La provenance est la propriété d'un fichier média portant une preuve vérifiable de sa propre origine, signée au moment de la création plutôt que déduite après coup. À mesure que les images, l'audio et les textes générés deviennent indiscernables des œuvres humaines, la question cesse d'être de savoir si quelque chose a l'air authentique pour devenir de savoir s'il peut prouver ce qu'il est. Un fichier ne répond à cette question que si l'origine y a été enregistrée dès le départ, par une clé que le destinataire peut vérifier.
- La détection devine l'origine après coup ; la provenance la déclare à la création, avec une signature.
- Les content credentials sont un manifeste signé qui voyage avec le fichier, pas une étiquette collée par-dessus.
- Une chaîne de conservation se casse dès qu'un fichier est réencodé, capturé par capture d'écran ou recadré.
- Le filigrane cache une marque persistante ; la provenance attache un enregistrement vérifiable et détachable — des fonctions différentes.
- La preuve de falsification démontre qu'un fichier a été modifié ; elle ne peut pas, à elle seule, restaurer ce qui a été perdu.
- La divulgation est un contrat social, et les contrats ne tiennent que dans la mesure où l'application le permet.
Pourquoi deviner l'origine diffère de la déclarer
La détection consiste à déduire l'origine à partir de l'artefact lui-même, une fois qu'il existe — lire des traces statistiques et espérer qu'elles trahissent la source. La provenance déclarée adopte la posture opposée : l'origine est affirmée et signée au moment de la création, de sorte qu'aucune inférence n'est nécessaire par la suite. Les deux répondent à la même question depuis des extrémités opposées du temps, et elles échouent de manières opposées.
La détection se dégrade à mesure que les générateurs s'améliorent. Chaque trace qu'un détecteur apprend à lire est une trace que la génération suivante apprend à effacer, si bien que la méthode poursuit une cible qui bouge volontairement. Elle produit aussi un résultat inconfortable : une probabilité, pas un fait. Un score indiquant qu'un fichier est probablement synthétique est une base médiocre pour toute décision importante, car il est suffisamment souvent faux pour être injuste et suffisamment confiant pour être cru.
La provenance déclarée évite entièrement la devinette, mais elle paie un prix différent. Elle ne fonctionne que lorsque l'origine a été enregistrée à la création, ce qui signifie qu'elle ne couvre rien fabriqué avant l'existence du registre et rien produit par un outil qui a refusé de signer. L'absence de provenance ne prouve rien — un fichier ordinaire n'est pas un fichier coupable. Cette asymétrie façonne tout le domaine : la provenance peut confirmer une origine qu'elle a capturée, mais le silence reste du silence.
Ce qu'emporte véritablement un manifeste signé
Un content credential est un enregistrement structuré de la façon dont un fichier a été créé, signé cryptographiquement et lié aux octets qu'il décrit. Ce n'est pas un badge visible ni un dossier de notes. C'est un manifeste : une suite d'assertions sur l'origine et les modifications, scellée de sorte que tout changement du fichier ou de l'enregistrement devienne détectable.
- Assertion
- Une seule affirmation au sujet du fichier — qu'il a été généré, capturé ou édité, et par quelle catégorie de processus.
- Binding
- Le lien cryptographique attachant le manifeste aux octets exacts de l'actif, afin que les deux ne puissent pas être séparés ou échangés en silence.
- Signature
- Le sceau d'une clé émettrice qui permet au destinataire de confirmer que le manifeste a été fait par qui il prétend être, et qu'il n'a pas été altéré depuis.
- Chaîne de provenance
- L'historique ordonné des modifications, chaque étape étant signée, de sorte que le chemin de la création à l'état actuel soit auditable plutôt que supposé.
Le changement introduit est subtil mais total. Les métadonnées ordinaires sont un post‑it : faciles à écrire, faciles à falsifier, dignes de confiance seulement par habitude. Un manifeste signé est une enveloppe scellée dont le sceau nomme son auteur et se brise visiblement. La valeur n'est pas dans les données qu'il contient mais dans le fait que ces données ne peuvent pas être modifiées en douce sans que la modification ne s'annonce. La confiance passe de l'affirmation aux mathématiques qui la sous-tendent.
Ce qui brise une chaîne de conservation
Une chaîne de conservation est l'historique ininterrompu et signé reliant l'état actuel d'un fichier à son origine, chaque transformation étant documentée. La chaîne est solide tant que chaque transfert est enregistré et s'affaiblit à l'instant où l'un d'eux ne l'est pas. La plupart des ruptures ne sont pas des attaques. Ce sont des actes ordinaires de circulation des médias dans un monde qui n'a jamais été construit pour préserver de tels enregistrements.
Le réencodage est le tueur silencieux. Compressez une image, transcodez un extrait audio ou faites passer un fichier dans un système qui supprime les champs inconnus, et le manifeste disparaît tandis que les pixels survivent. Une capture d'écran est pire, car elle produit un nouveau fichier qui ressemble à l'identique et ne porte aucun historique — une copie parfaite du contenu et une perte totale de la chaîne. Le recadrage, la conversion de format et la ré‑mise en ligne font de même, en mode ralenti.
C'est pourquoi la provenance est fragile par nature, et pourquoi cette fragilité est parfois voulue. Un lien (binding) qui survivrait au réencodage serait un lien pouvant être transplanté sur une falsification. Le design accepte qu'une chaîne brisée n'offre aucune revendication plutôt qu'une fausse. Le coût est élevé : la plupart des médias en circulation arriveront dépouillés, et un destinataire doit traiter l'absence de manifeste comme une information manquante, jamais comme une preuve de quoi que ce soit.
Pourquoi le filigrane et la provenance répondent à des problèmes différents
Le filigrane et la provenance sont souvent évoqués ensemble mais visent des cibles différentes. Un filigrane est un signal incorporé dans le contenu lui‑même — une perturbation des pixels ou des échantillons destinée à persister malgré les modifications et à survivre à la perte de tout enregistrement externe. La provenance est un récit joint et signé qui voyage aux côtés du contenu et peut être vérifié contre une clé. L'un se cache dans le média ; l'autre l'accompagne.
Leurs modes d'échec sont en miroir. Un filigrane survit mieux au réencodage et aux captures d'écran qu'un manifeste, mais il porte peu d'information et peut être affaibli ou supprimé par un éditeur déterminé, et sa présence est difficile à prouver à un sceptique. Un manifeste porte un historique riche et vérifiable mais se détache facilement. Aucun des deux n'est une réponse complète, et prendre l'un pour l'unique solution est l'erreur récurrente.
| Dimension | Filigrane visible ou intégré | Manifeste de provenance signé |
|---|---|---|
| Où il vit | Dans le signal même du contenu | À côté du contenu, lié par une clé |
| Survit au réencodage | Souvent, par conception | Rarement ; généralement supprimé |
| Information portée | Une marque faible ou un jeton court | Un historique complet et auditable |
| Vérifiable par le destinataire | Difficile à prouver de manière concluante | Vérifiable contre une signature |
| Rôle principal | Persistance à travers la transformation | Attribution et preuve de falsification |
La vision mûre les considère comme des couches, pas des rivales. Un filigrane est un fil ténu qui peut survivre quand l'enveloppe est perdue ; un manifeste est l'enveloppe, riche tant qu'elle dure. Demander lequel est correct revient à demander si un fil ou une enveloppe est l'outil adapté — la réponse dépend entièrement de ce que le média va subir.
Comment un destinataire vérifie une revendication d'origine
La vérification est un acte ordonné, et sauter une étape laisse passer un fichier qui a l'air convaincant sur l'apparence seule. Le principe est le même que l'actif soit une image, un extrait ou un passage de texte : confirmer le sceau, confirmer le lien, puis lire l'historique avec ses limites en tête.
- Confirmer qu'un manifeste est présent, et considérer son absence comme une information manquante plutôt que comme un verdict.
- Vérifier la signature contre la clé émettrice, établissant que l'enregistrement est intact et fait par qui il nomme.
- Vérifier le binding, confirmant que le manifeste décrit ces octets exacts et n'a pas été transplanté d'un autre fichier.
- Lire la chaîne de provenance dans l'ordre, en notant où l'actif a été généré et où il a été édité.
- Concilier l'histoire avec la revendication faite, et faire confiance uniquement à ce que les étapes signées couvrent réellement.
Ce que cette procédure ne peut pas faire est aussi important que ce qu'elle peut. Une signature valide prouve que l'enregistrement est authentique ; elle ne prouve pas que le monde que le média représente est réel, seulement que l'origine déclarée est authentique. Un extrait peut être honnêtement étiqueté comme généré et pourtant tromper sur son sujet. La vérification établit la provenance, pas la vérité, et confondre les deux est la façon dont un bon outil est survendu.
Où la divulgation devient un contrat social
La provenance technique s'arrête là où commence l'accord humain. Une signature peut prouver qu'un fichier a déclaré son origine ; elle ne peut contraindre personne à joindre la déclaration, à la préserver ou à la lire honnêtement. La divulgation est donc un contrat social superposé à un contrat cryptographique, la cryptographie étant de loin la moitié la plus aisée.
Le contrat présente des lacunes prévisibles. Un créateur peut refuser de signer, une plateforme peut supprimer les enregistrements à l'upload pour économiser de l'espace, et un spectateur peut ignorer une étiquette claire par précipitation ou croyance motivée. L'application atteint les coopératifs et manque tous les autres, ce qui signifie que la provenance augmente le coût de la tromperie occasionnelle sans fermer la porte à la fraude délibérée. C'est un gain réel, et un domaine honnête nomme son plafond.
Ce qui tend à fonctionner n'est pas la coercition mais l'attente. Quand l'absence d'un manifeste devient frappante dans des contextes qui en exigent un — reportage, pièces à conviction, archives à conséquence —, l'absence commence à porter du sens par convention, même si elle n'en porte aucun par la logique. La norme fait le travail que les mathématiques ne peuvent pas. La technologie fournit une revendication vérifiable ; une culture décide quand une revendication non vérifiée n'est plus suffisante. Le même schéma revient partout où la preuve rencontre la pratique : l'instrument est précis, l'adoption est désordonnée, et l'écart entre les deux se comble par l'habitude plutôt que par la logique.
Où se dirige la preuve d'authenticité
La trajectoire s'éloigne de la détection des faux et se dirige vers l'authentification des originaux — une inversion discrète de l'instinct initial. À mesure que la génération comble les dernières lacunes visibles, la charge passe de repérer le synthétique à garantir le véritable, et la rareté devient un enregistrement ininterrompu plutôt qu'un détecteur astucieux. Le problème le plus difficile n'est pas de rendre la provenance possible mais de la maintenir attachée alors que les médias traversent des systèmes indifférents. Un enregistrement trivial à créer et facile à perdre est un enregistrement soumis à une pression silencieuse constante.
Cela rend certaines choses plus difficiles, pas plus faciles. Chaque réencodage, chaque compression bien intentionnée, chaque plateforme qui jette un champ inconnu est une petite érosion d'un enregistrement qui n'a de valeur que tant qu'il est intact. Le travail à venir porte moins sur des sceaux plus forts que sur des passations qui refusent de les laisser tomber — préserver la continuité à travers la longue et négligente chaîne d'outils qu'un fichier traverse avant qu'on ne le vérifie.
Attendez‑vous à ce que le domaine consacre moins d'efforts à prouver ce qui est faux et plus d'efforts à défendre la continuité de ce qui est vrai — la chaîne, pas la capture. Les artefacts qui auront du poids seront ceux dont l'origine a survécu au voyage de la création jusqu'à l'œil qui finit par la vérifier. L'authenticité, au bout du compte, devient une question de garde : pas à quel point un fichier est convaincant, mais à quel point son histoire a été fidèlement portée.
FAQ