C2PA 카메라, 현실과 마주하면 무용지물… 진위 검증 기술의 한계 드러나

AI 요약

C2PA(Content Authenticity) 기술이 AI 위조 이미지 문제를 해결할 것이라는 기대와 달리, 안드로이드 플랫폼에서는 근본적인 보안 한계로 인해 무용지물이라는 비판이 제기되었습니다. 보안 연구원 데이비드 뷰캐넌은 안드로이드의 키 증명(Key Attestation)과 Play Integrity가 루트 권한 탈취 공격에 취약하며, 저비용 하드웨어 결함 주입 공격으로도 우회가 가능하다고 지적합니다. 특히 LLM의 발전으로 원클릭 루트 익스플로잇이 빠르게 확산되면서, 완전히 패치된 구글 픽셀 기기에서도 C2PA 위조가 가능한 상황입니다. 저자는 구글 픽셀 카메라 앱이 C2PA 적합성 프로그램에서 최고 등급(Assurance Level 2)을 받은 점을 역설적으로 공격 대상으로 삼았습니다.

핵심 포인트

• 안드로이드 C2PA 카메라 앱은 키 증명과 Play Integrity에 의존하지만, 루트 권한 탈취로 우회 가능
• 저비용 하드웨어 결함 주입 공격으로 기존 기기의 보안 모델이 근본적으로 깨질 수 있음
• CVE-2026-43499를 통해 완전히 패치된 구글 픽셀 기기에서도 원클릭 루트 익스플로잇이 존재
• 구글 픽셀 카메라 앱은 C2PA 적합성 프로그램에서 최고 등급인 Assurance Level 2를 획득했으나 여전히 취약

향후 전망

• 애플이 자체 미디어 출처 검증 솔루션을 개발 중이라는 소문이 있으나 아직 출시되지 않았으며, 수직 통합 구조가 유리할 수 있음
• C2PA의 신뢰 모델은 하드웨어 취약점이 패치되지 않는 한 안드로이드에서 실질적으로 무의미할 전망