픽셀이 '카메라 원본'이라고 서명해도, AI 사진이 될 수 있습니다

딥페이크가 흔해지면서 사진 한 장이 ‘찍힌 장면’인지 ‘만들어진 장면’인지 눈으로 가리기 어려워졌습니다. 그래서 구글은 픽셀 카메라에 C2PA 콘텐츠 자격증명을 넣었습니다. 촬영 순간 기기가 암호학적으로 서명하면 그 파일이 카메라 원본인지 나중에 확인할 수 있다는 약속입니다.

그 약속의 가장 높은 단계도, 루팅과 하드웨어 글리치 앞에서는 흔들립니다.

카메라 서명이 필요해 보였던 이유

C2PA는 콘텐츠의 출처와 편집 이력을 파일 안에 묶어 두는 표준입니다. 사진에 위조가 드러나는 이력서를 붙인다고 보면 됩니다. 누가 만들었고 어디서 찍혔고 이후에 무엇을 잘랐는지 검증자가 따라갈 수 있게 설계됐습니다.

픽셀 카메라는 이 이력을 앱 소프트웨어 레이어에만 맡기지 않으려 했습니다. 서명 키를 기기 보안 영역에 가깝게 두고 렌즈를 통과한 프레임만 ‘카메라 원본’으로 찍히게 만드는 쪽이 목표입니다. 생성형 AI가 만든 이미지는 그 도장을 받으면 안 됩니다.

언론 현장과 플랫폼이 이 배지를 반긴 이유는 단순합니다. 사람 눈으로 진위를 가릴 수 없으니 기계가 대신 확인해 주길 바란 겁니다. 배지가 있으면 원본, 없으면 일단 의심. 그 이분법이 제품 문구로는 잘 팔립니다.

최고 등급이 실제로 보증하는 범위

여기서 헷갈리기 쉬운 지점이 있습니다. C2PA가 증명하는 것은 장면의 실재가 아닙니다. 특정 기기가 특정 조건에서 이 바이트 덩어리에 서명했다는 사실입니다.

픽셀의 높은 등급 서명은 ‘이 파일은 이 카메라 파이프라인을 거쳐 나왔다’는 주장에 가깝습니다. 그 파이프라인이 센서에서 서명 직전까지 깨끗하다는 전제가 붙습니다. 전제가 맞을 때만 ‘AI가 아니라 카메라가 찍었다’는 문장이 성립합니다.

검증 화면은 그 전제를 보여 주지 않습니다. 서명이 유효하면 통과입니다. 키가 어디서 움직였고 프레임이 서명 직전에 바뀌지 않았는지는 배지 한 줄로 환원됩니다. 사용자가 보는 것은 이력의 세부 조건이 아니라, 원본처럼 보이는 확인 표시입니다.

루팅과 글리치가 끊는 지점

보안 연구가 가리키는 공격면은 렌즈가 아닙니다. 데이터가 센서를 떠나 서명이 붙기 전까지의 경로입니다.

루팅된 안드로이드에서는 그 경로에 개입할 여지가 생깁니다. 카메라 파이프라인을 가로채면 서명 직전 프레임을 외부 이미지로 바꿔 끼울 수 있습니다. 기기는 평소와 같이 원본 서명을 붙입니다. 검증 도구는 그 서명을 유효하다고 읽습니다.

하드웨어 글리치는 한 단계 더 들어갑니다. 전압이나 클럭을 순간적으로 흔들어 보안 칩의 동작을 어긋나게 만드는 방식입니다. 키를 통째로 훔치지 않더라도 서명이 나와야 할 조건을 속일 수 있습니다. 물리적으로 기기를 만질 수 있으면 ‘하드웨어가 지킨다’는 문장의 무게가 달라집니다.

결과물은 직관과 어긋납니다. AI로 만든 이미지가 픽셀 카메라가 찍은 원본이라는 자격증명을 달고 나옵니다. 암호가 틀린 게 아닙니다. 틀린 입력에 올바른 도장이 찍힌 겁니다.

배지가 신뢰를 대신할 때

이 구조가 위험한 이유는 가짜를 무한히 뿌릴 수 있어서가 아닙니다. 배지 있는 가짜 몇 장이, 배지 없는 진짜보다 더 잘 통할 수 있어서입니다.

콘텐츠 자격증명은 파일을 그대로 보존해 검증할 때에만 의미가 있습니다. 메신저가 압축하고 누군가 스크린샷을 찍고 플랫폼이 메타데이터를 버리는 순간 이력은 사라집니다. 일상 속 사진 유통은 그 경로를 기본값처럼 밟습니다. 최고 등급 서명은 그 기본값 위에서 거의 보이지 않습니다.

반대로 검증이 켜진 자리에서는 배지가 판단을 줄입니다. 뉴스룸, 신고 대응, 증거 검토처럼 ‘확인 표시가 있는 파일’을 우선하는 환경일수록 효과가 큽니다. 공격자는 모든 사람을 속일 필요가 없습니다. 서명을 믿는 절차 하나를 통과하면 됩니다.

최근 한 달 사이 이 주제가 커뮤니티를 매일 달군 것은 아닙니다. 기능은 이미 제품에 들어가 있고, 있으면 좋은 안전장치 정도로 보는 쪽에 가깝습니다. 연구가 불편한 지점은 바로 그 익숙함입니다. 배지가 평범해질수록 배지를 빌린 한 장이 더 자연스럽게 보입니다.

하드웨어를 더 조이면 끝나는 문제로 보기도 어렵습니다. 루팅 기기와 중고 폰, 연구실 밖의 글리치 도구는 이미 있는 조건입니다. 물리 접근 비용은 비싸질 수 있어도 비용이 0이 되지는 않습니다. 한 대를 서명기로 쓰는 순간, 그 기기에서 나오는 파일은 검증 화면에서 계속 원본으로 읽힙니다.

딥페이크 시대에 출처 기록 자체는 필요합니다. 다만 그것은 신뢰의 바닥이 아닙니다. 카메라가 서명했다는 문장을 볼 때 우리는 렌즈를 믿는 걸까요. 아니면 그 렌즈에 연결된 칩과 칩까지 가는 경로를 함께 사는 걸까요.