C2PA内容凭证和AI水印是什么？

AI标识的四个层次

AI内容可以用几种互相独立的方式来标识。它们解决不同的问题，大多数严肃的系统会同时使用多种。

中国自 2025-09-01 起施行的标识办法，直接点名了其中两种：人能看到或听到的显式标识，以及文件元数据中的隐式标识，同时鼓励使用数字水印。欧盟《人工智能法》第 50 条同样要求生成式AI提供者以机器可读、可检测的方式标记合成输出。

C2PA 清单是怎么工作的

C2PA（内容来源与真实性联盟，Coalition for Content Provenance and Authenticity）发布了一套开放的技术规范。它的数据面向消费者的名称是内容凭证（Content Credentials）。一份清单由三部分构成：

1. 断言（assertions）：关于文件的声明，例如创建它的工具、执行过的操作（创建、裁剪、调色）、缩略图，以及原料（它是由哪些更早的文件做成的）。
2. 声明（claim）：一份指向这些断言的列表，带有哈希值，让谁也无法事后更改。
3. 声明签名：用签名者的私钥生成的数字签名，由 X.509 证书标识身份，与 HTTPS 使用的是同类证书体系。

清单里还有一个硬绑定：图像或视频数据的密码学哈希。签名之后哪怕只有一个像素被改动，哈希就对不上，验证器会报告内容被改过。当支持 C2PA 的编辑软件做出修改时，它会增加一份新清单，并把旧清单列为原料，从而形成一条编辑链。

在 JPEG、PNG 和 MP4 等常见格式中，清单存放在文件内的 JUMBF 盒子里。文件也可以只带一个指向别处存储的清单的链接。

Content Credentials (simplified view)
  Signed by:     Example Camera Co. (certificate valid)
  Created with:  Example Image Generator
  Actions:       c2pa.created
    digitalSourceType: trainedAlgorithmicMedia
  Then:          c2pa.cropped, c2pa.color_adjustments (Example Editor)
  Ingredients:   1 earlier file
  Hash check:    content matches signature

C2PA 的说明对适用范围讲得很清楚：来源溯源告诉你内容来自哪里、如何变化，但并不说明内容是否真实。一张摆拍场景的签名照片，依然是摆拍。

IPTC 数字来源类型：元数据里的AI字段

IPTC 是新闻媒体元数据的标准制定机构，它维护着一套叫“数字来源类型”（digital source type）的词表。IPTC 照片元数据和 C2PA 的操作断言里用的是同一套术语。与AI最相关的术语有：

平台读取这些值，决定何时显示“用 AI 制作”或“AI 信息”之类的标签。单独的 IPTC 字段没有签名，所以谁都可以写入或删除。在 C2PA 清单里，同样的值则被签名覆盖。

为什么清除元数据会让凭证消失

元数据和嵌入的清单存在于图像数据的旁边，而不是图像数据里面。凡是只根据像素写出新文件的操作，都会把它们丢掉：

• 截图或录屏。
• 上传到会为了隐私或体积而重新编码图片、去掉元数据的平台。
• 在不复制元数据的工具里转换格式，例如 PNG 转 JPEG。
• 运行元数据清除工具，它本来就是为了删除 EXIF、GPS、XMP 等数据块而设计的。
• 通过剪贴板在应用之间复制粘贴图片。

这是预期行为，而不是某个工具的缺陷。分享照片前清除位置信息是良好的隐私习惯；例如 cv.cm 的 EXIF 工具在浏览器中清除 EXIF 和 GPS 数据，同时也会把嵌入的凭证一起清除。如果你需要证明图像的来源，请保留原始的签名文件，并原样分享。

C2PA 给出的解决办法是持久的内容凭证：把硬绑定与软绑定结合起来，软绑定指的是不可见水印或感知指纹。即使文件的元数据已被清除，验证器只要找到水印或指纹，就能在清单库中查到原始清单。

SynthID 等不可见水印

不可见水印以人察觉不到、但检测器能找到的方式改动内容本身。例如 Google DeepMind 的 SynthID，据介绍涵盖图像、视频、音频和文本。对图像和视频，它的设计目标是经受裁剪、滤镜、帧率变化和有损压缩；对音频，则是经受添加噪声、MP3 压缩和变速。对文本，它会轻微调整模型所选词语的概率。

所有这类水印都有重要的局限：

• 只有对应的检测器才能读取。SynthID 检测不能说明任何关于使用其他水印、或根本没有水印的模型生成的图片的事。
• 稳健不等于永久。大幅编辑、用另一个模型重新生成图像，或改写文字，都可能削弱或移除信号。
• 文本水印在短文本，以及经过翻译或改写的文本上最弱。
• 水印说明的是某个配合的提供者生成或编辑了这些内容。它不说明哪些部分被改过，也不说明画面是否真实。

个人不可见水印是另一种工具，用于另一种用途。你藏在自己照片里的标记，例如用 cv.cm 的水印工具添加的，可以帮助你日后证明某份副本来自你的文件。它不是AI标识，也没有平台会读取它。

AI检测的局限

没有任何方法能拿到任意文件就可靠地判断“AI”还是“真实”。请记住这些原则：

1. 有效的凭证告诉你谁签了名、声明了什么。是否可信，取决于你信不信这个签名者。
2. 没有凭证什么也说明不了。网上大多数真实照片都没有凭证，因为平台会清除它们，而且大多数相机不签名。
3. 找到水印，是该提供者模型的有力证据。没找到水印，则对任何结论都只是很弱的证据。
4. 分类器式的AI检测器靠视觉或统计模式来猜测，既有误报也有漏报。不要单凭它来指控别人。
5. 综合多种信号：凭证、水印、来源账号、最早的上传，以及反向图片搜索、检查物理错误等常规核查。

对创作者来说，实用的规则很简单：保留生成工具产出的带凭证的原始文件，在平台或法律要求的地方加上可见标识，不要试图去掉你所发布内容上的AI标记。