Deepfake, zmanipulowane nagranie i dowód cyfrowy – jak badać autentyczność materiału?

Wideo lub nagranie głosu przestało być dowodem, którego autentyczność można ocenić wyłącznie „na oko”. Materiał może być przycięty, ponownie zakodowany, pozbawiony metadanych, zmontowany albo częściowo wygenerowany. W procesie karnym pytanie nie powinno brzmieć tylko „czy to wygląda prawdziwie?”, lecz: skąd pochodzi plik, czy zachowano jego integralność, co można ustalić technicznie i jakie ograniczenia ma zastosowana metoda detekcji.

Najpierw oryginał, potem interpretacja

Jeżeli dowodem jest nagranie przesłane przez komunikator, zamieszczone w mediach społecznościowych albo zapisane z ekranu, pierwszym problemem jest często brak pliku źródłowego. Platformy mogą zmieniać kompresję, rozdzielczość, kodek i metadane. To utrudnia późniejszą ocenę, ale nie oznacza automatycznie, że materiał jest fałszywy.

Z punktu widzenia kryminalistyki cyfrowej najcenniejsza jest możliwość dotarcia do pierwotnego nośnika lub systemu, na którym materiał powstał, oraz udokumentowania sposobu jego zabezpieczenia.

Integralność pliku

Jednym z podstawowych narzędzi jest funkcja skrótu kryptograficznego. Hash nie mówi, czy treść przedstawia prawdę, ale pozwala wykazać, że konkretny plik nie zmienił się od momentu obliczenia skrótu. Jeżeli materiał był kopiowany między nośnikami, identyczne wartości hash pomagają wykazać ciągłość danych.

Trzeba jednak rozróżnić integralność od autentyczności. Niezmieniony plik może od początku być zmanipulowany. Hash chroni historię konkretnego pliku, nie „prawdę obrazu”.

Metadane – cenne, ale nie absolutne

Metadane mogą wskazywać urządzenie, czas utworzenia, parametry kodeka, oprogramowanie użyte do zapisu lub edycji. Mogą też zostać usunięte, zmienione albo nadpisane podczas eksportu. Dlatego ich brak nie dowodzi manipulacji, a ich obecność nie powinna być traktowana jako niepodważalne potwierdzenie autentyczności.

Co może badać biegły?

Jeżeli ustalenie autentyczności wymaga wiadomości specjalnych, zastosowanie znajduje art. 193 k.p.k. Zakres badania może obejmować m.in. strukturę pliku, ciągłość kodowania, ślady montażu, niespójności audio-wideo, charakterystyki kompresji, źródłowe urządzenie, korelację z logami systemowymi oraz porównanie z innymi materiałami.

W przypadku podejrzenia syntetycznego głosu albo obrazu warto badać nie tylko sam plik, ale cały ekosystem dowodowy: konto, z którego został wysłany, logi, czas transmisji, oryginalne urządzenie, świadków powstania nagrania i wcześniejsze wersje materiału.

Detektory deepfake mają ograniczenia

Systemy automatyczne potrafią wskazywać cechy charakterystyczne dla znanych technik generowania, ale modele tworzące deepfake stale się zmieniają. Wynik „87% prawdopodobieństwa manipulacji” bez wiedzy o zbiorze testowym, wersji narzędzia, typie materiału i poziomie błędu może być mylący. W ekspertyzie trzeba znać metodę i jej ograniczenia.

NIST w swoich przeglądach kryminalistyki cyfrowej podkreśla, że cyfrowe techniki badawcze opierają się na solidnych podstawach informatycznych, ale ich prawidłowe użycie wymaga uwzględnienia szybkich zmian oprogramowania i znaczenia konkretnych artefaktów.

Nagranie prawdziwe też może wprowadzać w błąd

Manipulacja nie musi polegać na wygenerowaniu twarzy lub głosu. Wycięcie kilku sekund, zmiana kolejności fragmentów, usunięcie początku rozmowy albo dodanie fałszywego opisu kontekstu może całkowicie zmienić sens autentycznego nagrania. Dlatego ekspertyza techniczna powinna być łączona z analizą chronologii i kontekstu.