C2PA прикрепляет к файлу подписанную запись о том, кто что сделал. Это полезно и легко понимается неверно. Действительная подпись означает, что файл не менялся после подписания, а не что подписавший — тот, за кого себя выдаёт.
Инструмент, который его создал, выполненные действия, использованные материалы и поле, объявляющее, создан ли контент ИИ. Всё больше генераторов вписывают это объявление в свой вывод, так что его наличие — самый быстрый и самый надёжный доступный ответ.
Выпустить самоподписанный сертификат и по-настоящему подписать манифест, утверждающий, что снимок сделан определённой камерой, стоит одной команды. Такие файлы проверяются как действительные. Поэтому нужно отдельно проверять, есть ли сертификат в известном списке доверия, и показывать этот результат отдельно от действительности.
Без установленного списка доверия сверить сертификат попросту нечем. Называть его в этом состоянии неизвестным — наговор на файл. Правильно записать, что сверки не было, и пояснить, что после установки списка следующий анализ сверку выполнит.
Полное отсутствие подписи обычно и не является плохим знаком: у большинства фотографий её никогда и не было. Подпись, не сходящаяся с содержимым, — другое дело: она означает, что файл изменили после подписания, и этим стоит заняться.
Это общее пояснение, а не юридическая консультация. Результат проверки — вероятностная оценка, а не доказательство.