不可視の透かし：2026年の画像ファイルが運んでいるもの

最終更新：2026年8月27日

8月24日、ある開発者が Watermarker.dll の解析結果を公開しました。Microsoft PaintがAI画像生成機能を使うときに読み込むライブラリです。判明したのは、Paintが生成する画像はすべて、目には見えない16バイトの識別子を抱えているということ。しかもそれはMicrosoftのサーバーが発行し、画像の約4分の3のピクセルに書き込まれています。Hacker Newsのスレッドは1日で853ポイント、コメント433件に達しました。ただ、その後に続いた報道の多くは、ある一点を見出しのために縮めてしまっています。訂正すべきはむしろそちらです。

クイック回答：2026年の画像ファイルには何が隠れているのか？

不可視の透かしとは、ピクセルの値そのものに符号化された信号のことです。ソフトウェアからは読み取れますが、人の目には見えません。

考え方は2層に分けると整理できます。ひとつはピクセル領域の透かし。画像データ全体に散らばっていて、切り抜きも縮小も再エンコードも生き延びます。もうひとつはメタデータのマニフェスト、つまりC2PAコンテンツ認証情報やEXIF、IPTC、XMPです。こちらはファイルに付け足された小さなバイト列にすぎず、ほとんどの書き出しで消えます。

Paintはこの両方を書き込みます。SNSは後者をアップロード時に削除します。そして、ごく普通の形式変換も同じことをします。警告は一切出ません。筆者が本記事のカバー画像を cwebp -q 80 に通したところ、749バイトのメタデータはすべて消え、VP8チャンクひとつだけが残りました。ピクセル透かしなら、同じ経路を無傷で通り抜けていたはずです。

Paintは画像の中に実際に何を書き込んだのか？

仕組みははっきりしているので、そのまま書きます。Paintはまずプロンプトの審査をMicrosoftのモデレーションサーバーに投げます。返ってくる項目のひとつが watermarkId、つまりGUIDです。Paintはこの16バイトの前後にマーカーとチェックサムを付けて18バイトのメッセージにし、144ビットへ展開したうえで、内容適応型のブロック領域アルゴリズムで画像に書き込みます。512×512の画像なら、262,144画素のうち約193,376画素、つまりおよそ74%が書き換わる計算です。

同じGUIDは、メタデータとしてもう一度書かれます。PNG出力では caBX チャンクに署名済みのC2PAマニフェストとして収まり、com.microsoft.invismark.1 というアルゴリズム名のソフトバインディングとして記録されます。PaintがAI画像をC2PA対応形式にしか保存しないのはこのためです。BMPが外されているのは、マニフェストを置く場所がBMPには無いからです。

見落としやすい挙動が3つあります。

• Paint では透かしの付与が必須です。失敗すれば生成そのものが失敗し、画像は返ってきません。
• フォト アプリでも同じGUIDの仕組みが動きますが、失敗はログに残るだけで、透かしのない画像がそのまま返ります。
• Copilot+ PCでは拡散モデルがNPU上でローカルに動きます。それでもプロンプトはGUIDを取りにMicrosoftへ送られます。ローカル生成は、処理全体がローカルという意味ではありません。

ここから先が、報道が証拠より一歩踏み込んだ部分です。複数のメディアが「ユーザーIDと紐づく透かし」という枠で報じました。元の調査が示しているのは、GUIDが promptGenerationId と結びついていること、そして lastPromptGenerationId によって同一セッション内の連続したプロンプトを関連づけられることです。GUIDからMicrosoftアカウントへ辿れる、とは書かれていません。セッション内の関連づけと個人の特定は別物です。プライバシー上の論点は誇張しなくても十分に重いので、ここを正確に扱うかどうかが、役に立つ警告と煽りの分かれ目になります。

なぜ今になって、どのツールも来歴を気にし始めたのか？

時期の問題です。EU AI法の透明性義務、第50条が2026年8月2日から執行対象になりました。生成系システムの提供者は、合成コンテンツに機械可読なマークを付け、検出可能にしなければなりません。制裁金は最大1,500万ユーロ、または全世界年間売上高の3%です。同日より前から市場に出ているシステムには、2026年12月2日までの猶予があります。

条文は、標準的な編集を補助するだけで入力を実質的に変えないツールを除外しています。背景除去やリサイズはこの除外に収まります。生成ツールは収まりません。

そのうえで、規則が求めるものとPaintが実装したものの差に注目してください。第50条が求めているのは「機械が作った」と分かる検出可能なマークです。サーバーが発行する生成ごとの識別子は、それよりかなり多くを語ります。規制がその詳細さを要求した事実はありません。

アップロードで何が残り、何が消えるのか？

来歴の取り組み全体を掘り崩しているのがこの部分で、しかも机上の話ではなく測れる話です。主要プラットフォームでのメタデータ削除は、実質的に全数です。Instagram、X、LinkedIn、TikTok、Facebookが投稿を再エンコードした時点で、C2PAマニフェストはEXIFもろとも消えます。

実測値をひとつ挙げます。元のJPEGは349,276バイトで、メタデータは3セグメント、EXIFが190バイト、XMPが470バイト、IPTCが89バイトでした。変換後のWebPは127,818バイト、中身はVP8チャンクがひとつだけで、EXIFもXMPもICCも残っていません。警告は出ませんでした。もしこのファイルがコンテンツ認証情報を抱えていたなら、変換は同じように黙ってそれを壊していたはずです。画像変換ツールや画像圧縮ツールは既定でこう動きます。プライバシーには good、来歴には致命的です。

業界側の答えが「Durable Content Credentials」です。マニフェストをクラウドにも記録しておき、埋め込みが消えてもファイルを照合できるようにする仕組みで、実際に機能します。同時に、検証が第三者のサーバー稼働に依存するという意味でもあります。

2026年の画像編集は、結局どこで壊れるのか？

来歴は新しい論点です。古い不満のほうは、ほとんど動いていません。

髪、毛、細いエッジ。 当サイトのバッチ比較記事では、240枚の商品画像を3つのツールに通しましたが、最速の経路でもおよそ8%のコマで手作業のエッジ修正が必要でした。その手直しが集中するのが髪です。原因はモデルの手抜きではなく、構造にあります。エッジの画素は混合画素だからです。ひとつの画素の中に髪の一本と影とJPEGのブロックが同居していて、背景除去ツールは確率を出すしかなく、しきい値が髪を残すか切り落とすかを決めてしまいます。症状として出るのは薄い色のにじみで、切り抜きを明るいスライドに載せるまで誰も気づきません。

でっち上げる高解像度化。 失敗の形はボケではなく、自信です。眠い元画像に画像高解像度化ツールを当てれば、毛穴、まつげ、布の織り、木目、建築のエッジを、ぱっと見もっともらしく作り出します。いちばん被害を受けるのは顔です。顔の事前分布が強いせいで、目の左右対称性が上がり、小鼻の形が変わり、唇の輪郭が別の口に整えられます。家族写真なら困った話で済みますが、事実を記録するための画像なら問題です。

自分の画像が何を抱えているか、どう確かめるのか？

研究室は要りません。公開前のファイルに5分かけるだけです。

1. 任意のEXIFビューアで開くか、exiftool -G1 -a yourfile.jpg を実行して、実際に何が入っているかを読む。
2. GPS座標は特に注意して探す。スマホの写真には入っていますし、地図のスクショだけが漏洩経路ではありません。
3. 生成ツール由来なら、保存形式がBMPではなくPNGかJPEGになっているかを見る。形式の選択自体がマニフェストの存在を示す手がかりです。
4. 複製を変換してバイト数を比べる。画素データの説明がつかないほど縮んだファイルは、メタデータを失っています。
5. どの層を残すかを意識的に決めてから、それに合う書き出しを選ぶ。

だいたいの場面をカバーする短い方針です。

• 個人の写真を公開する：全部落とす。WebPへの変換一回で済みます。
• クライアント仕事や報道用：IPTCのクレジットと権利情報は残し、GPSは落とす。
• EU向けにAI利用作品を公開する：マニフェストを残し、それを黙って捨てるツールで再書き出ししない。
• 原本を保管する：無加工のまま保持し、削除作業は複製側で行う。
• 目に見える透かしを入れたい場合：配置と不透明度は透かしの入れ方ガイド、他人の透かしについては透かし除去の限界を参照してください。

よくある質問

Microsoft Paintは作成した画像すべてに透かしを入れるのですか？

入るのはAI機能で生成した画像だけです。写真を開いて切り抜いて保存しただけなら透かしは入りません。生成する場合、透かしの付与は必須で、失敗すればPaintは透かしのない画像を渡す代わりに生成そのものを破棄します。Windowsフォトは同じ仕組みを使いますが、失敗しても画像を返します。

リサイズや形式変換で不可視の透かしは消えますか？

消えるのはメタデータの層だけで、ピクセルの層は残ります。JPEGからWebPへの変換やWeb用のリサイズはEXIF、IPTC、そしてC2PAマニフェストを落とします。来歴が黙って失われるのはこの経路です。ピクセル領域の透かしは画像データそのものに散っているため、リサイズや切り抜き、再エンコードを通常は生き延びます。

その写真がAI生成かどうか、どうすれば見分けられますか？

確実な方法はなく、単一のチェックで決着はつきません。C2PAマニフェストが残っていれば強い証拠になりますが、SNSに公開されたものはアップロード時に削除されるためほぼ残っていません。つまり「無いこと」は何の証明にもなりません。検出ツールはノイズや痕跡から推定するもので、証拠として扱えるほどの精度はありません。

公開前に写真のメタデータを削除するのは合法ですか？

自分の写真であれば一般に問題なく、EXIFがGPS座標を含み得る以上、個人の写真では削除が妥当な既定値です。実際の制約は刑事罰ではなく契約にあります。報道、ストック、クライアント案件の規約はIPTCのクレジットや権利情報を保持するよう求めることが多く、EU AI法はAI生成物が機械可読なマークを保つことを前提としています。

今月、ワークフローで変えるべきこと

手間の少ない順に3つです。

メタデータはもう失われている前提で動く。来歴が重要な仕事なら、頼るべきは埋め込みマニフェストではありません。原本とクラウド記録を持っておくことです。

2種類の「削除」の判断を分ける。「公開前に個人情報を落とす」と「クレジットと来歴を守る」は逆方向を向いていて、書き出し設定ひとつで両立はしません。案件ごとに決めてください。

不可視のマークを、どちらの向きにも証拠として扱わない。透かしが無いことは本物である証明になりませんし、有ることが証明するのは、どのツールが書いたかだけです。ピクセルに実際何が起きているのかを、刻印の議論より先に把握したいなら、U2-Netの解説が誠実な出発点になります。

Paintの一件は、本当はPaintの話ではありません。頼んでもいない、見えもしない、知らされてもいないデータを画像ツールがファイルに書き込む。それが広く読まれた最初の例だった、というだけです。この型は繰り返されます。持続する防御は、見る方法を知っていることだけです。