C2PA là gì? Content Credentials: cách hoạt động, dịch vụ hỗ trợ, cách kiểm tra và khác biệt với watermark

Bức ảnh bạn thấy trên mạng có thật sự được chụp bằng máy ảnh, hay được tạo ra hoặc chỉnh sửa bằng AI? C2PA là công nghệ tìm cách trả lời câu hỏi đó bằng "bản ghi về quá trình tạo ra". Hình ảnh tạo bằng ChatGPT và ảnh chụp bằng Google Pixel giờ đây cũng được gắn thông tin này, và nó đã bắt đầu hiển thị thành nhãn trên mạng xã hội. Bài viết này tổng hợp cách hoạt động của C2PA, các dịch vụ hỗ trợ, cách kiểm tra, giới hạn và khác biệt với watermark (thủy vân số) như SynthID, dựa trên thông tin chính thức tại thời điểm ngày 9 tháng 10 năm 2026.

C2PA là gì

C2PA (Coalition for Content Provenance and Authenticity) vừa là tên của tổ chức xây dựng tiêu chuẩn kỹ thuật để thể hiện nguồn gốc (đến từ đâu) và tính xác thực của nội dung số, vừa là tên của chính tiêu chuẩn đó. Tổ chức được Adobe, Arm, BBC, Intel, Microsoft và Truepic thành lập vào tháng 2 năm 2021.

Thông tin nguồn gốc được gắn theo tiêu chuẩn C2PA thường được gọi là Content Credentials (Thông tin xác thực nội dung). Giống như nhãn thành phần trên thực phẩm, nó giúp kiểm tra nội dung "được tạo khi nào, bởi ai, bằng công cụ gì và được chỉnh sửa ra sao".

Tính đến tháng 10 năm 2026, ủy ban điều hành của C2PA gồm 11 công ty: Adobe, Amazon, BBC, Google, Meta, Microsoft, OpenAI, Publicis Groupe, Sony, TikTok và Truepic. Trong số thành viên thông thường có cả các công ty và tổ chức Nhật Bản như Canon, Nikon, Fujifilm, NHK và NTT Docomo.

Quan hệ giữa C2PA và CAI

Thường xuất hiện cùng C2PA là CAI (Content Authenticity Initiative). CAI là sáng kiến do Adobe khởi xướng năm 2019, cung cấp các công cụ mã nguồn mở để triển khai tiêu chuẩn C2PA và thúc đẩy việc phổ biến. Vai trò được phân chia: C2PA là "tổ chức xây dựng tiêu chuẩn", còn CAI là "tổ chức phổ biến tiêu chuẩn".

Cách hoạt động: gắn "bản ghi nguồn gốc" có chữ ký vào tệp

Trong C2PA, nội dung được gắn một bản ghi nguồn gốc gọi là manifest. Manifest chứa các thông tin sau.

Assertion (khẳng định): Từng thông tin riêng lẻ như thao tác tạo hay chỉnh sửa, công cụ hoặc AI đã dùng, máy ảnh đã chụp
Claim (tuyên bố): Tập hợp các assertion, được người tạo (bên phát hành) ký điện tử
Giá trị băm của nội dung: Giá trị tính từ nội dung tệp. Nếu nội dung bị thay đổi, giá trị sẽ không khớp nên có thể phát hiện việc giả mạo

Chữ ký điện tử dùng chứng thư số, nên có thể xác minh ai đã gắn bản ghi. Khi chỉnh sửa nhiều lần, bản ghi mới được thêm vào và kế thừa manifest trước đó, nhờ vậy có thể lần lại lịch sử chỉnh sửa.

Phương án dự phòng khi siêu dữ liệu bị mất

Manifest được lưu dưới dạng thông tin đi kèm của tệp, nên có thể bị mất khi chụp màn hình hoặc lưu lại tệp. Để bù đắp điểm yếu này, tiêu chuẩn C2PA còn quy định cơ chế (Durable Content Credentials) dùng watermark hoặc fingerprint (đặc trưng tính từ nội dung) làm manh mối để tìm lại manifest đã được lưu trữ.

Tiêu chuẩn mới nhất

Phiên bản 2.4 của tiêu chuẩn, công bố tháng 4 năm 2026, bổ sung mục chuyên dùng để thể hiện việc sử dụng AI, đồng thời cho phép nhúng nguồn gốc vào cả văn bản như tài liệu HTML hay Markdown. Ngoài ra, từ năm 2025 đã bắt đầu chương trình đánh giá tuân thủ (Conformance Program) để chứng nhận các sản phẩm hỗ trợ đúng tiêu chuẩn.

Tình hình hỗ trợ chính

Các trường hợp hỗ trợ chính xác nhận được từ thông tin chính thức của các hãng như sau.

OpenAI: Gắn Content Credentials cho hình ảnh tạo bằng ChatGPT và các dịch vụ khác. Hình ảnh và âm thanh còn được chèn thêm watermark SynthID của Google.
Google: Gắn Content Credentials cho mọi ảnh JPEG chụp bằng camera của Pixel 10, có thể kiểm tra trong Google Ảnh. Tính năng "Giới thiệu về hình ảnh này" của Google Tìm kiếm cũng tận dụng thông tin C2PA. Trên YouTube, video quay bằng máy ảnh mà không qua chỉnh sửa sẽ hiển thị nhãn "Quay bằng máy ảnh".
Microsoft: Tự động gắn Content Credentials cho mọi hình ảnh tạo bằng Azure OpenAI.
Adobe: Cung cấp ứng dụng "Adobe Content Authenticity" và tiện ích mở rộng Chrome để gắn hoặc kiểm tra Content Credentials.
Mạng xã hội: LinkedIn hiển thị biểu tượng trên hình ảnh và video có thông tin C2PA. TikTok và Meta (Facebook, Instagram, Threads) đọc thông tin C2PA và gắn nhãn cho cả nội dung do AI tạo ở dịch vụ khác.
Máy ảnh và điện thoại thông minh: Leica M11-P được giới thiệu năm 2023 là máy ảnh đầu tiên tích hợp sẵn Content Credentials. Dòng Samsung Galaxy S25 gắn Content Credentials cho hình ảnh chỉnh sửa bằng AI.
Hạ tầng phân phối: Cloudflare cung cấp tính năng giữ lại Content Credentials khi chuyển đổi hình ảnh.

Cách kiểm tra thông tin C2PA

Có thể kiểm tra tệp có gắn thông tin C2PA hay không bằng các cách sau.

Trang Verify: Tải hình ảnh hoặc tệp khác lên trang kiểm tra do CAI vận hành (contentcredentials.org/verify) để xem bản ghi nguồn gốc.
Tiện ích mở rộng trình duyệt: Dùng tiện ích mở rộng Chrome của Adobe để kiểm tra thông tin của hình ảnh trên trang web.
Hiển thị của từng dịch vụ: Có thể kiểm tra qua phần thông tin chi tiết trong Google Ảnh, "Giới thiệu về hình ảnh này" của Google Tìm kiếm, biểu tượng "CR" của LinkedIn, hay nhãn AI của Meta và TikTok.
Công cụ kiểm tra của OpenAI: Có thể kiểm tra hình ảnh hoặc âm thanh có phải của OpenAI hay không tại openai.com/verify.

Giới hạn và lưu ý của C2PA

C2PA là cơ chế mạnh mẽ, nhưng có các giới hạn sau.

Thông tin dễ bị mất: Chụp màn hình hoặc chuyển đổi tệp có thể làm mất thông tin nguồn gốc. Nhiều dịch vụ xóa thông tin đi kèm khi tải lên.
Không có thông tin không có nghĩa là giả: Việc hỗ trợ C2PA là tự nguyện. YouTube cũng nêu rõ việc không có nhãn không có nghĩa là nội dung đã bị chỉnh sửa.
Không đảm bảo tính xác thực: Điều C2PA thể hiện là nguồn gốc "ai đã ghi lại rằng mình tạo ra nội dung như thế nào". Nó không cho biết bản thân nội dung có đúng hay không.
Có thể xảy ra lỗi triển khai: Có thông tin cho rằng năm 2025, máy ảnh Nikon bị phát hiện lỗi cho phép ký lên những hình ảnh không phải ảnh chụp thực tế, và dịch vụ liên quan đã bị tạm dừng.
Việc phổ biến vẫn đang tiếp diễn: Các sản phẩm được chứng nhận qua chương trình đánh giá tuân thủ vẫn chỉ là một phần nhỏ.

Khác biệt với watermark (thủy vân số)

Để thể hiện nguồn gốc của nội dung AI, ngoài C2PA còn có watermark (thủy vân số) như SynthID của Google.

C2PA: Bản ghi có chữ ký gắn vào tệp. Cho biết chi tiết quá trình từ khi tạo đến khi chỉnh sửa, nhưng sẽ mất khi thông tin đi kèm bị xóa
Watermark: Tín hiệu vô hình nhúng vào điểm ảnh của hình ảnh hay dạng sóng của âm thanh. Dễ còn lại kể cả khi thông tin đi kèm bị xóa, nhưng chỉ cho biết đại khái "có được tạo bằng AI được hỗ trợ hay không"

Hai cơ chế này bổ sung cho nhau, và OpenAI cũng như Google đều kết hợp cả hai. Về watermark, xem bài "SynthID là gì"; về khác biệt giữa các phương pháp, xem "So sánh các loại watermark AI (thủy vân số)".

Động thái về quy định

Các quy định yêu cầu ghi nhãn nội dung do AI tạo cũng đang thúc đẩy việc phổ biến C2PA.

EU: Điều 50 của Đạo luật AI quy định nghĩa vụ đối với nhà cung cấp AI tạo sinh phải thể hiện đầu ra ở dạng máy có thể xác định là do AI tạo. Điều 50 áp dụng từ ngày 2 tháng 8 năm 2026. Tuy nhiên, theo lần sửa đổi Đạo luật AI năm 2026 (Digital Omnibus), chỉ những hệ thống AI đã đưa ra thị trường trước ngày đó mới được gia hạn đến ngày 2 tháng 12 năm 2026 đối với nghĩa vụ gắn dấu mà máy có thể nhận biết. Bộ quy tắc thực hành nêu phương pháp cụ thể đã được hoàn thiện vào tháng 6 năm 2026.
Bang California, Mỹ: Đạo luật minh bạch AI (SB 942) đã được dời ngày có hiệu lực sang ngày 2 tháng 8 năm 2026 theo luật sửa đổi năm 2025 (AB 853). Luật yêu cầu các nhà cung cấp AI tạo sinh quy mô lớn nhúng dấu hiệu vô hình vào hình ảnh, video, âm thanh và cung cấp công cụ kiểm tra miễn phí.
Nhật Bản: Tại Nhật Bản, công nghệ "Originator Profile (OP)", giúp xác minh bên phát hành trang web hoặc nội dung, đang được thử nghiệm với sự tham gia của các cơ quan báo chí và các tổ chức khác.

Kết luận

C2PA là tiêu chuẩn quốc tế lưu lại trong tệp, dưới dạng bản ghi có chữ ký, quá trình nội dung được tạo ra và chỉnh sửa. Các công ty lớn như OpenAI, Google, Microsoft, Adobe đã hỗ trợ, và tiêu chuẩn đang lan rộng sang máy ảnh và mạng xã hội.

Tuy nhiên, thông tin có thể bị mất, và việc không có thông tin không chứng minh nội dung là giả. Cách làm thực tế là coi nhãn C2PA như một manh mối để phán đoán, kết hợp với việc kiểm tra watermark và xác minh nguồn gốc.