メディアを信頼する前にContent Credentialsを確認する方法

ファイルを保存し、確認したい問いを決める

Content Credentialsは、デジタル資産の出所と変更履歴を記録できます。確認前に受け取ったファイルを保存し、署名者、記録の完全性、編集の有無、画面の出来事の真偽のどれを調べるのか書きます。来歴が手掛かりになるのは最初の三つです。出来事の真偽には別の証拠が必要です。

C2PAはこの履歴をprovenanceと呼びます。Content CredentialはC2PA Manifestとも呼ばれ、資産に暗号学的に結び付いた署名付きassertionを含みます。ファイル名、入手経路、開いたコピーを記録します。これは本記事の実務提案であり、C2PAが定める手続きではありません。

Manifestが見つかった方法を確認する

対応アプリケーションでファイルを開き、manifestの有無と関連付けの方法を記録します。Manifestはファイル内に埋め込まれる場合と、soft bindingで外部から結び付く場合があります。C2PA Explainerは不可視ウォーターマークとフィンガープリント検索を例示しています。

アプリケーションの表現を保って結果を項目別に写します。確認範囲には、manifestの形式、完全性、元の資産との関連、既知のトラストリストに関連する実装による署名があります。複数の結果を「検証済み」にまとめず、判定不能も残します。失敗はその項目を確認できなかったという意味で、ファイル全体が偽物だという判定ではありません。

Assertionを記録以上に強めない

表示されたassertionを読みます。出所、作成情報、変更、ツール、AI利用、ingredientなどが記録されることがありますが、項目は資格情報ごとに異なります。ない項目は別の証拠が得られるまで「記載なし」とします。

表をassertion、正確な値、検証結果、未解決の問いに分けます。操作の記録は、その理由や場面の真実性まで説明しません。発行者やツール名があれば、元の公開状況と合うか別に確かめます。C2PAの検証はassertionの記述が現実に正しいことまで保証しません。

来歴と内容の真偽を別々に結論づける

C2PAは、Content Credentialsが来歴データの良し悪しや内容の真偽を判断しないと明記しています。来歴の結論には見つかった記録、通過した確認、assertionを書きます。内容の結論には元の公開ページ、独立した報道、別の証拠から分かったことを書きます。

資格情報がない場合も、合成、改変、欺瞞の証拠にはなりません。C2PAへの参加は任意です。確認したファイルとアプリケーションを記録し、出所、文脈、フォレンジック調査を続けます。

検出結果は別のリスク信号として扱う

保存した画像、動画、音声、テキストはDeepFakeCheckで確率的なリスク信号を確認できます。結果はC2PA署名の検証、署名者の特定、manifestの復元、出来事の証明を行いません。分析したコピーに結び付け、資格情報の表とは分けます。

自動分析には偽陽性と偽陰性があります。偽陽性は本物を疑わしいと示し、偽陰性は合成・改変を見逃す場合があります。高リスクは追加確認の理由になり、低リスクはファイルの認証になりません。結果が食い違って見えても、両方を保存して出所と文脈を調べます。

最後に、ファイル、manifestの発見方法、検証結果、採用したassertion、不明点、独立した文脈確認、検出結果、判断を記録します。別の担当者が各結論の証拠を追える形にします。

出典

• C2PA, “C2PA Explainer”: https://spec.c2pa.org/specifications/specifications/2.2/explainer/Explainer.html