAI écrit sur sa page d’aide que les Content Credentials peuvent parfois être retirés par les plateformes, les outils d’édition ou les conversions de fichier, et que les images produites via ChatGPT, Codex et son API portent aussi un second signal inscrit dans le média lui-même.

Ce second signal s’appelle SynthID. Google DeepMind le présente comme un filigrane imperceptible conçu pour résister au recadrage, à l’ajout de filtres et à la compression avec perte. Le principe est le même que chez Microsoft : marquer la matière, pas seulement l’emballage.

La différence ne tient donc pas au procédé. Elle tient à ce qui est marqué. Chez OpenAI et Google, le signal dit que l’image vient d’une IA. Chez Microsoft, d’après la rétro-ingénierie, il porte en plus un identifiant délivré à l’issue de la modération de votre demande.

Le chercheur relève un dernier point : Paint transmet des identifiants de demande successifs, ce qui permettrait de rattacher plusieurs générations entre elles. Permettrait n’est pas fait. Aucun élément public ne montre que Microsoft exploite ce lien.

Ce que le règlement européen exige depuis le 2 août 2026

Le droit européen demande un marquage, pas une identification. L’article 50 du règlement sur l’IA impose aux fournisseurs de systèmes générant des contenus de synthèse que leurs sorties soient marquées dans un format lisible par machine et détectables comme artificiellement générées.

Le texte précise que ces solutions techniques doivent être efficaces, interopérables, robustes et fiables dans la mesure où cela reste techniquement faisable. Ces obligations de transparence s’appliquent depuis le 2 août 2026. Elles visent l’origine du contenu.

Elles ne demandent nulle part d’attacher un identifiant lié à un compte ou à une demande précise. C’est là que s’ouvre la zone grise. Un filigrane qui signale une image générée remplit l’objectif du texte ; un filigrane qui embarque un numéro délivré après modération va au-delà, sans que rien ne l’annonce à l’utilisateur.

Concrètement, ce que ça change pour vous

Rien dans votre usage quotidien, sauf si vous pensiez que « généré localement » voulait dire « rien ne sort de ma machine ». Le calcul de l’image reste sur le PC. Le texte de la demande part en modération et revient accompagné d’un numéro.

Trois réflexes tiennent la route. Ouvrez une image générée dans un lecteur C2PA si vous voulez savoir ce qu’elle déclare. Partez du principe qu’un fichier publié en ligne porte encore un signal d’origine, même après une capture. Ne comptez pas sur un changement de format pour effacer proprement ce qui est écrit dans les pixels.

Le mécanisme rappelle celui du pixel espion des mails : un élément invisible, techniquement banal, dont la portée dépend de ce qu’on en fait côté serveur. Le problème n’est pas la marque. C’est l’absence de documentation.

Article créé en collaboration avec l’IA.