Como saber se uma imagem foi gerada por IA

1. As três famílias, lado a lado

A coluna que decide tudo é a última: se um terceiro, você, seu fornecedor, qualquer um que não seja o dono do modelo, consegue de fato rodar a verificação.

2. Credencial C2PA: a verificação determinística

Conferir um manifesto não é estimativa. É uma declaração assinada embutida no arquivo (no segmento APP11 (JUMBF) de um JPEG, no bloco caBX de um PNG), dizendo quem produziu e o que foi aplicado. Você resolve a cadeia de certificados contra uma lista de confiança e a assinatura cobre os bytes que você tem em mãos ou não cobre. Dá para testar em contentcredentials.org/verify ou com o c2patool.

O que um manifesto válido prova

Exatamente uma coisa: um signatário nomeado, cujo certificado encadeia até uma autoridade confiável, afirmou este histórico de produção sobre estes bytes. Um fato forte, e estreito.

O que um manifesto válido nunca prova

• Não prova autoria. O signatário é quem rodou o software de assinatura. Nem a credencial de um gerador nem a de um editor identificam a pessoa que decidiu o conteúdo.
• Não prova verdade. Uma foto assinada de um documento falso é uma credencial válida em volta de uma mentira.
• Não cobre o arquivo inteiro. O manifesto protege as faixas que ele diz proteger. Campos fora dessa região (parte dos metadados, às vezes a localização), viajam junto sem atestação.

E a ausência não prova absolutamente nada

Este é o achado mais mal utilizado da área. Remover uma credencial não é um ataque que exija perícia; é um comando:

Toda a camada cooperativa, removida

exiftool -all= -jumbf:all= imagem.jpg

E a maioria das credenciais some sem ninguém querer.

Um estudo medido sobre imagens coletadas no X constatou que a CDN da plataforma remove as credenciais de forma sistemática no upload. Arquivo sem credencial é a condição normal de quase toda imagem da internet, inclusive das honestas.

Por que conferir isso agora, e não em 2028

A oferta de imagens assinadas mudou de patamar em 2026, e o lado que lê não acompanhou. A lista de produtos conformes que o próprio programa C2PA publica, lida em 14 de agosto de 2026, traz 167 produtos:

• 147geradores conformes
• 20validadores conformes, nenhum um nome conhecido
• 58dos 167 certificados só em julho de 2026

A saída de imagem da OpenAI carrega C2PA junto de uma marca d'água SynthID; a Anthropic passou a assinar .svg, .png e .jpg gerados em 11 de agosto de 2026 (como o Claude marca conteúdo gerado por IA).

A regulação empurra na mesma direção. A China exige, desde 1º de setembro de 2025, um rótulo legível por máquina nos metadados do próprio arquivo. A lei californiana AB 853 vai além: a partir de 1º de janeiro de 2027, grandes plataformas terão de detectar dados de proveniência, mostrá-los ao usuário e não poderão removê-los. O argumento mais forte contra apostar em C2PA, “isso nunca sobrevive a um upload”, agora tem prazo de validade legislado.

3. Declarações em primeira pessoa, sem assinatura

Abaixo da camada criptográfica há uma mais barata: metadados em que a ferramenta que produziu o arquivo simplesmente conta o que fez. Determinística de ler, sem assinatura, forjável nos dois sentidos. Pista, nunca veredicto, e, quando presente, específica de um jeito que nenhum detector estatístico chega perto.

• XMP DigitalSourceType (IPTC). O valor trainedAlgorithmicMedia é a forma padrão de dizer “criado por um modelo generativo”; compositeWithTrainedAlgorithmicMedia diz a coisa mais parecida com fraude: uma imagem real aumentada por um modelo, que é exatamente o formato de pintar um valor por cima de um documento. O valor irmão screenCapture é uma declaração legítima de print, que vale mostrar em vez de punir.
• Blocos de texto do PNG. O AUTOMATIC1111 usa um bloco parameters com prompt, prompt negativo, sampler, passos, CFG, seed e hash do modelo. O ComfyUI escreve prompt (grafo de execução) e workflow (grafo da interface). InvokeAI, Fooocus e SwarmUI têm suas próprias chaves.
• EXIF UserComment e Software. As mesmas cargas na saída JPEG e WebP; os geradores se nomeiam do mesmo jeito que um editor faria.

O custo de evasão é zero: o ComfyUI suprime tudo com --disable-metadata. Essas verificações encontram imagens que se anunciaram, e nada além disso.

4. Marca d'água invisível: tecnologia real, detecção trancada

Marca d'água invisível é a melhor ideia deste campo, e você não consegue rodar o detector. O sinal fica nos próprios pixels, então, diferente do metadado. Sobrevive a print, redimensionamento e recompressão. O SynthID-Image é a maior implantação; desde maio de 2026 a OpenAI também o embute. Stable Signature, TrustMark e InvisMark são os outros esquemas com nome.

• O portal SynthID Detector continua em lista de espera. Não há API pública nem SDK, e o detector de imagem nunca foi aberto, só a versão para texto foi.
• A superfície de consumo do próprio Google é limitada: a documentação afirma que o Gemini hoje só reconhece conteúdo criado por ferramentas do Google, ou seja, mesmo depois de a OpenAI adotar o SynthID, o verificador do Google não confere as imagens dela.
• A restrição é deliberada. O artigo técnico do próprio DeepMind cita a limitação de consultas como defesa de primeira classe: controle de acesso é o modelo de segurança, por isso uma API pública de detecção pode nunca existir.
• Nem o Google nem a OpenAI aparecem no registro de soft bindings do C2PA, o único lugar interoperável onde um esquema pode ser implementado por terceiros. Adobe, Microsoft, Digimarc, Imatag e Steg.AI estão lá; os de maior alcance, não.

Marca d'água funciona, para o fabricante que a plantou. Se um serviço afirma conferir “marca d'água de IA” para você, pergunte qual esquema e com a chave de quem. E mesmo para quem tem a chave a garantia é de mão única: remover é barato, e forjar, fazer uma foto autêntica dar positivo, é o problema vivo de 2026.

5. Detectores "isso é IA?": probabilísticos, com taxa de erro publicada

Nada está sendo verificado; uma probabilidade está sendo estimada. São os modelos por trás de praticamente todo “detector de imagem por IA” gratuito. Os números de 2026, de fontes primárias, são o argumento.

• 18-31%de acurácia do melhor detector nos geradores de 2026
• 51,9%depois de um salvamento em JPEG, vindo de 99,9%
• 13,33%de imagens autênticas chamadas de IA por cinco ferramentas líderes
• 5,04%das falsas pegas, com 92,77% de “acurácia” de manchete

Os quatro resultados de 2026, um a um

• Um único salvamento em JPEG derruba tudo para cara ou coroa. No benchmark GenImage (arXiv:2306.08571, 2,68 milhões de imagens), um detector ResNet-50 que marca 99,9% em arquivo limpo cai para 51,9% depois de um único salvamento em JPEG qualidade 65. Toda foto de documento que passou por WhatsApp ou por app de digitalização já foi recomprimida ao menos uma vez.
• Eles chamam foto real de falsa. Um teste da NewsGuard com cinco ferramentas líderes (8 de maio de 2026, 45 imagens) encontrou imagens autênticas declaradas como IA em 13,33% dos casos, com taxas individuais de até 40%. Em fotos reais levemente editadas, três das cinco marcaram 80-93% como IA. Em 35 das 45, ao menos uma ferramenta discordou das outras.
• A “acurácia” de manchete esconde a divisão que importa. No benchmark Chameleon (arXiv:2406.19435), o método de ponta do próprio artigo relata 92,77% de acurácia geral enquanto pega 5,04% das imagens falsas; os demais pegam entre 0,01% e 3,25%. O número impressionante é desequilíbrio de classes somado a um acerto quase perfeito na classe “real”.
• Existe um caso estreito em que vão bem. Quando o gerador já está representado no treino, a detecção chega a cerca de 0,97 de ROC-AUC mesmo sob dezenas de degradações.

Um estudo de 2026 sobre prova visual em processos judiciais (arXiv:2606.07613) chegou ao mesmo lugar pelo lado do tribunal: acerto humano de 64,8% e no nível do acaso contra os geradores mais fortes, modelos multimodais com 5,9% de sensibilidade, e a recomendação de combinar revisão humana, triagem e credencial C2PA. Serve como triagem. Nunca como prova.

6. O que nada disso consegue dizer

• Sem credencial não significa feita por câmera. A ausência é o estado padrão da internet, produzida por ferramenta comum muito mais vezes do que por alguém escondendo algo.
• Uma marca válida não torna o conteúdo verdadeiro. A criptografia atesta o histórico do arquivo. Não diz nada sobre o salário do holerite ser real nem sobre a cena ter sido encenada.
• Gerada por IA não significa fraudulenta. Ampliação, troca de fundo, preenchimento generativo, desfoque de modo retrato: tudo comum. A pergunta que um processo antifraude precisa responder é se uma afirmação específica é falsa, e “um modelo tocou nesses pixels” não é essa pergunta.
• “Provavelmente IA” é uma probabilidade com taxa de erro publicada, não um fato. Quando um detector diz 87%, a leitura honesta é “87% sob a calibração deste modelo, em geradores que ele já viu, antes de qualquer recompressão”. Há casos publicados de 94,9 de AUC com 51,9% de acurácia sobre os mesmos dados.

Falta um limite, e é o que mais importa para documento. Classificadores de imagem inteira se apoiam em impressões estatísticas globais em vez de rastros locais de adulteração (arXiv:2602.00192), e por isso generalizam mal para imagens parcialmente editadas. Ninguém gera um holerite falso do zero; pinta o valor por cima: exatamente o caso em que um escore “isso é IA?” é estruturalmente pior.

7. Uma ordem de verificação que funciona

1. Peça o arquivo original, não o print e não o encaminhado. Print de comprovante é a forma mais comum de destruir toda a evidência antes de ela chegar.
2. Procure a credencial C2PA e confira, se houver. Presente e válida é o fato isolado mais forte disponível.
3. Leia as declarações não assinadas, DigitalSourceType, blocos de parâmetros do PNG, UserComment, Software.
4. Confronte o histórico do arquivo com a história que ele conta : carimbos de data, rastros de editor, codificação. Essa é a faixa da imagem editada, e para fraude documental costuma ser a produtiva.
5. Confirme a afirmação na fonte, fora do arquivo. O banco confirma a transferência; a SEFAZ confirma a nota. Nenhuma análise de imagem supera a fonte autoritativa.
6. Trate qualquer escore de detector como ordenação de fila, se você usar algum. Nunca como motivo por si só.

O que o verificador da Tamperlens lê

É isto que o motor faz com as camadas acima, e é isto que ele não faz.

• Credencial C2PA: presença, reportada como presença. Em uma imagem avulsa o motor encontra o contêiner C2PA e reporta que ele está lá. Ele não analisa o manifesto e não verifica a cadeia de assinatura, então não afirma nada sobre o que a credencial diz nem sobre ela ser válida: reportar “proveniência assinada” sem conferir a assinatura seria exatamente a falha que este produto existe para criticar.
• Metadado de gerador: lido como declaração em primeira pessoa. Geradores nomeados em Software, XMP e blocos de texto do PNG; parameters do AUTOMATIC1111; prompt e workflow do ComfyUI; chaves do InvokeAI; os valores IPTC acima. Um bloco de parâmetros de geração é declaração de origem sintética, não inferência, por isso é a única família de imagem que chega à severidade alta.
• Nenhum classificador de IA e nenhuma leitura de marca d'água. Sem modelo de “isso é IA?”, sem probabilidade, pelas razões da seção 5, e sem conferir SynthID, porque ninguém fora do fabricante consegue.

O motor lê estruturas que o codificador escreveu; não decodifica pixel algum e não chama serviço de terceiros. Os arquivos são lidos em memória, nunca gravados em disco.

Leitura relacionada

• Como saber se uma imagem foi editada A outra pergunta: EXIF, rastros do editor, os quatro carimbos de data, codificação e estrutura do contêiner.
• A credencial de IA sobrevive dentro de um PDF? Uma medição: um JPEG assinado passado por vários geradores de PDF, e o que o leitor oficial diz depois.
• Ver metadados de um arquivo Leia EXIF, XMP e blocos de texto do PNG de qualquer arquivo no navegador, sem conta.
• Comprovante PIX falso: o que o arquivo mostra Por que a confirmação no banco é a verificação confiável e a estrutura do arquivo é a segunda opinião.