C2PAのコンテンツ認証情報（Content Credentials）とAI透かしとは？

AI表示の4つのレイヤー

AIコンテンツは、互いに独立したいくつかの方法で表示できます。解決する問題が違うため、本格的なシステムの多くは複数を併用しています。

2025年9月1日に施行された中国の「人工知能生成合成コンテンツ標識弁法」は、このうち2つを直接挙げています。人が見たり聞いたりできる明示標識と、ファイルのメタデータにある暗示標識で、デジタル透かしは奨励されています。EU AI法の第50条も同様に、生成AIの提供者に対し、合成された出力を機械可読で検出可能な形でマークするよう求めています。

C2PAマニフェストの仕組み

C2PA（Coalition for Content Provenance and Authenticity、コンテンツの来歴と真正性のための連合）は、オープンな技術仕様を公開しています。そのデータの一般向けの名称が、コンテンツ認証情報（Content Credentials）です。マニフェストは3つの要素でできています。

1. アサーション：ファイルについての記述。作成したツール、実行された操作（作成、トリミング、色調整）、サムネイル、素材（元になった以前のファイル）などです。
2. クレーム：これらのアサーションを指し示す一覧で、ハッシュが付いているため、後から変更できません。
3. クレーム署名：署名者の秘密鍵で作ったデジタル署名で、X.509証明書によって識別されます。HTTPSで使われているのと同じ種類の証明書の仕組みです。

マニフェストにはハードバインディングも含まれます。画像や動画のデータの暗号学的ハッシュです。署名後に1ピクセルでも変わると、ハッシュが一致しなくなり、検証ツールはコンテンツが改変されたと報告します。C2PA対応の編集ソフトが変更を加えると、古いマニフェストを素材として挙げた新しいマニフェストが追加され、編集の連鎖ができあがります。

JPEG、PNG、MP4などの一般的な形式では、マニフェストはファイル内のJUMBFボックスに保存されます。別の場所に保存されたマニフェストへのリンクだけをファイルに持たせることもできます。

Content Credentials (simplified view)
  Signed by:     Example Camera Co. (certificate valid)
  Created with:  Example Image Generator
  Actions:       c2pa.created
    digitalSourceType: trainedAlgorithmicMedia
  Then:          c2pa.cropped, c2pa.color_adjustments (Example Editor)
  Ingredients:   1 earlier file
  Hash check:    content matches signature

C2PAの解説は、適用範囲を明確にしています。来歴は、コンテンツがどこから来て、どう変わったかを教えてくれます。コンテンツが真実かどうかは教えてくれません。署名つきの、やらせの場面の写真も、やらせのままです。

IPTCのデジタルソースタイプ：メタデータ内のAIフィールド

報道機関向けメタデータの標準化団体であるIPTCは、デジタルソースタイプ（digital source type）という語彙を維持しています。同じ用語が、IPTCの写真メタデータと、C2PAのアクション・アサーションの中で使われています。AIに最も関係の深い用語は次のとおりです。

プラットフォームはこれらの値を読んで、「AIで作成」や「AI情報」のようなラベルを表示するタイミングを決めます。IPTCのフィールドそのものは署名されていないため、誰でも書き込んだり消したりできます。C2PAマニフェストの中では、同じ値が署名で保護されます。

メタデータを消すと認証情報も消える理由

メタデータと埋め込みマニフェストは、画像データの中ではなく、その隣に置かれています。ピクセルだけから新しいファイルを書き出す操作は、すべてそれらを落とします。

• スクリーンショットや画面録画を撮る。
• プライバシーやサイズのために、画像を再エンコードしてメタデータを削除するプラットフォームにアップロードする。
• メタデータをコピーしないツールで、PNGからJPEGなど、形式を変換する。
• EXIF、GPS、XMPなどのブロックを削除するために作られたメタデータ削除ツールを使う。
• クリップボード経由でアプリ間で画像をコピー＆ペーストする。

これは想定された動作であり、特定のツールの欠陥ではありません。写真を共有する前に位置情報を消すのは、プライバシーの良い習慣です。たとえば cv.cm のEXIFツールは、ブラウザ内でExifとGPSのデータを削除しますが、同時に埋め込まれた認証情報も消えます。画像の出どころを証明する必要があるなら、署名つきの元のファイルを保管し、変更せずに共有してください。

C2PAの答えは、耐久性のあるコンテンツ認証情報です。ハードバインディングに、ソフトバインディング、つまり不可視の透かしや知覚フィンガープリントを組み合わせます。透かしやフィンガープリントを見つけた検証ツールは、ファイルのメタデータが消えた後でも、マニフェストのリポジトリから元のマニフェストを探し出せます。

SynthIDなどの不可視の透かし

不可視の透かしは、人には気づかれず、検出器には見つけられる形で、コンテンツそのものを変更します。たとえば Google DeepMind の SynthID は、画像、動画、音声、テキストを対象とするものとして説明されています。画像と動画では、トリミング、フィルター、フレームレートの変更、非可逆圧縮に耐えるよう設計され、音声では、ノイズの追加、MP3圧縮、速度の変更に耐えるよう設計されています。テキストでは、モデルが選ぶ単語の確率をわずかに調整します。

この種の透かしには、すべて重要な制約があります。

• 対応する検出器でしか読めません。SynthID の判定は、別の透かしを使う、あるいは透かしを持たないモデルの画像については何も語りません。
• 頑健であることは、永続的であることを意味しません。強い編集、別のモデルでの画像の再生成、テキストの書き換えで、信号は弱まったり消えたりします。
• テキストの透かしは、短い文章や、翻訳・言い換えされたテキストで最も弱くなります。
• 透かしが示すのは、協力的な提供者がそのコンテンツを生成または編集したことです。どの部分が変更されたか、場面が真実かどうかは示しません。

個人用の不可視の透かしは、別の仕事のための別の道具です。たとえば cv.cm の透かしツールなどで自分の写真に隠したマークは、後からあるコピーが自分のファイル由来だと示すのに役立ちます。これはAIラベルではなく、どのプラットフォームもそれを読みません。

AI検出の限界

任意のファイルを見て、「AI」か「本物」かを確実に言える方法はありません。次のルールを覚えておきましょう。

1. 有効な認証情報が教えてくれるのは、誰が署名し、何を申告したかです。信頼できるかどうかは、その署名者を信頼できるかによります。
2. 認証情報がないことは、何も証明しません。ネット上の本物の写真の大半は認証情報を持っていません。プラットフォームが削除し、ほとんどのカメラは署名しないからです。
3. 透かしが見つかれば、その提供者のモデルの強い証拠になります。透かしが見つからなくても、何についても弱い証拠にしかなりません。
4. 見た目や統計的なパターンから推測する分類器型のAI検出ツールには、誤検出と見逃しがあります。それだけで誰かを非難してはいけません。
5. シグナルを組み合わせます。認証情報、透かし、投稿元のアカウント、最初のアップロード、そして逆画像検索や物理的な不自然さの確認といった通常のチェックです。

クリエイターにとっての実用的なルールは簡単です。生成ツールの元のファイルを認証情報つきで保管し、プラットフォームや法律が求める場合は目に見えるラベルを付け、公開するコンテンツからAIの表示を消そうとしないことです。