C2PA는 파일에 누가 무엇을 했는지를 서명된 형태로 붙이는 규격입니다. 유용하지만 오해하기 쉽습니다. 서명이 유효하다는 말은 파일이 서명 이후 바뀌지 않았다는 뜻일 뿐, 서명한 사람이 자기가 말하는 그 사람이라는 뜻이 아닙니다.
만든 도구, 수행한 작업, 사용한 재료, 그리고 AI 생성 여부를 밝히는 항목이 들어갑니다. 생성 도구들이 자기 결과물에 AI 생성이라고 적어 넣는 경우가 늘고 있어, 이 항목이 있으면 가장 빠르고 확실한 답이 됩니다.
자체 서명 인증서를 만들어 특정 카메라로 촬영했다고 주장하는 매니페스트에 진짜 서명을 붙이는 데는 명령 한 줄이면 충분합니다. 그렇게 만든 파일도 검증 도구에서 유효로 나옵니다. 그래서 인증서가 알려진 신뢰 목록에 있는지를 따로 확인해야 하며, 그 결과를 유효 여부와 나누어 표시해야 합니다.
신뢰 목록을 설치하지 않은 상태라면 인증서를 대조할 방법이 없습니다. 이때 알 수 없는 인증서라고 말하는 것은 파일에 대한 무고입니다. 대조하지 않았다는 사실을 그대로 적고, 목록을 설치하면 다음 분석부터 대조한다고 안내하는 것이 옳습니다.
서명이 아예 없는 것은 흔한 일이며 그 자체로 나쁜 신호가 아닙니다. 대부분의 사진에는 원래 없습니다. 반면 서명이 있는데 내용과 맞지 않는다면 파일이 서명 뒤에 바뀌었다는 뜻이고, 그것은 분명한 확인 거리입니다.
이 문서는 일반적인 안내이며 법률 자문이 아닙니다. 검사 결과는 확률적 평가이지 증명이 아닙니다.