C2PA Nedir? İçerik Kökeni, Filigran ve Yapay Zekâ Etiketi
C2PA nedir, içerik kimlik bilgisi neyi kanıtlar, neyi kanıtlamaz? Manifest, imza, filigran ve kurumsal yayında yapay zekâ üretimini işaretleme adımları.
C2PA nedir sorusunun kısa cevabı şudur: C2PA (Coalition for Content Provenance and Authenticity), bir medya dosyasının nasıl oluşturulduğunu ve hangi değişikliklerden geçtiğini kriptografik olarak imzalanmış bir kayıtla belgeleyen açık bir teknik standarttır. Kaydın teknik olmayan adı Content Credentials, yani içerik kimlik bilgisidir. C2PA içeriğin doğru olduğunu değil, kaydın kim tarafından imzalandığını ve sonradan değişip değişmediğini kanıtlar. Yapay zekâ üretimini işaretlemede tek başına çözüm değil, katmanlı bir savunmanın parçasıdır.
C2PA nedir ve neyi kanıtlar?
C2PA, Joint Development Foundation bünyesinde yürütülen bir standart projesidir. Belirtimin güncel sürümü Nisan 2026 tarihli 2.4'tür. Amaç, içerik üreticisinin ve yayıncının bir dosyanın nasıl oluşturulduğunu, nasıl değiştirildiğini ve neyin değiştirildiğini kurcalanmaya dayanıklı ve standart bir biçimde açıklayabilmesidir.
Standardın ne kanıtladığını belirtimin kendisi açıkça sınırlar. C2PA'nın ilkelerine göre belirtim, köken verisinin "iyi" ya da "kötü" olduğuna dair değer yargısı vermez. Yalnızca kayıttaki beyanların dosyaya bağlı olduğunu, doğru biçimlendiğini ve değiştirilmediğini doğrular. Belirtimdeki bir örnek bunu iyi anlatır: imzalayan, dosyadaki EXIF üst verisinde yer alan GPS konumunun doğruluğundan, o bilgi imzalı kayda ayrıca eklenmedikçe sorumlu tutulmaz.
Bu ayrım kurumsal kullanım için belirleyicidir. Geçerli bir C2PA imzası, "bu kaydı şu kimlik imzaladı ve kayıt o zamandan beri değişmedi" demektir. "Bu görüntüdeki olay gerçekten yaşandı" demek değildir. Sentetik içeriğin tespitine dair genel çerçeve için kurumsal deepfake tespiti yazısına bakabilirsiniz.
C2PA manifesti nasıl çalışır?
C2PA'nın temel birimi manifesttir. Bir manifest üç parçadan oluşur:
- Beyanlar (assertions): içeriğin nasıl oluşturulduğu, hangi işlemlerin uygulandığı, hangi cihazın kullanıldığı gibi ifadeler
- Talep (claim): bu beyanları ve içeriğe bağlama bilgisini bir araya getiren, imzalanmış ve kurcalanmaya dayanıklı yapı
- Talep imzası (claim signature): imzalayanın özel anahtarıyla atılan dijital imza
Manifestler bir manifest deposunda toplanır. Depo dosyanın içine gömülebilir ya da dosyanın dışında, bir manifest deposu sunucusunda tutulabilir. Dosya her düzenlendiğinde yeni bir manifest eklenir ve öncekiler korunur. Böylece içeriğin geçmişi zincir halinde izlenebilir. Birden fazla kaynaktan oluşan içerikte kullanılan parçalar "bileşen" (ingredient) olarak kayda geçer.
Manifestin içeriğe bağlanması "sert bağlama" ile yapılır. Sert bağlama, dosyanın tamamının ya da bir bölümünün kriptografik özetidir. Dosyada tek bir piksel değişse özet tutmaz ve doğrulama başarısız olur.
Güven modeli imzalayanın kimliğine dayanır. Doğrulayıcı, imzalayanın X.509 sertifikasını C2PA'nın yönettiği güven listesiyle ya da kendi yapılandırdığı güven çapalarıyla karşılaştırır. Güvenilir bir zaman damgası eklenmişse imza, sertifika süresi dolduktan sonra da imzanın atıldığı anda sertifikanın geçerli olup olmadığına bakılarak doğrulanabilir.
Filigran, parmak izi ve manifest arasındaki fark nedir?
Belirtim, içeriği kayda bağlamanın ikinci yolunu "yumuşak bağlama" olarak tanımlar. Yumuşak bağlama, içerikten hesaplanan bir parmak izi ya da içeriğe gömülen görünmez bir filigrandır. Sert bağlamadan farkı, içerik yeniden kodlandığında ya da boyutu değiştiğinde de eşleşmeyi sürdürebilmesidir.
Bu özellik, "üst veri silinince köken kaybolur" sorununa kısmi bir çözüm getirir. Belirtime göre manifest dosyadan silinmiş ama bir kopyası başka bir köken deposunda duruyorsa, dosya ile manifest yumuşak bağlamalar aracılığıyla yeniden eşleştirilebilir. Bu şekilde depoda bulunabilen kayda "kalıcı içerik kimlik bilgisi" (Durable Content Credential) denir.
| Özellik | Gömülü manifest | Dış manifest deposu | Görünmez filigran | Görünür etiket |
|---|---|---|---|---|
| Nerede durur | Dosyanın içinde | Ayrı bir sunucuda | İçeriğin piksellerinde ya da sesinde | Görüntünün üzerinde |
| Üst veri silinince | Kaybolur | Korunur, bulunması için bağlantı ya da yumuşak bağlama gerekir | Dönüşümlere bir ölçüde dayanır | Kırpılarak çıkarılabilir |
| Ne kanıtlar | İmzalayanın beyanı ve değişmezlik | Aynısı | Belirli bir üretici ya da kayıtla ilişki | Yalnızca bir uyarı |
| Taklit riski | İmza nedeniyle düşük | İmza nedeniyle düşük | Yönteme bağlı | Yüksek |
| En iyi kullanım | Kurumsal yayın ve arşiv | Üst veriyi silen kanallar | Kaydın yeniden bulunması | İnsan okuyucuyu bilgilendirme |
Tablodan çıkan sonuç, yöntemlerin birbirinin yerine değil, üst üste kullanılmasıdır. Belirtim de yumuşak bağlamanın sert bağlamanın yerine kullanılamayacağını açıkça yazar.
Yapay zekâ üretimi C2PA'da nasıl işaretlenir?
Belirtimdeki örneğe göre üretken bir modelin metin isteminden oluşturduğu bir videoda, etkin manifestin eylemler kaydı c2pa.created eylemiyle başlar. Bu eylemin dijital kaynak türü alanı, IPTC sözlüğündeki trainedAlgorithmicMedia değerini taşır. IPTC bu değeri "üretken yapay zekâ ile oluşturulmuş" içerik olarak tanımlar.
2.4 sürümü bu işaretlemeyi genişletti. Yeni yapay zekâ açıklama kaydı (c2pa.ai-disclosure), mevcut eylem ve kaynak türü kayıtlarının yerine geçmez, onları tamamlar. Kullanılan modellerin kökeni ve üretim hattındaki insan gözetimi düzeyi gibi bilgileri makine tarafından okunabilir biçimde taşır.
Düzenleyici taraf da aynı yöne ilerliyor. AB Yapay Zekâ Yasası'nın (Tüzük 2024/1689) 50. maddesinin ikinci fıkrası, sentetik ses, görüntü, video ya da metin üreten yapay zekâ sistemlerinin sağlayıcılarına çıktıları makine tarafından okunabilir biçimde işaretleme ve yapay olarak üretildiklerinin tespit edilebilmesini sağlama yükümlülüğü getirir. Dördüncü fıkra ise deepfake niteliğinde görüntü, ses ya da video üreten veya değiştiren bir yapay zekâ sistemini kullanan uygulayıcılardan, içeriğin yapay olarak üretildiğini ya da değiştirildiğini açıklamalarını ister. Bu yükümlülüklerin uygulama tarihleri için AB Yapay Zekâ Yasası 2026 takvimi yazısına bakabilirsiniz. C2PA, bu işaretleme yükümlülüğünü karşılamak için kullanılabilecek teknik yöntemlerden biridir.
İçerik kökeni bilgisinin sınırları neler?
Köken bilgisinin dört temel sınırı vardır:
- Silinebilirlik: Birçok sosyal platform ve mesajlaşma uygulaması dosyayı yeniden kodlarken üst veriyi temizler. Dış depo ve yumuşak bağlama bu sorunu azaltır, ancak her kanalda çözmez.
- Benimsenme: Her kamera, düzenleme programı ve yapay zekâ aracı kayıt yazmaz. Sahte içerik üreten biri kaydı hiç eklemez. Kaydın yokluğu sahtelik değil, doğrulanamama demektir.
- İmzalayana güven: İmza, imzalayanın kimliğini kanıtlar, dürüstlüğünü değil. Kötü niyetli biri kendi sertifikasıyla geçerli ama yanıltıcı bir kayıt oluşturabilir.
- Anahtar güvenliği: İmzalama anahtarı ele geçirilirse saldırgan kurum adına geçerli imza üretebilir.
Bir de arayüz riski vardır. "Doğrulandı" ifadesi kullanıcıda içeriğin doğru olduğu izlenimini yaratırsa standart, önlemek istediği yanılgıya yol açar. Doğrulama sonucunu "bu kaydı X imzaladı, kayıt değişmemiş" diliyle sunun.
Metin için de not düşmek gerekir. Belirtim, düz metne manifesti görünmeyen Unicode varyasyon seçicileriyle gömmeyi tanımlar. Ancak metni işleyen araçlar bu karakterleri temizleyebilir. Metin tabanlı yayınlarda yazar ve editör onayını yayın sisteminde kayıt altına almak hâlâ en güvenilir yoldur.
Kurum yayınlarında C2PA nasıl uygulanır?
Kurumsal uygulama, kapsam kararıyla başlar ve anahtar yönetimiyle ayakta kalır. Önerilen sıra:
- Kapsamı seçin: en çok taklit edilen içerikler, yani yönetici fotoğrafları, resmî duyuru görselleri, basın videoları ve ürün tanıtımları.
- Yapay zekâ kullanım politikasında hangi düzenlemelerin (temel düzeltme, nesne ekleme ya da çıkarma, tamamen sentetik üretim) nasıl etiketleneceğini yazın.
- İmzalama sertifikasını güvenilir bir sağlayıcıdan alın, özel anahtarı donanım güvenlik modülünde ya da eşdeğer bir ortamda tutun, erişimi sınırlayın.
- İçerik üretim hattına imzalama adımını ve zaman damgasını ekleyin.
- Dağıtım kanallarını test edin: imzalı bir dosyayı web sitesine, sosyal medya hesaplarına ve basın bültenine yükleyip kaydın korunup korunmadığına bakın.
- Kaydın silindiği kanallar için dış manifest deposu ve yumuşak bağlama kullanın.
- Kurumun sitesinde, resmî içeriklerin nasıl doğrulanacağını anlatan sabit bir sayfa yayımlayın.
Anahtarın ele geçirilmesi ayrı bir olay senaryosu olarak planlanmalıdır: sertifikanın iptali, yeni anahtarla yeniden imzalama ve kamuoyuna duyuru adımları önceden yazılmalıdır.
Gelen içeriği doğrularken C2PA nasıl kullanılır?
Kuruma ulaşan bir görsel ya da video için C2PA kaydı bir sinyaldir, tek başına karar değildir. Önerilen doğrulama sırası:
- Kayıt var mı, imza geçerli mi, imzalayan güven listesinde mi?
- Eylemler kaydında yapay zekâ üretimi ya da düzenlemesi beyan edilmiş mi?
- Kayıt yoksa görünmez filigran ya da üretici işareti tespit ediliyor mu?
- İçerik bilinen ilk yayın kaynağına kadar izlenebiliyor mu ve bağımsız kaynaklarda aynı içerik var mı?
- İlgili kişiye ya da kuruma doğrudan teyit sorulabildi mi?
Haber ve yayın kuruluşlarının bu adımları iş akışına nasıl yerleştirdiği için medya ve gazetecilikte yapay zekâ güvenliği yazısına bakabilirsiniz. Kurum adına sahte bir içerik yayıldığında köken kaydının kriz iletişimindeki yeri ise sahte kurumsal içerikte kriz iletişimi yazısında ele alınır.
Sık Sorulan Sorular
C2PA nedir ve ne işe yarar?
C2PA, medya dosyalarına imzalı köken bilgisi ekleyen açık bir teknik standarttır. Kayıt, dosyanın hangi cihaz ya da araçla üretildiğini, hangi düzenlemelerden geçtiğini ve kaydı kimin imzaladığını gösterir. Standardın ilkelerine göre C2PA köken verisinin iyi ya da kötü olduğuna hüküm vermez, yalnızca kaydın dosyaya bağlı, doğru biçimli ve değiştirilmemiş olduğunu doğrular.
C2PA içeriğin gerçek olduğunu kanıtlar mı?
Kanıtlamaz. C2PA, imzalayanın beyanının dosyaya bağlı olduğunu ve sonradan değiştirilmediğini kanıtlar. Sahnenin gerçek olup olmadığı ya da imzalayanın dürüst davranıp davranmadığı ayrı sorulardır. Bu yüzden doğrulama arayüzlerinde geçerli imza, içeriğin doğruluğu gibi sunulmamalıdır. Kararı imzalayanın kimliği ve diğer kanıtlarla birlikte verin.
Filigran ile C2PA manifesti arasındaki fark nedir?
Manifest dosyaya eklenen imzalı bir kayıttır ve içeriğin kriptografik özetiyle bağlanır. Görünmez filigran ise içeriğin kendisine gömülür. C2PA belirtimi filigranı ve içerik parmak izini yumuşak bağlama olarak tanımlar. Manifest dosyadan silinse bile bir kopyası bir depoda duruyorsa, filigran ya da parmak izi aracılığıyla dosya ile kayıt yeniden eşleştirilebilir.
Yapay zekâ ile üretilen içerik C2PA'da nasıl işaretlenir?
Belirtimdeki örneğe göre üretken bir modelin oluşturduğu içerikte manifestin eylemler kaydı c2pa.created eylemiyle başlar ve dijital kaynak türü alanı IPTC'nin trainedAlgorithmicMedia değerini taşır. Nisan 2026 tarihli 2.4 sürümü ayrıca kullanılan model ve insan gözetimi düzeyi gibi bilgileri taşıyan bir yapay zekâ açıklama kaydı ekledi.
Köken bilgisi olmayan bir görsel sahte midir?
Hayır. Birçok platform dosyayı yeniden kodlarken üst veriyi siler ve her araç C2PA kaydı yazmaz. Kaydın yokluğu içeriğin sahte olduğunu değil, bu yolla doğrulanamadığını gösterir. Böyle bir içerikte filigran kontrolü, ilk yayın kaynağının araştırılması, bağımsız kaynaklarla karşılaştırma ve ilgili kişiye doğrudan teyit gibi diğer yöntemlere geçin.
Kaynaklar
İlgili Yazılar
- Kurumsal Deepfake Tespiti: 2026 Araç ve Yöntem Karşılaştırması Ses, görüntü, canlılık ve metaveri — dört modalite tek çerçevede
- Haber Odasında Yapay Zekâ Güvenliği Kaynak koruması, deepfake doğrulama ve 12 maddelik kontrol listesi
- EU AI Act 2026 Takvimi: Neler Yürürlükte, Neler Ertelendi? Digital Omnibus sonrası doğru zaman çizelgesi
- Deepfake Kriz İletişimi: Sahte Kurumsal İçeriğe Yanıt Planı
Bu yazı, Türkiye odaklı Yapay Zekâ Güvenliği Rehberi'nin destek makalelerinden biridir.