Paint의 보이지 않는 워터마크, 로컬 AI의 프라이버시 착시

로컬 생성인데 서버 GUID가 이미지 안에 남는다

Xusheng Li의 역공학 글 Microsoft Paint and Photos Embed Server-Issued GUIDs as Invisible Watermarks in Locally-Generated Images는 Copilot+ PC 시대의 온디바이스 AI가 얼마나 복합적인 구조인지 잘 보여준다. 글에 따르면 Paint의 Cocreator는 이미지 생성을 로컬 NPU에서 수행할 수 있지만, 프롬프트는 원격 moderation 서비스로 보내지고 서버는 promptGenerationId와 watermarkId를 반환한다. Paint는 이 GUID를 보이지 않는 픽셀 워터마크로 삽입한다.

Microsoft는 Image Creator 지원 문서에서 콘텐츠 필터링과 C2PA 매니페스트 제공을 설명한다. C2PA 사양은 생성물의 출처와 변경 이력을 서명된 매니페스트로 표현하는 표준이다. 문제는 사용자가 "로컬 생성"이라는 문구를 볼 때 기대하는 프라이버시 범위와 실제 데이터 흐름이 다를 수 있다는 점이다. 로컬 추론은 전체 작업의 일부일 뿐이다.

워터마크는 투명성 도구이자 추적 도구다

AI 워터마크는 악성 합성물을 줄이고 출처를 밝히는 데 필요하다. 그러나 보이지 않는 식별자가 개별 생성 요청과 연결되면 사용자에게는 추적 가능성의 문제로 다가온다. 특히 글은 Paint의 보이지 않는 워터마크와 C2PA soft binding 값이 같은 서버 발급 GUID와 연결된다고 분석한다. 이는 파일 메타데이터가 제거되어도 픽셀 수준에서 출처 신호를 복구하려는 설계로 볼 수 있다.

AI 워터마크, 사용자는 거의 구분하지 못했다는 워터마크가 기술적으로 존재해도 사용자가 신뢰 신호로 읽기 어렵다는 점을 지적했다. AI 탐지기 불신, 출처 증명의 시장이 열린다는 탐지기보다 출처 증명이 더 중요한 시장이 열린다고 봤다. Google HEIR, 암호화 추론을 제품 옵션으로 끌어내리다는 프라이버시 보장이 제품 기능으로 내려오는 흐름을 짚었다. Microsoft 사례는 이 세 흐름이 충돌하는 지점이다.

한국 제품은 "온디바이스" 문구를 조심해야 한다

한국에서도 스마트폰, PC, 자동차, 가전 제품에 온디바이스 AI라는 표현이 빠르게 붙고 있다. 하지만 소비자와 기업 고객은 그 문구를 "데이터가 밖으로 나가지 않는다"로 받아들이기 쉽다. 실제 구현은 더 자주 혼합형이다. 추론은 로컬에서 하고, 정책 판단은 서버에서 하며, 결과물 서명은 클라우드에서 처리하고, 로그는 abuse monitoring을 위해 보관될 수 있다.

개발팀은 마케팅 문구보다 데이터 흐름표를 먼저 만들어야 한다. 프롬프트, 스케치, 이미지, 생성 ID, 디바이스 ID, 사용자 계정, 워터마크 값, C2PA 매니페스트가 각각 어디에서 생성되고 어디로 전송되는지 써야 한다. Content Authenticity Initiative가 말하는 콘텐츠 출처 생태계도 결국 사용자가 이해할 수 있는 공개 설명 없이는 신뢰를 얻기 어렵다.

경쟁 구도는 성능보다 설명 가능한 출처로 이동한다

AI 이미지 도구 경쟁은 한동안 품질, 속도, 스타일 수로 설명됐다. 이제는 생성물이 어느 모델에서 나왔는지, 어떤 정책을 통과했는지, 누가 검증할 수 있는지, 사용자가 어떤 추적을 거부할 수 있는지가 제품 차별화가 된다. Microsoft는 Windows 기본 앱에 출처 인프라를 깊게 넣을 수 있는 위치에 있다. Adobe, Google, Apple, 오픈소스 이미지 도구는 각각 다른 신뢰 모델을 내세울 것이다.

로컬 LLM 품질, 모델보다 실행 스택이 흔든다는 로컬 AI의 품질이 모델 파일만으로 결정되지 않는다고 봤다. 이미지 생성도 마찬가지다. 로컬 모델, moderation 서비스, 워터마킹 DLL, C2PA 서명 서버, 파일 저장 형식이 한 제품 경험을 만든다. 사용자는 "로컬"이라는 단어 하나가 아니라 전체 스택의 계약을 봐야 한다.

자주 묻는 질문

Q1: 보이지 않는 워터마크가 무조건 나쁜가요?

A: 아니다. 합성 이미지 출처를 확인하고 남용을 줄이는 데 유용할 수 있다. 다만 사용자가 존재와 목적, 데이터 보존 방식을 이해할 수 있어야 한다.

Q2: 로컬 생성이면 프롬프트가 서버로 가지 않아야 하나요?

A: 제품 설계에 따라 다르다. 다만 서버 moderation이 있다면 "추론은 로컬, 정책 판단은 원격"처럼 정확히 설명해야 한다.

Q3: C2PA와 보이지 않는 워터마크는 같은 것인가요?

A: 아니다. C2PA는 파일에 들어가는 서명된 출처 매니페스트이고, 보이지 않는 워터마크는 픽셀 자체에 신호를 숨기는 방식이다. 둘은 연결될 수 있다.

Q4: 개발자가 배울 점은 무엇인가요?

A: AI 결과물의 저장 경로를 단순 파일 저장으로 보지 말고, 출처, 워터마크, 메타데이터, 사용자 고지, 삭제 정책까지 포함해 설계해야 한다.

Q5: 한국 기업이 특히 조심할 표현은 무엇인가요?

A: "완전 로컬", "프라이빗", "오프라인" 같은 표현이다. 실제로 외부 호출이 있다면 호출 목적과 전송 데이터를 함께 밝혀야 한다.