Questo mese alla provenienza dei contenuti sono successe tre cose, e hanno senso solo insieme.
Un fornitore l’ha promessa. Un altro si è scoperto che la consegna già. E un ricercatore ha mostrato che lo schema di firme sottostante non regge su un’intera classe di dispositivi.
La promessa
L’11 agosto Anthropic ha annunciato che incorporerà filigrane nel testo e nei file generati dai modelli futuri che lancerà nell’UE, come parte della conformità alle regole di contenuto e trasparenza del regolamento sull’IA.
La formulazione dal documento di aiuto dell’azienda: «Il testo generato porterà filigrane incorporate, e i file generati includeranno metadati di provenienza firmati digitalmente dove supportato».
Due riserve stanno accanto, entrambe nello stesso articolo. Riguarda i modelli futuri, con lavori in corso su quelli già pubblicati durante il periodo transitorio che la norma europea concede. Ed è inquadrato sui modelli lanciati nell’UE, non come un cambiamento globale di prodotto.
È una dichiarazione d’intenti con una scadenza normativa alle spalle. Non descrive cosa fa il prodotto oggi.
La consegna
Mentre quello si annunciava, qualcosa di simile girava già su centinaia di milioni di macchine Windows, senza comunicato stampa.
Un’analisi pubblicata il 20 agosto ha trovato che MS Paint e Foto incorporano un identificativo nei pixel delle immagini generate dall’IA, comprese quelle generate localmente sulla NPU del dispositivo.
Il rilievo che lo porta oltre la casella spuntata: «Il watermarkId del server, l’identificativo incorporato nei pixel e il valore c2pa.soft-binding di C2PA sono lo stesso valore per generazione».
Per generazione. Ogni immagine porta il proprio valore, legato a un record lato server, un oggetto assai più specifico di un contrassegno che dica «questo è IA». Solo uno dei due permette di risalire a chi ha prodotto una data immagine e quando.
La crepa
Il 25 agosto un ricercatore ha pubblicato un modo per sconfiggere C2PA su Android, sui dispositivi con accesso root.
Il meccanismo non è una cifratura rotta. Lo StrongBox del telefono firma dati arbitrari su richiesta, senza che l’attaccante venga mai a conoscenza delle chiavi, e i meccanismi di attestazione pensati per rilevare un dispositivo compromesso non lo fanno in modo affidabile. Tra l’hardware interessato ci sono i Pixel 8a e 9a e dispositivi Samsung. Le vie d’ingresso includono CVE-2026-43499, un root con un clic, e l’iniezione di guasti elettromagnetici, che agisce a livello hardware e non è correggibile. Lo strumento ha un nome: keystork.
La risposta di Google è la parte che merita la citazione. Il rapporto è stato chiuso come «Won’t fix (infeasible)» — e Google ha comunque pagato una ricompensa di 7500 dollari, notando che il glitching hardware e gli attacchi side-channel sono fuori dal perimetro del programma.
Il ragionamento del ricercatore su perché non verrà corretto è più devastante del difetto stesso: riparare C2PA su Android richiederebbe di riprogettare l’intera catena di elaborazione delle immagini, e anche allora, con le sue parole, «non si riescono comunque a fermare gli attacchi del tipo foto dello schermo».
Quella frase è il pavimento sotto tutto questo campo. Una fotocamera puntata su uno schermo produce una fotografia autenticamente firmata di un’immagine falsa. La firma è valida e il contenuto è una bugia.
Cosa non è stabilito
La crepa di Android non tocca né le filigrane testuali di Anthropic né l’identificativo di Paint. Riguarda le firme C2PA prodotte dall’hardware fotografico Android. Il legame tra le tre storie è tematico, non tecnico, e trattarle come un unico sistema rotto sarebbe sbagliato.
Chi scrive «le filigrane IA sono rotte» basandosi su questo ha fuso tre meccanismi distinti in un’affermazione che nessuna delle tre fonti sostiene.
Cosa significa invece
I sistemi di provenienza rispondono bene a una domanda stretta e male a una larga.
Quella stretta è questo file è uscito da questa catena?, e un identificativo per generazione la risolve con precisione. È davvero utile, e il caso di Paint mostra che può essere distribuito in silenzio e su larga scala.
Quella larga è questa immagine è vera?, e nessuno schema di firme la risolve. Una fotografia firmata di uno schermo, un rendering firmato di una scena allestita, un’immagine firmata con catena di custodia onesta e soggetto disonesto: passano tutte.
La combinazione da tenere d’occhio è quella emersa questo mese per caso: un fornitore che annuncia la provenienza per motivi normativi, un altro che la consegna senza annunciarla, e uno strato di firme che un soggetto determinato può falsificare su hardware comune. Tutte e tre sono vere insieme.
Cosa farne
Se i metadati di provenienza fanno parte di un flusso su cui conti, scopri da quale strato dipendi davvero. Fidarsi di un identificativo per generazione dalla catena di un fornitore specifico è una scommessa diversa dal fidarsi della firma C2PA di una fotocamera.
Se pubblichi, dai per scontato che la sola presenza di dati di provenienza verrà letta come prova di autenticità da persone che non hanno letto nulla di tutto questo. Quel divario è ormai un problema di comunicazione oltre che tecnico.
E se stavi aspettando che le filigrane risolvessero la questione di cosa sia reale, il ricercatore che le ha rotte te l’ha già detto che non lo faranno, e Google ha concordato rifiutandosi di correggere.
Fonti
- The Register, «Anthropic pledges to embed watermarks to help discern AI slop in sop to EU», 11 agosto 2026: https://www.theregister.com/ai-and-ml/2026/08/11/anthropic-pledges-to-embed-watermarks-to-help-discern-ai-slop-in-sop-to-eu/5285792 (consultato il 27 agosto 2026). Origine dell’impegno, del suo perimetro per i modelli futuri lanciati nell’UE, della formulazione citata dal documento di aiuto, e dei lavori sui modelli già pubblicati durante il periodo transitorio.
- Xusheng, «MS Paint invisible watermark», 20 agosto 2026: https://xusheng.dev/posts/reversing/mspaint_invisible_watermark/main/ (consultato il 27 agosto 2026). Origine dell’identificativo incorporato nei pixel, della sua presenza con generazione locale sulla NPU, e del rilievo citato secondo cui il watermarkId del server, l’identificativo incorporato e il valore soft-binding di C2PA sono lo stesso valore per generazione.
- David Buchanan, «Android C2PA», 25 agosto 2026: https://www.da.vidbuchanan.co.uk/blog/android-c2pa.html (consultato il 27 agosto 2026). Origine del meccanismo di firma StrongBox, dell’inaffidabilità dell’attestazione su dispositivi compromessi, dell’hardware interessato, di CVE-2026-43499, della via per iniezione di guasti elettromagnetici, dello strumento
keystork, della chiusura «Won’t fix (infeasible)», della ricompensa di 7500 dollari con la nota di Google sul perimetro, e del punto citato sugli attacchi del tipo foto dello schermo. - Le tre fonti esistono solo in inglese: le citazioni di questo articolo sono traduzione propria dall’originale, non citazioni letterali in italiano. Tutte sono state verificate sul codice sorgente delle pagine, non su riassunti.
