AI换脸绕过活体检测的身份冒用风险与防御

一、背景：当“人脸”成为唯一的钥匙

过去几年，人脸识别凭借“无感、快捷、易用”的特点，迅速成为远程身份核验的主流手段。开户、注册企业、签署电子合同、办理信贷、租赁房屋……大量原本需要线下柜面办理的业务，被压缩成手机屏幕上的一次“眨眼、张嘴、点头”。

便利的背后，是一个被长期低估的前提假设：摄像头前的那张脸，就是证件上的那个人，也是操作账户的那个人。

当生成式AI把人脸合成与驱动视频的门槛拉到极低之后，这个假设开始系统性地崩塌。攻击者不再需要伪造一张足以骗过人工审核的精美假证，只需要两样东西：

1. 一张泄露的、清晰的身份证证件照（正面人像）；
2. 一套能够把静态人像“驱动”成动态视频的换脸与表情驱动工具。

两者结合，就能生成包含点头、眨眼、张嘴、左右转头等动作的短视频。这类视频在部分仅依赖“动作指令 + 单帧比对”的核验流程中，足以被判定为“真人本人”。

二、攻击链路拆解：从一张照片到一笔债务

要设计防御，先要理解攻击。这条链路可以拆成五个阶段。

阶段一：证件照的获取

证件照的泄露渠道远比想象中分散：历史业务系统中留存的上传件、第三方代办机构缓存、快递面单与复印件、社交平台晒图、被拖库的旧数据等。证件照的特殊性在于，它天然满足“正脸、无遮挡、光照均匀、分辨率较高”这些换脸模型最喜欢的输入条件。

阶段二：动态人脸视频合成

攻击者通常采用“人脸替换 + 表情/姿态驱动”的组合方案：先做人脸检测与关键点对齐，再将源身份的人脸纹理迁移到目标模板视频上，最后按核验流程要求的动作序列渲染输出。整个流程在消费级显卡上即可完成，单条视频的生成成本极低。

阶段三：绕过活体检测

这是整条链路的技术核心。活体检测大致分为配合式与非配合式两类：

• 配合式：要求用户完成指定动作，系统判断动作是否完成、是否为真人。
• 非配合式：通过纹理、摩尔纹、反射、深度、微表情等线索静默判断。

早期许多实现只校验“动作是否发生”，而不校验“动作是否由真实三维人脸产生”。面对合成视频，动作可以完美复现，但屏幕反射、深度信息、皮肤次表面散射、微小血流变化等物理线索往往缺失。一旦核验流程只看动作序列，不看物理真实性，防线就等于不存在。

阶段四：通过业务系统认证

攻击者利用合成视频，在需要人脸核验的应用上完成注册、登录或关键操作授权。此时系统会认为“本人到场”，从而放行后续高权限操作。

阶段五：变现与转嫁风险

典型变现路径之一，是身份冒用注册空壳公司：

• 用受害者身份信息，将其登记为某类公司的法定代表人；
• 以该公司名义开立对公账户；
• 对外发布远低于市场价的房源或服务信息，诱导他人付款；
• 收款后拒不履约、失联；
• 受害者被起诉、被列入失信名单，成为“老赖”。

在整个过程中，真正的犯罪者隐于幕后，而身份被冒用的人要花大量时间、精力去举证“这不是我干的”。技术风险最终会转化为法律风险和信用风险。

三、为什么传统防御会失效

很多团队会问：我们已经有了人脸核验，为什么还会被绕过？常见原因有三类。

第一，把“人脸比对”等同于“身份认证”。
人脸比对解决的是“这张脸像不像证件上的人”，它不解决“摄像头前是不是活人”，也不解决“操作者是否被授权”。三者是不同问题，必须组合使用。

第二，活体检测停留在单点、单帧、单模态。
只做一次静默检测，或只依赖RGB单目摄像头，容易被高质量合成内容击穿。缺少时间维度的一致性校验、缺少多模态交叉验证。

第三，身份信息的采集、存储、使用缺少最小化与隔离。
证件照被长期明文留存、跨系统随意调用，一旦某一环泄露，就为整条攻击链提供了入口。

四、面向开发者的防御方案

下面给出一套可落地的分层防御思路，按“核验层—数据层—监测层”展开。

4.1 核验层：把单点校验升级为多因子组合

核心原则是：不要让人脸成为唯一凭证。

• 多因子叠加：人脸 + 证件信息 + 运营商要素 + 银行卡四要素 + 设备指纹，任一因子异常即降级处理。
• 风险分级放行：低风险场景简化流程，高风险场景（如注册企业、开立账户）强制人工复核或线下核验。
• 增强活体检测：引入多帧时序一致性校验、光流连续性、屏幕反射与摩尔纹检测、深度估计等，避免只判断动作是否完成。
• 挑战—响应机制：服务端随机生成动作序列与时间窗口，防止预生成视频重放。

示意性伪代码：

def verify_identity(session):
    score = 0
    score += face_match(session.id_photo, session.selfie)
    score += liveness_check(session.video_frames)   # 时序+物理线索
    score += device_risk(session.device_fingerprint)
    score += carrier_check(session.phone_number)
    if score < THRESHOLD_LOW:
        return REJECT
    if score < THRESHOLD_HIGH:
        return MANUAL_REVIEW   # 高风险业务强制复核
    return PASS

4.2 数据层：证件照的最小化与全生命周期治理

• 采集最小化：只采集业务必需字段，证件照能不存就不存，必须存则加密存储并设置短生命周期。
• 用途隔离：核验用的证件照与展示、留档用的副本分离，避免一处泄露、处处可用。
• 访问审计：所有对证件照的读取、导出、复制操作留痕，异常批量访问触发告警。
• 脱敏与水印：对内部流转的证件照加数字水印，便于溯源泄露路径。

4.3 监测层：把异常行为变成可观测信号

• 行为基线：统计单位时间内同一证件、同一设备、同一IP的核验次数，偏离基线即预警。
• 失败模式聚类：短时间内大量“动作通过但纹理异常”的请求，往往是批量攻击的特征。
• 关联图谱：把身份信息、设备、账户、资金流向做关联分析，识别空壳公司注册的团伙特征。
• 告警闭环：检测到疑似冒用后，自动冻结相关流程并通知本人，而不是等到受害人被起诉才发现。

五、给企业的落地建议

1. 重新做一次威胁建模：明确你的业务被冒用后，最坏后果是什么，据此决定核验强度。
2. 不迷信单一模态：人脸、声纹、设备、行为、知识因子组合使用，攻击成本会指数级上升。
3. 把活体检测当成持续对抗：合成技术在演进，检测模型需要持续迭代和红队测试。
4. 优先保护证件照数据：这是攻击链的起点，也是投入产出比最高的防护点。
5. 建立应急响应：一旦发生冒用，能快速出具“非本人操作”的技术证据链，帮助用户自证。

六、结语

AI换脸带来的不是“人脸识别没用了”，而是“只用人脸识别不够用了”。真正安全的身份体系，从来不是某一个模型的胜负，而是多因子、多模态、全链路治理共同构成的纵深防御。对于开发者和企业而言，越早把身份安全当作系统性工程而非单点功能，越能在下一轮攻击面前守住底线。