Marcas d'água invisíveis: o que suas imagens carregam em 2026

Última atualização: 27 de agosto de 2026

Em 24 de agosto um desenvolvedor publicou a engenharia reversa de Watermarker.dll, a biblioteca que o Microsoft Paint carrega quando você usa os recursos de imagem com IA. A descoberta: toda imagem gerada pelo Paint carrega um identificador de 16 bytes que você não vê, emitido por um servidor da Microsoft e escrito em cerca de três quartos dos pixels. A thread no Hacker News chegou a 853 pontos e 433 comentários em um dia. Boa parte da cobertura seguinte comprimiu um detalhe num título que a pesquisa não sustenta, e essa correção importa mais que a manchete.

Resposta rápida: o que está escondido dentro de um arquivo de imagem em 2026?

Uma marca d'água invisível é um sinal codificado nos próprios valores de pixel: legível por software e imperceptível para o olho.

Use um modelo de duas camadas para pensar nisso. Uma imagem pode carregar essa marca no domínio do pixel, espalhada pelos dados da imagem, que sobrevive a corte, redimensionamento e recodificação. Ela também pode carregar um manifesto de metadados - credenciais de conteúdo C2PA, EXIF, IPTC, XMP - que é apenas um bloco de bytes preso ao arquivo e destruído por quase qualquer exportação.

O Paint escreve as duas camadas. As redes sociais removem a segunda no upload. E uma conversão de formato comum faz o mesmo, sem aviso: passei a foto de capa deste artigo por cwebp -q 80 e medi o resultado, os 749 bytes de metadados sumiram e sobrou um único bloco VP8. A marca no pixel teria feito a mesma viagem intacta.

O que a Microsoft colocou de fato dentro de uma imagem do Paint?

A mecânica é específica o bastante para ser dita sem rodeios. O Paint manda o seu prompt para um endpoint de moderação da Microsoft. A resposta traz vários campos, um deles watermarkId: um GUID. O Paint pega esses 16 bytes, acrescenta um byte marcador na frente e uma soma de verificação no fim, formando uma mensagem de 18 bytes, expande para 144 bits e grava na imagem com um algoritmo de domínio de bloco adaptado ao conteúdo. Numa imagem de 512x512 isso mexe em cerca de 193.376 de 262.144 pixels, algo perto de 74%.

O mesmo GUID é gravado uma segunda vez, como metadado. Na saída PNG ele cai no chunk caBX como manifesto C2PA assinado, marcado como vínculo flexível com o nome de algoritmo com.microsoft.invismark.1. É por isso que o Paint só salva saída de IA em formatos compatíveis com C2PA. BMP fica de fora porque num BMP não há onde colocar o manifesto.

Três detalhes de comportamento passam batido com facilidade:

• No Paint, marcar é obrigatório. Se falhar, a geração inteira falha e você não recebe imagem.
• No Fotos o mesmo mecanismo roda, mas a falha só vai para o log e a imagem sem marca é devolvida assim mesmo.
• Num PC Copilot+ o modelo de difusão roda localmente na NPU, e o prompt ainda assim viaja até a Microsoft para buscar o GUID. Gerar localmente não quer dizer operação local.

É aqui que a cobertura foi além da evidência. Vários veículos enquadraram o caso como marcas "ligadas a IDs de usuário". O que a pesquisa original mostra é um GUID amarrado a um promptGenerationId, mais um campo lastPromptGenerationId que permite correlacionar prompts consecutivos numa sessão. Ela não demonstra um mapeamento entre o GUID e uma conta Microsoft. Correlação de sessão não é identificação. A questão de privacidade já é séria sem inflar, e acertar esse ponto separa um alerta útil de um susto.

Por que todas as ferramentas de imagem passaram a se importar com procedência?

Calendário. As obrigações de transparência do Regulamento de IA da UE, o artigo 50, passaram a ser exigíveis em 2 de agosto de 2026. Quem fornece sistemas generativos precisa aplicar uma marca legível por máquina ao conteúdo sintético e torná-la detectável. As multas chegam a 15 milhões de euros ou 3% do faturamento anual global. Sistemas já no mercado antes dessa data têm até 2 de dezembro de 2026.

A norma abre exceção para ferramentas que cumprem função auxiliar de edição e não alteram substancialmente a entrada. Um removedor de fundo ou um redimensionador cabem nessa exceção. Um gerador não cabe.

Repare na distância entre o que a regra pede e o que o Paint entrega. O artigo 50 pede uma marca detectável dizendo isto foi feito por máquina. Um identificador por geração emitido por servidor diz consideravelmente mais que isso, e nada no regulamento exigia esse nível de especificidade.

O que sobrevive a um upload e o que é removido?

Esta é a parte que derruba o projeto inteiro de procedência, e ela é mensurável em vez de teórica. A remoção de metadados nas grandes plataformas é praticamente total. Quando Instagram, X, LinkedIn, TikTok ou Facebook recodificam o seu upload, o manifesto C2PA vai junto com o EXIF.

Meus próprios números, para um arquivo: o JPEG de origem tinha 349.276 bytes e carregava três segmentos de metadados, 190 bytes de EXIF, 470 de XMP e 89 de IPTC. Depois da conversão, o WebP ficou com 127.818 bytes, um único bloco VP8 e nenhum chunk de EXIF, XMP ou ICC. Nada me avisou. Se aquele arquivo tivesse uma credencial de conteúdo, a conversão a teria destruído com o mesmo silêncio. Qualquer conversor de imagens ou compressor de imagens se comporta assim por padrão: ótimo para privacidade, fatal para procedência.

A resposta do setor se chama Durable Content Credentials: publicar o manifesto num registro na nuvem para reconciliar o arquivo mesmo depois que a cópia embutida some. Funciona, e também significa que a verificação passa a depender de um terceiro estar no ar.

Onde a edição de imagens ainda quebra em 2026?

Procedência é a discussão nova. As reclamações antigas continuam onde estavam.

Cabelo, pelo e bordas finas. Uma comparação em lote anterior aqui do site passou um conjunto de 240 fotos de produto por três ferramentas, e o caminho mais rápido ainda exigiu correções manuais de borda em cerca de 8% dos quadros. É no cabelo que essa limpeza se concentra, e o motivo é estrutural, não um modelo preguiçoso. Um pixel de borda é um pixel misto: pode conter ao mesmo tempo um fio, uma sombra e um bloco JPEG, então um removedor de fundo devolve uma probabilidade e o limiar decide se mantém o fio ou o corta. O sintoma visível é um halo colorido fraco que ninguém percebe até o recorte cair num slide claro.

Ampliadores que inventam. O modo de falha não é o borrão, é a confiança. Aponte um ampliador de imagens para um original mole e ele fabrica poros, cílios, trama de tecido, veio de madeira e arestas de arquitetura que passam à primeira vista. Rostos levam a pior, porque os priores faciais são fortes: os olhos ficam mais simétricos, uma narina muda de forma, o contorno do lábio afia até virar outra boca. Para um álbum de família é chateação. Para qualquer imagem que documenta a realidade, é problema.

Como conferir o que suas próprias imagens carregam?

Não precisa de laboratório. Cinco minutos com os arquivos que você vai publicar:

1. Abra o arquivo em qualquer visualizador EXIF, ou rode exiftool -G1 -a seuarquivo.jpg, e leia o que está lá de fato.
2. Procure especificamente coordenadas GPS. Fotos de celular carregam, e o print do mapa não é o único vazamento possível.
3. Se a imagem saiu de um gerador, veja se ela foi salva como PNG ou JPEG em vez de BMP. A escolha de formato entrega que um manifesto está sendo escrito.
4. Converta uma cópia e compare os bytes. Um arquivo que encolhe mais do que os dados de pixel explicam perdeu metadados.
5. Decida de propósito qual camada você quer manter e escolha a exportação correspondente.

Uma política curta que cobre a maioria dos casos:

• Fotos pessoais: tire tudo. Uma passada para WebP resolve de graça.
• Trabalho de cliente ou de imprensa: mantenha crédito e direitos IPTC, remova o GPS.
• Trabalho com IA publicado na UE: mantenha o manifesto e não reexporte com uma ferramenta que o descarta em silêncio.
• Arquivamento de originais: guarde o arquivo intocado e faça a limpeza na cópia.
• Se preferir uma marca visível: o guia de marca d'água cobre posição e opacidade, e o guia de remoção explica o que dá e o que não dá para recuperar.

Perguntas frequentes

O Paint coloca marca d'água em toda imagem que cria?

Só nas feitas com os recursos de IA. Uma foto que você abre, corta e salva no Paint não recebe marca. Quando o Paint gera, marcar é obrigatório: se a etapa de marcação falha, ele descarta a geração em vez de entregar um arquivo sem marca. O Fotos do Windows usa o mesmo mecanismo, mas devolve a imagem mesmo quando a marcação falha.

Redimensionar ou converter uma foto remove uma marca d'água invisível?

Remove a camada de metadados, não a de pixels. Converter JPEG para WebP, ou redimensionar para a web, joga fora EXIF, IPTC e qualquer manifesto C2PA: é assim que a procedência some em silêncio. Uma marca no domínio do pixel está espalhada pelos próprios dados da imagem e costuma sobreviver a redimensionamento, corte e recodificação.

Como saber se uma foto foi gerada por IA?

De forma confiável, não dá, e nenhuma checagem isolada resolve. Um manifesto C2PA é prova forte quando está presente, mas falta em quase tudo publicado nas redes porque o upload o remove, então a ausência não prova nada. Detectores inferem a partir de artefatos e erram o bastante para não valerem como prova.

É legal remover os metadados de uma foto antes de publicar?

Com fotos suas, em geral sim, e é o padrão sensato antes de publicar imagens pessoais, já que o EXIF pode carregar coordenadas GPS. A restrição real é contratual, não criminal: contratos de imprensa, banco de imagens e cliente costumam exigir que os campos IPTC de crédito e direitos fiquem intactos, e a Lei de IA da UE espera que conteúdo gerado mantenha sua marca legível por máquina.

O que mudar no seu fluxo de trabalho neste mês

Três coisas, na ordem do que custam.

Assuma que seus metadados já se foram. Se procedência importa num trabalho, o manifesto embutido não é a cópia em que você confia. Guarde o original e o registro na nuvem.

Separe as duas decisões de remoção. "Tirar dados pessoais antes de publicar" e "preservar crédito e procedência" puxam para lados opostos, e um único ajuste padrão de exportação não atende os dois. Decida por trabalho.

Pare de tratar marcas invisíveis como prova de qualquer coisa, nos dois sentidos. A ausência de marca não significa que a imagem é real, e a presença só prova qual ferramenta a escreveu. Se você quer entender o que um modelo de segmentação faz de verdade com seus pixels antes de discutir o que carimbaram neles, a explicação do U2-Net é a versão honesta.

A história do Paint não é sobre o Paint. É o primeiro exemplo amplamente lido de ferramentas de imagem gravando nos seus arquivos dados que você não pediu, não consegue ver e não foi informado. Esse padrão vai se repetir, e a única defesa duradoura é saber olhar.