見出し画像

C2PAとは何か — デジタルコンテンツの『栄養成分表示』

notty

C2PAが推進する、デジタルコンテンツの来歴を記録する技術規格。その仕組みと可能性、そして限界を、実機体験を交えて探る【連載 第2回】


🔰 はじめに

前回の記事で掘り下げた「映像の信頼が揺らいでいる」現状に対して、C2PA（Coalition for Content Provenance and Authenticity）という技術標準化団体はどんな解決策を提示しているのか。今回は、彼らが策定した技術規格の仕組みを、引き続き実機での実験も交えながら、記事を書いていきます。

📚 第一章：あなたのスマホ、もう始まってるかも

C2PAの推進者であるAndy Parsons（Adobe/CAI Senior Director）は、この解決策の仕組みを「画像の栄養成分表示」とたとえています。「カロリー」「脂質」「塩分」——中に何が入っているかが一目でわかる。それと同じように、この規格に対応したカメラやソフトは、画像に「誰が作ったのか」「どんなツールを使ったのか」「途中でどう加工されたのか」を記録して貼り付けます。パッケージの裏面を見るように、画像の裏面を見ることができる仕組みです。

実際に見てみよう

2025年9月、GoogleはPixel 10シリーズで撮影したすべての写真に、Content Credentials（この規格に基づく「栄養成分表示」）をデフォルトで付与すると発表しました。デフォルトでオンになっています。端末内のTensor G5チップとセキュリティチップTitan M2を使って、この規格の最高準拠レベルを達成しています（専用のセキュリティチップで署名するため、ソフトウェアだけの対応より改ざんが格段に難しい）。そこで、私もGoogle Pixel 10をレンタルして、早速試してみました。

今回、実験に使うのは、以下のゴミ箱の画像と、消しゴムマジックでコンセントを消した次の二つの画像です。

元画像（左）と消しゴムマジックでコンセントを消した画像（左）

CAI（Content Authenticity Initiative）が公開している検証ツール verify.contentauthenticity.org に、Pixel 10で撮った写真をアップロードした結果がこれです。撮影デバイス、日時など表示されます。ちなみにこのツール、画像をサーバーに送信せず、ブラウザ内のWebAssemblyで処理しているので、プライバシー面でも安心です。

次に、AI編集機能（消しゴムマジック）を使った写真をverifyに通すと、「AI加工された」という履歴が追加されているのがわかります。加工しても栄養成分表示が消えるのではなく、「加工された」という情報が書き足される。これがこの規格の設計思想です。

画像の編集履歴のツリーも存在（画像右）

カメラ業界も動いている

Content Credentialsが搭載されているものはPixel 10だけではありません。

  • Leica M11-P（2023年10月）：世界初のContent Credentials搭載カメラ。報道・プロ写真の分野で象徴的な一台

  • Sony Alpha：α1、α7S III、α7 IV、α9 IIIなどがファームウェア更新で対応。2025年10月には動画へのContent Credentials対応も開始

  • Nikon Z6 III：2025年8月にContent Credentials対応。ただし後述するセキュリティ上の問題が発生

  • Samsung Galaxy S25：AI編集した写真のみにContent Credentialsを付与（通常撮影にはなし）。「全部につける」Pixel 10とは対照的な思想

📚 第二章：画像の"栄養成分表示"の中身 — C2PA規格の仕組み

第一章で「見た」体験を、次はC2PAの策定した規格という観点で見ていきます。

「はじめに」で触れたC2PAは、Adobe、Arm、BBC、Intel、Microsoft、Truepicの6社が2021年に設立した団体です。そこが策定している技術規格は2026年初頭にバージョン2.3に到達し、ライブビデオ対応やファイル形式の拡張が行われています。

栄養成分表示ができるまで：4つのステップ

この規格の仕組みは、食品の栄養成分表示が作られるプロセスに例えると理解しやすくなります。

ステップ1：個別の栄養素を測定する（アサーション）

栄養成分表示の「カロリー」「脂質」「塩分」にあたる個別データです。この規格では、これを 「アサーション」（Assertion） と呼び、以下のような情報が1つずつ記録されます。

  • 撮影日時と位置情報

  • 使用したカメラ・ソフトウェア

  • AI生成かどうか（使用したAIモデルの情報）

  • 編集履歴（トリミング、フィルター適用、AI加工など）

第一章でverifyツールに表示された情報の一つ一つが、このアサーションです。

ステップ2：一枚のラベルにまとめる（クレーム）

複数のアサーションを束ねて、「この画像に関する情報一式」としてまとめたものが 「クレーム」（Claim） です。バラバラの栄養素データを、1枚の栄養成分表示ラベルにまとめる作業にあたります。

ステップ3：検査機関の認証印を押す（暗号署名）

ここが決定的に重要です。まとめたクレームに 暗号署名（Signature） を施します。これは、栄養成分表示に検査機関の認証印を押すようなもの。署名があることで、「この表示は作成後に改ざんされていない」と検証できるようになります。

ステップ4：完成した栄養成分表示ラベル（マニフェスト）

アサーション + クレーム + 署名 = 「マニフェスト」（Manifest）。これが画像に貼り付けられる、完成した「栄養成分表示ラベル」です。

そしてこのラベルは、JUMBFという仕組みで、画像ファイルの中に直接収納されます[^1]。JPEG、PNG、WebP、HEIC、MP4をはじめ、画像・動画・音声・PDFまで幅広いフォーマットに対応しています。画像と栄養成分表示が一体化しているので、ファイルを渡すだけで来歴情報も一緒に届く。

[^1]: JUMBF = JPEG Universal Metadata Box Format。画像ファイル内にメタデータを格納するための国際規格。

改めてverifyツールの体験を見てみよう

さて、第一章でverifyツールに表示された情報を思い出してください。

  • 「使用するアプリまたはデバイス」→ これはアサーションの1つ

  • 「2026年4月18日」→ これもアサーション

  • 「コンテンツ概要」→ それぞれアサーションの1項目

  • これらが束ねられて1つのクレーム → それにGoogleの暗号署名 → マニフェストとして画像に埋め込まれている

「書く、まとめる、署名する、埋め込む」—— この4ステップがC2PAの策定した技術規格の基本となります。

📚 第三章：この"栄養成分表示"の現在地

ここから、簡単、各プレイヤーの状況を覗いてみます。

つける側では、OpenAIがDALL-E 3やChatGPTの生成画像に、Adobe Fireflyが100%AI生成画像に、それぞれContent Credentialsを自動付与しています。

見せる側の規模感も凄まじい。Metaは2024年10月の1ヶ月だけで、Facebookで3.6億件以上のAIラベル付きコンテンツを表示。TikTok、YouTubeもそれぞれ対応を進めています。

届ける側では、Web全体の約20%のトラフィックをカバーするCloudflareが2025年2月にC2PA規格への対応を発表。配信インフラレベルで栄養成分表示が保存されるようになったことは、大きな転換点です。

日本からも、JIIMA（日本文書情報マネジメント協会）によるとSony、Canon、Fujifilm、NHK、Nikon、サイバートラストの6社がC2PAメンバーに名を連ねています。推進団体であるCAI全体では6,000以上のメンバーを擁し（2026年初頭）、2022年末の860から急成長しています。

不在の大物

これだけの企業が動いている一方で、不在が目立つプレイヤーがいます。

Apple。CAIにもC2PAにも参加していません。つまり、iPhoneで撮った写真には、まだ栄養成分表示がつかない。日本のスマートフォン市場でiPhoneが過半数を占めることを考えると、これは大きな空白です。

X（旧Twitter）。実はCAIの共同創設者（2019年）でしたが、2022年10月のElon Muskによる買収直後（同年11月）に、C2PA担当のキーパーソンだったYoel Rothが退社。現在、メンバーリストにXの名前はありません。

MetaがFacebookだけで月3.6億件のAIラベリングを実行し、Googleがスマートフォンにデフォルト搭載し、EUが法律で義務化を進めている。一方で、AppleとXという巨大プレイヤーが不在のまま。まだまだ現時点においては、巨大プレイヤーの中でも、参加者が別れているというのが実情のようです。

📚 第四章：完璧じゃない — 3つの限界と1つのジレンマ

ここまで自身で調べたりしていると、「この仕組みって万能に近いのでは？」と思ってきます。

しかし、実際は万能ではないようです。そこで、ここからは限界を正しく理解していきます。

限界1：ラベルが剥がれる

これが最大の課題です。C2PA規格のContent Credentials（栄養成分表示）は、画像ファイルのメタデータとして埋め込まれています。つまり、スクリーンショットを撮ったり、SNSにアップロードしたりすると、栄養成分表示のラベルが剥がれてしまいます。

具体的には：

  • スクリーンショットを撮る → ラベルが剥がれる

  • SNSにアップロードする → 大半のSNSでラベルが剥がれる

  • 画像を再エンコード（形式変換）する → ラベルが剥がれる

以下は実際にやってみた例です。スクショを取る、加工アプリを通す、SNSを通す、ということでContent Credentialがなくなります。

Tim Bray（Web技術の重鎮）は自身のブログで、「今日、すべてのネットワークがすべての写真メタデータを除去する」と指摘しています（ただしBray自身は、プライバシーや知的財産の観点から除去に正当な理由があることも認めており、SNS側が独自のC2PAアサーションを付与すべきだと建設的に提案しています）。

そしてこれはバグではなく仕様です。C2PA公式FAQは、メタデータ除去を認めた上で、ソフトバインディングやクラウド復元を緩和策として提示しています。

対策として開発が進んでいるのが、Durable Content Credentials。C2PA規格 2.1（2024年9月）で不可視透かしとの連携フレームワークが仕様に組み込まれ、その実装例としてAdobeがTrustMarkをオープンソースで公開しています。不可視透かしやフィンガープリントを使って、ラベルが剥がされても画像から「栄養成分表示」を復元できるようにする仕組みです。

ただし、仕様に入ったことと、実際に使えることは別の話です。2026年4月現在、カメラが不可視透かしを埋め込み、SNSがそれを読み取って復元する——というエンドツーエンドの仕組みが実用化された例はまだありません。第一章のPixel 10の実験でラベルが剥がれたのは、この現実を映しています。

限界2：「中身の表示」であって「品質保証」ではない

栄養成分表示は「砂糖30g」とは教えてくれるが、「この砂糖の品質が良い」とは言わない。この規格も同じです。

C2PA規格の栄養成分表示は、「このカメラで撮られた」「このAIで生成された」という出自（provenance）を記録します。しかし、「写っている内容が事実かどうか」は一切保証しません。

象徴的な事例があります。2025年9月、Nikon Z6 IIIでセキュリティ上の脆弱性が発見されました。セキュリティ研究者のAdam Horshackが多重露光モードの欠陥を突き、AI生成したパグの画像にNikonの正規署名を付けることに成功したのです。この画像をverifyツールに通すと、「Nikonカメラで撮影された本物の写真」として検証を通過しました。結果、Nikonは発行済みの全C2PA規格準拠の証明書を失効させる事態に追い込まれました。

限界3：棚に並ぶ商品の99%にラベルがない

Reuters Instituteの2026年版レポートによると、世界で公開されるニュース画像・動画のうちC2PA規格のメタデータを含むものは1%未満です。つまり、棚に並ぶ商品の99%には栄養成分表示が貼られていない状態。

これは「C2PA規格非対応の画像は偽物なのか？」という問いにつながります。答えは明確にNoです。

大多数の正当な画像にはC2PAがありません。人権団体WITNESSはこう警告しています。「真正なコンテンツが、ラベルを欠いているというだけで却下されるべきではない」と。

ジレンマ：プライバシーとの緊張関係

この規格は「誰が、いつ、どこで」を記録する。これは透明性の観点では素晴らしい。でも、ジャーナリストや人権活動家にとっては、監視ツールにもなりうる。

たとえば、デモに参加した市民が撮った写真。もし、その写真に撮影者の身元や位置情報が埋め込まれていたら、それは当局にとっての追跡手段になりうるかもしれません。また、内部告発の証拠写真に撮影デバイスが特定される情報が入っていたら？ 透明性とプライバシーは、時として正面衝突します。

この規格は完璧な真実保証ではない。でも、「何も分からない」状態から「少なくともこれだけは分かる」状態への進歩は、途方もなく大きいと感じます。

📝 おわりに：栄養成分表示は、読む人がいて初めて意味がある

ラベルは剥がれる。品質は保証しない。棚の99%にはまだ貼られていない。プライバシーとの緊張関係もある。

——それでも、実際の食品の栄養成分表示が「完璧じゃないから廃止しよう」とならないのはなぜか。それは、表示があることで、消費者が「判断できる」ようになるからです。

そして実際に、透明性を制度として求める動きが加速しています。AI生成コンテンツに出自の明示を義務づけるEU AI Act第50条の施行は2026年8月[^3]。米カリフォルニア州のAI透明性法も同時期に施行されます。

[^3]: ただしEUで審議中のDigital Omnibus法が成立すると、第50条(2)（AIプロバイダーの義務）の施行日が2027年2月2日に延期される可能性がある。プロバイダー向けの(1)および利用事業者（deployers）向けの(3)〜(5)は8月2日のまま。

今回の記事では、映像の来歴規格について実験とともに掘り下げてみました。また次回も見ていただけたら嬉しいです。

📖 参考文献・出典

はじめに

第一章

第二章

第三章

第四章

おわりに

いいなと思ったら応援しよう！