Filigranes invisibles : ce que vos images transportent en 2026

Dernière mise à jour : 27 août 2026

Le 24 août, un développeur a publié le désossage de Watermarker.dll, la bibliothèque que Microsoft Paint charge dès que vous utilisez ses fonctions d'image par IA. Le constat : chaque image générée par Paint transporte un identifiant de 16 octets que vous ne voyez pas, émis par un serveur Microsoft et inscrit dans environ trois quarts des pixels. Le fil Hacker News a atteint 853 points et 433 commentaires en une journée. La plupart des reprises ont ensuite compressé un détail dans un titre que la recherche ne soutient pas, et cette correction compte davantage que l'annonce.

Réponse rapide : que cache un fichier image en 2026 ?

Un filigrane invisible est un signal encodé dans les valeurs de pixel elles-mêmes : lisible par un logiciel, imperceptible à l'oeil.

Utilisez un modèle à deux couches pour y voir clair. Une image peut porter ce filigrane dans le domaine pixel, réparti dans les données d'image, qui survit au recadrage, au redimensionnement et au réencodage. Elle peut aussi porter un manifeste de métadonnées - informations d'identification de contenu C2PA, EXIF, IPTC, XMP - qui n'est qu'un petit bloc d'octets accroché au fichier, détruit par presque n'importe quel export.

Paint écrit les deux couches. Les réseaux sociaux effacent la seconde à l'envoi. Une conversion de format ordinaire fait la même chose, sans prévenir : j'ai fait passer la photo de couverture de cet article par cwebp -q 80 et j'ai mesuré le résultat, les 749 octets de métadonnées avaient disparu, il ne restait qu'un unique bloc VP8. Le filigrane pixel, lui, aurait fait le même trajet intact.

Qu'est-ce que Microsoft a réellement mis dans une image Paint ?

Le mécanisme est assez précis pour être décrit tel quel. Paint envoie votre requête à un point de terminaison de modération Microsoft. La réponse contient plusieurs champs, dont watermarkId : un GUID. Paint prend ces 16 octets, ajoute un octet marqueur devant et une somme de contrôle derrière pour former un message de 18 octets, l'étend à 144 bits et l'inscrit dans l'image avec un algorithme par blocs adapté au contenu. Sur une image 512x512, cela touche environ 193 376 pixels sur 262 144, soit près de 74 %.

Le même GUID est écrit une seconde fois, en métadonnée. En sortie PNG, il atterrit dans le segment caBX sous forme de manifeste C2PA signé, marqué comme liaison souple avec le nom d'algorithme com.microsoft.invismark.1. D'où le fait que Paint n'enregistre ses sorties IA que dans des formats compatibles C2PA. Le BMP est exclu, faute d'un endroit où loger le manifeste.

Trois détails de comportement passent facilement inaperçus :

• Dans Paint, le marquage est obligatoire. S'il échoue, la génération entière échoue et vous n'obtenez rien.
• Dans Photos, le même mécanisme tourne, mais un échec est simplement journalisé et l'image non marquée vous est rendue quand même.
• Sur un PC Copilot+, le modèle de diffusion tourne en local sur le NPU, et la requête part malgré tout chez Microsoft pour récupérer le GUID. Générer en local ne veut pas dire opération locale.

C'est ici que la couverture est allée plus loin que les preuves. Plusieurs médias ont présenté l'affaire comme des filigranes « liés à des identifiants utilisateur ». Ce que montre la recherche d'origine, c'est un GUID rattaché à un promptGenerationId, plus un champ lastPromptGenerationId permettant de corréler des requêtes successives d'une même session. Elle n'établit aucune correspondance entre le GUID et un compte Microsoft. Corréler au sein d'une session n'est pas identifier. La question de vie privée pèse déjà assez sans être gonflée, et c'est cette précision qui sépare l'alerte utile de la peur.

Pourquoi tous les outils d'image se soucient-ils soudain de provenance ?

Une question de calendrier. Les obligations de transparence du règlement européen sur l'IA, l'article 50, sont applicables depuis le 2 août 2026. Les fournisseurs de systèmes génératifs doivent apposer une marque lisible par machine sur les contenus synthétiques et la rendre détectable. Les sanctions montent à 15 millions d'euros ou 3 % du chiffre d'affaires annuel mondial. Les systèmes déjà sur le marché avant cette date ont jusqu'au 2 décembre 2026.

Le texte exclut les outils qui remplissent une fonction d'assistance à l'édition sans modifier substantiellement l'entrée. Un détoureur ou un redimensionneur entrent dans cette exclusion. Un générateur, non.

Notez l'écart entre ce que la règle demande et ce que Paint livre. L'article 50 réclame une marque détectable disant ceci a été fabriqué par une machine. Un identifiant par génération émis par un serveur en dit nettement plus, et rien dans le règlement n'exigeait cette précision supplémentaire.

Que survit à une publication, et que disparaît ?

C'est la partie qui sape tout le projet de provenance, et elle se mesure au lieu de se théoriser. Le nettoyage des métadonnées sur les grandes plateformes est quasi total. Dès qu'Instagram, X, LinkedIn, TikTok ou Facebook réencodent votre envoi, le manifeste C2PA part avec l'EXIF.

Mes propres chiffres, pour un fichier : le JPEG source pesait 349 276 octets et portait trois segments de métadonnées, 190 octets d'EXIF, 470 de XMP, 89 d'IPTC. Après conversion, le WebP faisait 127 818 octets, avec un seul bloc VP8 et aucun segment EXIF, XMP ou ICC. Rien ne m'a averti. Si ce fichier avait porté une information d'identification de contenu, la conversion l'aurait détruite avec le même silence. N'importe quel convertisseur d'images ou compresseur d'images se comporte ainsi par défaut : excellent pour la vie privée, fatal pour la provenance.

La réponse du secteur s'appelle Durable Content Credentials : publier le manifeste dans un registre en ligne pour retrouver le fichier même quand la copie embarquée a disparu. Cela fonctionne, et cela veut dire aussi que la vérification dépend désormais d'un tiers resté en ligne.

Où l'édition d'images casse-t-elle encore en 2026 ?

La provenance est le nouveau débat. Les vieilles plaintes, elles, n'ont pas bougé.

Cheveux, poils et bords fins. Une comparaison par lots publiée ici a fait passer un lot de 240 photos produit dans trois outils, et la voie la plus rapide a tout de même exigé des retouches manuelles de bord sur environ 8 % des images. C'est sur les cheveux que ce nettoyage se concentre, et la raison est structurelle, pas un modèle paresseux.

Un pixel de bord est un pixel mixte : il peut contenir à la fois une mèche, une ombre et un bloc JPEG, alors un détoureur sort une probabilité et le seuil décide de garder la mèche ou de la couper. Le symptôme visible est un halo coloré discret, que personne ne remarque avant que le détourage n'atterrisse sur une diapo claire.

Des agrandisseurs qui inventent. Le mode d'échec n'est pas le flou, c'est l'assurance. Pointez un agrandisseur d'images sur une source molle et il fabriquera des pores, des cils, une trame de tissu, un veinage de bois, des arêtes d'architecture qui tiennent au premier coup d'oeil. Les visages trinquent le plus, parce que les a priori faciaux sont puissants : les yeux deviennent plus symétriques, une narine change de forme, le contour d'une lèvre s'affûte en une autre bouche. Pour un album de famille, c'est agaçant. Pour une image censée documenter le réel, c'est un problème.

Comment vérifier ce que vos propres images transportent ?

Pas besoin de laboratoire. Cinq minutes sur les fichiers que vous vous apprêtez à publier :

1. Ouvrez le fichier dans n'importe quelle visionneuse EXIF, ou lancez exiftool -G1 -a votrefichier.jpg, et lisez ce qui s'y trouve vraiment.
2. Cherchez spécifiquement les coordonnées GPS. Les photos de téléphone en contiennent, et la capture d'une carte n'est pas la seule fuite possible.
3. Si l'image sort d'un générateur, regardez si elle a été enregistrée en PNG ou JPEG plutôt qu'en BMP. Le choix du format trahit l'écriture d'un manifeste.
4. Convertissez une copie et comparez les octets. Un fichier qui maigrit plus que les données de pixel ne l'expliquent a perdu des métadonnées.
5. Décidez délibérément quelle couche vous voulez garder, puis choisissez l'export correspondant.

Une politique courte qui couvre l'essentiel :

• Photos personnelles : tout retirer. Un passage en WebP le fait gratuitement.
• Travail client ou presse : garder le crédit et les droits IPTC, supprimer le GPS.
• Travaux assistés par IA publiés dans l'UE : garder le manifeste et ne pas réexporter via un outil qui le jette en silence.
• Archivage des originaux : conserver le fichier intact et nettoyer sur la copie.
• Si vous préférez une marque visible : le guide du filigrane traite du placement et de l'opacité, et le guide de suppression dit ce qui se récupère ou non.

Questions fréquentes

Paint filigrane-t-il toutes les images qu'il crée ?

Uniquement celles produites par ses fonctions IA. Une photo que vous ouvrez, recadrez et enregistrez dans Paint n'est pas marquée. Quand Paint génère, le marquage est obligatoire : si l'étape échoue, il jette la génération plutôt que de vous remettre un fichier non marqué. Photos de Windows utilise le même mécanisme mais rend l'image même en cas d'échec.

Redimensionner ou convertir une photo supprime-t-il un filigrane invisible ?

Cela supprime la couche de métadonnées, pas celle des pixels. Convertir un JPEG en WebP, ou redimensionner pour le web, jette l'EXIF, l'IPTC et tout manifeste C2PA : c'est ainsi que la provenance disparaît en silence. Un filigrane du domaine pixel est réparti dans les données d'image elles-mêmes et survit en général au redimensionnement, au recadrage et au réencodage.

Comment savoir si une photo a été générée par une IA ?

Pas de manière fiable, et aucune vérification isolée ne tranche. Un manifeste C2PA constitue une preuve solide quand il est présent, mais il manque à presque tout ce qui est publié sur les réseaux, car l'envoi le supprime : son absence ne prouve donc rien. Les détecteurs déduisent à partir d'artefacts et se trompent assez souvent pour ne pas valoir preuve.

Est-il légal de retirer les métadonnées d'une photo avant publication ?

Pour vos propres photos, c'est généralement admis, et c'est le réglage raisonnable avant de publier des images personnelles, puisque l'EXIF peut contenir des coordonnées GPS. La contrainte réelle est contractuelle plutôt que pénale : les accords de presse, de banque d'images et de client exigent souvent que les champs IPTC de crédit et de droits restent intacts, et le règlement européen sur l'IA attend du contenu généré qu'il conserve sa marque lisible par machine.

Que changer dans votre flux de travail ce mois-ci

Trois choses, par ordre de coût.

Partez du principe que vos métadonnées ont déjà disparu. Si la provenance compte pour un travail, le manifeste embarqué n'est pas la copie sur laquelle s'appuyer. Gardez l'original et l'enregistrement en ligne.

Séparez les deux décisions de suppression. « Retirer les données personnelles avant publication » et « préserver le crédit et la provenance » tirent en sens inverse, et un seul réglage d'export par défaut ne peut pas servir les deux. Décidez au cas par cas.

Cessez de traiter les marques invisibles comme une preuve, dans un sens comme dans l'autre. Une marque absente ne prouve pas qu'une image est réelle, et une marque présente prouve seulement quel outil l'a écrite. Pour comprendre ce qu'un modèle de segmentation fait réellement à vos pixels avant de débattre de ce qu'on y a estampillé, l'explication d'U2-Net est la version honnête.

L'affaire Paint ne parle pas vraiment de Paint. C'est le premier exemple largement lu d'outils d'image écrivant dans vos fichiers des données que vous n'avez pas demandées, que vous ne voyez pas, et dont personne ne vous a parlé. Ce schéma se répétera, et la seule défense durable consiste à savoir regarder.