유효한 Apple Reference Image는 특정 카메라 센서가 좁은 시간 구간 안에 특정 픽셀 묶음을 만들어냈다는 사실을 증명한다. 그 카메라가 실재하는 대상을 향했다는 사실은 증명하지 않는다. Apple이 iPhone 18 Pro와 18 Pro Max용 새 촬영 모드의 설계를 공개한 뒤 개발자 사이에서 터진 논쟁은 전부 이 구분에 걸려 있다.
핵심 요약
- Reference Image는 센서 내부에서 펌웨어가 손대기 전에 원시 픽셀에 ECDSA P-256으로 서명하고, 기기 매니페스트를 통해 그 서명을 Secure Enclave에 묶는다.
- RFC 3161 타임스탬프 두 개가 촬영 시각을 앞뒤로 감싸며, Oblivious HTTP로 전송해 Apple 타임스탬프 서비스가 기기 IP 주소를 보지 못하게 한다.
- 해당 프레임이 화면을 찍은 사진이 아니라 진짜 원시 센서 출력인지는 Apple이 가중치를 공개하지 않은 신경망이 판정한다.
C2PA가 남겨둔 구멍
Adobe, Microsoft, BBC가 지지하는 C2PA 방식의 Content Credentials는 누군가 이미지에 서명한 뒤 그 이미지에 무슨 일이 있었는지를 기록한다. Apple의 문제 제기는 그 이전 구간을 향한다. 포토사이트에서 첫 서명까지의 경로가 한 번 오염되면, 만들어진 자격증명은 거짓을 완벽한 충실도로 보증하게 되고, 그 포맷 안에서 보는 사람이 이상을 알아챌 방법은 없다. 또한 C2PA 자격증명은 사진에 실명 정체성을 붙일 수 있는데, 통신사에는 적합한 기능이지만 전쟁 특파원에게는 위험하다.
Apple의 답은 하드웨어가 허용하는 최대한 상류까지 서명을 밀어 올리는 것이다. Reference 모드에서 이미지 센서는 전용 상태로 보안 부팅하고, 픽셀 데이터를 읽어내는 순간 서명한 뒤 자신이 서명한 내용을 수정하지 못하도록 차단된다. 디지털 줌 경계나 초점 거리처럼 센서에서 나올 수 없는 메타데이터는 Secure Enclave가 따로 서명하는데, 같은 기기 매니페스트에 묶인 인증된 신원을 사용한다. 검증자는 이를 통해 두 부품이 한 대의 기기로 출하됐음을 확인할 수 있다.
왜 촬영 기기가 작업을 끝내지 않나
서명된 원시 프레임은 누구도 보고 싶어 할 사진이 아니다. 설계가 독특해지는 지점이 여기다. 네거티브는 DNG로 저장되고, 현상은 기기가 아니라 Private Cloud Compute 안에서 이뤄진다. PCC는 서명 사슬이 공장 인증기관까지 거슬러 올라가는지 확인하고, 센서와 Secure Enclave의 짝이 맞는지 확인한 다음에야 디모자이킹, 톤 매핑, 압축을 수행한다. Apple은 PCC 빌드를 투명성 로그에 기록하고 바이너리를 검사할 수 있게 공개한다.
결과물에는 ML-DSA-87과 RSA-3072를 합친 복합 서명이 붙는다. 격자 기반 방식과 고전 방식을 함께 걸어두는 구조로, Apple이 업계에서 유일한 양자 내성 출처 증명 시스템이라고 주장하는 근거다. 중요한 점은 완성된 파일에 촬영자 자격증명도, 기기 식별자도 담기지 않는다는 것이다. Apple 자체 서비스가 서명하며, 그 덕에 임의의 두 reference image를 서로 연결할 수 없다.
이 모든 구조의 밑바닥에는 암호학이 내릴 수 없는 판단이 하나 깔려 있다. 서명 전에 PCC는 해당 프레임이 진짜 원시 센서 출력의 물리적 지문을 갖췄는지 가중치가 비공개인 신경망으로 채점하고, 별도 서비스가 센서별 누적 점수를 관리한다. 점수가 충분히 나쁜 센서는 취소되고 더 이상 서명을 받지 못한다. Apple은 현상 코드를 공개했다. 모델은 공개하지 않았다.
렌즈 앞의 화면
Hacker News와 Reddit의 개발자들은 InfoQ가 정리한 스레드에서 빠르게 같은 공격 방식으로 모였다. 생성형 AI로 무언가를 만들어 아주 좋은 모니터에 띄우고, 그 모니터를 촬영하면 된다. 그러면 사슬에 있는 모든 서명이 진짜다.
이에 대한 반박은 4800만 화소 센서가 까다로운 상대라는 점이다. 디스플레이 화소 밀도가 촬영 해상도의 몇 배가 되지 않으면 모아레 무늬가 정체를 드러낸다. 비공개 가중치 점수가 존재하는 이유도 거의 확실히 이것이다. 다만 그렇다는 것은, 가장 뻔한 공격에 대한 이 시스템의 저항력이 Apple 외부에서는 누구도 감사할 수 없는 분류기에 달려 있고, 그 상대인 디스플레이는 계속 좋아진다는 뜻이다. 취소 조치도 사후 대응이다. 문제의 센서를 끊어내려면 위조 이미지가 먼저 발견돼야 한다.
두 번째 반론은 익명성 보장을 겨눴다. PCC는 기기의 원본 인증서 사슬과 자신이 발급하는 교체 서명을 짧은 시간 동안 함께 들고 있다. 연결 불가능성은 수학이 강제하는 속성이 아니라 Apple의 운영 방식에 대한 약속인 셈이다. 어느 개발자는 중앙 주체 없이 비슷한 수준의 프라이버시를 달성하는 Direct Anonymous Attestation을 왜 쓰지 않았느냐고 물었다.
그래서 누가 검증하나
가장 맥 빠지는 비판은 유통 문제였다. 서드파티 앱은 iOS, iPadOS, macOS 27의 API로 reference image를 읽을 수 있지만, Apple은 웹이나 비Apple 플랫폼용 검증 도구를 전혀 밝히지 않았다. 공유를 견디는 것이 존재 목적인 포맷에는 난감한 공백이다. 대부분의 사이트는 저장 공간을 아끼려 업로드 파일을 트랜스코딩하는데, 그 과정에서 서명은 그대로 파괴된다. 어느 댓글 작성자의 지적처럼, 현실에서 사람들은 남이 띄운 검증 화면의 스크린샷을 보고 진위를 판단하게 될 것이다.
진짜 시장이 저널리즘이 맞느냐는 의심도 나왔다. 보험금 청구와 신원 확인이 실제 수요라는 것이다. 후자를 두고 어느 개발자는 냉정했다.
이 기술이 알려주는 것은, 위조일 수도 있는 면허증을 찍은 픽셀이 진짜 픽셀이라는 사실뿐이다.
같은 댓글은 이 모드가 동영상을 다루지 않고, 중간자 공격을 막아주지 않으며, 비행시간 측정도 허용하지 않는다고 짚었다. 이 모드는 선택 방식이고 촬영 시점에 골라야 하므로 기존 사진을 사후에 편입할 수는 없다. 규제 사유로 출시 시점에 EU와 중국에서는 사용할 수 없다.
표준 경쟁은 어디로 가나
이 논쟁이 C2PA를 밀어내지는 못한다. C2PA는 여전히 Leica 바디와 Google Pixel 계열이 지원하는 상호운용 가능한 다중 벤더 선택지다. Pixel 10은 이미 촬영 시점에 서명하고, 삼성 Galaxy S25는 생성 도구가 손댄 프레임에만 자격증명을 붙인다. Apple도 AI 생성 콘텐츠 표시를 위해 Google의 SynthID를 이후 소프트웨어 업데이트에서 지원할 계획이다. 촬영을 증명하는 일과 합성을 탐지하는 일이 별개의 문제이고 별개의 장치가 필요하다는 인정이다.
Apple이 실제로 한 일은 분산된 신뢰 문제를 집중된 신뢰 문제로 맞바꾼 것이다. C2PA는 긴 소프트웨어 공급사 사슬을 믿으라고 요구한다. Reference Image는 한 회사의 실리콘, 한 회사의 클라우드, 한 회사의 비공개 분류기를 믿으라고 요구한다. 쓸 만한 이미지 조작 능력이 계속 더 작고 저렴한 모델로 내려앉는 흐름을 보면, 그 교환은 할 만한 거래일 수 있다. 그래도 거래이며, 해결책은 아니다.
FAQ · 자주 묻는 질문
Reference Image로 AI 생성 사진을 걸러낼 수 있나
그 자체로는 불가능하다. 이 기능은 픽셀이 정해진 시간 구간 안에 진짜 센서에서 나왔음을 증명하며, 렌즈 앞 장면이 실재했는지는 말해주지 않는다. 고해상도 디스플레이를 촬영하는 방식이 알려진 구멍인데, Apple은 이미지 내용을 분석하는 대신 원시 센서 출력의 물리적 특징을 찾는 신뢰도 모델로 대응한다.
촬영자를 특정하나
특정하지 않는다. Apple의 서명 서비스는 현상된 이미지에 서명하고 사용자 자격증명에는 서명하지 않는다. Apple은 외부 관찰자가 두 reference image가 같은 기기에서 나왔는지 알 수 없다고 밝혔다. 다만 이 속성은 Private Cloud Compute가 문서대로 동작한다는 전제에 달려 있다. PCC는 기기 인증서 사슬과 교체 서명을 짧은 시간 동안 함께 보기 때문이다.
C2PA를 대체하나
대체하지 않는다. 두 방식은 이미지 생애의 서로 다른 절반을 담당한다. C2PA는 여러 벤더에 걸쳐 촬영 이후의 편집을 증명하고, Reference Image는 Apple 하드웨어에서 촬영 자체를 증명한다. 크로스 플랫폼 검증 도구가 공개되지 않은 상태에서는 어디서나 통하는 선택지는 여전히 C2PA다.
