- Windows標準の「ペイント」と「Microsoftフォト」が、AIで作った画像に見えない透かしを埋め込んでいた
- 透かしの中身は、Microsoftのサーバーが発行した16バイトのGUID（画像ごとに違う識別番号）
- ローカル生成のはずのCopilot+ PCでも、入力した指示文はサーバーに送られていた
- 512×512の画像では、26万画素のうち約19万画素が書き換えられていた
- Microsoftが指示文とアカウントを結びつけていれば、画像1枚から作った人にたどり着ける可能性がある
自分がパソコンで作った画像に、知らないうちに「自分だけの番号」が刻まれていたら、どう感じますか。2026年8月、Windowsに最初から入っている「ペイント」でそれが起きていた、という調査結果が公開されました。何が埋め込まれ、なぜ個人特定の話につながるのか。技術のしくみから日本への影響まで、順を追ってほどいていきます。
Windowsの「ペイント」で何が見つかったのか
調査を公開したのは、リバースエンジニアリングツールを開発するVector 35のソフトウェア開発者、シュシェン・リー（Xusheng Li）氏です。
リー氏は2026年8月20日、自身のブログで解析結果を公開しました。The Registerが8月25日に報じ、日本ではGIGAZINEが同日夜に伝えたことで一気に広まりました。
対象になったのは2つのアプリです。Windows付属の「ペイント」（バージョン11.2605.71.0）と「Microsoftフォト」（バージョン2026.11060.2004.0）です。
どちらもWindowsに最初から入っている、いわば「みんなが使う道具」です。専門家向けの有料ソフトではありません。
きっかけは「なぜか通信している」という違和感
ペイントには、文章で指示すると絵を描いてくれるAI機能（Cocreator）があります。
Copilot+ PCと呼ばれる高性能なパソコンなら、この処理は手元で完結する——多くの人はそう理解していました。
ところがリー氏が通信を追いかけると、ローカル生成のはずなのに、入力した指示文がMicrosoftのサーバーへ送られていたことが分かりました。
送信先はapsaiservices-a0fqcjc6bzbhgdcd.b02.azurefd.netという、AzureのCDN経由のエンドポイントでした。
見えない透かしの正体は144ビットのGUID
サーバーは指示文を受け取ると、不適切な内容がないかを判定します。そのうえで4つの値を返してきます。
revisedPrompt：内容を調整したあとの指示文promptGenerationId：その生成をあらわす識別番号watermarkId：画像に埋め込む透かしの中身containsHumanReference：人物の描写を含むかどうか
問題になっているのは3つ目のwatermarkIdです。
その正体は16バイト（128ビット）のGUIDでした。GUIDとは、世界中で重複しないように作られた長い識別番号のことです。
実際に観測された値は83424621-03cb-40e3-9808-a9fae837156dのような形をしています。
画素そのものを書き換えて隠している
この番号は、ファイルの「おまけ情報」として付くのではありません。画像そのものの色に混ぜ込まれます。
手順はこうです。まず先頭に0x4cを、末尾に検算用の1バイトを足して18バイトにします。これを1ビットずつ、合計144ビットに展開します。
そして各ビットを、画像のあちこちに最低3回ずつ書き込みます。1か所が壊れても読み取れるようにする、保険のような設計です。
埋め込み方式にはC2PAマニフェスト内でcom.microsoft.invismark.1という名前が付けられており、画像のブロックごとに特異値分解に似た行列計算を行う仕組みだと解析されています。
影響範囲は小さくありません。512×512ピクセルの検証画像では、全26万2144画素のうち19万3376画素、およそ74%が書き換わっていました。
色の変化はごくわずかなので、人の目では気づけません。なお、192×192ピクセルより小さい画像には埋め込めない仕様です。
なぜ「個人を特定できる」と言われるのか
ここからが本題です。透かしそのものに、名前やメールアドレスが入っているわけではありません。
問題は、同じGUIDが3つの役割を同時に担っている点にあります。
- 画像に埋め込まれる透かしの中身
- C2PAマニフェストの
c2pa.soft-bindingに記録される値 - サーバー側で指示文を管理するための識別番号
つまり、画像に刻まれた番号と、サーバーに残った指示文の記録が、同じ鍵でつながっているということです。
もしMicrosoftが「どのアカウントがどの指示文を送ったか」を保存していれば、話は変わります。流出した画像を1枚拾うだけで、作った人をたどれる理屈になるからです。
この構図は、カラープリンターが印刷物に薄い黄色の点を打ち、機体を識別できるようにしていた仕組みとよく似ています。当時もプライバシー団体が強く反発しました。
Microsoftの説明とどこがズレているのか
Microsoftは、C2PA（コンテンツの来歴を記録する業界規格）に対応していること自体は公表しています。同社はC2PAを立ち上げた中心メンバーの一社です。
リー氏が問題視しているのは、そこに書かれていない部分です。
具体的には、C2PAマニフェストの中に利用者の指示文と結びついたGUIDが入ること、そしてローカル生成でもサーバーと通信していることが説明されていません。
The Registerの取材に対し、Microsoftは記事公開時点でコメントを出していません。
SynthID・C2PAとの違いを整理する
「AI画像に印を付ける」取り組み自体は、いま各社が競うように進めています。ただし方式はバラバラです。
主要な3つの方式
C2PA（Content Credentials）は、ファイルの付帯情報として来歴を署名付きで記録する規格です。OpenAI、Adobe Firefly、Microsoft Copilot、TikTok、Meta AIのほか、カメラメーカーも採用しています。
弱点は消えやすさです。SNSにアップロードしたり、スクリーンショットを撮ったりすると、付帯情報ごと失われます。
SynthIDはGoogleが開発した、画素に信号を埋める方式です。2026年時点でGoogleのAI生成物のほぼ100%に入っており、再圧縮や軽い編集を経ても95〜99%の検出率を保つとされています。OpenAIも2026年5月19日に採用を発表しました。
ただしSynthIDは外部にライセンスされておらず、検出ツールを誰でも自由に使えるわけではありません。
Content SealはMetaが独自に作った方式です。既存の2つがあるにもかかわらず、あえて別路線を選びました。
今回の件が違うのは「番号の中身」
SynthIDやContent Sealが埋めるのは、基本的に「AIが作りました」という事実です。
一方でMicrosoftが埋めたのは、1枚ごとに違う、生成リクエストと紐づいた固有番号でした。
AI由来かどうかを示すだけなら、全画像で共通の印で足ります。個別の番号は、追跡という別の性質を持ち込みます。ここが今回いちばん議論になっている点です。
日本のユーザーと企業への影響
日本のWindows利用者にとって、これは他人事ではありません。ペイントもフォトも、日本語環境にそのまま入っているからです。
身近な場面を3つ想像してみてください。
まず、地方の小さな工務店の担当者が、チラシ用のイラストをペイントのAI機能で作ったとします。そのチラシは印刷され、PDFにもなり、社名と一緒に地域へ配られます。画像には固有番号が残ったままです。
次に、匿名でイラストを投稿している学生を考えます。作品づくりの下地にペイントのAI機能を使い、そのまま投稿すれば、同じ番号を持つ画像が複数出回ることになります。番号が一致すれば、別名義の作品同士が同一人物のものだと推測されかねません。
最後に、社内資料をよく作る総務担当者です。挿絵をAIで作って社外向け提案書に貼った場合、その資料が転送されるたびに番号も一緒に旅をします。
規制の面ではどうか
日本では2025年5月に成立したAI推進法が土台になっています。ただし罰則を伴う規制ではなく、ガイドライン型の設計です。
AI事業者ガイドラインでは、AIで作ったコンテンツであることを利用者に開示することが「望ましい」と位置づけられています。電子透かしなど機械が読み取れる印の具体的な運用は、2026年後半以降に検討が進む段階だと言われています。
欧州はもう一歩進んでいます。2026年6月に欧州委員会とAI Officeが透明性に関する行動規範を公表し、7月には最終ガイダンスが出ました。そこでは有効性・相互運用性・堅牢性・信頼性が重視されています。
皮肉なのは、Microsoftの実装が「規制が求める水準を上回っている」点です。求められているのはAI由来の明示であって、個人にたどり着ける番号ではありません。
自分の画像を確かめる3つの方法
気になる人が今すぐできることを整理します。
1つ目はC2PAビューアーでの確認です。Content Credentials Verifyなどのサイトに画像をアップロードすると、来歴情報が付いているかを見られます。ペイントで作った画像なら、生成元やGUIDの記録が確認できるはずです。
2つ目は付帯情報の削除です。メタデータを取り除けばC2PAの記録は消えます。ただし注意が必要です。画素に埋め込まれた透かしのほうは、これでは消えません。
3つ目は使うツールを分けることです。追跡されたくない用途では、来歴の扱いを明記している別のツールを選ぶ、あるいはAI機能を使わずに自分で描くという選択が残ります。
ちなみに、画像を大きく加工したり強く圧縮したりすれば透かしは壊れる可能性があります。ただし各ビットが3か所以上に書かれているため、軽い編集では残ると考えるのが安全です。
よくある質問（FAQ）
Q1. ペイントで普通に描いた絵にも透かしは入りますか？
いいえ。対象はAI機能で生成・編集した画像です。マウスで自分で描いただけの絵には埋め込まれません。
Q2. Microsoftは違法なことをしているのですか？
現時点で違法と断定された事実はありません。論点は「説明が十分だったか」という透明性の問題です。C2PA対応自体は公表されていましたが、GUIDの性質やサーバー通信は説明されていませんでした。
Q3. 透かしを完全に消す方法はありますか？
付帯情報は削除できますが、画素に埋め込まれた分は簡単には消えません。大幅なリサイズや再描画で壊れる可能性はありますが、確実な方法は確認されていないため「消せる前提」で考えないほうが安全です。
Q4. Copilot+ PCならローカル処理だから安心では？
今回の調査ではその前提が崩れました。画像の生成自体は手元で行われても、指示文はサーバーに送られ、透かしの番号もサーバーから返ってきていました。
Q5. 他社のAI画像ツールも同じことをしていますか？
多くはC2PAやSynthIDで「AI由来」を示していますが、1枚ごとに異なる生成リクエスト由来の番号を埋める例は確認されていません。そこが今回の特殊な点です。
まとめ
- Windowsの「ペイント」と「Microsoftフォト」が、AI生成画像に見えない透かしを埋め込んでいたことが判明した
- 透かしの中身はMicrosoftのサーバーが発行した16バイトのGUIDで、144ビットに展開して画素に書き込まれている
- 512×512の画像では約74%にあたる19万3376画素が書き換えられていた
- ローカル生成をうたうCopilot+ PCでも、指示文はサーバーへ送信されていた
- 同じ番号が指示文の管理IDも兼ねるため、記録が残っていれば作成者の特定につながりうる
- Microsoftは記事公開時点でコメントを出していない
まずは自分が過去にペイントのAI機能で作った画像を1枚、C2PAビューアーにかけて中身を確かめてみてください。仕組みを知ったうえで使うかどうかを選ぶことが、いちばん現実的な自衛策になります。
参考文献
- Microsoft Paint and Photos Embed Server-Issued GUIDs as Invisible Watermarks in Locally-Generated Images – Xusheng Li
- Microsoft AI watermarks in Paint and Photos are linked to user IDs, researcher finds – The Register
- WindowsのペイントとMicrosoftフォトのAI生成画像に不可視の電子透かしが埋め込まれていると判明 – GIGAZINE
- OpenAI、Googleの「SynthID」を採用 「C2PA」と組み合わせAI生成画像の来歴証明を強化 – ITmedia AI+
- Meta’s Content Seal vs Google’s SynthID: A Watermark War – TechBuzz
こんな時代だから遊んで学びたい
AIを学ぶオンラインサロン「AIフレンズ」では、生成AIを楽しく、どこよりも優しく学べる環境をご用意しております。
毎週開催されるオンラインセッションでは、リアルタイムで学び合える機会を提供しています。 さらに、月に一度のオフラインイベントでは、メンバー同士が直接交流し、アイデアや知識を深めることができます。
「AIフレンズ」の仲間とともに、新しい価値を創造し、可能性を広げてみませんか？
一緒に学び、成長しながら、生成AIを使いこなす力を身につけましょう！
