“AI换脸”突破人脸核验：攻击链路拆解与防御实践

人脸识别已成为移动端登录、支付、实名认证等场景的常见身份校验手段。多数人默认“眨眨眼、张张嘴”这类活体动作难以伪造，但深度合成技术的成熟正在改变这一假设。本文从一起已判决的案件出发，拆解“AI换脸”绕过人脸核验的完整技术链路，并给出面向开发者的防御设计建议。

一、案件回顾：攻击者做了什么

案件事实可以概括为一条清晰的黑产链路：

1. 素材获取：非法获取他人手机号码、头像照片、身份信息等基础数据；
2. 视频合成：利用深度学习算法，识别并提取照片中的人脸要素信息，通过不断训练建模，生成模拟真人的动态视频；
3. 环境伪装：在手机中植入虚拟相机应用程序，替换本地相机；
4. 突破核验：当平台调取摄像头进行人脸识别时，屏幕中的人脸被自动替换为合成视频，从而通过验证；
5. 变现：强制登录他人购物平台账号，将收货地址、购物车信息售卖给第三方，同时有偿替人进行虚假实名认证，共非法牟利5857元。

最终法院判处两名被告公开道歉，并支付公益损害赔偿金5857元，该款项专用于个人信息保护、人脸深度合成技术不当应用的治理等公益事项。

这个案件的涉案金额不大，但技术意义不容忽视：攻击者并未破解算法本身，而是同时攻破了“人脸真实性”与“摄像头输入可信性”两个环节。

二、技术拆解：两道防线是如何被同时绕过的

2.1 第一道防线：活体动作的“内容伪造”

传统人脸核验的常见动作指令包括向左看、向右看、张张嘴、眨眨眼。其安全假设是：攻击者只有静态照片，无法生成符合指令的连续动态视频。

深度合成技术打破了这一假设。其基本流程为：

• 人脸检测与对齐：从源照片中定位人脸关键点；
• 要素提取：提取身份特征与表情、姿态等驱动信息；
• 驱动建模：以目标视频或参数化模型驱动源人脸，生成连续帧；
• 后处理融合：进行边缘融合、光照与色彩校正，输出可播放的视频流。

也就是说，只要拥有足够清晰的正脸照片，配合动作驱动模型，即可生成响应指令的动态人脸视频。活体检测如果只校验“动作是否完成”，而不校验“画面是否为真实摄像头采集”，就容易被这类合成内容通过。

2.2 第二道防线：摄像头输入通道的劫持

更值得警惕的是虚拟相机注入。其人脸核验流程通常为：应用调用系统相机接口 → 获取预览帧 → 上传或本地比对。

攻击者通过注入虚拟相机组件，在相机接口与实际画面之间插入一层替换逻辑，示意如下：

正常链路：
应用 → 系统相机API → 摄像头硬件 → 真实画面
攻击链路：
应用 → 系统相机API → 虚拟相机中间层 → 合成视频

由于应用层拿到的仍是“符合接口规范”的帧数据，平台侧若仅依赖客户端上传的视频流做判断，就很难区分画面来源。内容伪造解决“像不像人”，通道劫持解决“是不是摄像头拍的”，两者叠加，核验防线便被穿透。

2.3 风险外溢：从账号登录到实名认证

案件中还涉及有偿替人进行虚假实名认证。这意味着攻击目标不只是单个账号，而是身份认证体系本身。一旦虚假实名认证被批量完成，后续的账号注册、交易、内容发布等环节都会建立在虚假身份之上，治理成本被显著放大。

三、防御思路：从“比对一张脸”到“验证一个可信环境”

单一算法升级难以根治问题，更合理的思路是构建多层防御。以下四个方向可作为设计参考。

3.1 增强活体检测：从动作校验到多维信号融合

• 静默活体与动作活体结合：在动作指令之外，引入纹理、反射、摩尔纹、深度等物理线索分析；
• 随机化挑战：动作序列、光照提示、屏幕颜色闪烁等挑战随机生成，降低预合成视频的命中率；
• 帧级一致性校验：检查连续帧之间的光照、噪声、压缩痕迹是否自洽，识别拼接与重投影迹象；
• 注入检测：分析画面中是否存在二次拍摄的屏幕特征，如屏幕边框、反光、像素栅格。

需要强调的是，任何单一信号都可能被针对性优化，多信号融合与持续迭代才是关键。

3.2 强化设备与环境可信：让“输入源”可验证

• 设备指纹与完整性校验：采集设备型号、系统版本、传感器一致性等特征，识别异常环境；
• 相机链路可信：在条件允许时，借助系统级安全能力校验相机调用来源，识别虚拟相机中间层；
• 传感器交叉验证：将画面中的姿态变化与陀螺仪、加速度计数据做一致性比对，合成视频通常难以同步伪造物理传感器信号；
• 服务端风控联动：结合网络环境、行为轨迹、历史风险标签做综合判定。

3.3 多因子与分级校验：把风险控制在可承受范围

• 按操作敏感度分级：普通登录可采用低摩擦校验，支付、改绑、实名等高风险操作叠加短信、令牌、人工复核；
• 异常触发升级：当活体置信度偏低或环境可疑时，自动切换到更高强度的校验方式；
• 关键操作留痕：记录校验时间、设备、结果与决策依据，便于事后审计与追责。

3.4 合规与数据最小化：降低素材泄露的杠杆效应

案件中的素材来源是手机号、头像照片与身份信息。减少人脸数据的收集与留存范围，本身就是降低攻击收益的手段。

• 遵循数据最小化原则，非必要不采集、非必要不留存；
• 对留存的人脸特征做加密与脱敏处理，特征模板与原始图像分离存储；
• 建立深度合成内容的检测与标识能力，对可疑合成内容进行标记与拦截；
• 在用户协议与隐私政策中明确人脸信息的使用边界，并提供替代验证方式。

四、给开发者的落地清单

层面	建议动作
采集端	校验相机调用来源，采集传感器辅助信号，增加随机挑战
传输端	全链路加密，附带设备与环境上下文
判定端	多信号融合评分，设置分级阈值与降级策略
运营端	风险事件监控、模型持续迭代、人工复核通道
合规端	数据最小化、加密存储、合成内容标识

结语

“AI换脸”突破人脸核验，本质上是内容伪造与通道劫持的叠加攻击，而非算法被正面攻破。对开发者而言，防御重心应从“比对一张脸是否相似”转向“验证一次认证是否发生在可信设备、可信通道与可信环境中”。在支付、登录等高风险场景中，采用活体检测增强、设备可信校验、多因子分级与数据最小化的组合策略，才能把单点突破的风险控制在可接受范围内。人脸核验不是一道孤立的算法题，而是一套需要持续运营的安全工程。