AI伪造人脸绕过核验：多因子防御与深度检测实践

一、问题正在从“盗号”升级为“伪造生物身份”

过去，账户被盗的主要路径是口令泄露、验证码劫持、社工库撞库等。这类攻击有一个共同点：攻击者获取的是“你知道什么”或“你收到什么”，而不是“你是什么”。因此，用户只要保护好自己的密码、手机、邮箱，安全边界仍然可控。

但AI生成动态人脸改变了这一前提。

杭州市中级人民法院公布的案例显示，攻击者先收集他人照片，再利用AI生成点头、摇头、眨眼等动态视频，同时篡改相机数据，让后端系统误以为画面来自真实摄像头。此时，传统活体检测所依赖的动作判断基本失效。

更关键的是，攻击目标不再只是购物账户。收货地址、浏览记录、支付方式、实名信息、社保核验、门禁权限，甚至远程开户、政务办理，都可能成为后续风险。人脸一旦被克隆，其危害不是单次盗号，而是持续的身份冒用。

从攻击成本看，生成一段可用的动态伪造视频不再需要极端专业的团队。社交平台的自拍、简历证件照、短视频截图、线下监控画面，都可能成为训练或生成素材。攻击者甚至不需要攻破平台服务器，只需在客户端与摄像头之间做一次数据替换，就能让上传内容变成预制视频。

因此，安全设计必须从“判断用户是不是真人”升级为“判断当前认证链路是否可信”。

二、传统活体检测为什么会被绕过

很多业务系统的人脸核验流程可以简化为：

1. 客户端调用摄像头采集画面；
2. 用户按提示完成眨眼、张嘴、转头等动作；
3. 服务端根据动作帧判断是否为活体；
4. 核验通过后，进入登录、支付或改绑流程。

这套流程天然依赖一个假设：摄像头数据是真实的。然而在移动端、Web端或模拟器环境中，摄像头数据流可以被替换。常见绕过方式包括：

• 使用虚拟相机驱动，将预先生成的视频作为摄像头输入；
• 修改客户端逻辑，跳过活体动作校验；
• 拦截上行数据包，将真实画面替换为合成画面；
• 对特定动作生成过渡帧，保证动作检测点全部命中。

AI的加入让第二种攻击更稳定。传统视频回放可能存在亮度、抖动、帧间不一致等问题，而深度生成模型可以生成连续、平滑、符合动作提示的动态人脸，甚至模拟不同光照与设备噪声。

此时，服务端只做“是否检测到眨眼”“是否检测到点头”已经不够。因为这些高维动作特征可以被针对性生成。

更重要的是，部分业务为了转化率，会降低活体检测阈值，减少动作次数，或允许在弱网环境下跳过活体。这进一步扩大了攻击面。

三、从单点检测走向多模态链路核验

要降低AI伪造人脸风险，首先需要停止把“人脸比对通过”等同于“身份可信”。

更合理的策略是构建一条可信认证链路，至少包含以下信号：

1. 活体信号

不再只依赖动作，而是综合使用：

• RGB图像中的纹理、边缘、反光异常；
• 深度信息或近红外信息；
• 光流一致性；
• 微表情与肌肉运动；
• 帧间连续性；
• 生成痕迹，如背景融合、牙齿、发丝、耳廓等细节。

这些信号可以显著提高伪造检测难度，但仍不能保证绝对安全。

2. 设备信号

设备是否可信，是识别虚拟相机和注入攻击的关键。可采集但不限于：

• 是否存在虚拟摄像头驱动；
• 摄像头参数是否与设备型号匹配；
• 是否运行在模拟器、云手机或无头环境；
• 相机启动耗时、帧率波动是否符合物理设备特征；
• 是否存在Hook框架或调试行为。

设备信号不直接判断人脸真假，但可以识别数据来源是否被篡改。

3. 行为信号

即使人脸画面真实，也要观察用户是否在完成一个“合理”的认证动作。例如：

• 操作时间是否异常；
• 是否在多设备间频繁切换；
• 是否在修改绑定手机后立即发起支付；
• 是否在异地、新设备上首次登录；
• 是否使用同一设备短时间内尝试多个账户。

行为信号的价值在于：即使攻击者突破了单点活体，也很难同时模拟用户完整行为链。

4. 账号与交易信号

对于登录、支付、改绑、转账、实名等高风险操作，应叠加账号生命周期信息、历史设备、常用网络、交易金额、接收方风险等维度。

这些信号与“人脸是否真实”无关，但能显著提高攻击成本。

四、高风险场景不应只依赖刷脸

从工程视角看，不同场景的风险等级应决定认证强度。一种常见做法是进行分级：

场景	风险等级	建议认证方式
浏览订单、查看公开信息	低	登录态即可
查看收货地址、修改昵称	中	密码或短信验证
绑定新手机、修改密码	高	人脸 + 短信 + 设备校验
支付、转账、提现	极高	人脸 + 密码/短信 + 风险决策
实名认证、远程开户	极高	人脸 + 身份证件 + 人工复核或增强活体

“人脸+密码”“人脸+短信”“人脸+设备指纹”并不是简单叠加，而是形成独立验证因子。攻击者只掌握人脸视频不够，还需要同时掌握密码、短信或目标设备，攻击难度会显著上升。

同时，认证结果不应只返回“通过/不通过”。更合理的是输出风险分或置信度，由风控系统结合其他信号统一决策。例如：

if face_score < threshold:
    reject
else if face_score < high_confidence:
    require second_factor
else:
    combine with device_risk and behavior_risk

这样可以在安全与体验之间取得平衡：低风险用户少打扰，高风险用户增加验证。

五、针对AI伪造画面的检测思路

虽然不能完全依赖图像层检测，但它仍是第一道门禁。针对AI生成动态人脸，可以从以下角度设计检测能力：

1. 帧间一致性

真实视频中，人的头部运动、眨眼、呼吸会带来连续变化。生成视频可能在单帧上很逼真，但帧与帧之间会出现：

• 背景微小抖动；
• 光照在脸部与背景不一致；
• 发丝运动不连续；
• 瞳孔反光位置异常。

可通过计算相邻帧光流、边缘稳定性、局部噪声一致性等特征辅助判断。

2. 生理信号

真实人脸存在微弱但可观察的生理信号，例如脉搏引起的皮肤颜色周期性变化、眨眼间隔分布、头部微小晃动频率等。这些信号难以被低成本生成模型完全复现。

3. 生成痕迹

部分深伪画面在高频区域、牙齿边缘、耳部轮廓、镜片反光、复杂背景等位置会出现模糊、拼接或颜色偏移。结合多尺度特征提取与异常区域分割，可以作为参考特征。

值得注意的是，检测能力必须在客户端与服务端协同实现。单纯客户端检测容易被绕过；单纯服务端检测则可能缺少原始帧信息。更合理的做法是客户端采集时嵌入防伪签名，服务端对关键帧做二次检测，同时配合设备环境信号。

六、虚拟相机与注入攻击的防护

AI伪造人脸通常依赖虚拟相机或数据注入。因此，工程侧应增加数据来源可信性校验。

在移动端，可综合以下信息：

• 摄像头是否来自系统真实硬件；
• 是否存在虚拟摄像头模块加载；
• 相机参数是否与已知型号一致；
• 是否检测到屏幕录制、远程控制或自动化脚本；
• 应用是否运行在可调试状态。

在Web端，可结合浏览器指纹、WebRTC设备信息、媒体流来源、页面环境等判断是否存在异常。例如，检测摄像头设备名是否表现为虚拟设备，或是否出现多个视频输入源。

对于高风险操作，还可以要求用户使用官方客户端完成，而不是网页或轻应用。因为受控客户端的设备检测能力通常更强。

需要明确，设备检测并不是绝对可靠。攻击者可以逆向客户端并伪造设备信息。因此设备信号应作为风控特征之一，而不是唯一安全边界。

七、把AI伪造人脸纳入风控体系

单独的人脸核验模块无法解决所有问题。更合理的做法是将其接入现有风控系统，形成闭环。

一次完整的认证请求可以抽象为：

event = {
    user_id,
    scene,
    device_info,
    network_info,
    face_result,
    face_risk_score,
    second_factor_result,
    recent_behavior,
    account_age,
    ...
}
decision = risk_engine.evaluate(event)

风控引擎根据场景、风险分、用户历史行为、设备可信度等输出允许、挑战、拒绝或人工审核。

例如，当出现以下组合时，应提高风险等级：

• 新设备；
• 异地登录；
• 刚修改过绑定手机；
• 人脸通过但活体置信度较低；
• 设备存在虚拟摄像头特征；
• 用户高频尝试不同账户。

反之，如果用户在常用设备、常用网络、常用时段完成操作，即使人脸置信度一般，也可以通过辅助因子放行。

这种设计的本质是：不追求某一个检测器的绝对准确，而是通过多路弱信号组合出较强的安全决策。

八、开发团队如何落地

1. 先梳理场景

列出所有使用人脸核验的功能，按风险等级分类。不要在所有场景使用同一套策略。

2. 引入多因子

对登录、支付、改绑、转账、实名等高风险场景，增加第二因子。第二因子应尽量与“人脸”相互独立，例如短信验证码、支付密码、设备指纹。

3. 升级活体检测

从动作活体逐步升级为多模态活体，至少增加帧间一致性、设备环境、异常注入检测等能力。即使无法一步到位，也应对低置信度结果启用二次验证。

4. 输出风险分

人脸核验服务不要只返回布尔值。可为通过结果附带置信度，为失败结果附带失败原因，便于风控系统组合判断。

5. 记录完整链路

留存设备信息、网络信息、认证时间、动作视频片段、检测结果、风险分等。一旦出现争议，可以追溯；同时这些数据也能用于后续模型优化。

6. 定期对抗验证

AI伪造能力持续演进，安全策略也需要持续更新。可定期引入新型伪造样本进行离线与在线评估，观察检测指标变化，调整阈值与策略。

九、不止于技术：制度与合规同样重要

技术只能降低概率，无法完全消除风险。对于人脸信息的采集、存储与使用，需要遵循更严格的原则：

• 人脸识别不应成为唯一验证方式；
• 采集前应明确目的、范围与保存期限；
• 对原始人脸图片与特征值应进行加密存储；
• 高风险认证应支持用户选择其他验证方式；
• 对批量下载、导出、查询等行为进行审计和权限控制。

同时，还应关注黑灰产链条的治理。售卖人脸素材、提供换脸工具、代人脸核验、批量生成活体视频等行为，不应只被看作普通侵权。情节严重时可能涉及侵犯公民个人信息、帮助信息网络犯罪活动、诈骗等刑事责任。

平台侧可通过识别异常认证行为、批量设备、集中请求模式，反向发现黑产工具与攻击源，并配合监管和司法机关进行打击。

十、结语

AI伪造人脸能够通过传统活体检测，说明安全不能建立在“这个动作只有真人能做”的单一假设上。随着生成能力提升，任何依赖单一生物特征的认证都可能被针对性突破。

更稳妥的做法是：把刷脸看作一次风险信号收集过程，而不是最终可信判断。通过多模态活体、设备环境、行为特征、账号状态、第二因子与风控决策的组合，才能在高风险业务中建立真正的纵深防线。

安全防线的关键不是让某一种检测永远不被突破，而是让攻击者即使突破一点，也无法获得完整控制权。