一张爆款图片传到眼前，第一个问题往往是「这是不是 AI 生成的」。肉眼看不出来，AI 检测器误报率惊人——于是行业换了个思路：与其「事后鉴定」，不如在内容出生时就记录它从哪来、被谁改过。这就是 C2PA（Coalition for Content Provenance and Authenticity，内容来源与真实性联盟）在做的事，它和隐形水印一起，构成了当下 AI 内容溯源的两条腿。
C2PA 是什么：一份跟着文件走的「履历」
C2PA 是 Adobe、微软、Google、OpenAI 等公司共建的开放技术规范（截至 2026 年，最新版本为 2025 年 5 月发布的 2.2）。它做的事可以用一句话概括：把一份密码学签名的元数据嵌进文件本身，记录内容的来源与修改历史。这份履历（官方叫 Content Credentials）能回答：
- 这份内容最初由谁、用什么设备或工具生成/拍摄——比如「Leica M11-P 相机直出」或「OpenAI 某模型生成」；
- 之后经历过哪些修改——每一步编辑都追加新的签名记录，形成一条链；
- 签名是否仍然完整——文件被篡改过，校验就会失败（或者说，签名链条断在哪里，一望便知）。
关键在于「签名」：不是谁都能往履历里写「这是 Leica 相机拍的」——只有持有 Leica 私钥签的记录才算数。履历跟着文件走（嵌在元数据里），不依赖任何中心化数据库。Leica M11-P 是第一台内建 Content Credentials 的相机（2023），尼康 Z6 III 通过固件跟进（2025 年 8 月），松下也在 2025 年加入；生成端，OpenAI 给 DALL·E/Sora 的产物嵌 C2PA 元数据，Google 双管齐下（C2PA + 自家 SynthID 水印），2026 年 Anthropic 甚至开始给 Claude 生成的代码工件附内容凭证。
隐形水印：藏在像素里的另一种答案
C2PA 的软肋一眼可见：元数据可以被剥掉。社交平台转存一张图、截个屏、过一次格式转换，履历就没了。于是有了第二条腿——隐形水印：把信号直接编码进内容的像素、频谱或 token 概率分布里，格式转换也带得走。
代表是 Google DeepMind 的 SynthID 家族：图像版把水印冗余散布在全图（扛住裁剪、压缩、轻度编辑），文本版则在模型生成 token 的概率分布上做手脚（肉眼不可见，检测器能验证）。国内监管的「隐式标识」思路与此同源。
两套机制是互补关系，不是二选一：
| C2PA / Content Credentials | 隐形水印（如 SynthID） | |
|---|---|---|
| 藏在哪 | 文件元数据 | 内容本身（像素/概率分布） |
| 能证明什么 | 完整的来历与修改链 | 「这是某模型生成的」 |
| 主要弱点 | 转存/截屏即丢失 | 强力再生成攻击可洗掉 |
| 谁能验证 | 任何拿到公钥的验证器 | 只有水印发放方的检测器 |
攻防现状：别把它当保险箱
2025 年的两类研究给这套体系泼了必要的冷水。马里兰大学 TRAILS 团队测了主流的低扰动隐形水印——结论是「全都被破解了」：攻击者不需要大改画质，就能洗掉水印或伪造出水印来（把真照片加上假水印冒充 AI 图，污染整个检测体系的公信力）。元数据侧，批评者指出 C2PA 签名只保证「签署之后没被改」，不保证签署者的意图是诚实的——恶意相机厂商或生成工具可以给假内容签真名。
所以正确的预期是：溯源信号是「证据链的一环」，不是「真实性保险箱」。C2PA 回答「这份履历是否完整」，水印回答「是否出自某家模型」，两者都只是信号；任何单一信号被绕过，都不能反推「内容是真的」或「是假的」。这也是为什么规范本身强调多信号叠加、以及验证器生态（平台要在展示层把 Content Credentials 显示出来）比标准本身更关键。
监管推力与落地建议
监管正在把「可选项」变成「必答题」：欧盟 AI Act 的合成内容标识义务（原定 2026 年 8 月起适用，在 Digital Omnibus 谈判中有所推迟）、中国《人工智能生成合成内容标识办法》（2025 年 9 月已施行，显式 + 隐式标识义务与 C2PA/水印机制同构）——全球两大市场都选了「显式标识 + 隐式标识」的双层结构，C2PA 与水印正好各占一层。
给实践者三条建议：
- 生成端：如果你的产品产出 AIGC，C2PA 元数据 + 隐形水印都上——这已经是合规成本而非可选项（中国、欧盟市场尤其如此）；
- 平台端：接入 C2PA 验证器并在 UI 层展示 Content Credentials，转发时尽量保留元数据（很多平台是在转存环节把履历洗掉的）；
- 用户端：对「AI 检测器」的输出保持怀疑，误报与漏报都大量存在；有内容凭证的看凭证，没凭证的当无信号处理。
结语
C2PA 与隐形水印回答的是同一个问题的两个侧面：内容从哪来、出自谁手。它们的共同宿命是攻防永无终局——剥离与伪造的手法总会演进，标准与检测只能持续迭代。但在深度伪造成本趋零的时代，「默认无凭证的内容不可信」正在成为新的baseline，而给真实内容发身份证，就是这个新世界的入场费。
参考资料
- C2PA 技术规范（2.2，2025-05）— C2PA 官网
- Content Authenticity Initiative — Adobe 领导的行业联盟
- SynthID — Google DeepMind
- Researchers Tested AI Watermarks—and Broke All of Them — UMD TRAILS
- Robustness Assessment and Enhancement of Text Watermarking for SynthID — arXiv:2508.20228
- Leica M11-P：首台内建 Content Credentials 的相机 — Ars Technica
读者留言
COMMENTS 暂无还没有留言，来说第一句？