Credentio: a biblioteca C++ da Google para provar se um ficheiro é real

A Google pegou numa peça de infra-estrutura que usa por dentro e atirou-a para o GitHub: chama-se Credentio e é uma biblioteca C++ para validar localmente Content Credentials do padrão C2PA (Coalition for Content Provenance and Authenticity). É o tipo de código que normalmente fica escondido em produtos internos. Aqui, a empresa diz que já o usa em quase 40 produtos conformes com C2PA, a lidar com dezenas de milhar de milhões de imagens, vídeos, áudios e documentos gerados.

O objectivo é simples, a implicação não. A Credentio permite verificar a proveniência e integridade de ficheiros multimédia sem mandar nada para a nuvem. A validação acontece dentro da aplicação, no cliente ou no servidor do próprio serviço. Isto interessa a qualquer redacção, banco ou plataforma que não queira despejar ficheiros sensíveis em endpoints externos só para saber se os metadados de autenticidade batem certo. Em tempos de IA generativa, saber se uma foto foi mesmo tirada por uma câmara específica ou editada num certo fluxo de trabalho deixou de ser mania de perito forense.

Tecnicamente, a biblioteca suporta as versões 2.2 e 2.4 da especificação C2PA, analisa manifestos, afirmações, assinaturas e claims embebidos nos ficheiros e devolve o estado de verificação e possíveis problemas de integridade. Faz isto com preocupação explícita de eficiência de memória, pensada para conteúdos pesados como vídeo e imagem em alta resolução. Não é um detalhe: quem já tentou meter validação críptica em pipelines de media sabe que um parser guloso mata um servidor mais depressa que um ataque de DDoS medíocre.

Um ponto relevante é a gestão de confiança. A Credentio fala tanto com as listas de confiança oficiais do C2PA como com listas personalizadas via API. Na prática, um canal de televisão ou um jornal pode definir em quem confia, em vez de aceitar cegamente a mesma lista que uma rede social global. Dado o histórico da Google a tentar ser árbitro da web e da publicidade, é saudável ver um mecanismo que explicitamente permite a terceiros montar o seu próprio modelo de confiança, embora a empresa continue a posicionar-se como peça central da infra-estrutura, tal como se tem visto noutras frentes open source como a sua entrada na OpenROAD para silício aberto.

Por agora, a Credentio foca-se só na validação de credenciais existentes. A criação de novas credenciais e a sua incorporação em formatos de ficheiro virá mais tarde, à medida que a especificação C2PA evoluir. É aqui que o jogo fica interessante: quem controla as ferramentas de emissão de credenciais controla, em boa parte, o selo de “real” que as grandes plataformas podem vir a exigir. A Google abre o código e convida programadores, especialistas de segurança e parceiros do “ecossistema” dos media a contribuir. Abre, mas também enquadra o debate à volta da sua implementação.

Para quem desenvolve em Portugal, isto significa que a fundação técnica para verificação de autenticidade de conteúdos está a ficar menos experimental e mais reutilizável. Um jornal regional pode integrar um verificador C2PA no seu CMS, uma plataforma de e-learning pode marcar vídeos com credenciais verificáveis, uma aplicação de edição de imagem pode mostrar ao utilizador quando um ficheiro perdeu a cadeia de confiança. A questão já não é se existem ferramentas, é se as redacções, tribunais e reguladores europeus vão passar a tratar a ausência destas credenciais como um sinal de alarme, ou se isto fica confinado a mais uma camada técnica que só meia dúzia de plataformas dita globais leva a sério.

Fonte: Open Source For You