C2PA 內容憑證與 AI 浮水印是什麼？

AI 標示的四個層次

AI 內容可以用幾種彼此獨立的方式標示。它們解決的問題不同，多數嚴謹的系統會同時使用多種。

中國大陸自 2025-09-01 起施行的標識辦法直接點出其中兩種：人可以看見或聽見的顯式標識，以及檔案中繼資料裡的隱式標識，並鼓勵加入數位浮水印。歐盟《人工智慧法》第 50 條同樣要求生成式 AI 提供者，以機器可讀、可偵測的方式標記合成輸出。

C2PA manifest 如何運作

C2PA（內容出處與真實性聯盟，Coalition for Content Provenance and Authenticity）發布一套開放的技術規格。其資料在面向消費者時稱為內容憑證（Content Credentials）。一份 manifest 由三個部分組成：

1. 斷言（assertions）：關於檔案的陳述，例如創作工具、執行的操作（建立、裁切、調色）、縮圖，以及素材來源（ingredients，即製作時使用的先前檔案）。
2. 聲明（claim）：一份指向這些斷言的清單，並附有雜湊值，讓它們日後無法被更改。
3. 聲明簽章（claim signature）：以簽署者的私鑰製作的數位簽章，並由 X.509 憑證識別，與 HTTPS 使用的憑證體系相同。

manifest 還包含硬綁定（hard binding）：圖片或影片資料的密碼學雜湊。簽署後只要有一個像素改變，雜湊就不再吻合，驗證工具便會報告內容已被改動。當支援 C2PA 的編輯軟體做出更動時，會新增一份 manifest，並把舊的列為素材來源，進而建立一條編輯鏈。

在 JPEG、PNG 和 MP4 等常見格式中，manifest 存放在檔案內的 JUMBF box 裡。檔案也可以只帶一個指向別處所存 manifest 的連結。

Content Credentials (simplified view)
  Signed by:     Example Camera Co. (certificate valid)
  Created with:  Example Image Generator
  Actions:       c2pa.created
    digitalSourceType: trainedAlgorithmicMedia
  Then:          c2pa.cropped, c2pa.color_adjustments (Example Editor)
  Ingredients:   1 earlier file
  Hash check:    content matches signature

C2PA 的說明文件對範圍講得很清楚：出處資訊告訴你內容從哪裡來、如何改變，但不會說明內容是否真實。一張擺拍場景的簽署照片，仍然是擺拍的。

IPTC 數位來源類型：中繼資料裡的 AI 欄位

IPTC 是新聞媒體中繼資料的標準組織，維護一套稱為數位來源類型（digital source type）的詞彙。相同的詞彙同時用於 IPTC 照片中繼資料，以及 C2PA 的動作斷言中。與 AI 最相關的詞彙有：

平台會讀取這些值，來決定何時顯示「Made with AI」或「AI info」之類的標籤。IPTC 欄位本身沒有簽署，所以任何人都可以寫入或移除。在 C2PA manifest 內，同樣的值則受簽章保護。

為什麼移除中繼資料就失去憑證

中繼資料與嵌入的 manifest 是存放在影像資料旁邊，而不是在影像資料之中。任何只從像素寫出新檔案的操作，都會把它們丟掉：

• 截圖或螢幕錄影。
• 上傳到會為了隱私或大小而重新編碼圖片並移除中繼資料的平台。
• 用不複製中繼資料的工具轉換格式，例如 PNG 轉 JPEG。
• 執行中繼資料移除工具，它的設計目的就是刪除 EXIF、GPS、XMP 等區塊。
• 透過剪貼簿在應用程式間複製貼上圖片。

這是預期中的行為，而不是某個工具的缺陷。分享照片之前移除位置資料是良好的隱私習慣；例如 cv.cm 的 EXIF 工具會在瀏覽器中移除 EXIF 和 GPS 資料，同時也會連嵌入的憑證一起移除。如果你需要證明圖片來源，請保留原始的已簽署檔案，並原封不動地分享。

C2PA 的解方是持久性內容憑證（durable Content Credentials）：把硬綁定與軟綁定結合，軟綁定指的是隱形浮水印或感知指紋。即使檔案的中繼資料已被移除，找到浮水印或指紋的驗證工具，仍可在 manifest 儲存庫中查到原始的 manifest。

SynthID 等隱形浮水印

隱形浮水印會以人察覺不到、但偵測器能找到的方式改變內容本身。例如 Google DeepMind 的 SynthID，據說涵蓋圖片、影片、音訊與文字。對於圖片和影片，它的設計能撐過裁切、濾鏡、影格率變更與有損壓縮；對於音訊，則能撐過加入雜訊、MP3 壓縮與速度變化。對於文字，它會稍微調整模型所選用詞的機率。

這類浮水印都有以下重要限制：

• 只有對應的偵測器能讀取。SynthID 的檢查對使用其他浮水印或沒有浮水印的模型所生成的圖片，什麼也說明不了。
• 耐用不等於永久。大幅編輯、用另一個模型重新生成圖片，或改寫文字，都可能削弱或移除訊號。
• 文字浮水印在短段落，以及經過翻譯或改寫的文字上最弱。
• 浮水印顯示的是某個配合的提供者生成或編輯過這份內容，但不能顯示哪些部分被改動，也不能顯示場景是否真實。

個人的隱形浮水印是另一種用途的另一個工具。你藏在自己照片裡的標記，例如用 cv.cm 的浮水印工具，能幫助你日後證明某份副本來自你的檔案。它不是 AI 標示，也沒有平台會讀取它。

AI 偵測的限制

沒有任何方法能看著一份任意檔案，就可靠地判定「AI」或「真實」。請記住這些原則：

1. 有效的憑證只告訴你誰簽了名、他們聲明了什麼。信任與否，取決於你是否信任那個簽署者。
2. 沒有憑證什麼也證明不了。網路上大多數真實照片都沒有憑證，因為平台會移除它們，而且多數相機也不簽署。
3. 找到浮水印，是該提供者模型的強力證據。沒找到浮水印，則幾乎不能證明任何事。
4. 分類器式的 AI 偵測器靠視覺或統計模式猜測，有偽陽性與偽陰性。不要單憑它就指控別人。
5. 綜合多種訊號：憑證、浮水印、來源帳號、最早的上傳時間，以及以圖搜圖和找出物理上的錯誤等一般查證。

對創作者來說，實用的原則很簡單：保留生成工具的原始檔案及其憑證，在平台或法律要求的地方加上可見標示，並且不要試圖移除你所發布內容上的 AI 標記。