Jak C2PA potwierdza pochodzenie materiału

Atakujący rozpowszechniający fałszywkę nie ma interesu w tym, by zostawić kartę pochodzenia wskazującą, że materiał wygenerowała AI. Otwartych jest kilka dróg, wszystkie opisał NIST.

Pierwsza jest najprostsza: usunięcie metadanych. Nic nie zmusza platformy ani narzędzia do ich zachowania, a NIST zauważa, że usuwanie jest częste przy udostępnianiu². Odbiorca dostaje wtedy plik bez historii, tak samo jak w przypadku pliku całkowicie prawidłowego.

Druga polega na podpisaniu samemu. Każdy może stworzyć własny certyfikat i występować jako własny urząd, bez żadnej reputacji². Podpis jest wtedy poprawny kryptograficznie, ale nie jest przez to wiarygodny: dopóki weryfikujący nie dodał tego podpisującego do swoich „trust lists", może wykryć, że podpis nie jest zaufany².

Trzecia dotyczy samego urzędu. NIST zwraca uwagę, że skompromitowany urząd certyfikacji umożliwiłby wydawanie ważnych certyfikatów dla sfałszowanych tożsamości².

Te ograniczenia mają tym większe znaczenie, że generatywna AI udoskonala przynęty. Brytyjskie NCSC oceniało w styczniu 2024 roku, że do 2025 roku takie modele utrudnią wszystkim, bez względu na poziom wiedzy o cyberbezpieczeństwie, ocenę, czy e-mail lub prośba o zresetowanie hasła są autentyczne⁴.

Możliwe są trzy sytuacje.

W pierwszej narzędzie weryfikacji wyświetla credentials. W Content Credentials Verify można odczytać wydawcę oraz datę i godzinę wydania¹. Dla treści wytworzonej przez model Azure OpenAI strona pokazuje „Microsoft Corporation"¹.

W drugiej plik nie pokazuje nic. To typowy przypadek po udostępnieniu, ponieważ metadane są często usuwane². Nie oznacza to ani że plik jest fałszywy, ani że jest bezpieczny.

W trzeciej narzędzie sygnalizuje podpis niezaufany. NIST oczekuje, że oprogramowanie prezentujące wskaże wtedy, iż podpisujący może nie być tym, za kogo się podaje². Nawet metadane niepodpisane lub podpisane nieznanym certyfikatem można wyświetlać z adnotacją o niepewności co do ich ważności².

Zasada opiera się na kilku elementach, które NIST opisuje następująco. Podpis cyfrowy jest obliczany z treści i jej metadanych za pomocą klucza prywatnego, który pozostaje tajny. Weryfikujący używa odpowiadającego mu klucza publicznego, aby sprawdzić, czy podpis jest ważny i zgadza się z danymi, które rzekomo podpisano². Jeśli treść lub metadane zmienią się później, odbiorca to zobaczy².

Aby wskazać, komu ufać, C2PA łączy funkcje skrótu, podpisy cyfrowe, certyfikaty z parami kluczy publicznego i prywatnego oraz „trust lists" urzędów certyfikacji uznanych za wiarygodne. Organizacja C2PA prowadzi domyślną listę centralną, która w dniu publikacji raportu NIST była jeszcze opracowywana². C2PA dąży też do tego, by jej specyfikację znormalizował komitet ISO/TC 171/SC 2².

Znak wodny to inna technika, której nie należy mylić z metadanymi. NIST opisuje go jako znak wstawiony w samą treść, przez piksele lub słowa, bez osobnego kanału². Tak zwane ukryte znaki wodne są zaprojektowane tak, by przetrwały, w przeciwieństwie do metadanych, które często się usuwa². Oba podejścia można łączyć: odporny znak wodny, mało podatny na usunięcie, gdy obraz przechodzi z jednej platformy na drugą, plus podpisane metadane dla tych, którzy je otrzymują².

Wreszcie NIST sygnalizuje zastrzeżenia. Najpierw prywatność: użytkownik, który nie wie, że metadane są dodawane przy rejestracji lub generowaniu, może ujawnić, kiedy, gdzie, przez kogo i za pomocą jakiego narzędzia obraz powstał². C2PA zaleca, by narzędzia tworzyły te metadane dopiero po aktywnej zgodzie użytkownika, ale zalecenie to nie jest wiążące². Co do bezpieczeństwa i złożoności specyfikacji, niezależni eksperci wyrazili obawy².

Cytowane tu źródła nie dokumentują żadnego konkretnego incydentu oszustwa. Opisują wdrożenia z podanymi datami, które pokazują, jak takie dowody pochodzenia wyglądają w praktyce.

Styczeń 2024: ocena NCSC dotycząca AI i zagrożeń cybernetycznych

24 stycznia 2024 roku NCSC publikuje swoją ocenę wpływu AI na zagrożenie cybernetyczne w najbliższej perspektywie. Szacuje w niej, że AI da atakującym głównie wzrost możliwości w inżynierii społecznej oraz że generatywna AI już teraz umożliwia przekonujące rozmowy z ofiarami, bez błędów tłumaczenia, ortograficznych i gramatycznych, które często zdradzają phishing⁴.

Listopad 2024: NIST zestawia podejścia do przejrzystości

W listopadzie 2024 roku NIST publikuje raport o technicznych podejściach do przejrzystości treści cyfrowych. Odróżnia w nim śledzenie pochodzenia, które obejmuje znaki wodne i metadane, od wykrywania treści syntetycznych². Przywołuje Adobe, które wdraża C2PA w swoim produkcie generatywnej AI Firefly, i zaznacza, że te studia przypadków są zgłaszane przez uczestniczące podmioty, więc należy je czytać jako zastosowania deklarowane przez nie same².

20 maja 2025: Google ogłasza SynthID Detector

20 maja 2025 roku Google ogłasza SynthID Detector, portal weryfikacji służący do rozpoznawania treści stworzonych za pomocą jego narzędzi AI³. Wgrywa się tam obraz, dźwięk, wideo lub tekst, a portal szuka znaku wodnego SynthID, po czym wyróżnia części, które najprawdopodobniej go zawierają³. Google podaje, że ponad 10 miliardów treści ma już ten znak wodny, a dostęp był początkowo otwarty dla testerów, z listą oczekujących dla dziennikarzy, profesjonalistów z branży medialnej i badaczy³. Portal dotyczy treści wytworzonych za pomocą narzędzi AI Google³. Google oznaczył też znakiem wodnym filmy NVIDIA i ogłasza partnerstwo z GetReal Security w zakresie wykrywania przez innych uczestników rynku³. Plik bez znaku wodnego SynthID może pochodzić z innego narzędzia.