【geek-terminalニュース】C2PA偽造揺れ、Apple Verified Photographyが突きつける“署名だけでは足りない”問題

【事象の全貌と背景】
以前お伝えした不可視ウォーターマークや来歴証明の続報です。今回の焦点は、AI生成物に対する「署名があるから安心」という雑な理解が、かなり危ういところまで来ている点です。C2PAは、メディアの由来や履歴を示すためのメタデータ標準であり、OpenAIの公式説明でも、作成に使われたツール、サービス、作成時刻、来歴情報などを含み得るものとされています。ただし同じ公式説明は、C2PAやSynthIDのような来歴シグナルが、内容の正確性、無改変性、合法的所有、文脈の正しさを保証するものではないとも明記しています。つまりC2PAは“真実判定機”ではなく、判断材料の一部です。

ここにぶつかってきたのが、Hacker FactorによるPixel 10系のC2PA偽造報告です。これは公式に確認された脆弱性情報としてではなく、Hacker Factor側の報告として扱う必要があります。同記事は、Google Pixel端末の正規キーを使い、AI生成画像にC2PA署名を付けて「Pixel Cameraで作成された写真」のように見える例を示したと主張しています。署名チェーンやタイムスタンプ自体は本物でも、画像内容は架空だった、という構図です。Hacker Factorは、2025年11月にGoogleとC2PA関係者へ理論上の問題を報告し、2026年5月にretr0idことDavid Buchananが実装で再現し、2026年8月25日に90日経過後の責任ある開示として公表したと説明しています。真偽の最終判断は別として、議論として重要なのは、秘密鍵そのものを抜かなくても、root権限などで署名機構を悪用できれば、任意画像に正規署名を付けられるのではないか、という信頼境界の問題です。

【技術的ディープダイブ】
Appleが公式に提示したApple Reference Imageは、この揺れに対するかなり別物の回答です。Appleは、従来のC2PA系アプローチを、撮影後に来歴メタデータを付け、その時点以降の編集履歴を認証する方式として整理しています。そして、編集チェーンのどこかが侵害されると閲覧者が検出できない可能性があること、公開IDが端末や個人に結び付く場合には撮影者のプライバシーリスクになり得ることを公式に指摘しています。

Apple Reference Imageは、iPhone 18 ProとiPhone 18 Pro Maxのメインカメラセンサーで提供される任意参加型の検証用撮影モードとして説明されています。要件は3つです。センサー取得内容に忠実である「意味的真正性」、センサー改ざん・暗号攻撃・OS侵害に耐える「侵害耐性」、同一端末や撮影者を外部から追跡させない「プライバシー保護」です。ここでAppleは、来歴メタデータを最後に貼るのではなく、撮影の最初の瞬間に信頼を寄せています。

具体的には、センサーを専用のReference modeで安全に起動し、撮影直後のピクセルデータとセンサー由来メタデータをセンサー内秘密鍵で署名します。ズーム境界や焦点距離など一部のセンサー外メタデータはSecure Enclave Processorが署名します。撮影時刻もOS時計を信じ切るのではなく、Appleの暗号タイムスタンプサービスで下限と上限を与えます。端末は平均約15分ごとのハートビートで事前トークンを保持し、撮影後に2つ目のトークンを取得する設計です。

さらに、センサー署名済みの安全なデジタルネガはPrivate Cloud Computeへ送られ、PCCが署名、証明書チェーン、センサーとSEPのペアリングを検証したうえで、デモザイク、トーンマッピング、圧縮を行いJPEG参照画像を生成します。AppleはPCCの本番ビルドを追記専用かつ暗号的に改ざん耐性のある透明性ログに記録し、公開検査可能なバイナリとして扱うと説明しています。最終署名はRSA-3072とML-DSA-87を組み合わせた複合ポスト量子署名です。さらに写真GUID、センサーID、信頼度スコアを伴う失効管理により、個別写真や特定センサー由来の写真を後から失効できるとされています。

【コミュニティの生々しい熱量と議論】
Hacker Newsでは、C2PA陣営とAppleの設計思想の違いがかなりストレートに受け取られています。あるコメントは、NikonやCanon、Google Pixel、欧州メディアなどがC2PA Content Credentialsを採用している一方で、Appleは参加せず「より良いアプローチ」を持っていると見ている、と整理していました。これは単なるApple対Googleの企業バトルではなく、標準化された来歴メタデータを広く運用する道と、センサーからクラウド現像までを狭く硬く束ねる道の衝突です。

一方で、ギークらしいツッコミも鋭いです。「AI生成画像を撮影したら、それでも保証されるのか？」という反応は、まさにこの問題の核心です。Apple Reference Imageが保証しようとしているのは、特定時刻に実在するiPhoneカメラセンサーが捉えた参照画像であって、その被写体が“現実の出来事”であることまでは保証しません。ディスプレイに表示したAI画像、印刷したフェイク文書、精巧な模型を撮れば、センサー真正性と世界真正性の間に隙間が残ります。

別のコメントは、参照画像は有用な証拠だが、元メタデータの保存とAppleの検証経路が何年も維持されることに価値が依存すると指摘していました。これも現場感があります。署名、証明書、失効リスト、透明性ログ、PCCの検証可能性。どれも単発の暗号プリミティブではなく、長期運用される社会インフラです。証拠写真が10年後の裁判、報道検証、人権調査で使われるなら、検証UIが消えた瞬間に“正しいのに証明できない写真”が生まれます。

【今後の展望とエコシステムへの影響】
今回オワコンになりつつあるのは、C2PAそのものではありません。むしろ危ないのは「C2PA署名あり＝本物」という雑なUIと雑な説明です。C2PAは来歴を運ぶ標準として重要ですが、署名は“誰かの署名機構を通った”ことを示すだけで、現実、撮影者、意図、文脈、被写体の真実性を丸ごと保証するわけではありません。OpenAIの公式説明がいうように、C2PAやSynthIDは判断材料であって、内容や文脈の正しさの保証ではない。この前提をユーザーインターフェースがどこまで正直に伝えられるかが、次の争点になります。

Appleの方式は、信頼境界を撮影後の編集チェーンから、センサー、製造時ID、SEP、PCC、失効、匿名性の束へ押し戻します。これは強い一方で、Appleのハードウェア、クラウド、検証サービスへの依存も深くなります。オープン標準の相互運用性を重視する世界から見ると、かなり垂直統合的です。しかしPixel 10をめぐるHacker Factorの報告が示唆するように、署名機構だけを信じるモデルが揺らぐなら、次の競争軸は“どこで署名するか”ではなく、“何を信頼境界に置き、侵害後にどう失効し、閲覧者にどう見せるか”になります。

AI時代の写真真正性は、ウォーターマーク対メタデータの二択では終わりません。センサー証明、クラウド現像、透明性ログ、失効リスト、プライバシー保護、そして「これは何を保証して、何を保証しないのか」を誤解させない検証UIまで含む、泥臭いセキュリティ設計の話になります。今回の揺れは、来歴証明が暗号の勝利宣言ではなく、プロダクト、OS、カメラ、クラウド、報道、裁判、SNS表示をまたぐ信頼インフラ競争に入ったことを示しています。