AI PC離線生圖是假的？微軟小畫家遭爆強制連網審查，還在圖片深處植入隱形浮水印

資安研究人員最新逆向工程調查發現，微軟（Microsoft）Windows 系統內建的「小畫家（Paint）」與「相片（Photos）」應用程式，在調用本機 NPU 進行 Stable Diffusion 圖像生成時，背後存在一套強制連網審查機制，並會在生成圖片的像素深處植入肉眼完全無法辨識的「像素級盲浮水印」，即使使用者對圖片進行截圖、二次壓縮或局部裁剪，微軟依然能夠精準辨識其 AI 出處。

「本地端生成」並非純離線：生圖前必須回傳微軟伺服器審查

許多使用者原先預期，搭載專屬神經網路處理器（NPU）的 AI PC 能夠完全在離線環境下進行隱私安全的本地生圖。然而深入的研究分析指出，小畫家應用程式中的「Cocreator」圖像生成功能，雖然確實是利用本地端安裝的 Stable Diffusion 模型在使用者電腦上跑圖，但整個執行流程卻受到微軟雲端伺服器的嚴密控制。

在 AI 運算正式啟動之前，小畫家應用程式會強制將使用者輸入的提示詞（Prompt）以及所選擇的藝術風格，先行回傳至微軟伺服器進行內容安全審核。伺服器完成檢驗後，會向本地端客戶端回傳三項核心資料：
1. 修改與過濾後的提示詞
2. 提示詞生成 ID（Prompt Generation ID）
3. 專屬浮水印識別碼（Watermark ID）

只有在本地端客戶端成功接收到這些遠端回傳的授權參數後，系統才會正式調用 NPU 硬體單元在本地端完成圖像渲染與合成。而在圖片生成完畢的第一時間，小畫家便會立即調用內建的盲浮水印控制元件（Watermark Control），將伺服器發給的 16 位元組（16-byte）浮水印參數直接寫入影像的底層像素結構中。

16 位元組 GUID 寫入底層：超過 19 萬個像素遭到細微修改

透過逆向工程進一步拆解微軟的盲浮水印演算法，研究人員揭露了該機制的高複雜度：系統會將 16 位元組的 GUID 全域唯一識別碼擴展為 144 位元（144-bit）的特徵數據，接著分散對圖像的多個不同資料區塊進行細微的色值擾動以完成隱形嵌入。

在針對一張標準 512×512 像素解析度的生成影像測試中，研究人員比對原始渲染結果與最終輸出檔後發現，在微軟盲浮水印演算法寫入之後，整張圖片竟然有超過 19 萬個像素發生了肉眼難以察覺的細微變化。

更耐人尋味的是微軟對該機制的強硬態度：在小畫家應用程式中，如果系統因故無法成功將盲浮水印寫入像素，整趟 AI 圖片生成任務將會被直接判定為「失敗」，完全不會將未加浮水印的原始圖片交付給使用者。這項設計印證了微軟已將「盲浮水印標記」視為本地生成流程中不可妥協的強制性閉環環節。

C2PA 元數據加 InvisMark 雙層防護：截圖與裁剪皆無法完全抹除

除了直接竄改影像像素之外，小畫家與相片程式也會依據內容真實性倡議標準，為生成的 PNG 或 JPEG 檔案注入行業通用的 C2PA（Coalition for Content Provenance and Authenticity）內容憑證元數據。

在檢查實際產出的檔案架構時，研究團隊發現其 C2PA 清單不僅明確記載了該影像是由 AI 生成，更完整記錄了名為 Microsoft InvisMark 的盲浮水印技術資訊。值得注意的是，C2PA 中記錄的浮水印數值，與先前伺服器回傳並實際打入像素矩陣的 Watermark ID 彼此完全一致。

這意味著微軟為 Windows 本地端 AI 內容建構了「雙層來源證明架構」：
- 第一層（外顯憑證）：標準 C2PA 元數據，方便相容平台直接讀取版權與產生歷程。
- 第二層（底層防線）：深度隱匿於像素內的 InvisMark 盲浮水印，專門防範使用者刻意剝離 EXIF/C2PA 元數據。

即使使用者透過第三方去標工具移除了檔案中的 C2PA 標籤，或是透過螢幕截圖、二次重繪、局部裁剪等方式嘗試洗掉數位指紋，只要影像的主要紋理特徵依然存在，微軟的特定檢測演算法依然能從剩餘像素特徵中重組還原出當初寫入的 144 位元特徵碼，精確追溯其源自微軟 Windows 生態系。

此外，微軟「相片」應用程式中的 AI 影像生成與風格轉換功能亦採用了同一套盲浮水印機制，差別僅在於容錯策略：小畫家在浮水印寫入失敗時會徹底中斷並報錯，而相片程式則會在背景記錄錯誤日誌後，仍舊將生成圖片傳回給使用者。這項技術的普及，也再次引發了社群對於本機 AI 運算隱私權與端點審查機制的熱烈探討。