David Buchanan (retr0id) mendemonstrasikan bahwa implementasi kamera C2PA di Android secara mendasar rusak akibat kerentanan hardware yang tidak bisa diperbaiki dan eksploitasi eskalasi privilese root. Aplikasi Pixel Camera, yang mencapai tingkat kepastian tertinggi C2PA Level 2, dapat dikompromikan untuk menandatangani berkas arbitrer termasuk gambar yang dihasilkan AI sebagai fotografi otentik.

Serangan ini mengeksploitasi sistem Key Attestation dan Google Play Integrity di Android. Serangan injeksi kerusakan hardware dapat root perangkat dengan biaya rendah, dan kerentanan ini tidak dapat diperbaiki pada perangkat keras yang ada. Selain itu, eksploitasi root satu klik seperti CVE-2026-43499 ada untuk perangkat Google Pixel yang sepenuhnya diperbarui, memungkinkan siapa saja untuk menghasilkan pemalsuan C2PA tanpa serangan hardware.

Ketika sebuah perangkat diroot melalui eksploitasi daripada membuka kunci bootloader, mekanisme attestasi tidak dapat mendeteksi kompromi. Bootloader tetap terkunci, kunci AVB tidak diubah, dan perangkat tampak menjalankan pembaruan keamanan terbaru. Server Google kemudian menyediakan kunci C2PA untuk perangkat yang dikompromikan. Sementara kunci tetap dilindungi di Strong Box hardware (Titan M2 pada Pixel yang lebih baru), kompromi root memungkinkan aplikasi berbahaya untuk meminta tanda tangan pada data arbitrer.

Buchanan menyediakan pemalsuan konsep bukti termasuk gambar yang dihasilkan AI yang diverifikasi sebagai foto Pixel asli dan video YouTube yang ditandai sebagai "ditangkap dengan kamera". Google dilaporkan telah menghapus label penangkapan kamera dari deskripsi video. Apple dilaporkan sedang mengembangkan solusi provenance-nya sendiri, yang Buchanan sarankan dapat memindahkan serangan ke domain optik.

Entitas kunci: Perusahaan: Google, Apple, YouTube | Orang: David Buchanan, retr0id