O pesquisador de segurança David Buchanan publicou uma análise em 25 de agosto com um título que, traduzido livremente, diz "a assinatura de câmera do C2PA não resiste ao teste da realidade". Sua conclusão cabe em uma frase: o C2PA no Android está quebrado, e não há como consertar isso com patches convencionais.
Primeiro, o que esse sistema tenta resolver. As Content Credentials (Credenciais de Conteúdo) tentam responder se uma foto foi realmente tirada por uma câmera ou gerada por um modelo. A abordagem é fazer a câmera assinar o arquivo no momento da captura usando uma chave privada de hardware, com a assinatura registrando modelo do aparelho, momento da captura e o histórico de edições posteriores. Desde o Pixel 10, o Google embutiu esse recurso no próprio app de câmera; a chave privada fica na StrongBox do chip Titan M2, com verificação de integridade do aparelho via Key Attestation e Play Integrity. Por design, a chave privada nunca sai do chip de segurança — mesmo que o sistema seja comprometido, ela não pode ser roubada.
Não é preciso roubar a chave, basta pedi-la emprestada
O ponto levantado por Buchanan é que o atacante nem precisa extrair a chave privada. Com acesso root, dá para chamar diretamente a API do KeyStore e pedir à StrongBox que assine qualquer dado com essa mesma chave — o chip só é responsável por assinar, não por verificar se os bytes assinados realmente vieram da câmera. Ele também divulgou duas ferramentas: Root-My-Pixel, para obter root, e keystork, para chamar o KeyStore.
De onde vem o root? Da CVE-2026-43499, uma falha de escalonamento de privilégios com um clique que atinge aparelhos Pixel totalmente atualizados, incluindo Pixel 8a e 9a, com código de exploração já circulando publicamente. A Meta corrigiu essa falha em seu headset Quest antes mesmo do Google, e a Samsung bloqueia parte do caminho de ataque graças à Real-time Kernel Protection (RKP).
Ele ainda demonstrou um segundo caminho: injeção de falhas eletromagnéticas na DRAM. Essa abordagem é mais sofisticada e trabalhosa, um ataque de camada física que nenhum patch de software consegue alcançar.
O Google encerrou o relatório
O Google classificou o relatório como "Won't fix" (não será corrigido), mas ainda assim pagou uma recompensa de US$ 7.500, embora, pelas regras, ataques de hardware normalmente não entrem no escopo do programa de recompensas. Essa combinação já diz muito por si só: reconhece o valor da falha, mas não acredita que ela possa ser corrigida. Todo o processo seguiu o prazo de divulgação de 90 dias.
A premissa que desabou
A força de convencimento do C2PA se apoia em uma premissa: a assinatura só pode ser gerada por hardware confiável em um momento confiável. Assim que o acesso root consegue pedir emprestado o chip de segurança para carimbar qualquer conteúdo, a assinatura se degrada para "este aparelho esteve envolvido", enquanto o próprio aparelho pode estar totalmente sob controle alheio. Uma foto forjada com uma assinatura Pixel válida aparecerá como verificada em qualquer verificador.
No contexto da governança de conteúdo de IA, esse peso precisa ficar claro. Marcas d'água embutidas como a SynthID fazem uma rotulagem positiva: marcam o que foi gerado por máquina. Já a assinatura de câmera do C2PA faz uma prova reversa: marca o que foi realmente capturado. Quando a primeira é removida, o conteúdo, no pior caso, perde o rótulo; quando a segunda é falsificada, é como emitir um certificado de autenticidade para conteúdo sintético. O custo do fracasso entre os dois caminhos difere em ordens de grandeza.
Fazendo uma conta aproximada do risco: o Android detém mais de 70% do mercado global de celulares. Se a assinatura de câmera só é confiável em poucos modelos, e falhas de escalonamento de privilégios nesses mesmos modelos surgem a cada trimestre, então o hábito de "ver a assinatura e confiar" se torna, por si só, uma brecha. Um caminho viável de convergência seria rebaixar a assinatura a um sinal fraco, cruzando-a com localização de captura, carimbo de tempo e cadeia de publicação, em vez de tratá-la como conclusão isolada.
Fontes: blog pessoal de David Buchanan, CocoLoop, resposta do programa de recompensas por falhas do Google, especificação pública das Content Credentials do C2PA; o número da CVE-2026-43499, o valor da recompensa de US$ 7.500 e os modelos afetados seguem as informações divulgadas pelo pesquisador.