Thủy vân vô hình: file ảnh của bạn mang gì trong năm 2026

Cập nhật lần cuối: 27 tháng 8 năm 2026

Ngày 24 tháng 8, một lập trình viên công bố kết quả dịch ngược Watermarker.dll, thư viện mà Microsoft Paint nạp vào mỗi khi bạn dùng tính năng ảnh AI của nó. Phát hiện: mọi ảnh Paint tạo ra đều mang một mã định danh 16 byte mà mắt thường không thấy, do máy chủ Microsoft cấp và được ghi vào khoảng ba phần tư số điểm ảnh. Chủ đề trên Hacker News đạt 853 điểm cùng 433 bình luận chỉ trong một ngày. Phần lớn bài viết sau đó đã nén một chi tiết thành cái tít mà nghiên cứu không hề chống lưng, và đính chính đó còn đáng nói hơn chính bản tin.

Câu trả lời nhanh: bên trong một file ảnh năm 2026 có gì?

Thủy vân vô hình là tín hiệu được mã hóa ngay trong giá trị điểm ảnh: phần mềm đọc được, mắt người thì không.

Dùng mô hình hai lớp cho dễ hình dung. Một tấm ảnh có thể mang thủy vân ở miền điểm ảnh, trải khắp dữ liệu ảnh, sống sót qua cắt cúp, đổi kích thước và mã hóa lại. Nó cũng có thể mang một manifest metadata - thông tin xác thực nội dung C2PA, EXIF, IPTC, XMP - vốn chỉ là khối byte nhỏ gắn thêm vào file và bị gần như mọi thao tác xuất file phá hủy.

Paint ghi cả hai lớp. Mạng xã hội bóc lớp thứ hai ngay khi tải lên. Một lần chuyển định dạng bình thường cũng làm y hệt, mà chẳng cảnh báo gì: tôi đã đo lại sau khi cho ảnh bìa của bài này chạy qua cwebp -q 80, toàn bộ 749 byte metadata biến mất, chỉ còn đúng một khối VP8. Thủy vân điểm ảnh thì vẫn nguyên vẹn sau đúng hành trình đó.

Microsoft thực sự đã nhét gì vào trong một tấm ảnh Paint?

Cơ chế đủ cụ thể để kể thẳng ra. Paint gửi câu lệnh của bạn tới một endpoint kiểm duyệt của Microsoft. Phản hồi có vài trường, một trong số đó là watermarkId, chính là một GUID. Paint lấy 16 byte ấy, thêm một byte đánh dấu ở đầu và một checksum ở cuối để thành thông điệp 18 byte, mở rộng lên 144 bit rồi ghi vào ảnh bằng thuật toán khối thích ứng theo nội dung. Với ảnh 512x512, thao tác này chạm vào khoảng 193.376 trong tổng số 262.144 điểm ảnh, tức gần 74%.

Cũng chính GUID đó được ghi lần thứ hai, dưới dạng metadata. Ở đầu ra PNG, nó nằm trong chunk caBX như một manifest C2PA đã ký, gắn nhãn liên kết mềm với tên thuật toán com.microsoft.invismark.1. Đó là lý do Paint chỉ lưu kết quả AI sang các định dạng tương thích C2PA. BMP bị loại vì trong file BMP đơn giản là không có chỗ đặt manifest.

Có ba chi tiết hành vi rất dễ bỏ sót:

• Ở Paint, việc đóng dấu là bắt buộc. Hỏng bước này thì cả lượt sinh ảnh coi như hỏng, bạn không nhận được gì.
• Ở Photos, cơ chế GUID vẫn chạy, nhưng lỗi chỉ được ghi vào log còn ảnh chưa đóng dấu vẫn trả về bình thường.
• Trên máy Copilot+, mô hình khuếch tán chạy cục bộ trên NPU, vậy mà câu lệnh vẫn phải bay tới Microsoft để lấy GUID. Sinh ảnh cục bộ không đồng nghĩa toàn bộ thao tác là cục bộ.

Đây là chỗ báo chí đi xa hơn bằng chứng. Nhiều nơi đóng khung câu chuyện thành thủy vân "gắn với ID người dùng". Thứ mà nghiên cứu gốc cho thấy là một GUID buộc vào promptGenerationId, cộng thêm trường lastPromptGenerationId cho phép nối các câu lệnh liên tiếp trong cùng một phiên. Nó không chứng minh có ánh xạ từ GUID sang tài khoản Microsoft. Nối trong một phiên không phải là định danh cá nhân. Vấn đề riêng tư vốn đã đủ nặng mà không cần thổi phồng, và chính sự chính xác này phân biệt một cảnh báo hữu ích với một màn hù dọa.

Vì sao mọi công cụ ảnh bỗng quan tâm tới nguồn gốc?

Là chuyện thời điểm. Nghĩa vụ minh bạch trong Đạo luật AI của EU, điều 50, đã có hiệu lực thi hành từ ngày 2 tháng 8 năm 2026. Nhà cung cấp hệ thống sinh nội dung phải gắn dấu máy đọc được lên nội dung tổng hợp và bảo đảm dấu đó phát hiện được. Mức phạt lên tới 15 triệu euro hoặc 3% doanh thu toàn cầu hằng năm. Các hệ thống đã có trên thị trường trước mốc đó được gia hạn đến ngày 2 tháng 12 năm 2026.

Luật miễn trừ cho công cụ chỉ đóng vai trò hỗ trợ chỉnh sửa và không làm thay đổi đáng kể dữ liệu đầu vào. Công cụ tách nền hay đổi kích thước nằm trong diện miễn trừ. Công cụ sinh ảnh thì không.

Hãy để ý khoảng cách giữa thứ luật đòi hỏi và thứ Paint giao ra. Điều 50 yêu cầu một dấu phát hiện được, nói rằng thứ này do máy làm ra. Còn một mã định danh do máy chủ cấp riêng cho từng lượt sinh thì nói nhiều hơn thế đáng kể, và chẳng điều khoản nào bắt phải chi tiết đến vậy.

Cái gì sống sót sau khi tải lên, cái gì bị bóc mất?

Đây mới là phần đánh sập cả dự án truy vết nguồn gốc, và nó đo được chứ không phải lý thuyết suông. Việc bóc metadata trên các nền tảng lớn gần như là tuyệt đối. Khi Instagram, X, LinkedIn, TikTok hay Facebook mã hóa lại file bạn tải lên, manifest C2PA đi theo EXIF luôn.

Con số của riêng tôi, trên một file: ảnh JPEG gốc nặng 349.276 byte và mang ba đoạn metadata, gồm 190 byte EXIF, 470 byte XMP và 89 byte IPTC. Sau khi chuyển đổi, file WebP còn 127.818 byte với đúng một khối VP8, không còn chunk EXIF, XMP hay ICC nào. Không có lời cảnh báo nào cả. Nếu file đó từng mang thông tin xác thực nội dung, lần chuyển đổi này cũng sẽ phá hủy nó lặng lẽ y như vậy. Mọi công cụ chuyển đổi ảnh hay công cụ nén ảnh đều hành xử như thế theo mặc định: tốt cho quyền riêng tư, chí mạng cho truy vết nguồn gốc.

Câu trả lời của ngành có tên Durable Content Credentials: xuất bản manifest lên một bản ghi đám mây để vẫn đối chiếu được file kể cả khi bản nhúng đã mất. Cách này chạy được, và cũng có nghĩa việc xác minh từ nay phụ thuộc vào một bên thứ ba còn online.

Chỉnh sửa ảnh năm 2026 còn hỏng ở đâu?

Nguồn gốc là cuộc tranh luận mới. Còn những lời than cũ thì vẫn y nguyên.

Tóc, lông và mép mảnh. Trong bài so sánh xử lý hàng loạt đăng trước đây trên trang, một bộ 240 ảnh sản phẩm đã chạy qua ba công cụ, và ngay cả đường nhanh nhất vẫn cần sửa mép thủ công ở khoảng 8% số khung. Tóc chính là chỗ khối việc dọn dẹp đó dồn lại, và lý do nằm ở cấu trúc chứ không phải mô hình lười.

Điểm ảnh ở mép là điểm ảnh pha trộn: một pixel có thể chứa đồng thời một sợi tóc, một mảng bóng và một khối JPEG, nên công cụ tách nền chỉ đưa ra xác suất còn ngưỡng cắt quyết định giữ sợi tóc hay xén đi. Triệu chứng nhìn thấy được là quầng màu nhạt, mà chẳng ai để ý cho tới khi ảnh tách nền nằm trên một slide nền sáng.

Công cụ phóng to hay bịa chi tiết. Kiểu hỏng ở đây không phải mờ, mà là tự tin. Đưa một ảnh gốc nhòe cho công cụ phóng to ảnh, nó sẽ chế ra lỗ chân lông, lông mi, sợi vải, vân gỗ và cạnh kiến trúc, nhìn thoáng qua thì rất thuyết phục. Khuôn mặt lãnh đủ nhất, vì tiên nghiệm về mặt người rất mạnh: mắt trở nên cân đối hơn, cánh mũi đổi dáng, viền môi được mài sắc thành một cái miệng khác. Với album gia đình thì đó là phiền toái. Với bất kỳ tấm ảnh nào phải ghi lại sự thật thì đó là vấn đề.

Làm sao kiểm tra ảnh của chính bạn đang mang gì?

Không cần phòng thí nghiệm. Năm phút với những file bạn sắp đăng:

1. Mở file bằng bất kỳ trình xem EXIF nào, hoặc chạy exiftool -G1 -a filecuaban.jpg, rồi đọc xem thực sự có gì trong đó.
2. Tìm riêng tọa độ GPS. Ảnh từ điện thoại luôn có, và ảnh chụp bản đồ không phải đường rò rỉ duy nhất.
3. Nếu ảnh ra từ công cụ sinh ảnh, xem nó lưu PNG hay JPEG thay vì BMP. Lựa chọn định dạng đã là dấu hiệu có manifest.
4. Chuyển đổi một bản sao rồi so số byte. File hụt nhiều hơn mức dữ liệu điểm ảnh giải thích được là đã mất metadata.
5. Chủ động quyết định giữ lớp nào, rồi chọn kiểu xuất file tương ứng.

Một nguyên tắc ngắn gọn, đủ cho hầu hết tình huống:

• Ảnh cá nhân: xóa sạch. Một lần chuyển sang WebP là xong, miễn phí.
• Việc cho khách hàng hoặc báo chí: giữ phần ghi công và bản quyền trong IPTC, bỏ GPS.
• Tác phẩm có AI hỗ trợ, phát hành ở EU: giữ manifest và đừng xuất lại bằng công cụ âm thầm vứt nó đi.
• Lưu trữ ảnh gốc: để nguyên file gốc, mọi thao tác dọn dẹp làm trên bản sao.
• Nếu muốn dấu nhìn thấy được: hướng dẫn đóng thủy vân nói về vị trí và độ mờ, còn hướng dẫn gỡ thủy vân nói rõ cái gì cứu được và cái gì không.

Câu hỏi thường gặp

Paint có đóng thủy vân lên mọi ảnh nó tạo ra không?

Chỉ những ảnh làm bằng tính năng AI. Một tấm ảnh bạn mở ra, cắt cúp rồi lưu lại thì không bị đánh dấu. Còn khi Paint sinh ảnh, việc đóng dấu là bắt buộc: nếu bước này hỏng, Paint vứt luôn kết quả chứ không đưa bạn file chưa đánh dấu. Ứng dụng Photos của Windows dùng đúng cơ chế đó nhưng vẫn trả ảnh về kể cả khi đóng dấu thất bại.

Đổi kích thước hay chuyển định dạng có xóa được thủy vân vô hình không?

Nó xóa lớp metadata, không xóa lớp điểm ảnh. Chuyển JPEG sang WebP, hay thu nhỏ cho web, đều làm rơi EXIF, IPTC và mọi manifest C2PA, và nguồn gốc biến mất lặng lẽ đúng theo đường đó. Thủy vân ở miền điểm ảnh nằm ngay trong dữ liệu ảnh nên thường sống sót qua thu phóng, cắt cúp và mã hóa lại.

Làm sao biết một tấm ảnh có phải do AI tạo ra?

Không có cách nào chắc chắn, và không một phép kiểm tra đơn lẻ nào kết luận được. Manifest C2PA nếu còn là bằng chứng mạnh, nhưng hầu hết nội dung đăng trên mạng xã hội đều không còn vì lúc tải lên đã bị bóc, nên việc thiếu nó không chứng minh điều gì. Công cụ dò tìm suy đoán từ dấu vết và sai đủ nhiều để không thể coi là bằng chứng.

Xóa metadata khỏi ảnh trước khi đăng có hợp pháp không?

Với ảnh của chính bạn thì thường là được, và đó là lựa chọn hợp lý trước khi đăng ảnh cá nhân, vì EXIF có thể mang theo tọa độ GPS. Ràng buộc thật sự nằm ở hợp đồng chứ không phải hình sự: thỏa thuận với báo chí, kho ảnh và khách hàng thường yêu cầu giữ nguyên phần ghi công và bản quyền trong IPTC, còn Đạo luật AI của EU thì yêu cầu nội dung do AI tạo phải giữ được dấu máy đọc được.

Tháng này nên đổi gì trong quy trình của bạn

Ba việc, xếp theo mức tốn công.

Mặc định coi như metadata đã mất. Nếu nguồn gốc thực sự quan trọng với một công việc, manifest nhúng trong file không phải bản để bạn dựa vào. Hãy giữ file gốc và bản ghi trên đám mây.

Tách bạch hai quyết định xóa. "Bỏ dữ liệu cá nhân trước khi đăng" và "giữ ghi công cùng nguồn gốc" kéo về hai hướng ngược nhau, và một thiết lập xuất file mặc định không thể phục vụ cả hai. Quyết theo từng việc.

Đừng coi dấu vô hình là bằng chứng cho bất cứ điều gì, theo cả hai chiều. Không có dấu không có nghĩa ảnh là thật, còn có dấu chỉ chứng minh công cụ nào đã ghi nó. Nếu muốn hiểu mô hình phân đoạn thực sự làm gì với từng điểm ảnh trước khi tranh cãi xem người ta đóng dấu gì lên đó, bài giải thích U2-Net là phiên bản thành thật.

Câu chuyện Paint thật ra không nói về Paint. Nó là ví dụ đầu tiên được đọc rộng rãi về việc công cụ ảnh ghi vào file của bạn những dữ liệu bạn không yêu cầu, không nhìn thấy và cũng không được báo trước. Khuôn mẫu này sẽ còn lặp lại, và phòng thủ bền vững duy nhất là biết cách nhìn.