[!IMPORTANT] 한 줄 브리핑: MS Paint와 Photos는 일부 AI 이미지 생성 과정에서 서버 발급 GUID를 결과 픽셀과 출처 정보에 연결할 수 있어, 로컬 추론과 로컬 처리를 구분해 점검해야 합니다.
분야: IT/AI/Security
30초 요약
- Microsoft Paint와 Photos의 일부 AI 이미지 기능은 이미지 추론 자체가 기기에서 수행되더라도 프롬프트를 Microsoft 서버로 보낼 수 있습니다.
- 서버는 이미지 생성 요청과 연결할 수 있는 GUID(Globally Unique Identifier, 전역적으로 고유한 식별자)를 발급하고, 앱은 이를 결과 이미지의 픽셀에 사람이 보기 어려운 형태로 삽입하는 것으로 분석됐습니다.
- Copilot+ PC의 Paint Cocreator는 실제 이미지 추론을 NPU(신경망 처리 장치)에서 수행하지만, 프롬프트 검토와 식별자 발급 등 모든 과정이 기기 안에서 끝난다는 뜻은 아닙니다.
- 따라서 ‘로컬 AI’라는 표현만으로 프롬프트가 외부로 전송되지 않는다고 판단하면 안 됩니다. 업무용 이미지는 생성 전 데이터 분류, 생성 중 네트워크 관찰, 생성 후 출처 정보 확인을 나눠 점검하는 편이 안전합니다.
- 이번 분석은 기능의 내부 동작을 리버스 엔지니어링한 결과입니다. 실제 조직 환경에서 어떤 데이터가 얼마 동안 보관되는지, 모든 버전과 기능에 같은 방식이 적용되는지는 별도 확인이 필요합니다.
무슨 일인가
최근 공개된 분석에 따르면 Windows의 Paint와 Photos에 포함된 AI 이미지 생성 기능은 ‘이미지 생성이 기기에서 실행된다’는 사실과 ‘요청 처리 전체가 기기 안에서 끝난다’는 사실을 구분합니다. Copilot+ PC에서 Cocreator의 추론 단계는 NPU를 사용하지만, 사용자가 입력한 프롬프트는 Microsoft 서버로 전송될 수 있습니다. 서버는 프롬프트 검토와 요청 식별을 수행하고, 결과와 연결되는 GUID를 발급합니다.
그 GUID는 단순히 서버 응답에만 들어가는 것이 아니라 이미지 픽셀에 눈에 보이지 않는 워터마크 형태로 기록되는 것으로 분석됐습니다. 워터마크는 이미지에 글자나 로고를 덧그리는 방식이 아니므로 일반적인 미리보기나 육안 검사로 확인하기 어렵습니다. 분석 자료는 Paint가 16바이트 watermarkId를 이용해 144비트 메시지를 구성하고, 이미지 블록마다 최소 세 차례 기록한다고 설명합니다. 이 수치는 해당 분석에서 확인된 구현 세부사항이며, 모든 Microsoft 이미지 기능이나 모든 버전에 일반화해서는 안 됩니다.
또 다른 분석에서는 이 식별자가 C2PA(Content Credentials, 콘텐츠 출처와 이력을 기록하는 표준 계열) 매니페스트와 연결될 수 있다고 설명합니다. 즉, 이미지 픽셀에 들어간 보이지 않는 신호와 별도의 출처 정보가 함께 사용될 가능성이 제기된 것입니다. 다만 ‘이미지 파일을 가진 누구나 GUID만으로 원래 프롬프트를 조회할 수 있다’거나 ‘모든 이미지가 동일한 서버 기록과 영구적으로 연결된다’고까지 공개 자료가 확인해 주는 것은 아닙니다.
핵심은 ‘추론 위치’와 ‘데이터 처리 위치’가 서로 다른 층위라는 점입니다.
사용자 프롬프트
│
├─ 서버 전송·프롬프트 검토·GUID 발급 가능
│
└─ 기기 NPU에서 이미지 추론
│
└─ 결과 이미지에 보이지 않는 식별 신호 삽입이 구조에서 NPU는 계산을 담당할 뿐입니다. 프롬프트 정책 검토, 요청 식별, 출처 기록처럼 생성 전후의 부가 처리는 네트워크를 거칠 수 있습니다.
왜 중요한가
‘오프라인’과 ‘로컬 추론’을 구분해야 한다
업무에서 로컬 AI라는 표현은 보통 두 가지 의미로 섞여 사용됩니다. 하나는 모델 계산을 기기에서 수행한다는 뜻이고, 다른 하나는 프롬프트와 결과가 외부 시스템으로 나가지 않는다는 뜻입니다. 이번 사례는 첫 번째 조건을 만족해도 두 번째 조건은 별도로 확인해야 한다는 점을 보여줍니다.
예를 들어 사내 제품의 비공개 기능, 아직 발표되지 않은 캠페인 문구, 고객이 제공한 이미지 설명을 프롬프트에 넣는다면 ‘추론이 로컬’이라는 이유만으로 입력 데이터가 안전하다고 결론 내리기 어렵습니다. 프롬프트가 서버에서 검토되거나 식별자와 연결될 수 있기 때문입니다.
이미지 파일도 메타데이터 이상의 흔적을 가질 수 있다
업무 담당자가 파일 속성이나 EXIF 메타데이터만 지우면 생성 흔적이 사라진다고 생각할 수 있습니다. 그러나 이번 분석처럼 식별 정보가 픽셀에 삽입되면 메타데이터 삭제만으로는 충분하지 않을 수 있습니다. 일반적인 편집이나 재인코딩을 거쳤을 때 워터마크가 유지되는지, C2PA 매니페스트가 어떻게 처리되는지는 자료에서 모든 조건이 검증된 것은 아니므로 별도 시험이 필요합니다.
출처 관리와 개인정보 검토가 동시에 필요하다
보이지 않는 워터마크는 AI 생성물임을 확인하거나 출처를 관리하는 데 활용될 수 있습니다. 반면 서버 발급 GUID가 프롬프트 또는 생성 요청과 연결된다면, 이미지가 조직 밖으로 공유될 때 예상하지 못한 추적 가능성이 생길 수 있습니다. 여기서 중요한 것은 워터마크의 존재 자체를 위험 또는 이점으로 단정하는 것이 아니라, 조직이 어떤 연결 정보를 보유하고 누가 접근할 수 있는지 확인하는 것입니다.
업무에 어떻게 쓸까
아래 절차는 특정 도구를 추가로 설치하지 않고도 조직의 AI 이미지 사용 정책을 점검하기 위한 출발점입니다. 핵심은 ‘기능을 믿을 것인가’가 아니라 ‘어떤 데이터가 어느 경로로 움직이는가’를 확인하는 것입니다.
1단계: 입력 데이터를 세 등급으로 나누기
먼저 프롬프트에 넣을 내용을 다음처럼 분류합니다.
- 공개 가능: 이미 공개된 제품 설명, 일반적인 배경 문구, 공개 행사 정보
- 내부용: 공개 전 기능명, 내부 일정, 캠페인 초안, 사내 문서의 요약
- 제한 데이터: 고객 식별 정보, 계약 내용, 인증 정보, 비공개 소스코드, 개인 민감정보
적용 조건은 간단합니다. 네트워크 전송 여부와 보관 정책을 확인하지 못한 AI 이미지 기능에는 ‘내부용’과 ‘제한 데이터’를 입력하지 않습니다. 테스트가 필요하다면 실제 문서 대신 의미가 없는 가상 문장과 공개 이미지를 사용합니다.
2단계: 로컬 기능의 실제 처리 범위를 문서화하기
제품 설명에서 다음 질문에 답이 있는지 확인합니다.
- 이미지 추론은 어디에서 수행되는가?
- 프롬프트가 서버로 전송되는가?
- 서버는 프롬프트 검토나 안전성 판정을 수행하는가?
- 서버가 요청별 식별자를 발급하는가?
- 식별자가 이미지 픽셀, 파일 메타데이터, C2PA 매니페스트 중 어디에 기록되는가?
- 프롬프트와 식별자의 보관 기간, 접근 주체, 삭제 방법은 무엇인가?
이번 공개 분석은 Paint와 Photos에서 프롬프트 전송, 서버 발급 GUID, 픽셀 기반 워터마크, C2PA 연결 가능성을 다룹니다. 하지만 보관 기간과 조직별 접근 권한까지 확인해 주지는 않습니다. 답이 없는 항목은 ‘안전함’이 아니라 ‘미확인’으로 표시하는 것이 좋습니다.
3단계: 네트워크 경계를 확인하기
IT 또는 보안 담당자는 테스트용 PC에서 다음 조건을 통제하며 관찰할 수 있습니다.
- 동일한 프롬프트로 네트워크 연결 상태에서 생성
- 네트워크를 차단한 상태에서 같은 기능을 실행
- 프롬프트를 입력하기 전과 생성 버튼을 누른 뒤의 연결 변화를 비교
- 개인 계정과 업무 계정 등 서로 다른 로그인 조건에서 결과가 달라지는지 확인
이 테스트만으로 서버가 전송한 전체 내용이나 보관 정책까지 알 수 있는 것은 아닙니다. 다만 ‘추론이 NPU에서 실행된다’는 설명과 ‘생성 과정에서 네트워크 통신이 없다’는 주장을 분리하는 데 도움이 됩니다. 테스트 로그에는 실제 민감정보 대신 식별 가능한 가상 문자열을 사용하고, 로그 자체도 보안 저장소에 제한적으로 보관합니다.
4단계: 결과 파일을 원본과 복사본으로 비교하기
같은 생성 결과를 원본으로 보존한 뒤, 다음을 구분해 확인합니다.
- 파일 속성 및 일반 메타데이터에 출처 정보가 있는가
- C2PA 계열의 출처 매니페스트가 포함되어 있는가
- 이미지 픽셀을 변경하지 않는 단순 복사와 재저장 후 파일 구조가 어떻게 달라지는가
- 조직 밖으로 공유하는 파일과 내부 증적용 원본을 어떻게 구분할 것인가
픽셀 안의 보이지 않는 워터마크는 육안 확인 대상이 아닙니다. 따라서 회사 표준에 이미지 출처 검사 도구가 있다면 그 도구가 해당 형식과 매니페스트를 읽을 수 있는지 확인해야 합니다. 검사 도구가 없으면 ‘확인되지 않음’으로 표시하고, 결과 이미지의 생성 앱·시점·사용한 입력 등 별도의 업무 기록을 남기는 방식이 현실적인 보완책입니다.
5단계: 팀 가이드에 한 문장으로 반영하기
정책을 복잡하게 시작할 필요는 없습니다. 예를 들어 다음과 같이 작성할 수 있습니다.
기기에서 추론되는 AI 기능이라도 프롬프트 전송과 생성 식별자 발급이 발생할 수 있으므로, 처리 범위가 확인되기 전에는 비공개 정보를 입력하지 않는다.
그다음 이미지 사용 목적에 따라 생성 전 입력 승인, 생성 후 출처 표시, 외부 배포 전 보안 검토를 체크리스트로 연결합니다. 제품 문서가 업데이트되거나 앱 버전이 바뀌면 같은 테스트를 다시 수행해야 합니다.
한계와 주의점
첫째, 공개된 자료는 Paint와 Photos의 특정 AI 이미지 생성 구현을 리버스 엔지니어링한 분석입니다. 여기서 확인된 동작을 Windows의 모든 이미지 기능, 모든 PC, 모든 앱 버전에 그대로 적용할 수는 없습니다. 조직이 실제 사용하는 Windows 버전, 앱 버전, 기능 이름과 계정 설정을 별도로 확인해야 합니다.
둘째, ‘GUID가 픽셀에 들어간다’는 사실과 ‘그 GUID로 누구나 원래 프롬프트를 조회할 수 있다’는 주장은 다릅니다. 공개 자료는 식별자와 생성 요청 또는 C2PA 출처 정보가 연결될 수 있다고 설명하지만, 외부 사용자가 어떤 절차로 어떤 데이터를 조회할 수 있는지, 조회 권한이 누구에게 있는지, 데이터가 얼마나 오래 유지되는지는 입력 자료만으로 확정할 수 없습니다.
셋째, 워터마크가 이미지 자르기, 크기 변경, 압축, 색상 변환, 편집, 스크린샷 같은 작업 뒤에도 유지되는지에 대한 일반화된 성능 수치는 제공되지 않았습니다. 보이지 않는 워터마크의 검출률이나 오탐·미탐 비율도 확인되지 않았으므로, 이를 법적 증거 또는 단독 출처 판정 수단으로 사용해서는 안 됩니다.
넷째, 네트워크 차단 테스트는 통신 여부를 파악하는 데 유용하지만, 암호화된 통신의 구체적인 내용이나 서버 측 처리·보관을 보여 주지는 않습니다. 프롬프트가 전송되는지, GUID가 어떤 계정·세션·매니페스트와 연결되는지는 서비스 문서, 기업 계약, 개인정보 처리 고지, 내부 패킷 분석을 함께 검토해야 합니다.
마지막으로 이 기능을 무조건 비활성화해야 한다거나, 반대로 모든 AI 생성물에 워터마크가 있어야 한다고 결론 내릴 필요는 없습니다. 업무 판단의 기준은 세 가지로 정리할 수 있습니다. 입력 데이터가 외부 전송되어도 되는지, 생성물에 출처 신호가 남는 것이 업무 목적과 충돌하지 않는지, 그리고 그 연결 정보의 보관·접근 정책을 조직이 확인했는지입니다. 이 세 질문에 답하기 전까지는 공개 데이터로 제한된 파일럿을 진행하는 것이 가장 안전한 출발점입니다.