AI伪造视频绕过人脸识别：攻击链拆解与防御实践

一、案件回顾：当“点头”成为攻击武器

此前某地警方通报的一起案件显示：两名不法分子通过社交网络等渠道收集他人面部照片，利用AI深度合成技术将这些静态照片“激活”为包含点头、眨眼等动作的动态视频，随后借助这类视频通过了目标系统的人脸识别与活体检测环节，最终冒用受害者身份盗取个人信息、实施账户接管。

这类案件的技术本质，是“呈现层攻击”与“深度伪造”的结合：攻击者不再需要本人到场，只需要一张足够清晰的正面照片，就能凭空制造出一段“看起来是活人、且就是本人”的视频。

对开发者和企业而言，值得追问的不是“AI为什么这么强”，而是：我们的核身链路中，究竟哪一环被打穿了？下文将沿攻击链逐环拆解，再逐环给出可落地的防御方案。

二、先弄清楚防线：人脸核身到底在验证什么

一个典型的人脸核身流程包含两个相对独立的部分：

• 1:1人脸比对：判断镜头前的人脸与预留的权威底照（如登记照、开户采集照）是否为同一人，回答“你是谁”；
• 活体检测：判断画面中的人脸是真实活体，而非照片、视频、面具、屏幕回放等伪造呈现，回答“你是不是活的、是不是当场本人”。

深度伪造攻击的巧妙之处在于同时应对两道关卡：

1. 生成的视频主体就是受害者的脸（由其照片驱动），1:1比对天然命中；
2. 视频中包含点头、眨眼、张嘴等动作，交互式活体检测要求的挑战动作可以提前“排练”好。

业界常见的活体检测方案包括：

• 静默活体（被动式）：从纹理、光照、3D结构等线索判断是否为真人，用户无感知；
• 动作活体（交互式）：要求用户完成随机指定的眨眼、点头、转头等动作；
• 炫彩活体：屏幕按随机序列发出不同颜色光线，观察人脸反光是否真实跟随；
• 硬件级活体：利用结构光、ToF、双目立体、红外双摄等获取深度与红外信息，从物理层面区分平面呈现与立体真人。

三、攻击链拆解：从一张照片到一次“合法”登录

社交网络照片 / 泄露数据
        │  ① 素材收集
        ▼
AI一图驱动生成"点头/眨眼"动态视频
        │  ② 深度伪造生成
        ▼
虚拟摄像头注入 / 屏幕回放
        │  ③ 呈现层攻击
        ▼
活体检测通过 + 1:1比对命中
        │  ④ 核身被绕过
        ▼
账户接管 → 个人信息窃取、资金侵害

3.1 第一步：素材收集

攻击素材主要来自公开社交网络中的正面照、证件照泄露以及历史数据泄露事件。对攻击者而言，一张分辨率较高、姿态端正的正面照片即可作为驱动源；部分生成方案甚至支持从多张低质量照片重建高保真人脸，进一步降低了素材门槛。

3.2 第二步：AI驱动的动态视频生成

这一步的核心是“一图驱动”类深度合成技术，其基本思路是：

1. 运动参数提取：从表演者的头部运动视频中提取表情、姿态、眨眼等运动信息；
2. 运动迁移：将运动参数映射到受害者的单张照片上，逐帧生成受害者“做出同样动作”的画面；
3. 后处理增强：通过超分辨率、插帧、去伪影等处理提升真实感，掩盖生成模型常见的纹理瑕疵。

另一条等价路线是“换脸”：攻击者本人对着摄像头完成点头、眨眼等动作，再用替换模型把画面中的脸换成受害者的脸。两条路线殊途同归——得到一段“受害者的脸＋真人的动作”的视频。

3.3 第三步：绕过活体检测——回放与注入

生成视频后，如何“喂”给目标系统，是攻击成败的关键：

• 屏幕回放：用另一台设备播放视频并拍摄屏幕。实现最简单，但容易被摩尔纹、反光、色偏等线索识破；
• 虚拟摄像头注入：在获得系统权限的终端上Hook摄像头采集接口，把系统“看到的”画面替换为本地视频文件。注入方式完全绕开物理摄像头，使屏幕回放的检测线索全部失效，是目前危害最大的攻击形态；
• 中间人篡改：在客户端与云端之间篡改上传的媒体数据流。

3.4 第四步：通过核身，实施侵害

一旦视频通过活体检测，后续的1:1比对几乎必然命中（比对主体就是受害者本人）。此后攻击者以“合法通过核身”的身份重置密码、开通高敏业务、提取个人信息，造成账户接管与资金侵害。

四、攻击为何能得手：三个薄弱环节

1. 单一2D被动活体的局限。仅依赖RGB纹理线索的静默活体，面对高质量生成视频时判别余量很小；生成质量越高，纹理差异越小；
2. 采集链路不可信。若服务端只校验“上传的媒体文件”，而不校验“文件是否来自可信的物理摄像头”，注入类攻击便可长驱直入，纯网页端核身尤其如此；
3. 核身环节孤立、缺少风控联动。若一次核身通过即长期信任，攻击者只需成功一次。核身前后的设备异常、频繁尝试、异地登录等信号若无联动分析，攻击窗口会一直敞开。

五、工程防御体系：五层纵深设计

5.1 第一层：活体检测能力升级

• 挑战随机化与一次性：动作序列、顺序、时限均由服务端随机下发，并绑定一次性随机数，防止攻击者提前生成通用视频；
• 多模态融合：动作活体、静默活体、炫彩活体组合使用；条件允许的终端启用结构光、ToF、红外等硬件级活体——2D视频注入无法伪造深度图与红外画面，这是当前对抗注入攻击最有效的手段之一；
• 选型评估要点：选用云端人脸核身服务时（如百度智能云等提供人脸识别与活体检测能力的服务商），应重点评估其活体方案覆盖面、防注入设计以及针对新型伪造手段的模型持续更新机制，而非仅关注通过率。

5.2 第二层：采集端安全加固

• 安全采集SDK：集成环境检测，识别越狱/Root、Hook框架、模拟器与虚拟摄像头驱动；
• 帧级可信传递：对采集帧附加时间戳、随机数、设备证明并签名，服务端校验帧连续性与来源真实性，防止“先拍后传”与“中途替换”；
• 传感器一致性交叉验证：视频中的头部运动应与设备陀螺仪、加速度计数据吻合——注入视频往往画面在动而传感器静止。

5.3 第三层：服务端深度伪造检测

把“这段视频是否由AI生成”作为独立检测任务，常用线索包括：

• 频域伪影：生成网络的上采样操作常在频谱上留下周期性异常；
• 融合边界：人脸替换在脸部轮廓、发际线附近易出现融合痕迹；
• 时序生理线索：真实人脸存在微表情、自然的眨眼节律、随心跳变化的皮肤微弱色变（rPPG类线索），生成视频难以伪造；
• 多帧物理一致性：五官细节、瞳孔反光等在帧间应保持物理一致。

这些检测应与活体检测并行打分、融合决策，并保持模型持续迭代，以对抗生成技术的进化。

5.4 第四层：多因素核验与风控联动

• 分级核身：普通登录与高危操作（改绑手机、提现、变更密保）采用不同强度要求，人脸之外叠加短信、密码、设备绑定等因子；
• 全链路风控：将核身请求与设备指纹、IP信誉、行为序列关联分析，对异常会话触发限流、二次核验或人工复审；
• 事后可追溯：留存核身决策依据（注意脱敏与加密），为案件追溯与模型迭代提供支撑。

示意伪代码如下：

def verify_face_session(session):
    # 1. 采集端环境校验：可信SDK、无虚拟摄像头/Hook痕迹
    if not session.sdk_attested or session.hook_detected:
        return reject("采集环境不可信")
    # 2. 活体检测：动作活体 + 静默活体融合评分
    liveness = fuse(action_liveness(session.frames),
                    silent_liveness(session.frames))
    # 3. 独立的深度伪造检测
    forgery = deepfake_detect(session.frames)
    # 4. 1:1 人脸比对
    match = face_compare(session.frames, session.reference)
    # 5. 风控上下文评估
    risk = risk_engine.evaluate(device=session.device,
                                ip=session.ip,
                                behavior=session.behavior)
    decision = policy(liveness, forgery, match, risk)
    if decision == REVIEW:
        enqueue_manual_review(session)   # 边界样本转人工复核
    return decision

5.5 第五层：数据侧最小化与合规治理

• 按敏感个人信息管理人脸数据：单独同意、最小必要、明确告知用途与保存期限；
• 优先存储不可逆的加密特征模板而非原始图像；原始媒体如需留存，须加密并设置严格的访问控制与留存期限；
• 遵循法律法规要求：落实《个人信息保护法》《数据安全法》《网络安全法》及《互联网信息服务深度合成管理规定》中关于深度合成标识与生物信息安全的义务；
• 内部权限最小化与审计：防止“库内照片”反过来成为攻击素材的内部来源。

六、结语

AI生成能力的普及，让人脸识别的对抗焦点从“识别这个人”转向“识别呈现介质是否可信”。安全不是一次性达标，而是持续对抗：让活体检测更难伪造、让采集链路更可信、让伪造检测与风控联动起来、让数据尽可能最小化。唯有以纵深防御思路重构人脸核身体系，才能在“一张照片即可成片”的时代，守住“证明你是你”这道数字世界的身份底线。