Prouver l'origine d'un média avec C2PA

Un attaquant qui diffuse un faux n'a aucun intérêt à laisser une fiche d'origine qui le désigne comme généré par IA. Plusieurs voies restent ouvertes, toutes décrites par le NIST.

La première est la plus simple : retirer les métadonnées. Rien n'oblige une plateforme ou un outil à les conserver, et le NIST note que ce retrait est fréquent lors du partage². Le destinataire reçoit alors un fichier sans historique, ce qui est aussi le cas d'un fichier tout à fait légitime.

La deuxième consiste à signer soi-même. N'importe qui peut fabriquer son propre certificat et jouer le rôle de sa propre autorité, sans réputation². La signature est alors valide sur le plan cryptographique. Elle n'est pas pour autant fiable : tant que le vérificateur n'a pas ajouté ce signataire à ses « trust lists », il peut détecter que la signature n'est pas de confiance².

La troisième vise l'autorité elle-même. Le NIST relève qu'une autorité de certification compromise permettrait d'émettre des certificats valides pour des identités falsifiées².

Ces limites comptent d'autant plus que l'IA générative améliore les leurres. Le NCSC britannique jugeait en janvier 2024 que, jusqu'en 2025, ces modèles rendraient difficile pour tout le monde, quel que soit son niveau de culture cyber, de savoir si un courriel ou une demande de réinitialisation de mot de passe est authentique⁴.

Trois situations se présentent.

Dans la première, un outil de vérification affiche les credentials. Avec Content Credentials Verify, on lit l'émetteur et la date et l'heure d'émission¹. Pour un contenu produit par un modèle Azure OpenAI, la page indique « Microsoft Corporation »¹.

Dans la deuxième, le fichier n'affiche rien. C'est le cas courant après un partage, puisque les métadonnées sont souvent retirées². Cela ne dit ni que le fichier est faux ni qu'il est sûr.

Dans la troisième, l'outil signale une signature non fiable. Le NIST demande que le logiciel de présentation précise alors que le signataire peut ne pas être celui qu'il prétend être². Même une métadonnée non signée, ou signée par un certificat inconnu, peut être affichée avec une mention d'incertitude sur sa validité².

Le principe tient en quelques éléments, que le NIST décrit ainsi. Une signature numérique se calcule sur le contenu et ses métadonnées avec une clé privée gardée secrète. Le vérificateur utilise la clé publique correspondante pour contrôler que la signature est valide et correspond aux données prétendument signées². Si le contenu ou les métadonnées changent après coup, le destinataire le voit².

Pour dire à qui faire confiance, C2PA combine fonctions de hachage, signatures numériques, certificats à paires de clés publique et privée, et « trust lists » d'autorités de certification jugées fiables. L'organisation C2PA gère une liste centrale par défaut, qui était encore en cours d'élaboration à la date du rapport du NIST². C2PA cherche aussi à faire normaliser sa spécification par l'ISO/TC 171/SC 2².

Le filigrane est une autre technique, à ne pas confondre avec les métadonnées. Le NIST le décrit comme une marque insérée dans le contenu lui-même, via les pixels ou les mots, sans canal séparé². Les filigranes dits cachés sont conçus pour persister, contrairement aux métadonnées qui sont souvent retirées². Les deux approches peuvent se combiner : un filigrane robuste, peu susceptible d'être retiré quand l'image passe d'une plateforme à l'autre, plus des métadonnées signées pour ceux qui les reçoivent².

Le NIST signale enfin des réserves. La vie privée d'abord : un utilisateur qui ignore que des métadonnées sont ajoutées à la capture ou à la génération peut révéler quand, où, par qui et avec quel outil une image a été produite². C2PA recommande que les outils ne créent ces métadonnées qu'après un accord actif de l'utilisateur, mais cette recommandation n'est pas contraignante². Quant à la sécurité et à la complexité de la spécification, des experts tiers ont exprimé des préoccupations².

Les sources citées ici ne documentent pas d'incident de fraude précis. Elles décrivent des déploiements datés, qui montrent à quoi ressemblent ces preuves d'origine en pratique.

Janvier 2024 : l'évaluation du NCSC sur l'IA et la menace cyber

Le 24 janvier 2024, le NCSC publie son évaluation de l'effet de l'IA sur la menace cyber à court terme. Il y estime que l'IA fournira surtout aux attaquants un gain de capacité en ingénierie sociale, et que l'IA générative permet déjà des échanges convaincants avec les victimes, sans les fautes de traduction, d'orthographe ou de grammaire qui trahissent souvent l'hameçonnage⁴.

Novembre 2024 : le NIST recense les approches de transparence

En novembre 2024, le NIST publie son rapport sur les approches techniques de transparence des contenus numériques. Il y distingue le suivi de provenance, qui comprend filigranes et métadonnées, de la détection de contenu synthétique². Il cite Adobe, qui déploie C2PA dans son produit d'IA générative Firefly, et précise que ces études de cas sont déclarées par les entités participantes, donc à lire comme des usages auto-déclarés².

20 mai 2025 : Google annonce SynthID Detector

Le 20 mai 2025, Google annonce SynthID Detector, un portail de vérification pour identifier les contenus créés avec ses outils d'IA³. On y dépose une image, un son, une vidéo ou un texte, et le portail cherche un filigrane SynthID, puis met en évidence les parties les plus susceptibles d'en porter un³. Google indique que plus de 10 milliards de contenus portent déjà ce filigrane, et que l'accès était d'abord ouvert à des testeurs, avec une liste d'attente pour journalistes, professionnels des médias et chercheurs³. Le portail vise les contenus faits avec les outils d'IA de Google³. Google a aussi filigrané des vidéos NVIDIA, et annonce un partenariat avec GetReal Security pour la détection par d'autres acteurs³. Un fichier sans filigrane SynthID peut venir d'un autre outil.