Content Credentials (C2PA)

Les Content Credentials consignent, dans le fichier même et sous signature, la façon dont il a été créé : c’est le standard ouvert de la Coalition for Content Provenance and Authenticity (C2PA), qu’utilisent Adobe, OpenAI, Google et des fabricants d’appareils photo. Chaque marquage Kennmarq.com ajoute des Content Credentials signés et horodatés, qui indiquent que le fichier a été créé ou modifié par l’IA.

En bref

Ce que c’est : un manifeste intégré au fichier : des déclarations sur son origine, signées pour que toute modification se voie.
Ce que disent les nôtres : création ou modification par l’IA, le système d’IA et le modèle utilisés, leur fournisseur, la date, et l’ajout d’un filigrane.
Ce qu’ils ne disent jamais : qui a créé le fichier, ni avec quel prompt.
Lois : la couche de métadonnées signées que cite le code de bonne pratique de l’AI Act, et le support de la divulgation latente prévue par la loi californienne.

Ce que portent les Content Credentials de Kennmarq.com

Les assertions d’un manifeste Kennmarq.com
Élément	Ce qu’il indique
`c2pa.actions.v2`	L’origine du fichier : `c2pa.created` (ou `c2pa.opened` s’il portait déjà des Content Credentials), avec le type de source numérique IPTC (`trainedAlgorithmicMedia` pour un fichier créé par l’IA, `compositeWithTrainedAlgorithmicMedia` pour un fichier modifié ou combiné avec l’IA), l’heure, ainsi que le nom et la version de votre application en tant qu’agent logiciel. Puis le filigrane : `c2pa.watermarked.bound` pour celui d’une image, `c2pa.watermarked.unbound` pour celui d’une vidéo ou d’un morceau.
`c2pa.soft-binding`	L’algorithme et l’ID du filigrane d’une image, pour qu’un lecteur puisse retrouver ces Content Credentials à partir des seuls pixels.
`com.kennmarq.generator`	Votre entreprise (le fournisseur), le modèle et sa version, si vous les transmettez.
`com.kennmarq.watermark`	L’ID du filigrane d’une vidéo.
`Ingrédients`	Les Content Credentials que le fichier portait déjà, par exemple ceux de l’API d’un fournisseur de modèles, conservés tels quels.
`Signature et horodatage`	Notre signature, avec notre chaîne de certificats publiée, et un horodatage RFC 3161 de notre propre serveur.

Les images portent aussi le type de source numérique IPTC dans leurs métadonnées XMP : le champ en clair que de nombreuses plateformes lisent pour signaler les contenus IA. Chaque signature et chaque horodatage figurent dans notre journal de transparence public avant que le fichier ne vous parvienne.

Les lire

Dans un navigateur : déposez une image sur kennmarq.com/check. Le vérificateur lit les Content Credentials et le filigrane et, quand les métadonnées ont disparu, retrouve les Content Credentials grâce au filigrane.
En ligne de commande, avec l’outil open source c2patool de la C2PA :

Shell

c2patool image.marked.png

Via l’API, avec un résultat signé : POST /v1/verify.

Pourquoi aussi un filigrane

Les métadonnées se perdent facilement : la plupart des plateformes les suppriment quand elles réencodent un fichier envoyé. Le filigrane invisible porte un ID dans le contenu lui-même, et cet ID renvoie aux Content Credentials que nous conservons pour le fichier (Content Credentials durables). C’est pourquoi le code de bonne pratique de l’UE demande les deux.

En ajouter

curl

curl https://api.kennmarq.com/v1/mark \
  -H "Authorization: Bearer $KENNMARQ_API_KEY" \
  -F file=@image.png -F source=created \
  -F provider="Acme Inc." -F app_name="Acme Studio" -F app_version="2.1" \
  -o image.marked.png

Tant que notre conformité C2PA et notre certificat publiquement reconnu ne sont pas en place, les lecteurs C2PA présentent notre signature comme valide mais émanant d’un signataire inconnu. Nos chaînes de certificats sont publiques sur GET /v1/certificate.