Nhà nghiên cứu bảo mật David Buchanan đã đăng một bài phân tích vào ngày 25 tháng 8, tiêu đề dịch sát nghĩa là "Chữ ký máy ảnh C2PA không chịu nổi phép thử thực tế". Kết luận của ông chỉ gói gọn trong một câu: C2PA trên nền tảng Android đã hỏng, và không thể sửa bằng các bản vá thông thường.
Trước tiên hãy nói về vấn đề mà hệ thống này muốn giải quyết. Content Credentials (Chứng chỉ nội dung) muốn trả lời câu hỏi "bức ảnh này thực sự do máy ảnh chụp hay do mô hình tạo ra". Cách làm là để máy ảnh ký vào tệp ngay tại thời điểm chụp bằng một khóa riêng phần cứng, chữ ký ghi rõ model thiết bị, thời điểm chụp và lịch sử chỉnh sửa sau đó. Từ Pixel 10, Google đã tích hợp tính năng này vào ứng dụng camera, khóa riêng được lưu trong StrongBox của chip Titan M2, kết hợp với Key Attestation và Play Integrity để xác minh tính toàn vẹn của thiết bị. Theo thiết kế, khóa riêng không bao giờ rời khỏi chip bảo mật — dù hệ thống bị chiếm quyền cũng không thể đánh cắp được nó.
Không cần trộm khóa, chỉ cần mượn khóa
Điểm mà Buchanan chỉ ra là kẻ tấn công hoàn toàn không cần lấy khóa riêng ra ngoài. Sau khi có quyền root, có thể gọi thẳng KeyStore API để yêu cầu StrongBox dùng chính khóa đó ký bất kỳ dữ liệu nào — con chip chỉ chịu trách nhiệm ký, không chịu trách nhiệm xác minh dữ liệu được ký có thực sự đến từ camera hay không. Ông đã công bố kèm theo hai công cụ: Root-My-Pixel để lấy quyền root, và keystork để gọi KeyStore.
Quyền root đến từ đâu? Từ CVE-2026-43499, một lỗ hổng leo thang đặc quyền chỉ với một cú chạm, phạm vi ảnh hưởng bao trùm các thiết bị Pixel đã vá đầy đủ, bao gồm cả Pixel 8a và 9a, mã khai thác công khai đã lan truyền ngoài thực tế. Meta đã vá lỗ hổng này trên kính Quest của mình trước cả Google, còn Samsung nhờ Real-time Kernel Protection (RKP) đã chặn được một phần đường tấn công.
Ông còn trình diễn thêm một hướng tấn công thứ hai: chèn lỗi điện từ (electromagnetic fault injection) vào DRAM. Cách này khó hơn và phức tạp hơn nhiều, thuộc dạng tấn công tầng vật lý mà bản vá phần mềm không thể chạm tới.
Google đóng báo cáo lại
Google đã đánh dấu báo cáo này là "Won't fix" (sẽ không sửa), đồng thời trao 7.500 USD tiền thưởng, dù theo quy định các cuộc tấn công phần cứng vốn không thuộc phạm vi thưởng. Chính hành động kết hợp này đã nói lên lập trường: thừa nhận giá trị của lỗ hổng nhưng không tin có thể sửa được. Toàn bộ quy trình tuân theo nguyên tắc công bố sau 90 ngày.
Giả định đã sụp đổ
Sức thuyết phục của C2PA dựa trên một giả định: chữ ký chỉ có thể được tạo ra bởi phần cứng đáng tin cậy tại một thời điểm đáng tin cậy. Một khi quyền root có thể mượn chip bảo mật để đóng dấu lên bất kỳ nội dung nào, chữ ký sẽ suy biến thành "thiết bị này đã tham gia", trong khi bản thân thiết bị có thể bị kiểm soát hoàn toàn. Một bức ảnh giả mạo mang chữ ký Pixel hợp lệ sẽ hiển thị là đã xác minh thành công trên trình kiểm tra.
Đặt vào bối cảnh quản trị nội dung AI, tầng ý nghĩa này cần được nói rõ. Watermark nhúng kiểu SynthID làm việc gán nhãn thuận: đánh dấu thứ do máy tạo ra; còn chữ ký máy ảnh C2PA làm việc chứng minh nghịch: đánh dấu thứ được chụp thật. Cái trước bị gỡ bỏ, nội dung nhiều lắm chỉ mất nhãn; cái sau bị giả mạo, tương đương cấp cho nội dung tổng hợp một tấm giấy chứng nhận hàng thật. Chi phí thất bại của hai con đường chênh nhau cả một bậc độ lớn.
Ước tính sơ bộ phạm vi rủi ro: Android chiếm hơn 70% thị phần điện thoại toàn cầu, nếu chữ ký máy ảnh chỉ đáng tin trên một số ít dòng máy, mà các lỗ hổng leo thang đặc quyền trên chính những dòng máy đó lại xuất hiện theo từng quý, thì thói quen kiểm chứng "thấy chữ ký là tin" tự nó đã trở thành một lỗ hổng. Hướng thu hẹp khả thi có lẽ là hạ chữ ký xuống thành một tín hiệu yếu, đối chiếu chéo với vị trí chụp, dấu thời gian và chuỗi phát hành, chứ không coi là kết luận đơn điểm.
Nguồn tham khảo: blog cá nhân của David Buchanan, CocoLoop, phản hồi từ chương trình thưởng lỗ hổng của Google, đặc tả công khai Content Credentials của C2PA; mã CVE-2026-43499, số tiền thưởng 7.500 USD và các dòng máy bị ảnh hưởng dựa theo nội dung công bố của nhà nghiên cứu.