画像がAI生成かどうかをメタデータとC2PAで調べる方法

画像が本当にカメラで撮られたものなのか、生成AIによって作られたものなのかを確かめたいという需要は、報道やSNS、著作物利用の現場で急速に増えている。目視だけでは判別が難しくなった今、頼りになるのはファイル自体が持つ技術的な痕跡だ。EXIFやXMP、IPTCといったメタデータ、ファイルに埋め込まれるC2PAのプロビナンス情報、そしてSHA-256やMD5といった暗号学的ハッシュによる指紋。これらは「AI生成である」と断定する法的判断ではないが、作成過程や改変の有無を示す客観的な記録として機能する。特に商用利用や一次情報の裏取りでは、この技術的証拠の有無が信頼性を左右する。

まずは画像ファイルが持つメタデータを確認するのが基本になる。JPEGやPNG、HEICなど一般的な写真形式は、カメラ機種やレンズ、撮影日時、ISO感度、GPS位置、ソフトウェアの書き込み履歴などをEXIFに記録する。AI生成ツールで書き出された画像は、多くの場合カメラ由来のEXIFが存在せず、代わりに「Software」タグに生成アプリ名やバージョンが入る。XMPには編集履歴や著作権情報が残り、IPTCにはクレジットや説明が記録されることがある。ただしメタデータは編集ソフトやエクスポートで簡単に削除・上書きできるため、存在しないからといって必ずAI生成とは限らず、存在するからといって必ずしも真正を保証するものでもない。実務では、JPEGファイルのメタデータ構造を網羅的に確認できる解説を参照しながら、どのタグが欠落しているかを比較検討するのが定石だ。写真の撮影日時を確認する解説も合わせて見ておくと、タイムラインの矛盾が見つけやすくなる。

より確実な手掛かりとなるのがC2PA規格によるコンテンツ認証である。C2PAはAdobeを中心に策定されたオープン標準で、画像や動画の生成・編集履歴を暗号的に署名したマニフェストをファイル内に保持する仕組みだ。生成AIで作られた画像は、モデル名、プロンプトの要約、生成時刻、編集操作の履歴がマニフェストに記録され、公開鍵で検証できる。オリジナルカメラからの画像も、カメラメーカーが署名することで撮影時の状態が保証される。検証は専用ビューアーや対応ブラウザで行うことができ、マニフェストが改ざんされていないかを署名検証で確認する。ただしC2PA対応はまだ一部の生成サービスやカメラに限られており、署名が無い画像は「未対応」か「意図的に剥がされた」かの区別がつかない点に注意が必要だ。

ここで重要になるのが、メタデータやプロビナンスをそのまま保存し、改ざんされていないことを示す文書化である。ファイルのハッシュ値は、１ビットでも内容が変われば大きく変わるため、同一性を証明する指紋として使われる。SHA-256、MD5、CRC32を組み合わせて記録し、取得日時とともにPDFレポート化しておけば、後から「このファイルはこの時点でこの内容だった」と主張できる技術的根拠が残る。ファイルのメタデータやハッシュを抽出できるサービスを使えば、ブラウザ上で200以上の画像・動画・文書形式に対応した抽出とレポート生成が可能で、調査の初動として手早く証跡を固められる。対応フォーマットの一覧を確認しておくと、RAWやHEIC、動画も含めた全体像を把握しやすい。

実務の例を挙げると、記者が匿名提供