De herkomst van media aantonen met C2PA

Een aanvaller die een vervalsing verspreidt, heeft er geen belang bij een herkomstkaart achter te laten die het bestand als AI-gegenereerd aanwijst. Er blijven meerdere wegen open, die NIST allemaal beschrijft.

De eerste is de eenvoudigste: de metadata verwijderen. Niets verplicht een platform of een tool om ze te bewaren, en NIST merkt op dat ze bij het delen vaak verdwijnen². De ontvanger krijgt dan een bestand zonder geschiedenis, en dat geldt ook voor een volkomen legitiem bestand.

De tweede bestaat uit zelf ondertekenen. Iedereen kan een eigen certificaat maken en zijn eigen autoriteit spelen, zonder reputatie². De handtekening is dan cryptografisch geldig. Daarmee is ze nog niet betrouwbaar: zolang de controleur deze ondertekenaar niet aan zijn "trust lists" heeft toegevoegd, kan hij vaststellen dat de handtekening niet vertrouwd is².

De derde richt zich op de autoriteit zelf. NIST wijst erop dat een gecompromitteerde certificeringsautoriteit het mogelijk zou maken geldige certificaten uit te geven voor vervalste identiteiten².

Die beperkingen wegen te meer omdat generatieve AI lokmiddelen beter maakt. De Britse NCSC oordeelde in januari 2024 dat deze modellen er tot 2025 voor zouden zorgen dat het voor iedereen, ongeacht het niveau van cyberkennis, moeilijk is om te weten of een e-mail of een verzoek om een wachtwoord te resetten echt is⁴.

Er doen zich drie situaties voor.

In de eerste toont een controletool de credentials. Met Content Credentials Verify leest u de uitgever en de datum en het tijdstip van uitgifte¹. Voor een inhoud die door een Azure OpenAI-model is gemaakt, vermeldt de pagina "Microsoft Corporation"¹.

In de tweede toont het bestand niets. Dat is het gewone geval na het delen, aangezien metadata vaak worden verwijderd². Het zegt niet dat het bestand nep is en ook niet dat het veilig is.

In de derde meldt de tool een niet-vertrouwde handtekening. NIST vraagt dat de software die de gegevens toont dan vermeldt dat de ondertekenaar misschien niet is wie hij beweert te zijn². Zelfs een niet-ondertekende metadata, of een metadata die met een onbekend certificaat is ondertekend, kan worden getoond met een vermelding van onzekerheid over de geldigheid².

Het principe rust op enkele elementen, die NIST als volgt beschrijft. Een digitale handtekening wordt berekend over de inhoud en de metadata met een geheim gehouden privésleutel. De controleur gebruikt de bijbehorende publieke sleutel om na te gaan of de handtekening geldig is en overeenkomt met de gegevens die zogenaamd zijn ondertekend². Als de inhoud of de metadata achteraf veranderen, ziet de ontvanger dat².

Om aan te geven wie te vertrouwen is, combineert C2PA hashfuncties, digitale handtekeningen, certificaten met paren van publieke en private sleutels en "trust lists" van certificeringsautoriteiten die als betrouwbaar gelden. De organisatie C2PA beheert een centrale standaardlijst, die op de datum van het NIST-rapport nog in opbouw was². C2PA wil zijn specificatie ook laten standaardiseren door ISO/TC 171/SC 2².

Watermerken is een andere techniek, die niet met metadata moet worden verward. NIST beschrijft het als een merkteken dat in de inhoud zelf wordt aangebracht, via de pixels of de woorden, zonder apart kanaal². Zogeheten verborgen watermerken zijn ontworpen om te blijven bestaan, in tegenstelling tot metadata, die vaak worden verwijderd². De twee benaderingen kunnen worden gecombineerd: een robuust watermerk, dat waarschijnlijk niet verdwijnt wanneer het beeld van het ene platform naar het andere gaat, plus ondertekende metadata voor wie ze ontvangt².

Ten slotte noemt NIST voorbehouden. Eerst de privacy: een gebruiker die niet weet dat bij het opnemen of genereren metadata worden toegevoegd, kan onthullen wanneer, waar, door wie en met welke tool een beeld is gemaakt². C2PA beveelt aan dat tools deze metadata pas aanmaken na actieve toestemming van de gebruiker, maar die aanbeveling is niet bindend². Over de beveiliging en de complexiteit van de specificatie hebben externe experts zorgen geuit².

De hier genoemde bronnen documenteren geen concreet fraudeincident. Ze beschrijven gedateerde toepassingen, die laten zien hoe dit soort herkomstbewijzen in de praktijk eruitziet.

Januari 2024: de beoordeling van de NCSC over AI en de cyberdreiging

Op 24 januari 2024 publiceert de NCSC zijn beoordeling van het effect van AI op de cyberdreiging op korte termijn. Hij schat daarin in dat AI aanvallers vooral winst in vermogen geeft bij social engineering, en dat generatieve AI nu al overtuigende uitwisselingen met slachtoffers mogelijk maakt, zonder de vertaal-, spel- of grammaticafouten die phishing vaak verraden⁴.

November 2024: NIST zet de transparantiebenaderingen op een rij

In november 2024 publiceert NIST zijn rapport over technische benaderingen van transparantie van digitale inhoud. Het onderscheidt daarin het volgen van herkomst, waartoe watermerken en metadata behoren, van het detecteren van synthetische inhoud². Het noemt Adobe, dat C2PA inzet in zijn generatieve AI-product Firefly, en preciseert dat deze casestudy's worden gemeld door de deelnemende entiteiten en dus moeten worden gelezen als zelfgerapporteerd gebruik².

20 mei 2025: Google kondigt SynthID Detector aan

Op 20 mei 2025 kondigt Google SynthID Detector aan, een verificatieportaal om inhoud te herkennen die met zijn AI-tools is gemaakt³. Men uploadt een beeld, een geluid, een video of een tekst, en het portaal zoekt een SynthID-watermerk en markeert daarna de delen die er het meest waarschijnlijk een bevatten³. Google geeft aan dat meer dan 10 miljard inhouden dit watermerk al dragen, en dat de toegang eerst openstond voor testers, met een wachtlijst voor journalisten, mediaprofessionals en onderzoekers³. Het portaal richt zich op inhoud die met de AI-tools van Google is gemaakt³. Google heeft ook video's van NVIDIA van een watermerk voorzien en kondigt een partnerschap met GetReal Security aan voor detectie door andere partijen³. Een bestand zonder SynthID-watermerk kan van een andere tool komen.