安全研究者分析认为，C2PA 范围未验证缺陷并非某个库的实现疏忽，而是协议设计中对签名覆盖范围元数据低估的后果。