Происхождение, Content Credentials и стандарты доверия

Что на самом деле доказывает происхождение

Content Credential (C2PA) — это криптографически подписанный манифест: запись о том, кто или что создало файл, когда, каким устройством или инструментом, и какие правки были впоследствии внесены, подписанная инструментом, сделавшим заявление. При наличии и подтверждении цепочки подписи по сертификату выдающего органа это доказывает, что заявление было сделано именно этим инструментом и не менялось с момента подписания.

Водяные знаки ИИ (наиболее широко распространённый пример — SynthID от Google DeepMind) работают иначе: вместо прикреплённой записи они встраивают незаметный сигнал непосредственно в сгенерированные пиксели в момент генерации, спроектированный так, чтобы пережить типичные преобразования, такие как обрезка, повторное сжатие или смена формата.

Оба механизма доказывают участие, а не истинность. Подписанный манифест C2PA доказывает, что подписавший инструмент сделал конкретное заявление — он не проверяет независимо, точно ли это заявление, а лишь то, что оно сделано идентифицируемым, аутентифицированным источником и не подделано с тех пор.

Чего происхождение не может доказать

Сигналы происхождения не могут доказать подлинность контента, к которому они никогда не были прикреплены, не могут быть добавлены задним числом к существующим файлам и не могут пережить любой реальный конвейер обработки.

• Отсутствующий сигнал не является доказательством манипуляции или генерации ИИ — большая часть контента просто никогда его не имела
• И C2PA, и SynthID работают только тогда, когда инструмент-источник участвует в этом конкретном стандарте; неучаствующая камера, редактор или генератор вообще не создают сигнала, независимо от того, как был создан контент
• Манифесты C2PA могут быть удалены платформами и конвейерами, не сохраняющими встроенные метаданные — повторная загрузка в соцсети, скриншоты и многие мессенджеры регулярно их удаляют
• Криптографическая подпись доказывает, кто подписал заявление, а не то, что заявление описывает реальность — скомпрометированный или злонамеренный ключ подписи всё же мог бы создать валидно подписанное ложное заявление, хотя это требует доступа, которого у большинства злоумышленников нет
• Ни один из стандартов не оценивает контекстуальную истинность: соответствует ли подлинная, неизменённая фотография точной подписи или используется в правильном времени и месте — это вне того, что проверяет любой из этих механизмов

Почему сигналы метаданных и происхождения исчезают

Подавляющее большинство изображений в обращении не несут сигнала происхождения по обычным, не подозрительным причинам, а не из-за намеренного уклонения.

• Устройство съёмки или генерирующая модель появились раньше стандарта, либо производитель его не реализовал
• Конвейеры загрузки перекодируют файлы и отбрасывают встроенные метаданные как рутинный, не злонамеренный побочный эффект обработки (создание миниатюр, смена формата, сжатие)
• Скриншоты и записи экрана захватывают только отрисованные пиксели, а не какие-либо метаданные исходного файла
• Мессенджеры и некоторые социальные платформы по умолчанию удаляют метаданные, отчасти по соображениям приватности пользователей (метаданные могут содержать GPS-координаты и идентификаторы устройства)

Когда обнаружение ИИ всё ещё необходимо

Поскольку происхождение и водяные знаки являются добровольными и легко теряются при передаче, большинство изображений, которые человеку действительно нужно оценить — фото из незнакомого источника, изображение, уже лишённое метаданных платформой, на которой оно было размещено, вывод генератора, не встраивающего водяной знак, — вообще не несут проверяемого сигнала происхождения. Обнаружение ИИ общего назначения существует именно для этого большинства случаев: оно оценивает вероятность того, что изображение было создано ИИ или изменено, на основе визуальных и технических доказательств, доступных в самом файле, не завися от того, участвовал ли какой-либо инструмент в стандарте.

Как происхождение и обнаружение дополняют друг друга

Эти два подхода отвечают на разные вопросы и наиболее эффективны при совместном использовании, а не как замена друг друга.

• Когда присутствует проверяемый Content Credential: он устанавливает документированную цепочку хранения от съёмки до редактирования — самый надёжный доступный тип доказательства, если он существует
• Когда сигнал происхождения отсутствует (обычный случай): обнаружение ИИ, проверка метаданных и анализ манипуляций становятся основным доступным доказательством
• Оба можно проверять вместе, даже когда сигнал присутствует — валидный манифест C2PA может сосуществовать с ИИ-контентом, поскольку некоторые генераторы теперь подписывают собственные выводы; обнаружение и происхождение проверяют разные вещи, а не конкурируют за один и тот же ответ

Ограничения, сформулированные прямо

Ограничения C2PA: внедрение всё ещё составляет меньшинство от общего объёма изображений в обращении; стандарт зависит от того, что каждый инструмент в истории контента решит участвовать и сохранять цепочку; удалённые или отсутствующие credential — обычный случай, а не исключение.

Ограничения водяных знаков ИИ: идентифицируют только вывод генераторов, реализующих конкретную схему водяных знаков; вообще не дают сигнала для неучаствующих генераторов, отредактированных композитов или более старых методов генерации; устойчивость к целенаправленному удалению — активный, нерешённый исследовательский вопрос, а не решённая проблема.

Ограничения метаданных в целом: легко удаляются, непоследовательно сохраняются на разных платформах и — даже при наличии и неизменности — описывают техническую историю файла, а не то, правдиво ли представлены его содержание или контекст.

Если у изображения есть валидный credential C2PA, означает ли это, что оно подлинное?

Это означает, что подписавший инструмент сделал конкретное, проверяемое заявление о происхождении файла и истории редактирования, и это заявление не менялось с момента подписания. Это не проверяет независимо точность заявления и ничего не говорит о том, используется ли изображение в точном контексте.

Означает ли отсутствие сигнала происхождения, что изображение было создано ИИ или изменено?

Нет. Большинство изображений в обращении изначально никогда не имели прикреплённого сигнала происхождения либо он был удалён при загрузке — отсутствующий сигнал является обычным случаем и сам по себе не является доказательством чего-либо.

Можно ли подделать credential C2PA или водяные знаки SynthID?

Криптографическую подпись за credential C2PA нельзя подделать без закрытого ключа подписывающего, но credential можно полностью удалить из файла (потеряв манифест, а не подделав его). Устойчивость водяного знака SynthID к преднамеренному удалению — активная область исследований, а не гарантия.

Почему PhotoProof Labs не полагается только на Content Credentials или водяные знаки?

Потому что большинство изображений, встречающихся на практике, не несут ни одного из этих сигналов. Собственный слой проверки метаданных PhotoProof Labs проверяет доступные сигналы происхождения как один из нескольких входных признаков — см. страницу методологии — но не зависит от наличия какого-либо одного стандарта происхождения, поскольку это оставило бы большинство реальных изображений вообще без оценки.