Pesquisa de engenharia reversa publicada em 24 de agosto de 2026 revela que o Microsoft Paint e o app Fotos do Windows embutem um identificador global único, ou GUID, emitido pelo servidor da Microsoft, diretamente nos pixels de imagens geradas por inteligência artificial no caminho local do Cocreator. A análise independente do desenvolvedor Xusheng Li, da Vector 35, foi retomada em 25 de agosto pelo The Register e contrasta com a documentação oficial da Microsoft, que menciona credenciais C2PA mas não detalha o GUID invisível ligado à moderação de prompt.
Fato confirmado pela análise técnica: mesmo quando a inferência roda no NPU do Copilot+ PC, o Paint envia o texto do usuário para um endpoint remoto de moderação antes de gerar a imagem localmente. O servidor devolve, entre outros campos, um watermarkId que o módulo Watermarker.dll grava nos pixels por meio da função WmkWriteWatermark. Se essa etapa falha, o Paint cancela toda a geração e não entrega arquivo algum ao usuário.
A análise de engenharia reversa publicada em 24 de agosto de 2026 documenta o fluxo moderate-prompt e o GUID nos pixels, e o The Register confirmou em 25 de agosto as implicações de privacidade citando o mesmo pesquisador, enquanto a página oficial de Cocreator declara C2PA e moderação na nuvem sem detalhar o identificador invisível.
Como a engenharia reversa expôs a camada invisível
Li inspecionou modelos ONNX locais em Copilot+ e o Watermarker.dll, de 1,67 megabyte, concluindo que o módulo faz mais do que compor o logotipo visível do Copilot no canto inferior direito, opção que o usuário pode ligar, desligar ou confirmar a cada salvamento.
A marca invisível usa payload de 16 bytes, confirmado como GUID pelo tipo winrt::guid na assinatura de Paint::AI::AddWatermark. O codificador expande 18 bytes em 144 bits e exige pelo menos três inserções por bit em blocos da imagem. Em teste sintético de 512 por 512 pixels, 193.376 dos 262.144 pixels foram alterados por quantização mínima, o que corresponde a cerca de 74 por cento da grade.
Antes da inferência local, AIServices.dll envia JSON com prompt, estilo e lastPromptGenerationId para o endpoint v1/paint-cocreator/moderate-prompt hospedado em Azure Front Door. A resposta inclui revisedPrompt, promptGenerationId, watermarkId e containsHumanReference, campo booleano que classifica se o texto menciona pessoa humana. Li reproduziu chamadas autenticadas e documentou pares de GUID distintos para prompts diferentes, prova de que o identificador vem do servidor, não do dispositivo.
Duas camadas de proveniência no arquivo
Além do watermark nos pixels, o Paint anexa manifesto C2PA assinado ao PNG. Li encontrou chunk caBX com asserção c2pa.soft-binding apontando para Microsoft InvisMark com o mesmo GUID dos pixels. Manifesto e marca invisível estão ligados; remover só o metadado de arquivo não limpa o identificador embutido.
O fluxo de assinatura usa POST v1/paint-cocreator/image-sign com PromptGenerationId e imageToSign.jpg. Recompressão agressiva ou inpainting podem degradar a marca, embora Li não publique taxa de sobrevivência em todos os cenários.
O que a Microsoft declara oficialmente
A página de suporte Use Copilot+ PC features in Paint confirma que Cocreator exige conta Microsoft e internet porque sistemas de segurança rodam na nuvem via Azure, enquanto a geração ocorre no dispositivo. A Microsoft afirma coletar identificadores de dispositivo e usuário junto aos prompts para prevenir abuso e monitoramento, e diz não armazenar imagens de entrada nem arquivos gerados.
No mesmo documento, a fabricante declara que imagens do Cocreator recebem Content Credentials baseadas no padrão C2PA para ajudar a identificar conteúdo gerado por IA. Alegação oficial, não detalhada até onde a análise de Li alcançou: não há menção explícita ao GUID server-side embutido nos pixels nem ao vínculo com sessão de moderação. O The Register tentou comentário da Microsoft e não obteve resposta imediata em 25 de agosto.
A opção de marca d'água visível do Copilot, mostrada na captura da análise de Li, é controlada separadamente e não desliga a marca invisível. Fato confirmado pelo fluxo de código: WatermarkSetting::Never devolve bitmap original apenas para a camada perceptível; WmkWriteWatermark continua sendo chamada após geração local bem-sucedida.
Paint versus Fotos e limites de formato
Li documenta diferença de comportamento entre aplicativos: se o codificador invisível falha no Fotos, o app registra erro e ainda devolve a imagem ao usuário; no Paint, falha de watermarking vira falha total da geração. Inferência: o Paint foi desenhado para garantir que nenhuma saída local do Cocreator circule sem o identificador invisível.
Outro detalhe verificável: Paint restringe salvamento de imagens geradas por IA a PNG, JPEG, GIF e .paint porque BMP não suporta manifesto C2PA embutido. A especificação C2PA trata BMP como formato clássico incapaz de carregar metadados arbitrários sem manifesto externo. Extrapolação a evitar: concluir que todo JPEG exportado de qualquer app Windows carrega GUID; o comportamento documentado refere-se ao pipeline Cocreator e Image Creator analisados.
Contexto regulatório e privacidade visual
Li contextualiza o mecanismo com o Artigo 50 do AI Act europeu, em vigor desde 2 de agosto de 2026, que exige marca legível por máquina, não necessariamente GUID ligado ao prompt. O The Register observa que a Microsoft foi além do mínimo ao associar identificador ao texto de origem.
Se a Microsoft correlaciona watermarkId ao usuário autenticado, inferência não confirmada aqui: teoricamente seria possível vincular arquivo compartilhado à sessão de moderação. Li documenta que Paint encaminha lastPromptGenerationId na requisição seguinte, encadeando pedidos consecutivos.
Caminho na nuvem versus Cocreator local
A análise distingue Image Creator, que pode devolver imagem já finalizada da Azure OpenAI ImageGen com watermark e C2PA aplicados na nuvem, do Cocreator em Copilot+ PC, onde o NPU roda Stable Diffusion localmente mas ainda depende de moderação remota. Fato confirmado: local no discurso de marketing não significa offline; sem internet o fluxo de Cocreator não completa.
Rumor não verificado aqui: Li levanta hipótese de segurança de que um endpoint remoto mal configurado poderia, em tese, devolver imagem cloud antes da etapa de watermarking. Trate como cenário de pesquisa, não como vulnerabilidade confirmada ou exploit publicado.
O que isso muda para quem edita e compartilha
Para quem usa Paint como brinquedo rápido de sticker ou rascunho, a descoberta reforça que arquivo gerado por IA no Windows pode carregar duas camadas de rastreio: metadado C2PA assinado e alteração estatística em boa parte dos pixels. Desativar logo visível do Copilot não limpa nenhuma das duas.
Quem precisa publicar versão de teste sem arrastar credencial C2PA para CMS ou grupo de mensagens costuma trabalhar em cópia separada. Eu converto o arquivo em outro formato só depois de arquivar o original com manifesto intacto, porque converter no ImgUtils não remove GUID pixel a pixel nem substitui auditoria forense, mas ajuda a separar fluxo de entrega do arquivo de proveniência.
Verificadores públicos de Content Credentials podem ler manifesto quando ele sobrevive ao upload. A marca InvisMark exige pipeline proprietário ou análise como a de Li.
Limites do que está comprovado
Confirmado: publicação técnica de Li em 24 de agosto de 2026; cobertura do The Register em 25 de agosto; existência de Watermarker.dll, endpoint moderate-prompt, payload GUID de 16 bytes, chunk C2PA caBX com soft-binding InvisMark; diferença Paint versus Fotos em falha de watermark; restrição de formatos de salvamento.
Confirmado pela Microsoft: internet e conta obrigatórias para Cocreator; C2PA declarado; coleta de identificadores e prompts para moderação; política de não armazenar imagens geradas segundo página de suporte consultada.
Não confirmado nesta redação: se Microsoft efetivamente associa watermarkId a identidade real do usuário em produção; se autoridades europeias já examinaram o GUID sob AI Act; taxa de resistência da marca após crop, filtro ou screenshot; comentário oficial da Microsoft sobre a análise de Li.
Extrapolação a evitar: tratar qualquer PNG do Paint como prova de abuso ou automaticamente identificável em tribunal. O mecanismo documenta origem técnica e sessão de moderação, não veracidade do conteúdo mostrado no quadro.
Checklist para leitores de imagem digital
1. Marca visível do Copilot e GUID invisível são controles distintos; desligar um não desliga o outro.
2. Cocreator local ainda envia prompt para nuvem antes de gerar no NPU.
3. BMP e outros formatos sem C2PA embutido ficam fora do salvamento direto de IA no Paint analisado.
4. Antes de repostar arquivo como prova de cena real, verifique credenciais C2PA e trate ausência de selo como sinal incompleto, não como garantia de autenticidade.
Desligar a marca visível do Copilot no Paint limpa o canto da imagem, mas não apaga o rastro técnico que a Microsoft ainda embute nos pixels e no manifesto C2PA.