Probar el origen de un medio con C2PA

Un atacante que difunde un falso no tiene ningún interés en dejar una ficha de origen que lo señale como generado por IA. Quedan abiertas varias vías, todas descritas por el NIST.

La primera es la más sencilla: eliminar los metadatos. Nada obliga a una plataforma o a una herramienta a conservarlos, y el NIST señala que esta eliminación es frecuente al compartir². El destinatario recibe entonces un archivo sin historial, que es también el caso de un archivo perfectamente legítimo.

La segunda consiste en firmar uno mismo. Cualquiera puede fabricar su propio certificado y actuar como su propia autoridad, sin reputación². La firma es entonces válida en el plano criptográfico. Pero no por ello es fiable: mientras el verificador no haya añadido a ese firmante a sus «trust lists», puede detectar que la firma no es de confianza².

La tercera apunta a la propia autoridad. El NIST señala que una autoridad de certificación comprometida permitiría emitir certificados válidos para identidades falsificadas².

Estos límites importan tanto más cuanto que la IA generativa mejora los señuelos. El NCSC británico estimaba en enero de 2024 que, hasta 2025, estos modelos harían difícil para todo el mundo, sea cual sea su nivel de cultura en ciberseguridad, saber si un correo electrónico o una solicitud de restablecimiento de contraseña es auténtico⁴.

Se presentan tres situaciones.

En la primera, una herramienta de verificación muestra las credenciales. Con Content Credentials Verify se lee el emisor y la fecha y la hora de emisión¹. Para un contenido producido por un modelo de Azure OpenAI, la página indica «Microsoft Corporation»¹.

En la segunda, el archivo no muestra nada. Es el caso habitual tras compartirlo, ya que los metadatos se eliminan a menudo². Eso no dice ni que el archivo sea falso ni que sea seguro.

En la tercera, la herramienta señala una firma no fiable. El NIST pide que el software de presentación precise entonces que el firmante puede no ser quien dice ser². Incluso un metadato sin firmar, o firmado con un certificado desconocido, puede mostrarse con una mención de incertidumbre sobre su validez².

El principio se resume en unos pocos elementos, que el NIST describe así. Una firma digital se calcula sobre el contenido y sus metadatos con una clave privada que se mantiene en secreto. El verificador usa la clave pública correspondiente para comprobar que la firma es válida y coincide con los datos supuestamente firmados². Si el contenido o los metadatos cambian después, el destinatario lo ve².

Para indicar en quién confiar, C2PA combina funciones hash, firmas digitales, certificados con pares de claves pública y privada, y «trust lists» de autoridades de certificación consideradas fiables. La organización C2PA gestiona una lista central por defecto, que aún estaba en elaboración en la fecha del informe del NIST². C2PA busca también que la ISO/TC 171/SC 2 normalice su especificación².

La marca de agua es otra técnica, que no debe confundirse con los metadatos. El NIST la describe como una marca insertada en el propio contenido, mediante los píxeles o las palabras, sin un canal separado². Las marcas de agua llamadas ocultas están diseñadas para persistir, a diferencia de los metadatos, que a menudo se eliminan². Los dos enfoques pueden combinarse: una marca de agua robusta, poco susceptible de ser eliminada cuando la imagen pasa de una plataforma a otra, más metadatos firmados para quienes los reciben².

Por último, el NIST señala reservas. Primero, la privacidad: un usuario que ignora que se añaden metadatos en la captura o en la generación puede revelar cuándo, dónde, por quién y con qué herramienta se produjo una imagen². C2PA recomienda que las herramientas solo creen estos metadatos tras el acuerdo activo del usuario, pero esa recomendación no es vinculante². En cuanto a la seguridad y la complejidad de la especificación, expertos independientes han expresado preocupaciones².

Las fuentes citadas aquí no documentan ningún incidente de fraude concreto. Describen despliegues fechados, que muestran qué aspecto tienen en la práctica estas pruebas de origen.

Enero de 2024: la evaluación del NCSC sobre la IA y la amenaza cibernética

El 24 de enero de 2024, el NCSC publica su evaluación del efecto de la IA sobre la amenaza cibernética a corto plazo. Estima que la IA aportará sobre todo a los atacantes una mejora de capacidad en ingeniería social, y que la IA generativa ya permite intercambios convincentes con las víctimas, sin los errores de traducción, ortografía o gramática que a menudo delatan el phishing⁴.

Noviembre de 2024: el NIST inventaría los enfoques de transparencia

En noviembre de 2024, el NIST publica su informe sobre los enfoques técnicos de transparencia de los contenidos digitales. Distingue en él el seguimiento de la procedencia, que incluye marcas de agua y metadatos, de la detección de contenido sintético². Cita a Adobe, que despliega C2PA en su producto de IA generativa Firefly, y precisa que estos estudios de caso son declarados por las entidades participantes, por lo que deben leerse como usos autodeclarados².

20 de mayo de 2025: Google anuncia SynthID Detector

El 20 de mayo de 2025, Google anuncia SynthID Detector, un portal de verificación para identificar los contenidos creados con sus herramientas de IA³. Se sube una imagen, un sonido, un vídeo o un texto, y el portal busca una marca de agua SynthID y después destaca las partes con más probabilidad de llevarla³. Google indica que más de 10 000 millones de contenidos ya llevan esta marca de agua, y que el acceso se abrió primero a probadores, con una lista de espera para periodistas, profesionales de los medios e investigadores³. El portal se dirige a los contenidos hechos con las herramientas de IA de Google³. Google también ha marcado con agua vídeos de NVIDIA, y anuncia una colaboración con GetReal Security para la detección por parte de otros actores³. Un archivo sin marca de agua SynthID puede proceder de otra herramienta.