Una foto falsa pasa por auténtica con la firma C2PA de un Pixel 10
El manifiesto criptográfico es auténtico y enlaza con la lista de confianza de C2PA, pero el contenido es una noticia inventada sobre leche con purpurina.
Una imagen generada por IA pasa los controles de autenticidad de C2PA como si la hubiera tomado una cámara de un Pixel 10. El manifiesto criptográfico es genuino: cadena de certificados X.509 que enlaza con la lista de confianza de C2PA, certificado emitido por Google para sus cámaras Pixel y un sello de tiempo firmado, fechado el 25 de mayo de 2026 a las 17:04:19 GMT. Los validadores de referencia dan el visto bueno. El contenido de la foto es una noticia inventada sobre granjeros de Iowa que ordeñan vacas unicornio y obtienen leche con purpurina.
El texto que acompaña a la imagen no existe: es ficción, con nutricionistas desconcertados, un reportero ficticio y un precio de 8,99 dólares por medio galón. La foto también es falsa, generada con IA. Lo único real es la firma, y eso es justo el problema.
Qué validan las herramientas
El manifiesto incluye una vista previa de 1024x768 y declara que la imagen fue "Created by Pixel Camera". El servicio Inspect de Adobe, que es producto conforme al programa de C2PA, informa de que se trata de una foto legítima de una cámara Pixel grabada el 25 de mayo de 2026. El validador CAI Verify, del Content Authenticity Initiative, la clasifica como "captured media", atribuye la emisión a Google LLC y señala que el dispositivo es conforme, con el sello de tiempo verificado.
Conviene precisar dónde está el fallo. La firma no se ha falsificado: es auténtica. Lo que se ha roto es la relación entre esa firma y lo que la imagen muestra. Alguien con root en el dispositivo puede firmar cualquier imagen como si saliera de la cámara.
La divulgación
El hallazgo se llevó al grupo de trabajo PASAWG de la Universidad de Maryland, Baltimore County, que evalúa soluciones de procedencia como C2PA. En noviembre de 2025 se notificó a representantes de Google y de C2PA la hipótesis de que alguien con root pudiera firmar cualquier foto. Google sostuvo que el ataque no era posible: las claves de firma viven en un chip seguro y no se extraen, y la arquitectura de Android impide que aplicaciones no autorizadas accedan a ellas.
Pasados los 90 días desde el aviso a los fabricantes, y siguiendo la práctica habitual en divulgación responsable, los detalles son públicos. En GitHub hay un repositorio con el código, y el ataque se apoya en las condiciones de Assurance Level 2, el nivel más alto del programa de conformidad de C2PA.
Pixel 10 fue la primera línea en incorporar Content Credentials en todas las fotos de su cámara, y Google presumió entonces de sello de tiempo en el propio dispositivo y de gestión privada de certificados. Que una firma sobreviva intacta mientras el contenido que la acompaña es mentira deja a las credenciales de contenido en una posición incómoda. Sirven para decir quién firmó, no para decir qué se firmó, y quien las use como prueba de autenticidad dentro de un flujo de trabajo está comprando exactamente eso. Google tiene margen para responder, pero el mecanismo que vendía como garantía ya tiene una demostración pública en su contra.
