AI合成视频攻破人脸核验的攻防演进

一、事件背后的技术信号：不是“人脸识别失效”，而是“验证链路被打穿”

近期公开的一则司法案例显示，不法分子通过收集目标人物的公开照片，借助生成式模型合成点头、摇头、眨眼等动态人脸视频，再配合篡改相机采集数据的方式，突破了某购物平台的远程人脸核验流程，进而盗取账户内的个人信息。这一案例值得技术人员关注的，不是“人脸识别还能不能用”这种二元判断，而是攻击者已经将攻击面从“算法模型”扩展到了“整条采集—传输—核验链路”。

传统远程身份核验的基本假设是：摄像头采集到的是真实物理世界的人脸，活体检测算法在此基础上判断其为真人而非照片或回放视频。而此次案例中，攻击者同时破坏了两个假设——一是用生成式模型伪造出具备动态动作的合成人脸，二是通过虚拟摄像头或视频流注入的方式，绕过了真实摄像头的采集环节。当输入源本身已不可信时，后续再精密的比对算法也难以独善其身。

二、合成视频为何能骗过传统活体检测

2.1 动作指令验证的固有缺陷

传统活体检测常采用“动作挑战—响应”模式：系统随机下发点头、摇头、眨眼、张嘴等指令，要求用户在限定时间内完成。其安全假设是：静态照片无法完成动态动作，预录视频难以实时响应随机指令。

但生成式视频合成技术已经能够在单张人脸图像的基础上，驱动生成符合指定动作序列的动态视频。对于动作幅度不大、时序要求宽松的核验流程，合成视频足以在视觉层面通过检测。更关键的是，部分实现可以做到接近实时的生成与推流，使得“随机指令”带来的不确定性被大幅削弱。

2.2 采集环节被劫持：最容易被忽视的薄弱点

比合成质量更值得警惕的是采集链路的可控性。在通用操作系统上，摄像头设备通常以标准视频流接口暴露给上层应用。攻击者可以通过虚拟摄像头驱动、视频流注入、运行时钩子等手段，将预先合成或实时生成的视频流伪装成真实摄像头输出。

一旦采集层被劫持，核验服务端收到的视频流在元数据、编码格式、帧率等维度上都可以伪装得与真实设备无异。此时，单纯依赖画面内容的活体检测就失去了可靠前提。

2.3 深度伪造与对抗样本的叠加效应

生成式模型在训练过程中不断吸收大规模人脸数据，其输出在纹理、光照、微表情等细节上持续逼近真实。同时，针对检测模型的对抗扰动技术也在演进，攻击者可以在合成视频中叠加人眼难以察觉的扰动，进一步降低被检测模型识别的概率。这两类技术的叠加，使得“以算法对抗算法”的单点防御越来越吃力。

三、防护思路升级：从单点算法到多层协同

3.1 设备与环境可信：把信任根前移

核验安全的第一步，是确认“摄像头确实来自真实设备，且未被中间人篡改”。业界常见的技术手段包括：

• 设备指纹与完整性校验：采集端上报设备标识、系统完整性状态、摄像头驱动签名等信息，服务端据此评估采集环境的可信度。
• 安全摄像头通道：在具备可信执行环境（TEE）的设备上，将摄像头采集与编码过程放入受保护区域，减少运行时被注入或替换的可能。
• 挑战—响应绑定设备：将随机挑战与设备侧密钥绑定，使合成视频难以在未知设备密钥的情况下通过校验。

# 伪代码示意：采集端上报可信环境声明
attestation = {
    "device_id": "...",
    "camera_source": "hardware",
    "tee_verified": True,
    "challenge": server_challenge,
    "signature": sign(server_challenge, device_key)
}
# 服务端校验声明与签名，再进入活体检测流程

需要强调的是，设备可信并非绝对，而是提高攻击成本。对于高价值操作，应结合多因素认证，而非仅依赖单一人脸核验。

3.2 活体检测升级：多维信号融合

在算法层面，可从以下方向增强鲁棒性：

• 被动活体检测：不依赖用户配合动作，而是从画面中分析材质反射、皮肤纹理、血流引起的微小颜色变化、镜头畸变等物理线索。这类线索对合成视频的伪造难度更高。
• 多模态融合：结合可见光、红外、深度等多源数据。合成视频通常难以同时伪造所有模态的一致性。
• 时序一致性分析：检测帧间光流、头部姿态变化、眨眼频率等是否符合真实人体的统计规律，识别拼接与生成痕迹。
• 风险分级决策：根据操作敏感度动态调整核验强度，低风险场景简化流程，高风险场景叠加多因素验证。

3.3 服务端风控：行为与上下文关联

单次核验通过并不等于账户安全。服务端应结合以下信号进行持续风控：

• 登录设备、IP、地理位置的历史一致性；
• 操作时间与用户行为习惯的偏离度；
• 短时间内多次核验失败或异常重试；
• 账户敏感操作（改密、绑定、支付）的二次确认。

通过将人脸核验结果作为风控体系中的一个信号而非唯一裁决依据，可以显著降低单点被突破后的损失。

四、平台、监管与用户的协同责任

4.1 平台与技术提供方

应用平台和核验服务提供方应按照各自职责，落实个人信息保护与网络安全要求，持续完善身份核验机制，加强对深度伪造、视频流注入等新型攻击的识别与防护。具体包括：

• 建立采集端到服务端的端到端安全设计，明确各环节的信任边界；
• 对核验 SDK 与采集组件进行安全加固，防止运行时被劫持；
• 建立攻击样本库与检测模型迭代机制，及时响应新型伪造手法；
• 在隐私合规前提下，最小化采集与存储生物识别信息。

4.2 监管与标准

监管部门可进一步完善相关标准规范与安全评估机制，推动行业建立风险信息共享、漏洞通报和协同处置机制。对利用 AI 伪造他人人脸信息、实施身份冒用、非法获取个人信息等违法犯罪行为，应依法追究相关主体责任，从源头遏制技术滥用。

4.3 用户侧

公众应增强个人生物识别信息保护意识，避免随意公开或向不可信渠道提供清晰人脸照片与视频。在支持多因素认证的场景下，优先开启二次验证，降低单一生物特征泄露带来的风险。

五、工程实践建议清单

层面	建议措施	优先级
采集端	设备完整性校验、安全摄像头通道、挑战绑定设备密钥	高
算法层	被动活体检测、多模态融合、时序一致性分析	高
服务端	风险分级决策、行为风控、异常重试限制	高
运营层	攻击样本库、模型迭代、应急响应流程	中
合规层	最小化采集、加密存储、权限审计	高

六、结语

AI 合成视频突破人脸核验，本质上是攻击者将生成式能力与链路劫持结合后，对传统“单点算法防御”的一次降维打击。人脸识别仍有重要应用价值，但不应被视为绝对可靠的身份认证手段。面向未来，身份核验的安全水位取决于采集环境可信、算法多维融合、服务端持续风控、监管与用户协同这一整套体系的协同进化。对开发者和企业而言，越早将核验视为一条需要端到端防护的链路，而非一个孤立的算法调用，越能在攻防演进中保持主动。