如何检测一张图片是否由AI生成？

判断一张图片是不是由人工智能生成，是如今很多编辑、律师、版权人员和调查者都关心的问题。坦率地说，单凭肉眼或某个工具很难给出"这一定是AI生成"的绝对结论，但可以通过技术手段留下一条证据链。最可靠的方向之一是查看图片是否带有 C2PA 溯源信息。C2PA 是由 Adobe、微软、BBC 等机构联合推动的内容来源与真实性标准，它把生成工具、修改软件、时间戳等信息以加密签名的方式写进文件元数据。如果你拿到的是直接从 Midjourney、DALL·E 或 Adobe Firefly 导出的原始文件，且导出过程未被进一步压缩或抹除信息，那么它很可能携带 C2PA 清单，可以明确说明这张图由哪个模型在什么时间生成。FilesAudit 在处理这类文件时会尝试解析 C2PA 清单并展示其中的来源声明，把这类加密签名证据作为报告的一部分保存下来。

需要强调的是，元数据和签名只能告诉你"文件自称从哪里来"，它是一种技术证据，并不等同于法律层面上的最终认定。有人可能用截图、微信转发或二次压缩把 C2PA 信息全部剥离，导致一张原本由 AI 生成的图片在工具里看起来毫无痕迹。反过来，一张真实拍摄的照片也可能被人为塞入伪造的签名字段。因此更务实的思路是把多种信号叠加在一起看：是否携带 C2PA、EXIF 是否合理、哈希值是否与某个已知来源一致、像素层面是否有 AI 常见的结构异常。如果你只是把图片拖进工具，期望它像魔法一样给你一个红叉或绿勾，那往往会失望；真正的判断是一个拼图过程。

具体到操作层面，你可以先把图片上传到 FilesAudit 的文件分析页面，平台会提取它的基本属性、EXIF/GPS/XMP/IPTC 字段，并计算 SHA-256、MD5、CRC32 等哈希值。拿到结果后，第一步看的就是 EXIF。一张由真实相机或手机拍摄的照片通常会带有镜头型号、光圈、快门、ISO、GPS 坐标等字段，且这些字段之间存在内在一致性，比如快门速度和曝光时间、焦距和镜头标识应当对应。AI 生成的图片往往没有这些字段，或者只有一片空白的最小元数据；有些生成平台会写入"Software: Midjourney"之类的标识，这本身就是一条线索。但要注意，EXIF 缺失并不等于 AI 生成，因为很多社交平台在上传时会自动剥离元数据，所以你需要结合来源渠道一起判断。

第二步看的是 XMP 和 C2PA 区块。XMP 是 Adobe 体系常用的可扩展元数据平台，很多生成工具会把模型名称、提示词片段、生成时间写进 XMP 的相关命名空间。C2PA 则更进一步，它不仅记录"谁生成的"，还会用证书签名这段数据，确保只要证书链可信、内容未被篡改，你就能信任其中的声明。FilesAudit 在解析时会区分"存在 C2PA 清单"和"签名验证通过"两种状态：前者说明文件里确实有自述来源，后者说明这段自述在技术上未被篡改。如果签名损坏或证书过期，平台会如实标注，而不是硬给你一个"可信"的结论。对于 JPG 这类最常见的格式，可以参考 JPG / JPEG 元数据详解 了解具体字段含义；PNG 则有不同的区块结构，细节可以看 PNG 元数据指南。

第三步是用哈希值做比对和存证。SHA-256 对同一份文件会给出固定长度且唯一的指纹，只要文件内容有任何一个字节变化，哈希就会彻底改变。这意味着两件事：一是你可以把当前图片的哈希与生成平台、作者或第三方存证机构给出的哈希比对，若一致则说明文件自存证以来未被修改；二是你可以把这个哈希连同时间戳一起保存下来，作为"在某年某月某日这份文件的内容就是这样"的技术记录。FilesAudit 生成的 PDF 报告会把哈希、提取时间、元数据快照固定在一起，方便你作为审计或版权争议的附件提交。哈希本身无法告诉你图片是不是 AI 生成，但它能回答"这张图和某处出现的那张图是不是同一份"，这对追查传播链条非常关键。

除了元数据，肉眼和像素分析也有辅助价值。AI 生成的图片常在某些细节上露出马脚：手指数量不对、文字扭曲、 earrings 不对称、背景里出现结构错乱的栏杆或招牌。更隐蔽的是频域层面的痕迹，比如某些模型会在特定频率留下规律性噪声，或出现 PNG 在特定压缩级别才有的区块异常。这些属于更专业的图像取证领域，通常需要专门工具。FilesAudit 并不做像素级伪影检测，它的定位是把文件自带的元数据和签名证据完整、可复现地记录下来，让你在后续调查或诉讼中有据可依。如果你怀疑图片经过了编辑，而不只是想知道是否 AI 生成，可以结合 怎么查照片有没有被P过 的思路一起看。

理解 EXIF 本身的结构和它揭示的信息，对判断图片来源很有帮助，详细可以读 什么是 EXIF 元数据。举个例子，一位记者收到一张号称来自现场的冲突照片，没有任何 EXIF，XMP 里却写着某个生成模型的内部版本号，哈希值与社交平台上一周前出现的另一张图完全一致，只是做了裁剪——这几条加起来就能说明它几乎不可能是现场拍摄。反之，一张照片带有完整的相机序列号、GPS 与拍摄时间，且 C2PA 签名有效，你就有较高把握它来自某台真实设备。单独看任何一个字段都可能误导，组合在一起才接近真相。

不同格式在元数据处理上的差异也值得留意。JPG 的 EXIF 生态最成熟，但经过微信压缩后字段几乎会丢光；PNG 原生不保存 EXIF，常用 eXIf 区块或 tEXt/iTXt 字段存元数据；HEIC 和 RAW 则保留了非常详细的相机参数，适合做来源追溯。如果你需要查看更多格式的覆盖范围，可以参考 支持的格式列表，目前覆盖图片、视频、音频、文档、压缩包、CAD、源代码等 200 多种类型。对于大量图片批量核验的场景，逐个上传效率不高，这时可以使用 FilesAudit 桌面版 在本地批量提取元数据并生成报告，避免敏感图片外传，同时处理上万文件也不卡顿。

最后要重申一条边界：任何工具给出的都是技术证据，不是法律结论。FilesAudit 能告诉你这张图的哈希是什么、元数据里写了什么、C2PA 签名是否存在且有效，但它无法替法官判定这幅画面是否侵犯版权、是否构成虚假信息或是否具备法律意义上的"伪造"。正确的用法是把平台产出的 PDF 报告当作证据链的一环，结合当事人陈述、传播路径、平台数据和专业鉴定共同判断。更多关于文件取证、元数据解读和数字调查的实践文章，可以在 FilesAudit 博客 找到，逐步建立起自己的判断框架。查证 AI 生成图片从来不是一次点击的事，而是一套可复现、可留存、可被第三方核验的方法。