Provare l'origine di un contenuto multimediale con C2PA

Un attaccante che diffonde un falso non ha alcun interesse a lasciare una scheda di origine che lo indichi come generato da IA. Restano aperte diverse strade, tutte descritte dal NIST.

La prima è la più semplice: rimuovere i metadati. Nulla obbliga una piattaforma o uno strumento a conservarli, e il NIST osserva che questa rimozione è frequente durante la condivisione². Il destinatario riceve allora un file senza cronologia, che è anche il caso di un file del tutto legittimo.

La seconda consiste nel firmare da sé. Chiunque può fabbricare un proprio certificato e fare da autorità di se stesso, senza alcuna reputazione². La firma è allora valida sul piano crittografico, ma non per questo affidabile: finché il verificatore non ha aggiunto quel firmatario alle sue «trust lists», può rilevare che la firma non è attendibile².

La terza prende di mira l'autorità stessa. Il NIST rileva che un'autorità di certificazione compromessa permetterebbe di emettere certificati validi per identità falsificate².

Questi limiti pesano ancora di più perché l'IA generativa migliora le esche. Nel gennaio 2024 l'NCSC britannico riteneva che, fino al 2025, questi modelli avrebbero reso difficile per chiunque, indipendentemente dal livello di cultura informatica, capire se un'e-mail o una richiesta di reimpostazione della password sia autentica⁴.

Si presentano tre situazioni.

Nella prima, uno strumento di verifica mostra i credentials. Con Content Credentials Verify si leggono l'emittente e la data e l'ora di emissione¹. Per un contenuto prodotto da un modello Azure OpenAI, la pagina indica «Microsoft Corporation»¹.

Nella seconda, il file non mostra nulla. È il caso più comune dopo una condivisione, perché i metadati vengono spesso rimossi². Questo non dice né che il file sia falso né che sia sicuro.

Nella terza, lo strumento segnala una firma non attendibile. Il NIST chiede che il software di presentazione precisi allora che il firmatario potrebbe non essere chi dichiara di essere². Anche un metadato non firmato, o firmato con un certificato sconosciuto, può essere mostrato con un'avvertenza di incertezza sulla sua validità².

Il principio si regge su pochi elementi, che il NIST descrive così. Una firma digitale viene calcolata sul contenuto e sui suoi metadati con una chiave privata tenuta segreta. Il verificatore usa la chiave pubblica corrispondente per controllare che la firma sia valida e corrisponda ai dati che si presumono firmati². Se il contenuto o i metadati cambiano in seguito, il destinatario se ne accorge².

Per stabilire di chi fidarsi, C2PA combina funzioni di hash, firme digitali, certificati con coppie di chiavi pubblica e privata e «trust lists» di autorità di certificazione ritenute affidabili. L'organizzazione C2PA gestisce un elenco centrale predefinito, che alla data del rapporto del NIST era ancora in corso di elaborazione². C2PA cerca inoltre di far normalizzare la propria specifica dall'ISO/TC 171/SC 2².

La filigrana è un'altra tecnica, da non confondere con i metadati. Il NIST la descrive come un marchio inserito nel contenuto stesso, attraverso i pixel o le parole, senza un canale separato². Le cosiddette filigrane nascoste sono progettate per persistere, a differenza dei metadati, che spesso vengono rimossi². I due approcci possono combinarsi: una filigrana robusta, poco soggetta a essere rimossa quando l'immagine passa da una piattaforma all'altra, più metadati firmati per chi li riceve².

Il NIST segnala infine alcune riserve. Anzitutto la privacy: un utente che ignora che vengono aggiunti metadati all'atto della cattura o della generazione può rivelare quando, dove, da chi e con quale strumento un'immagine è stata prodotta². C2PA raccomanda che gli strumenti creino questi metadati solo dopo un consenso attivo dell'utente, ma la raccomandazione non è vincolante². Quanto alla sicurezza e alla complessità della specifica, esperti terzi hanno espresso preoccupazioni².

Le fonti citate qui non documentano un episodio di frode preciso. Descrivono implementazioni datate, che mostrano che aspetto abbiano in pratica queste prove di origine.

Gennaio 2024: la valutazione dell'NCSC su IA e minaccia informatica

Il 24 gennaio 2024 l'NCSC pubblica la propria valutazione dell'effetto dell'IA sulla minaccia informatica a breve termine. Vi stima che l'IA darà agli attaccanti soprattutto un aumento di capacità nell'ingegneria sociale, e che l'IA generativa consente già scambi convincenti con le vittime, senza gli errori di traduzione, ortografia o grammatica che spesso tradiscono il phishing⁴.

Novembre 2024: il NIST passa in rassegna gli approcci di trasparenza

Nel novembre 2024 il NIST pubblica il suo rapporto sugli approcci tecnici alla trasparenza dei contenuti digitali. Vi distingue il tracciamento della provenienza, che comprende filigrane e metadati, dal rilevamento dei contenuti sintetici². Cita Adobe, che impiega C2PA nel suo prodotto di IA generativa Firefly, e precisa che questi casi di studio sono dichiarati dalle entità partecipanti, quindi da leggere come usi autodichiarati².

20 maggio 2025: Google annuncia SynthID Detector

Il 20 maggio 2025 Google annuncia SynthID Detector, un portale di verifica per identificare i contenuti creati con i suoi strumenti di IA³. Vi si carica un'immagine, un audio, un video o un testo, e il portale cerca una filigrana SynthID, poi evidenzia le parti con maggiore probabilità di contenerne una³. Google indica che più di 10 miliardi di contenuti portano già questa filigrana, e che l'accesso era inizialmente aperto ad alcuni tester, con una lista d'attesa per giornalisti, professionisti dei media e ricercatori³. Il portale riguarda i contenuti realizzati con gli strumenti di IA di Google³. Google ha anche applicato la filigrana a video NVIDIA e annuncia una partnership con GetReal Security per il rilevamento da parte di altri attori³. Un file senza filigrana SynthID può provenire da un altro strumento.