Este mes le pasaron tres cosas a la procedencia de contenidos, y solo cobran sentido juntas.
Un proveedor la prometió. Otro resultó estar entregándola ya. Y un investigador demostró que el esquema de firmas que hay debajo no aguanta en toda una clase de dispositivos.
La promesa
El 11 de agosto, Anthropic anunció que incrustará marcas de agua en el texto y los archivos que generen los futuros modelos que lance en la UE, como parte de su cumplimiento de las normas de contenido y transparencia del Reglamento de IA.
La formulación del documento de ayuda de la empresa: «El texto generado llevará marcas de agua incrustadas, y los archivos generados incluirán metadatos de procedencia firmados digitalmente donde sea posible».
Dos matices van al lado, y los dos están en el mismo artículo. Se refiere a modelos futuros, con trabajo en marcha sobre los ya publicados durante el periodo transitorio que permite la norma europea. Y está planteado alrededor de los modelos que se lancen en la UE, no como un cambio global de producto.
Es un anuncio de intención con un plazo regulatorio detrás. No describe lo que el producto hace hoy.
La entrega
Mientras eso se anunciaba, algo parecido ya corría en cientos de millones de máquinas con Windows, sin nota de prensa.
Un análisis publicado el 20 de agosto encontró que MS Paint y Fotos incrustan un identificador en los píxeles de las imágenes generadas con IA, incluidas las generadas localmente en la NPU del equipo.
El hallazgo que lo eleva por encima de una casilla marcada: «El watermarkId del servidor, el identificador incrustado en los píxeles y el valor c2pa.soft-binding de C2PA son el mismo valor por generación».
Por generación. Cada imagen lleva su propio valor, ligado a un registro del lado del servidor, un objeto mucho más específico que una bandera que diga «esto es IA». Solo uno de los dos sirve para averiguar quién hizo una imagen determinada y cuándo.
La grieta
El 25 de agosto, un investigador publicó una forma de derrotar C2PA en Android en dispositivos con acceso root.
El mecanismo no es un cifrado roto. El StrongBox del teléfono firma datos arbitrarios cuando se le pide, sin que el atacante llegue a conocer las claves, y los mecanismos de atestación pensados para detectar un dispositivo comprometido no lo hacen de forma fiable. Entre el hardware afectado están los Pixel 8a y 9a y dispositivos Samsung. Las vías incluyen CVE-2026-43499, un root de un solo clic, y la inyección de fallos electromagnéticos, que es a nivel de hardware y no parcheable. La herramienta tiene nombre: keystork.
La respuesta de Google es la parte que merece cita. El informe se cerró como «Won’t fix (infeasible)» — y Google pagó igualmente una recompensa de 7500 dólares, señalando que el glitching de hardware y los ataques de canal lateral quedan fuera del alcance del programa.
El razonamiento del propio investigador sobre por qué no se va a arreglar es más demoledor que el fallo: reparar C2PA en Android exigiría rediseñar toda la cadena de procesamiento de imagen, y aun así, en sus palabras, «sigues sin poder frenar los ataques de tipo foto de la pantalla».
Esa frase es el suelo de todo este campo. Una cámara apuntando a una pantalla produce una fotografía genuinamente firmada de una imagen falsa. La firma es válida y el contenido es mentira.
Qué no está establecido
La grieta de Android no toca las marcas de agua de texto de Anthropic ni el identificador de Paint. Afecta a las firmas C2PA que produce el hardware de cámara de Android. La conexión entre las tres historias es temática, no técnica, y tratarlas como un solo sistema roto sería un error.
Quien escriba «las marcas de agua de IA están rotas» apoyándose en esto ha fundido tres mecanismos distintos en una afirmación que no hace ninguna de las tres fuentes.
Qué sí significa
Los sistemas de procedencia responden bien a una pregunta estrecha y mal a una amplia.
La estrecha es ¿salió este archivo de esta cadena?, y un identificador por generación la responde con precisión. Eso es genuinamente útil, y lo de Paint demuestra que puede desplegarse en silencio y a gran escala.
La amplia es ¿es verdad esta imagen?, y ningún esquema de firmas la responde. Una fotografía firmada de una pantalla, un render firmado de una escena montada, una imagen firmada con una cadena de custodia honesta y un asunto deshonesto: todas pasan.
La combinación que hay que vigilar es la que salió este mes por accidente: un proveedor anunciando procedencia por motivos regulatorios, otro entregándola sin anunciarla, y una capa de firmas que alguien decidido puede falsificar en hardware corriente. Las tres cosas son ciertas a la vez.
Qué hacer con esto
Si los metadatos de procedencia forman parte de un flujo del que dependes, averigua de qué capa dependes en realidad. Fiarse de un identificador por generación de la cadena de un proveedor concreto es una apuesta distinta de fiarse de la firma C2PA de una cámara.
Si publicas, da por hecho que la presencia de datos de procedencia se leerá como prueba de autenticidad por gente que no ha leído nada de esto. Ese hueco es ya un problema de comunicación tanto como técnico.
Y si estabas esperando a que las marcas de agua zanjaran la cuestión de qué es real, el investigador que las rompió ya te ha dicho que no lo harán, y Google estuvo de acuerdo al negarse a arreglarlo.
Fuentes
- The Register, «Anthropic pledges to embed watermarks to help discern AI slop in sop to EU», 11 de agosto de 2026: https://www.theregister.com/ai-and-ml/2026/08/11/anthropic-pledges-to-embed-watermarks-to-help-discern-ai-slop-in-sop-to-eu/5285792 (consultado el 27 de agosto de 2026). Origen del compromiso, su alcance para modelos futuros lanzados en la UE, la formulación citada del documento de ayuda, y el trabajo sobre modelos ya publicados durante el periodo transitorio.
- Xusheng, «MS Paint invisible watermark», 20 de agosto de 2026: https://xusheng.dev/posts/reversing/mspaint_invisible_watermark/main/ (consultado el 27 de agosto de 2026). Origen del identificador incrustado en los píxeles, su presencia con generación local en la NPU, y el hallazgo citado de que el watermarkId del servidor, el identificador incrustado y el valor soft-binding de C2PA son el mismo valor por generación.
- David Buchanan, «Android C2PA», 25 de agosto de 2026: https://www.da.vidbuchanan.co.uk/blog/android-c2pa.html (consultado el 27 de agosto de 2026). Origen del mecanismo de firma con StrongBox, la falta de fiabilidad de la atestación en dispositivos comprometidos, el hardware afectado, CVE-2026-43499, la vía de inyección de fallos electromagnéticos, la herramienta
keystork, la resolución «Won’t fix (infeasible)», la recompensa de 7500 dólares con la nota de Google sobre el alcance del programa, y la observación citada sobre los ataques de foto de la pantalla. - Las tres fuentes existen únicamente en inglés: las citas de este artículo son traducción propia del original, no citas literales en español. Todas se verificaron contra el código fuente de las páginas, no contra resúmenes.
