핵심 요약
- 보안 전문가가 AI로 만든 '유니콘 소 글리터 우유' 가짜 사진에 구글 픽셀 10의 진짜 C2PA 암호화 서명을 입히는 데 성공했습니다.
- 어도비 등 공식 검증 도구에서도 구글 픽셀 카메라로 직접 촬영한 정품 사진이라고 잘못 판정했습니다.
- 구글이 신뢰성을 자신하던 이미지 인증 기술의 치명적인 허점이 확인되었으며, 90일간의 비공개 통보 기간 후 일반에 공개되었습니다.
요약 포렌식 전문가 닐 크라베츠(Neal Krawetz) 박사가 AI로 생성한 가짜 사진을 구글 픽셀 10(Pixel 10) 정품 카메라로 직접 촬영한 '진짜 원본'인 것처럼 C2PA 디지털 서명을 완벽하게 위조하는 데 성공했다고 폭로했습니다.
그가 검증용으로 제작한 사례는 허무맹랑한 허구 뉴스였습니다. 아이오와주의 한 농장에서 반짝이는 글리터 우유를 짜내는 '유니콘 소'가 발견되었다는 가짜 기사와 함께 AI로 생성된 농부와 유니콘 소 사진을 준비한 것입니다. 놀랍게도 이 사진의 메타데이터에는 구글의 정식 X.509 인증서 체인과 C2PA 표준 서명이 정상적으로 포함되어 있었습니다.
어도비(Adobe)의 공식 검증 서비스인 Inspect와 CAI Verify에 해당 사진을 업로드해 분석한 결과, 시스템은 이를 '구글 픽셀 카메라로 촬영된 공인 미디어(captured media)'이자 유효한 타임스탬프를 가진 진짜 원본 사진으로 판정했습니다. 암호학적 서명 자체는 구글 서버 및 기기에서 발행된 진짜 서명이 맞았지만, 정작 사진의 알맹이는 AI가 만들어낸 완전한 조작물이었던 것입니다.
구글은 픽셀 10 시리즈를 발표하며 C2PA 규격 최고 보안 등급(Assurance Level 2)을 모바일 앱 최초로 달성했다고 대대적으로 홍보해 왔습니다. 하지만 이번 실험을 통해 위변조 방지 기술로 주목받던 C2PA 콘텐츠 인증 체계에 치명적인 허점이 있음이 입증되었습니다. 연구진은 보안 취약점 책임 공개(Responsible Disclosure) 가이드라인에 따라 구글에 통보한 후 90일간의 유예 기간이 지나 대중에 상세 내용을 공개했다고 밝혔습니다.
Sponsored · 광고