有签名就代表不是 AI 吗

不是。签名是关于来源的陈述，其中也可能写着 AI 生成。来源与 AI 生成可能性在不同的轴上评估。

抹掉元数据签名也会消失吗

多数会。一次社交上传或一次截图就会让整份清单消失，所以不能仅凭没有签名去怀疑造假。

报告中会记录依据哪份清单判断，以及它的来源、获取时间与锚点数量。因为同一个文件换一份清单，结论可能就不同。

获取超过 90 天，或者获取时间不明的，都视为陈旧并如实标注。我们不会把不知道的东西假定为最新。

C2PA 是把谁做了什么以签名形式附在文件上的规范。它有用，也容易被误读。签名有效的意思是文件在签名之后没有改动，而不是签名者就是他自称的那个人。

包含制作工具、执行过的操作、使用的素材，以及声明是否为 AI 生成的字段。越来越多的生成工具会在自己的输出里写上 AI 生成，因此只要这一项存在，它就是最快也最确定的答案。

做一张自签名证书，再给一份声称「某相机拍摄」的清单打上真实签名，只需要一条命令。这样造出来的文件在验证工具里同样显示为有效。所以必须另外核对证书是否在已知的信任清单中，并把这个结果与有效性分开陈述。

没有安装信任清单时，根本无从比对证书。此时说这是未知证书，等于对文件的诬告。正确的做法是照实写明没有比对，并说明安装清单后下一次分析就会比对。

完全没有签名很常见，本身不是坏信号，绝大多数照片本来就没有。反过来，有签名却与内容对不上，就意味着文件在签名之后被改动，这是明确需要追查的事。

本文为一般性说明，不构成法律意见。检查结果是概率性评估，不是证明。