C2PA 內容憑證怎麼看？把簽章、素材來源與圖說分開查

Content Credentials 可以提供可驗證的來源聲明。收圖時先看憑證與素材是否對得上、簽署者是否在信任範圍，再核對拍攝語境、圖說與使用權。

專題編輯：Iris Hsieh｜AI 資安與治理編輯

編輯收到攝影者交付的原檔和同一張圖片的社群截圖，兩者可能顯示不同的憑證狀態。審核表要同時留下檔案版本、技術驗證結果，以及照片可以支持哪一句圖說。

從內容真假改問來源何在

看見一張照片時，我們常問它是不是真的。但「是不是相機拍的」「是否由可信機構簽發」「是否被剪輯」「圖說是否正確」其實是四個不同問題。C2PA 適合協助處理資產來源及修改紀錄，不是替所有敘述做事實查核。

C2PA 與 Content Credentials

C2PA 是內容來源和真實性技術規格體系，Content Credentials 是承載這類來源訊息的一種憑證形式。它提供機器可驗證的聲明、簽章與資產綁定機制，讓應用程式在保有適當信任基礎時檢查一段來源紀錄是否被改動。

憑證內的聲明、簽章與綁定

以 C2PA 2.5 規格為例，Assertion 可以記錄某類來源或工具動作，Claim 引用這些聲明並由簽章保護，Manifest 則承載相關結構。驗證端依規格核對簽章與憑證，並檢查適用的資產綁定［1］。

密碼學能確認什麼

雜湊可以協助偵測被綁定的位元內容是否改變；數位簽章可以支援驗證聲明由持有相關金鑰者簽署且未遭不當修改。但簽署者仍可能寫下錯誤的描述，也可能只是簽署了一份虛構圖片。這是完整性與事實真確性的根本差別。［1］

圖說需要自己的證據

假設一張活動照片具有可驗證憑證，簽署者聲明該圖經裁切。若發布素材時要說照片拍攝於台北或某一年度，仍需回查拍攝檔案、活動紀錄或攝影者說明。有效簽章支援來源紀錄的查核，圖說中的地點與年份則由另外的證據支持。

入庫時分列三種驗證結果

查不到可用憑證時保留原檔並回查資料提供者。驗證失敗時記下工具回報的原因並取得另一份原檔。驗證成功時則記錄狀態及驗證工具的信任範圍，再完成圖說和授權查核。這是編輯處置的三類結果，C2PA 2.5 的 Manifest 技術狀態另有 Well-Formed、Valid 與 Trusted 等定義［1］。

企業資產流程怎麼接

建議從素材入庫建立 Asset ID、檔案雜湊、來源聲明、使用權利、處理者、時間與衍生關係。設計部門後製時保留新版本與舊版本關係，法務審核使用情境，發布端檢查最終檔的憑證與圖說。

信任鏈的責任歸屬

不是任何一張有憑證的圖都值得相信。企業必須設定哪些簽署身分可接受、驗證失敗時如何處理、外包商的憑證如何納管，以及密鑰外洩或撤銷時怎麼更新。信任清單與治理規範同樣重要。［1］

使用者體驗要避免過度承諾

介面可以顯示來源提供者、已聲明的編輯行為、可驗證範圍與缺漏項；避免使用一個綠色勾號表示所有事實都已核對。應讓讀者區分「憑證有效」「內容真實」「著作權合法」三種結論。

與 AI Watermarking 並用

如果平台既有不可見浮水印，又提供 C2PA，可將媒體生成線索與可驗證的來源主張彼此參照。兩者同時缺席時，仍應回到一般查證程序；兩者都有時，也不能省略權利和語境查核。

新聞與廣告的導入順序

先選一條影像資產流程做 PoC，確認原檔、後製、CDN、縮圖和社群轉載哪些環節保留憑證。第二階段再定義例外情況、責任人與外部說明，避免一次要求整個企業所有既有素材都達到相同程度。

結論與對外揭露模板

可以對外說明：「本素材附有可驗證的來源憑證；可供查閱的是所聲明的製作與修改紀錄。此資訊不取代對圖片內容、拍攝情境、授權與圖說的獨立查核。」這比宣稱「已獲認證是真實照片」更精確。

讀者下一步

針對下一張待刊圖片，保存交付原檔與最終刊登檔，逐欄填寫憑證狀態、簽署來源、圖說證據與使用權利。若最終檔的憑證消失，可利用原檔和編輯紀錄說明兩者的衍生關係。

查證來源

1. C2PA Content Credentials 技術規格 2.5。
2. NIST AI 100-4，合成內容透明度技術報告（2024）。

本文由 AI 輔助整理。案例為教學用的虛構情境。