온라인에서 본 사진에 콘텐츠 자격증명이 붙어 있다면, 검증 도구로 어떤 제작·편집 기록이 그 파일에 연결됐는지 확인할 수 있다. 서명이 유효하더라도 사진 속 장면의 설명까지 맞는지는 별도로 확인해야 한다. 반대로 자격증명이 안 보인다는 이유만으로 AI로 만든 이미지라고 판단할 수도 없다.
대표 사진 ‘Parallel lines’는 그 차이를 보여준다. 공개된 JPEG의 촬영 정보에는 라이카 M11-P가, 사용 소프트웨어에는 라이트룸 클래식이 표시돼 있다. 이 모델은 기능을 켜면 촬영 때 콘텐츠 자격증명을 기록할 수 있다. 그러나 기사 작성 과정에서 내려받은 이 공개본의 JPEG 헤더에서는 내장 C2PA 블록을 찾지 못했다. 지원 카메라 이름을 읽는 일과 해당 파일의 서명 기록을 검증하는 일은 서로 다르다. 사진 원본 및 촬영 정보 · 라이카 기능 안내
1. 파일에는 어떤 기록이 남나
C2PA는 이미지와 영상 등의 출처 이력을 담고 검증하는 표준이다. 지원 도구는 사진을 촬영하거나 편집한 뒤 파일에 연결할 기록을 만들 수 있다. 이 기록 묶음을 매니페스트라고 한다. 제작 도구, 편집 작업, 합성에 사용한 원본 파일 정보 등을 넣을 수 있고, 어떤 항목이 보이는지는 도구와 제작자의 설정에 따라 달라진다. 촬영자 이름이나 모든 수정 이력이 자동으로 남는 것은 아니다.
매니페스트의 핵심은 파일과 기록이 연결되고 기록에 디지털 서명이 붙는다는 점이다. 검증 도구는 보호 대상인 파일 데이터에서 다시 계산한 해시를 저장된 값과 대조하고, 서명과 인증서도 검사한다. 예를 들어 다른 사진에 기록만 옮겨 붙였다면, 보호 대상 데이터와 기록이 맞지 않아 검증에서 문제가 드러날 수 있다. 서명을 남긴 뒤 새로 편집할 때는 지원 도구가 그 과정을 새 기록으로 남길 수도 있다. C2PA 공식 설명서
생성형 AI 사용 여부는 도구가 제작 방식 항목에 기록했을 때 확인할 수 있다. C2PA 규격은 생성형 AI가 만든 영상의 기록에 학습된 알고리즘으로 생성됐음을 남기는 예를 들고 있다. 검증 도구가 이런 항목을 읽는 과정은 픽셀이나 화면의 흔적을 분석해 AI 사용을 추정하는 과정과 다르다. 제작 방식 항목 규격
2. 자동차 사진은 자르기, 구름 사진은 워터마크
콘텐츠 진위 이니셔티브가 제공하는 자동차 사진의 매니페스트에는 포토샵 26.11.0으로 파일을 열고 자른 뒤 크기를 바꾼 작업이 나열돼 있다. 구름 사진에는 Adobe Content Authenticity로 파일을 열고 워터마크를 넣은 작업이 기록돼 있다. 공개 샘플 두 장의 JPEG 헤더에서는 C2PA 식별자가 들어 있는 블록을 확인했다. 작업 이름은 샘플과 함께 공개된 매니페스트 보고서에서 따로 대조했다. 자동차 사진 기록 · 구름 사진 기록
여기서 ‘열기’나 ‘자르기’는 기록을 남긴 도구가 보고한 작업이다. 촬영 직후부터 이 파일에 이르기까지 모든 과정이 남아 있다는 뜻은 아니다. 자르기 기록을 보고 프레임이 달라졌음을 알 수는 있어도, 프레임 밖의 장면까지 복원할 수는 없다. 서명에 나온 업체명과 사진을 실제로 촬영한 사람도 구분해 읽어야 한다.
3. 무결성, 서명자 신뢰, 장면의 사실성을 구분한다
파일과 기록을 연결하는 해시가 일치하는지는 무결성의 문제다. 서명자의 인증서가 검증 도구가 신뢰하는 체인에 연결되는지는 또 다른 검사다. 파일 데이터가 기록과 맞지 않는 경우와 검증 도구가 서명자를 신뢰하지 못하는 경우는 규격에서도 다른 상태로 분류한다. 두 검사를 통과했더라도 게시물이 붙인 날짜, 장소, 사건 설명은 별도 근거가 필요하다. C2PA 검증 상태 규격
예를 들어 실제 행사에서 찍은 사진이 몇 년 뒤 다른 행사의 사진처럼 공유될 수 있다. 파일과 제작 기록이 그대로여도 새 게시글의 설명은 틀릴 수 있다. 원래 게시된 기사나 기관 자료에서 촬영 날짜와 장소를 다시 확인하면 이 차이를 가려낼 수 있다.
4. 공유 화면보다 내려받은 원본을 먼저 확인한다
공개 샘플 목록에서 자동차 사진의 ‘ACA Inspect’를 열면 파일에 연결된 기록을 확인하는 방법을 연습할 수 있다. 검증 도구에서 기록을 남긴 주체, 사용 도구, 작업 내역을 차례대로 본다. 내 파일을 확인할 때는 가능한 한 처음 배포된 파일을 확보한다. 화면을 캡처해 다시 만든 이미지나 웹사이트의 축소본에서는 원본에 있던 기록이 빠질 수 있다. Inspect 공식 사용 안내
기록이 나오지 않으면 처음부터 기록되지 않았거나 배포 중 제거됐을 가능성을 함께 고려한다. 일부 구현은 워터마크나 이미지 지문을 단서로 외부 저장소의 기록을 다시 찾지만, 모든 파일에 이 기능이 적용되는 것은 아니다. 출처를 가려야 하는 사진이라면 원 게시물과 다른 자료를 대조하고, 콘텐츠 자격증명에서 확인한 기록이 어느 파일에 속하는지도 함께 확인한다. 기록 제거와 복구에 관한 C2PA 설명
