隐式标识、内容凭证与水印：核查 AI 生成图片该用哪种方法

核查一张图片是否由 AI 生成或改动，应当分四条线取证：先读文件元数据中的隐式标识（《人工智能生成合成内容标识办法》与 GB 45438-2025），再校验内容凭证（C2PA），然后用对应的验证工具查隐形水印，最后用像素检测覆盖没有任何记录的文件。四条线回答的是不同的问题：标识通常是不带可校验签名的声明，内容凭证是可校验的签名记录，水印只能由对应工具检出，像素检测不需要上游配合。任何一条线都不能单独证明画面所示事件真实发生，而“什么都没查到”也不等于文件干净。

企业从客户、代理商和供应商处收到的图片，有的带隐式标识，有的带签名的内容凭证，有的含隐形水印，更多的是经过转发或截图、什么记录都没有的文件。本文讨论如何汇总这些证据、处理相互矛盾的结果，不讨论如何用肉眼找 AI 的破绽；单张图片的初步核查，见如何判断一张图片是不是 AI 生成的。如果您手上已经有相互矛盾的结果，请直接看结果矛盾时怎么处理；如果您在选择工具，请先看下面的比较表。

先写明待证事实，而不是问“真不真”

“这张图片是真的吗？”这个问题太宽，写不进采购需求，也写不进复核记录。品牌部门可能需要发现未披露的 AI 修图；供应商质量部门可能需要证明某一批次确实经过验货；内容平台可能需要按规定对生成合成内容加注提示。即使三个团队收到的是同一个 JPEG 文件，它们要作的决定也完全不同。

请先写出验收条件，例如：“该照片须能证明出货前已检验指定的生产单元。”然后把“文件历史”问题与“画面事实”问题分开。发现使用了 AI，可能影响这张照片能否被接受；但没有检出 AI，并不能识别出生产单元。一张未经任何修改、拍的却是另一台设备的照片，同样不满足要求。

对于来源复杂的图片，请并行维护两份记录：关于文件本身已知什么，以及在本案中有什么支持它的用途。两者的交集，决定这份提交是否充分。

四类方法各自提供什么

《人工智能生成合成内容标识办法》（以下简称《标识办法》）第三条把标识分为两类：显式标识是“在生成合成内容或者交互场景界面中添加的，以文字、声音、图形等方式呈现并可以被用户明显感知到的标识”；隐式标识是“采取技术措施在生成合成内容文件数据中添加的，不易被用户明显感知到的标识”（国家网信办，2025 年 3 月 14 日发布）。

内容凭证（C2PA）是依据 C2PA 开放标准写入文件、带数字签名的来源记录，可以描述拍摄、编辑或生成过程；验证工具检查其完整性及其与文件的关联。是否加入内容凭证由各方自愿决定，记录可能不完整，而且 C2PA 说明文档明确表示，内容凭证不对来源数据是否“真实”作价值判断（C2PA 2.2 说明文档）。隐形水印是参与方系统嵌入内容中的信号，只有兼容的验证工具才能检出。像素检测则直接分析内容特征，不要求创作方事先附加任何记录。NIST 把来源追踪与合成内容检测描述为互补的方法，并指出任何一项技术单独使用都不构成完整方案（NIST AI 100-4 第 1 节与第 3 节）。

画面上可见的“AI 生成”字样或图标属于显式标识，是复核人员能直接观察到的内容。请把它记录下来，但不要把它当作一次成功的元数据或水印核验：可见字样可以被裁掉、涂抹，也可以被人为添加。

隐式标识怎么读

对国内收到的图片而言，隐式标识通常是第一条值得查看的证据线，因为它有明确的法规依据。《标识办法》第五条要求服务提供者“在生成合成内容的文件元数据中添加隐式标识，隐式标识包含生成合成内容属性信息、服务提供者名称或者编码、内容编号等制作要素信息”，并鼓励添加数字水印等形式的隐式标识。第六条要求提供网络信息内容传播服务的服务提供者“核验文件元数据中是否含有隐式标识”，并分三种情形加注提示：

• 文件元数据明确标明为生成合成内容的，明确提醒公众该内容属于生成合成内容；
• 元数据中未核验到隐式标识、但用户声明为生成合成内容的，提醒公众该内容可能为生成合成内容；
• 元数据中未核验到隐式标识、用户也未声明，但平台检测到显式标识或者其他生成合成痕迹的，识别为疑似生成合成内容。

有上述情形的，传播平台还应当在文件元数据中添加生成合成内容属性信息、传播平台名称或者编码、内容编号等传播要素信息。因此，一张从平台下载的图片，元数据中可能同时带有生成方写入的制作要素和传播平台写入的传播要素。请注意法规的措辞：第一种情形是“明确标明”，指元数据的声明，并不是第三方对内容的确认。

配套的强制性国家标准 GB 45438-2025《网络安全技术 人工智能生成合成内容标识方法》于 2025 年 2 月 28 日发布，2025 年 9 月 1 日实施，归口部门为中央网络安全和信息化委员会办公室（全国标准信息公共服务平台）。国家网信办在发布说明中还提到，全国网络安全标准化技术委员会已发布实践指南《网络安全标准实践指南——人工智能生成合成内容标识 服务提供者编码规则》，为文件元数据隐式标识提供编码指引，各文件格式的元数据标识规范等后续文件将陆续推出。关于具体的元数据字段，新华网 2025 年 9 月 2 日的报道称字段名称须包含“AIGC”标识符号；字段的完整定义请以标准原文为准。

读取隐式标识时，请记录以下内容，并保持原样，不作推断：

• 标识状态：声明属于生成合成内容、传播平台标注为可能或疑似、存在但取值无法识别，或未发现；
• 声明的生成服务提供者（名称或编码）及内容编号；
• 声明的传播平台（名称或编码）及其内容编号；
• 读取的是哪一份文件：文件名、尺寸和哈希值，是原始文件、平台下载件还是转发件。

解读时有三点边界。第一，隐式标识通常不带可供第三方校验的签名，可以被修改、删除，也可以被伪造；它是文件中的声明，而不是证明。第二，没有标识不等于不是 AI 生成：画面上没有显式标识，可能是因为《标识办法》第九条允许服务提供者在通过用户协议明确用户的标识义务和使用责任后，提供不含显式标识的内容（该条只涉及显式标识）；而截图会生成新文件，原文件元数据中的隐式标识不会随之带入，一些转存、编辑和压缩操作也会改写元数据。第三，标识只说明文件的生成合成属性，不说明画面中的事实是否成立。

Fileverity 读取 GB 45438-2025 规定的隐式标识，并在报告中原样列出其声明的内容，包括生成服务提供者和传播平台。由于标识通常不带可校验的签名，报告把它列为声明而非结论；未发现标识时，报告显示“未发现”，并与其他证据并列。适用于文档的同类读取方法，见 AI 生成内容标识与 GB 45438-2025。

显式标识与删除标识

《标识办法》第十条规定，任何组织和个人“不得恶意删除、篡改、伪造、隐匿本办法规定的生成合成内容标识，不得为他人实施上述恶意行为提供工具或者服务”。因此核查时不能把“画面上没有 AI 字样”当作结论。

监管层面，中央网信办 2025 年 4 月部署的“清朗·整治AI技术滥用”专项行动，把“服务提供者未对深度合成内容添加隐式、显式内容标识”和“内容传播平台未开展生成合成内容监测甄别”列为第一阶段的整治重点（国家网信办）。据新华网 2025 年 6 月 20 日报道，第一阶段累计处置违规 AI 产品 3500 余款，多家重点平台推进元数据隐式标识落地。至于各平台在用户上传时是否保留或改写原有元数据，目前没有统一的公开说明，应以实际收到的文件为准。

显式标识被留下来的情形同样存在。据扬子晚报网转载极目新闻 2025 年 12 月 28 日的报道，湖北省孝感市大悟县人民法院在审理一起房屋租赁合同纠纷时，原告的诉讼代理人庭后提交的水电表照片带有“AI生成”水印；其承认伪造证据后，承办法官指出利用 AI 生成照片作为诉讼证据已构成伪造重要证据，法院以训诫方式处理，相关证据不予采信。这个案例说明可见标识有时能直接暴露问题，但更多情况下，复核人员面对的是标识已被裁掉或从未添加的文件。

内容凭证（C2PA）：区分存在、有效与可信

截至 2026 年 10 月 28 日，C2PA 规范网站列出的最新版本为 2.5，其技术规范的版本记录写明 2.5 版于 2026 年 10 月发布。请记录每个验证工具实际实现的版本和能力；标准已发布，不代表某个产品已经支持。

2.5 版的信任模型把清单分为结构完整（well-formed）、有效（valid）和可信（trusted）三种状态，并单独规定文件内容的绑定校验：只有当内容绑定覆盖的部分自清单生成后未被修改、且清单有效或可信时，文件本身才是有效的（C2PA 2.5 技术规范第 13 节）。因此，“发现清单”只是起点。请记录返回的校验状态、被覆盖内容是否校验通过，以及签名方是否受信任。

采购时，请服务商用获准使用的样本演示：复核人员能否分清“未发现内容凭证”与“有内容凭证但未通过校验”，能否看到相关操作记录，而不是只看一个绿色图标。阅读历史记录时要对照需求：一条有效的相机拍摄记录，如果照片无法与指定生产单元对应，对验货仍然不够；“相机拍摄”之后接着“编辑”的记录，必须按顺序阅读，不能只看第一条。

就国内业务而言，收到的照片通常不带内容凭证，因此内容凭证更适合作为“有则读取”的证据通道，而不是接收材料的前提。如果未来的业务确实需要签名拍摄，请在拍摄之前写明要求；对已有的档案，请保留其他核查路径，而不是拒收所有不带内容凭证的文件。

隐形水印：写明用的是哪一个验证工具

隐形水印由特定的生成服务或其合作方嵌入，只有对应的验证工具才能检出。“支持水印检测”并不是一个固定的范围：不同验证工具覆盖的生成服务、文件类型和访问方式各不相同，同一服务商的不同产品、旧版导出文件或不同编辑模式，也未必都在覆盖之内。

因此，复核记录中应写明使用的是哪一个验证工具、它声称覆盖哪些生成服务、返回的确切状态是什么。某一个工具未检出水印，不能扩大为“所有水印都已排除”；结果不明确时，应单独记为“不明确”。也不要把对话式 AI“看起来像 AI 生成”的判断记作水印检出。

Fileverity 可检测已知的隐形水印。部分内容凭证会配合嵌入像素的隐形水印使用，文件元数据被清除后水印仍会保留；如果分析检出了这种水印，而文件中已没有对应的内容凭证，报告会指出凭证已被移除。这本身不能证明图片被修改过，但说明文件在附加内容凭证之后又被处理过。

像素检测：覆盖来源不明的那条通道

当供应商不参与任何来源记录体系，或者收到的副本已经丢失历史记录时，通用的图片分析就派上用场。它的价值取决于任务：整图生成、局部篡改和生成来源溯源是不同的需求。

请在评估中写明哪一项需求重要。一个能判断整图是否生成的工具，未必能证明一块小小的验货标签是否被替换；一个篡改信号可能值得复核，却不能说明改动是 AI 造成的。两者的区别见如何识别 AI 修图。

请用实际的来源构成做评估：相机直传、代理商导出、修过的照片，以及经即时通讯工具转发或截图得到的图片。NIST 对检测评估的讨论强调误报和在指定阈值下的表现（NIST AI 100-4 第 4.2.2 节）。一个分数需要有输出定义和相关验证，才能指导业务决定；截图与压缩对检测的影响，见截图和微信压缩过的图片还能检测吗。

局部检测在某个产品特征附近提示疑点时，这一发现可以把请求聚焦到“编辑前的源文件”和“该特征是如何处理的”，而不是笼统地要求对方证明整张图片“是真的”。请按服务商的原意记录结果，不要把它换算成“发送方说谎的概率”，也不要与水印状态取平均。

内容凭证如何绑定到它描述的图片

来源核查所依据的一项原理是密码学内容绑定：把一份凭证复制到一张无关的图片旁边是不够的，记录的声明必须与被复核的内容相关联。哈希绑定把被覆盖的文件数据与断言中记录的摘要关联起来，签名的声明再通过各断言的哈希把记录与签名密钥关联起来。仅校验签名，无法证明当前图片与被覆盖的内容一致，这需要内容绑定校验；签名方是否可信，则是又一个问题。

内容绑定并不总是对最终文件的每一个字节计算哈希：C2PA 的数据哈希断言允许排除指定的字节区间，包括嵌入的清单存储所在区间，验证工具须确认排除区间符合要求（C2PA 2.5 数据哈希断言）。一个简化示例：1,000 字节的文件在偏移 300 处有一段 200 字节的清单区间，被覆盖字节为 file[0:300] ∥ file[500:1000]，共 800 字节（符号 ∥ 表示拼接）。

采购时，可以把这一机制变成演示：用带凭证的原始样本和一份改动了被覆盖图片数据的副本，询问验证工具对内容绑定、签名和签名方信任分别检查了什么。即使一份记录绑定正确、签名可信，也仍然无法证明照片里的物品属于这批货。

结果矛盾时怎么处理

先判断是否真的存在矛盾。“未检出支持的水印”和“像素检测提示复核”可能同时正确，因为它们回答的是不同的问题。针对不同副本得出的两个结果，也谈不上是对同一证据的相互矛盾的分析。

当结果看似不一致时，按以下顺序处理：

1. 核对文件。比较文件标识、尺寸和收到的版本。保留原始文件，并标明用于分析的裁剪件、转换件或截图。
2. 逐项转述输出。每项检查写一句话：机制、范围和实际结果。保留“不支持”和“无法判定”的状态。
3. 定位分歧。分歧针对的是签名方、某项记录的操作、某个区域，还是现实中的事实？把分歧归到对应的问题上。
4. 索取能区分解释的证据。选择能改变决定的材料：验证工具的诊断、更早的导出文件、有记录的编辑说明，或单独安排的检验。
5. 在证据支持的层面结案。记录已解决的问题、仍存在的不确定性、复核人和处理理由。

下面的处理矩阵可以避免为了得到“想要的答案”而反复检测。

案例：供应商的验货照片（示例）

以下为假设案例。一家品牌方要求供应商在出货前提供照片，显示指定批次的阀门组件及其铭牌。供应商发来一个 JPEG 文件，作为完成验货的证明。品牌方的制度允许在营销材料中使用 AI 辅助，但验货证据必须如实显示相关状况，不得经过生成式替换。

复核人员记录了四项虚构的发现：隐式标识声明该文件属于 AI 生成合成内容，生成服务提供者字段为某修图服务；文件没有内容凭证；所用的验证工具未检出隐形水印；整图 AI 生成检测未提示复核。

把这个文件称为“经核实为真”，会丢掉最相关的那项发现：未检出水印和整图检测未提示，都没有回答修图服务到底改了什么，而整图检测本来就不是为发现局部改动设计的。把这批货称为“造假”，同样超出了证据：改动可能只涉及无关的背景，目前没有任何证据证明存在欺骗或组件有缺陷。

复核人员暂缓采信这张照片，要求供应商提供编辑前的原图和改动说明。供应商提供了更早的图片，说明用修图应用的 AI 消除功能去掉了背景中的托盘。两份文件看起来与这一说法一致，但铭牌在两版中都无法辨认。来源问题已经弄清楚了，而照片与生产单元之间的关联仍然缺失。

复核人员通过既定的供应商流程要求重新验货：以相互关联的视角拍摄组件和清晰可读的铭牌，验货记录写明生产单元编号。合格的检验人员确认了单元和所需状况。品牌方依据这份验货记录放行，并把第一张照片记录为“不足以满足原始要求”。

最终记录为：“所提交图片的隐式标识声明其为生成合成内容，服务提供者为某修图服务，改动范围最初不明。随后的源文件比对支持供应商关于去除背景的说明。两版图片均无法识别单元编号。放行依据为重新验货记录及其关联的单元记录。”

这一结论区分了“解释图片的历史”与“证明出货状况”这两件事，也避免了让第二个检测工具去裁定一个可以由验货直接证明的事实。

Fileverity 在这一流程中可以承担的部分，是在同一份报告中读取隐式标识与内容凭证，检测已知的隐形水印，并以像素坐标标出被重新生成或移除内容的区域，同时记录文件哈希值与时间戳验证状态，帮助复核人员更快提出索取源文件的请求；放行仍取决于重新验货记录。

把四条通道写进采购要求

请服务商填写一份能力说明表，栏目包括：核查机制、支持的输入与标识规范、标准版本、阴性与不支持的结果如何呈现、保留哪些诊断信息，以及每项发现能支持什么复核动作。再组织一次小规模授权演练，至少包括一个没有任何记录的文件、一个带隐式标识的文件、一个带签名凭证的文件、一个已知经 AI 辅助的文件和一个经过转换的副本，看复核人员能否把各项机制分开并得出有用的下一步。更大规模的表现评估，见企业如何选择 AI 生成图片检测工具。

对于来源复杂的图片，图像鉴伪可在同一份报告中读取隐式标识、内容凭证（C2PA）和元数据，检测已知的隐形水印，并进行 AI 生成与篡改定位检测；各项证据如何综合权衡，见检测原理。如果您需要在业务系统中批量读取标识，企业版可通过 API 提供，请联系商务团队，说明来源构成和日处理量。如需某家服务商专有的水印验证工具，请在能力说明表中单列，并向该服务商确认支持范围和使用方式。文件在 Entogo 运营、位于多伦多的服务器上分析，分析后即删除，详见信任中心。

作者 Yang Zheng · 审核 Bill Liu