C2PA 与 AI 训练数据的内容溯源

在越来越多的工具里打开一张 AI 生成的图片，你可以点开一个小图标，展开它的历史：哪个模型生成的、何时生成、之后又做了哪些修改。那个面板不是客套，而是一份经过密码学签名的清单，出自一项名为 C2PA 的标准，它与像素绑定得如此之紧，改动其中任何一个，封印就会破。

C2PA 最初是为对抗深度伪造而建的，让新闻编辑室或观众回答一个很窄的问题：这个文件真的是它自称的那个吗？但底层的机制并不在乎文件里装的是什么。一份随资产一同旅行、记录着它由谁制作、用什么设备、此后又经历了什么的签名清单，裹在一段机器人示范之外，和裹在一张合成照片之外，同样管用。

这就是本文的论点。机器人训练数据里的溯源问题，通常是用一张表格、一叠 PDF、一句承诺来应付的。C2PA 用一个签名来回答它。随着 EU AI Act 之下的买方开始要求卖方证明操作数据的来路，「一句断言」和「一句可验证的断言」之间的差别，就不再是纸上谈兵。

C2PA 到底是什么

C2PA，即 Coalition for Content Provenance and Authenticity，是一项开放的技术规范，用来给一段内容附上一条防篡改的记录。它露在外面的那一层，以 Content Credentials 之名推向市场，就是那个小小的历史面板。真正的实质，是一种叫做清单（manifest）的数据结构。

一份清单是一束断言：诸如「此文件由设备 X 于时间 T 采集，随后被裁剪并缩放」这样的陈述。这些断言被计算哈希，哈希再用一张绑定到签名者的证书来签名，而签名又与资产本身的哈希绑定在一起。这套构造衍生出三条性质，它们正是全部要点所在。

• 防篡改。改动一个像素、一条通道或一个字段，哈希就对不上了。验证会大声失败，而不是把一句无声的谎言放行。
• 可归属。签名把记录系到一张证书上，于是验证者能知道是谁在为这条声明背书，而不只是声明本身说了什么。
• 可链接。每一次编辑都可以追加一份新的签名清单，指向前一份，于是资产自己携带着数据谱系，是一条有序的链条，而非单一的快照。

这一切都不能证明最初那条声明是诚实的。签名者可以就文件的来路撒谎。C2PA 证明的东西更窄，也更有用：这条记录自签名以来不曾改变，而且是由某个具名一方签的。这恰恰是一张表格给不了的保证。

把同一份清单，裹在一段示范之外

现在换一下容器。资产不再是一张照片，而是一段第一人称采集的回合：几分钟同步的视频、深度、手部姿态、力与本体感知，在一个人执行任务时记录下来。给这段回合配一份清单，各个字段几乎是自己写出来的。

在采集当时，清单记录下设备与固件、那一场次生效的传感器标定、时间戳以及各通道对齐到的时钟，还有一条指向画面中任何人所给知情同意的引用（而非原始文档本身）。此后的每一次变换，无论是给面孔打码、给某条流降采样、把人手姿态重定向到夹爪上，还是裁剪到任务窗口，都成为一条新的签名条目。结果是一份买方无需相信卖方一面之词就能验证的数据谱系，因为「相信」这件事，交给签名去做了。

这和一段回合里的标签内容是两码事。标注写的是「拿起蓝色方块」、标定准不准，那是数据质量问题。你能否证明那个字段就是采集当时记录下的那一个、未经改动、由声称它的那一方所记，那是溯源问题。C2PA 处理的是后者。它对底层声明的好坏只字不提，只关心它是否完整、是否有归属。

签名胜过表格

今天大多数溯源，是躺在数据旁边的一份文档：一张记着知情同意编号的 CSV、一个标定文件、一份描述数据集如何构建的 README。它们每一个都有一个致命的共性：没有任何东西把它和字节绑定起来。一个单元格可以事后被改，一个标定数值可以被凑整以显得整齐，一行知情同意可以为一个从未被问过的被采集者补上，而任何读者都看不出来。

表格断言溯源，签名证明溯源。两者之间的鸿沟，就是「相信卖方」与「验证卖方」之间的差别，而尽调全部活在这道鸿沟里。

签名清单以唯一能规模化的方式弥合这道鸿沟。买方不必在一百万段片段上逐一审查卖方是否诚实；他们对每一段片段机械地验证一个签名和一个哈希。检验通过，这条记录就是采集当时写下的那一条。若有人上周为掩盖一个窟窿而改了某个知情同意字段，检验就会在那一段、且只在那一段上失败。验证用数学取代了信任，这正是让这项标准在新闻业里派上用场的同一招。

每个字段能证明什么

价值是逐个字段显现的。下表每一行，都是一个操作数据买方迟早会要求查看的声明、一份签名清单让他们能确认什么，以及若他们拿到的只是一个可编辑的文件、会继承什么。

一份签名的溯源清单在每个字段上能证明什么，以及当记录只是一个无法验证的文件时的风险

溯源字段	签名清单能证明什么	没有可验证记录的风险
知情同意引用	绑定到每位被采集者的知情同意记录在采集当时就在，且此后未变	知情同意被事后补上或改动，无从履行删除请求，也证明不了合法性基础
采集设备与固件	这段回合确实来自它所声称的那套装备与版本	来自未知或不匹配传感器的素材被当作合规品交付
传感器标定	那一场次记录的内参与外参，就是交付的那一套	标定被悄悄替换或事后估计，3D 监督在无声中出错
时间戳与同步	采集时间与共享时钟是被记录的，而非事后重建的	回合被重排或倒填时间，跨通道偏移无人能审计
编辑与变换	每一次打码、裁剪、降采样与重定向都按顺序列出	一次未记录的编辑，掩盖了原始数据里的缺陷或权利问题
保管链条	每一次交接都对着前一份清单签名，不曾中断	一处缺口，数据可能在此被替换或被污染

把右边那一栏读作尽调会得出的结论。每一项都是价格上的一次折让，而知情同意根本不是折让，它是一堵墙。

买方为何开始索要

压力不会来自对密码学的偏爱，而会来自采购。当一家机器人 OEM 训练一套它打算在欧洲销售的系统时，EU AI Act 的 Regulation (EU) 2024/1689 会把训练数据的来源纳入这家 OEM 自己的档案。Article 10 及其周边的治理义务要求给出一份关于高风险训练数据如何被采集与处理的书面说明。那份说明，强不过它的数据供应商能交出的东西，于是它的律师开始向供应商索要证明，而不是索要说辞。

知情同意从数据保护那一侧拧紧了同一颗螺丝。手、住所与面孔的第一人称影像是个人数据，European Data Protection Board（EDPB）也如此认定，无论下游拿去做什么。一份可验证的清单，证明知情同意记录在采集当时就存在、并非事后编造，是一个远比「一张原告可以指为伪造的表格」更稳的立场。随着 The Robot Report 这类媒体追踪人形机器人从示范走向商业部署，对其训练数据的尽调也同步收紧，而可验证每一次都胜过看似可信。

C2PA 不会以印着这个缩写的强制令的形式进入机器人领域。它会以一个只有签名才能回答的买方提问的形式到来，也会以这样一个安静的领悟到来：一份你能编辑的溯源记录，是一份你卖不出去的溯源记录。这项标准已经存在，并在一个更难的对抗性问题上受过检验，那就是一个满是伪造内容的公共互联网。把它对准那些教机器人行动的回合，与其说是一项发明，不如说是一次移植。早做这件事的团队，将是那些在有人终于去核验时、数据仍能通过验证的团队。