AI 合成视频绕过活体检测：攻击链路拆解与多重核验工程实践

一、问题的本质：一次“身份断言”的失守

人脸核验在工程上可以被抽象为一次身份断言：系统采集用户的面部图像/视频，判定“当前操作者是否为其声称的那个人”，并通过这个断言授权后续操作，例如重置支付密码、修改绑定手机、开通借贷额度。

近期公开的多起案例表明，这个断言正在被系统性地攻破。攻击者不再需要伪造一张静态照片，而是用 AI 生成“点头、摇头、眨眼、张嘴”的动态视频，再配合对采集端相机数据流的篡改，让这类合成视频通过平台的活体检测，最终完成账户接管与资金盗取。另有案例中，攻击者批量购买现成的“人脸伪造视频”模板，在数月内多次重置他人支付密码，累计造成数万元损失。而在内容平台上，冒用公众人物形象与声音的合成视频被用于带货，单品销量上万、估算销售额过百万。

这些案例的共同点值得注意：被攻破的往往不是人脸比对算法本身，而是“采集链路”与“核验流程”。合成视频之所以能过关，很多时候不是因为它“太像”，而是因为系统拿到的输入已经被污染，或者核验只依赖了单一断言。

二、攻击链路拆解：四个可被利用的环节

要设计防御，先要理解攻击。把一次人脸核验拆成四段，可以看到每一段的薄弱点。

环节 1：素材获取。 攻击者从社交平台、求职简历、小程序授权页面等渠道批量收集目标人物的正面照与短视频。人脸、声音、指纹这类生物特征一旦留存到第三方网站，就等于永久性的凭证泄露——它不可撤销、不可更换。

环节 2：合成与驱动。 用少量照片驱动生成模型，产出符合活体指令序列（眨眼 3 次、左转头、张嘴）的动态视频。当前的技术门槛已经低到“几十元、十几秒音频即可复刻某人”，模板可批量复制，账号被封就换壳重来，这是乱象屡禁不止的根源。

环节 3：采集端污染。 这是最关键也最容易被忽视的一步。攻击者通过篡改相机数据、注入虚拟摄像头、Hook 采集接口等方式，让系统以为自己在读取真实摄像头，实际读取的是预先准备好的合成视频文件。此时，任何基于“输入画面”的活体判断都已失去意义。

环节 4：流程绕过。 部分业务把“人脸核验通过”当作唯一的高危操作凭证，核验一旦通过，重置密码、绑定新设备、发起转账全部放行，缺少第二重、第三重确认。

一个典型的攻击伪代码大致如下，理解它有助于定位防御点：

# 攻击者视角的抽象流程（仅用于说明风险点）
target_media = harvest(public_photos, public_videos)   # 环节1：公开素材收集
fake_video  = synthesize(target_media, actions=[blink, turn, mouth])  # 环节2：合成
inject_camera_stream(fake_video)                        # 环节3：污染采集链路
submit_verification()                                   # 环节4：单点断言即放行

对应的，防御必须在每个环节都设卡，而不是只在“比对相似度”上加码。

三、防御设计：从单一断言到多重核验

3.1 采集端：让输入可信

如果采集链路不可信，后续所有算法都是在污染数据上做判断。工程上应做到：

• 采集完整性校验：由服务端下发一次性挑战（nonce），客户端在采集时将其与画面绑定，服务端验证挑战与画面同源，防止预录视频重放。
• 相机来源可信判定：识别虚拟摄像头、注入式采集、异常的分辨率/帧率跳变、时间戳不连续等特征。
• 端到端加密传输：采集数据在客户端即加密，避免中间环节被替换。
• 动作挑战随机化：不要使用固定动作序列。固定“眨眼三次”等于给合成模板提供标准答案；应由服务端随机生成动作组合与顺序，并限时完成。

3.2 检测层：多信号联合判断

单一的人脸相似度不足以支撑高风险决策。建议叠加以下信号：

信号类别	具体手段	针对的环节
活体信号	红外/深度/结构光等硬件级活体	环节 2、3
生理信号	微表情、皮肤纹理、血流引起的细微色变	环节 2
行为信号	随机动作响应的时延与自然度、视线一致性	环节 2
设备信号	设备指纹、传感器一致性、模拟器/虚拟环境识别	环节 3
环境信号	IP 与历史位置偏离、异常网络代理	环节 4

关键在于联合决策而非单点阈值：任何一个信号异常都应降级处理，例如从“直接放行”改为“转人工复核”或“追加二次验证”。

3.3 流程层：高危操作必须多因子

这是投入产出比最高的一环。核心原则是：人脸只是“你是谁”的一个证据，不能同时承担“你愿意做这笔操作”的证明。

• 高风险操作（大额转账、重置支付密码、更换绑定设备）应要求“人脸 + 设备可信 + 短信/硬件令牌 + 冷静期”中的至少两项组合。
• 引入操作冷静期：密码重置后一段时间内限制大额转出，给受害者与风控系统留出拦截窗口。
• 对陌生设备、异地登录、夜间操作提高验证等级。
• 全链路留痕与可审计：每次核验记录挑战内容、设备指纹、决策理由，便于事后追溯与模型迭代。

3.4 数据治理：减少生物特征暴露面

生物特征不可撤销，因此“少采集、少留存、少外发”本身就是防御。业务侧应遵循最小必要原则：非必要不索取身份证号、住址、职务等信息；不把人脸、声纹、指纹随意留存到网站和小程序；对必须留存的模板做加密存储与访问隔离，并明确保留期限。

四、给普通用户的三条实操建议

技术防御之外，个人习惯能挡住相当一部分攻击：

1. 视频通话中要求对方做指定动作：让对方眨眼 3 次、摸鼻子，或用手在脸前晃动。若画面出现延迟、边缘扭曲、遮挡物穿模等不自然的微小变化，对方很可能在使用换脸合成。随机、即兴的动作最难被预录模板覆盖。
2. 陌生来电先沉默三秒：接通后若对方不出声，不要主动开口——你的声音可能正被采集用于声纹克隆。持续无声即挂断；若是冒充客服的机器人，同样不要应答，立即挂断。
3. 敏感操作走官方入口并二次确认：涉及转账、核验、改密码时，不点陌生链接、不按对方指示共享屏幕，通过官方 App 独立发起，并拨打官方客服电话交叉确认。

五、小结

AI 合成视频能绕过部分人脸核验，本质上是采集链路可信性缺失与单点断言授权共同造成的工程问题，而不是某一种算法“不够先进”。对开发者而言，正确的应对不是无止境地堆叠比对模型，而是把身份核验重构为一条多环节、多信号、可降级、可审计的链路：采集端防污染、检测端多信号联合、流程端高危操作多因子、数据端最小化留存。对用户而言，把“多重核实”变成肌肉记忆，是当下成本最低、最有效的一道防线。