Deepfake, zmanipulowane nagranie i dowód cyfrowy – jak badać autentyczność materiału?

Najpierw oryginał, potem interpretacja

Jeżeli dowodem jest nagranie przesłane przez komunikator, zamieszczone w mediach społecznościowych albo zapisane z ekranu, pierwszym problemem jest często brak pliku źródłowego. Platformy mogą zmieniać kompresję, rozdzielczość, kodek i metadane. To utrudnia późniejszą ocenę, ale nie oznacza automatycznie, że materiał jest fałszywy.

Z punktu widzenia kryminalistyki cyfrowej najcenniejsza jest możliwość dotarcia do pierwotnego nośnika lub systemu, na którym materiał powstał, oraz udokumentowania sposobu jego zabezpieczenia.

Integralność pliku

Jednym z podstawowych narzędzi jest funkcja skrótu kryptograficznego. Hash nie mówi, czy treść przedstawia prawdę, ale pozwala wykazać, że konkretny plik nie zmienił się od momentu obliczenia skrótu. Jeżeli materiał był kopiowany między nośnikami, identyczne wartości hash pomagają wykazać ciągłość danych.

Trzeba jednak rozróżnić integralność od autentyczności. Niezmieniony plik może od początku być zmanipulowany. Hash chroni historię konkretnego pliku, nie „prawdę obrazu”.

Metadane – cenne, ale nie absolutne

Metadane mogą wskazywać urządzenie, czas utworzenia, parametry kodeka, oprogramowanie użyte do zapisu lub edycji. Mogą też zostać usunięte, zmienione albo nadpisane podczas eksportu. Dlatego ich brak nie dowodzi manipulacji, a ich obecność nie powinna być traktowana jako niepodważalne potwierdzenie autentyczności.

Co może badać biegły?

Jeżeli ustalenie autentyczności wymaga wiadomości specjalnych, zastosowanie znajduje art. 193 k.p.k. Zakres badania może obejmować m.in. strukturę pliku, ciągłość kodowania, ślady montażu, niespójności audio-wideo, charakterystyki kompresji, źródłowe urządzenie, korelację z logami systemowymi oraz porównanie z innymi materiałami.

W przypadku podejrzenia syntetycznego głosu albo obrazu warto badać nie tylko sam plik, ale cały ekosystem dowodowy: konto, z którego został wysłany, logi, czas transmisji, oryginalne urządzenie, świadków powstania nagrania i wcześniejsze wersje materiału.

Detektory deepfake mają ograniczenia

Systemy automatyczne potrafią wskazywać cechy charakterystyczne dla znanych technik generowania, ale modele tworzące deepfake stale się zmieniają. Wynik „87% prawdopodobieństwa manipulacji” bez wiedzy o zbiorze testowym, wersji narzędzia, typie materiału i poziomie błędu może być mylący. W ekspertyzie trzeba znać metodę i jej ograniczenia.

NIST w swoich przeglądach kryminalistyki cyfrowej podkreśla, że cyfrowe techniki badawcze opierają się na solidnych podstawach informatycznych, ale ich prawidłowe użycie wymaga uwzględnienia szybkich zmian oprogramowania i znaczenia konkretnych artefaktów.

Nagranie prawdziwe też może wprowadzać w błąd

Manipulacja nie musi polegać na wygenerowaniu twarzy lub głosu. Wycięcie kilku sekund, zmiana kolejności fragmentów, usunięcie początku rozmowy albo dodanie fałszywego opisu kontekstu może całkowicie zmienić sens autentycznego nagrania. Dlatego ekspertyza techniczna powinna być łączona z analizą chronologii i kontekstu.

Pierwszą czynnością powinno być zabezpieczenie pliku źródłowego

Materiał przesłany komunikatorem, pobrany z portalu społecznościowego albo wielokrotnie konwertowany może utracić część metadanych i cech istotnych dla badania autentyczności. Jeżeli nagranie ma znaczenie dowodowe, warto pozyskać możliwie najwcześniejszą wersję, zachować oryginalny nośnik i udokumentować sposób otrzymania pliku. Sam zrzut ekranu lub kopia osadzona w prezentacji nie powinna być traktowana jako równoważna materiałowi źródłowemu.

„Wykrywanie AI” nie jest jednym testem dającym pewny wynik

Narzędzia automatycznie oceniające prawdopodobieństwo manipulacji mogą być pomocne przesiewowo, ale ich wynik wymaga interpretacji. Modele zmieniają się, materiały są kompresowane, a legalna edycja może generować cechy podobne do manipulacji. Opinia powinna wskazywać metodę, jej ograniczenia, znane wskaźniki błędów oraz to, czy wynik został potwierdzony innymi technikami.

Autentyczność i znaczenie nagrania to dwa różne pytania

Nawet autentyczny fragment może wprowadzać w błąd, jeśli został wycięty z szerszego kontekstu. Trzeba więc oddzielić pytanie „czy piksele lub dźwięk były syntetycznie modyfikowane?” od pytania „czy materiał wiernie przedstawia zdarzenie?”. Montaż, brak wcześniejszej części rozmowy, zmiana kolejności ujęć czy niepełne napisy mogą wpływać na znaczenie bez użycia generatywnej AI.

Łańcuch pochodzenia jest częścią wiarygodności

Warto ustalić, kto wykonał nagranie, na jakim urządzeniu, gdzie przechowywano plik, kto go kopiował i kiedy pojawił się w internecie. Im więcej nieudokumentowanych etapów, tym trudniej wykluczyć modyfikację. Sumy kontrolne, kopie forensyczne i zapis historii pliku pozwalają utrzymać możliwość późniejszej niezależnej analizy.

Dowód cyfrowy powinien być oceniany razem z materiałem zewnętrznym

Położenie osób, czas, oświetlenie, dźwięki, dane lokalizacyjne, nagrania z innych kamer, logi systemowe i relacje świadków mogą potwierdzać albo podważać materiał. Wysokiej jakości analiza nie opiera się na jednym „detektorze deepfake”, lecz łączy badanie samego pliku z rekonstrukcją zdarzenia. To szczególnie ważne, gdy nagranie jest centralnym dowodem w sprawie karnej, rodzinnej lub reputacyjnej.

Powiązane analizy dowodowe

Zobacz również wniosek dowodowy w procesie karnym, kontrolę opinii biegłego, przeszukanie telefonu i danych cyfrowych oraz autentyczność materiału i deepfake. Pełny zakres praktyki: obrona karna.