C2PA Cameras Do Not Survive Contact with Reality

Buchanan 测试 Android C2PA 相机的信任链，发现应用依赖 Key Attestation/Play Integrity 防止签署任意文件，但 root LPE 或低成本硬件故障注入可在 bootloader 仍锁定时取得特权。攻击者无需导出 StrongBox 私钥，只需让硬件替其签任意数据，就能伪造“相机直出”；作者在已更新 Pixel 上也复现软件 root 路径。结论是硬件保护密钥不等于保护签名语义，运行时完整性仍是关键假设。