Provar a origem de um conteúdo multimédia com C2PA

Um atacante que difunde um falso não tem interesse em deixar uma ficha de origem que o identifique como gerado por IA. Ficam várias vias abertas, todas descritas pelo NIST.

A primeira é a mais simples: retirar os metadados. Nada obriga uma plataforma ou uma ferramenta a conservá-los, e o NIST observa que esta remoção é frequente na partilha². O destinatário recebe então um ficheiro sem histórico, o que também acontece com um ficheiro totalmente legítimo.

A segunda consiste em assinar por conta própria. Qualquer pessoa pode fabricar o seu próprio certificado e agir como a sua própria autoridade, sem reputação². A assinatura é então válida do ponto de vista criptográfico, mas não é por isso fiável: enquanto o verificador não tiver acrescentado esse signatário às suas «trust lists», pode detetar que a assinatura não é de confiança².

A terceira visa a própria autoridade. O NIST refere que uma autoridade de certificação comprometida permitiria emitir certificados válidos para identidades falsificadas².

Estes limites pesam tanto mais quanto a IA generativa melhora os engodos. Em janeiro de 2024, o NCSC britânico considerava que, até 2025, estes modelos tornariam difícil para toda a gente, qualquer que fosse o seu nível de cultura em cibersegurança, saber se um email ou um pedido de reposição de palavra-passe é autêntico⁴.

Podem surgir três situações.

Na primeira, uma ferramenta de verificação mostra as credenciais. Com o Content Credentials Verify, lê-se o emissor e a data e hora de emissão¹. Para um conteúdo produzido por um modelo Azure OpenAI, a página indica «Microsoft Corporation»¹.

Na segunda, o ficheiro não mostra nada. É o caso habitual após uma partilha, uma vez que os metadados são muitas vezes retirados². Isso não diz que o ficheiro é falso nem que é seguro.

Na terceira, a ferramenta assinala uma assinatura não fiável. O NIST pede que o software de apresentação precise então que o signatário pode não ser quem afirma ser². Mesmo um metadado não assinado, ou assinado por um certificado desconhecido, pode ser apresentado com uma menção de incerteza quanto à sua validade².

O princípio assenta em poucos elementos, que o NIST descreve assim. Uma assinatura digital calcula-se sobre o conteúdo e os seus metadados, com uma chave privada mantida secreta. O verificador usa a chave pública correspondente para confirmar que a assinatura é válida e corresponde aos dados alegadamente assinados². Se o conteúdo ou os metadados mudarem depois, o destinatário vê-o².

Para indicar em quem confiar, o C2PA combina funções de hash, assinaturas digitais, certificados com pares de chaves pública e privada, e «trust lists» de autoridades de certificação consideradas fiáveis. A organização C2PA gere uma lista central por defeito, que ainda estava em elaboração à data do relatório do NIST². O C2PA procura também que a sua especificação seja normalizada pela ISO/TC 171/SC 2².

A marca de água é outra técnica, a não confundir com os metadados. O NIST descreve-a como uma marca inserida no próprio conteúdo, através dos píxeis ou das palavras, sem canal separado². As chamadas marcas de água ocultas foram concebidas para persistir, ao contrário dos metadados, que são muitas vezes removidos². As duas abordagens podem combinar-se: uma marca de água robusta, pouco suscetível de ser retirada quando a imagem passa de uma plataforma para outra, mais metadados assinados para quem os recebe².

Por fim, o NIST assinala reservas. Primeiro, a privacidade: um utilizador que desconheça que são acrescentados metadados na captura ou na geração pode revelar quando, onde, por quem e com que ferramenta uma imagem foi produzida². O C2PA recomenda que as ferramentas só criem estes metadados após um acordo ativo do utilizador, mas esta recomendação não é vinculativa². Quanto à segurança e à complexidade da especificação, peritos externos manifestaram preocupações².

As fontes aqui citadas não documentam nenhum incidente de fraude concreto. Descrevem implementações datadas, que mostram o aspeto destas provas de origem na prática.

Janeiro de 2024: a avaliação do NCSC sobre a IA e a ameaça cibernética

A 24 de janeiro de 2024, o NCSC publica a sua avaliação do efeito da IA na ameaça cibernética a curto prazo. Estima aí que a IA dará sobretudo aos atacantes um ganho de capacidade em engenharia social, e que a IA generativa já permite trocas convincentes com as vítimas, sem os erros de tradução, de ortografia ou de gramática que muitas vezes denunciam o phishing⁴.

Novembro de 2024: o NIST faz o levantamento das abordagens de transparência

Em novembro de 2024, o NIST publica o seu relatório sobre as abordagens técnicas de transparência dos conteúdos digitais. Distingue aí o rastreio de proveniência, que inclui marcas de água e metadados, da deteção de conteúdo sintético². Cita a Adobe, que implementa o C2PA no seu produto de IA generativa Firefly, e precisa que estes estudos de caso são declarados pelas entidades participantes, devendo por isso ler-se como utilizações autodeclaradas².

20 de maio de 2025: a Google anuncia o SynthID Detector

A 20 de maio de 2025, a Google anuncia o SynthID Detector, um portal de verificação para identificar conteúdos criados com as suas ferramentas de IA³. Carrega-se uma imagem, um som, um vídeo ou um texto, e o portal procura uma marca de água SynthID e depois destaca as partes mais suscetíveis de a conter³. A Google indica que mais de 10 mil milhões de conteúdos já têm esta marca de água, e que o acesso foi inicialmente aberto a testadores, com uma lista de espera para jornalistas, profissionais dos media e investigadores³. O portal visa os conteúdos feitos com as ferramentas de IA da Google³. A Google também marcou com água vídeos da NVIDIA e anuncia uma parceria com a GetReal Security para a deteção por outros intervenientes³. Um ficheiro sem marca de água SynthID pode vir de outra ferramenta.