人脸识别被AI攻破：深度伪造威胁与防御重构

一、一纸判例：AI视频击穿了人脸核验

近期，国内某地中级法院公布的一起典型案例在安全圈引发广泛讨论。案情本身并不复杂：不法分子从公开网络渠道收集受害者的面部照片，借助生成式AI将其“激活”为包含点头、摇头、眨眼等指令动作的动态视频，随后篡改终端相机采集层数据，让核验系统“读到”的正是这段伪造视频，从而骗过某电商平台的人脸活体检测，最终窃取账户内的个人信息。

这一案例的技术门槛未必很高，但信号意义极强：被广泛视为“高可靠”的人脸核验，在生成式AI面前出现了可被规模化利用的裂缝。当“证明我是我”的交互动作可以被算法逐帧合成时，建立在单一2D生物特征之上的信任秩序，就必须被重新设计与加固。

二、人脸识别为何成为身份认证的主流选择

回顾技术演进，2015年前后深度学习方法走向成熟，神经网络模型在大规模人脸数据上训练后，识别准确率首次稳定超过人眼水平，误识率与拒识率双双降至可商用区间，这为大规模落地扫清了技术障碍。此后，互联网金融、电商购物、社交娱乐、政务服务等各类App纷纷将人脸识别作为实名核身、支付确认、账户找回等关键环节的默认手段。

用户侧的体验优势同样明显：无需记忆复杂口令，面对摄像头几秒即可完成验证。这种便利性推动了人脸识别的普及，却也让“人脸”这一生物特征在不知不觉中承担了远超其安全等级的责任。

三、被攻破的不是全部：2D与3D的技术分野

需要澄清一个关键事实：此次被攻破的是基于普通摄像头平面图像的2D人脸识别，而非部分旗舰手机采用的3D结构光方案。

两者的本质差异在于“看到的人脸是平面还是立体”：

• 3D结构光方案：设备向面部投射数万个不可见的红外点阵，点阵落在不同深度的面部结构上会产生位置偏移，系统据此重建包含深度信息的三维脸型，并辅以红外成像辅助判断活体；
• 2D人脸识别：仅利用普通RGB摄像头获取的平面图像，提取的是投影到二维平面上的人脸模式，天然丢失了深度维度。

深度的缺失，正是后续一系列攻击得以成立的物理基础。

四、一次人脸核验在底层经历了什么

在手机上从“刷脸”到“通过”，看似一瞬，底层至少经过五个阶段：

输入:摄像头视频流
 ├── 1. 人脸检测:从全景画面中定位并裁剪人脸区域
 ├── 2. 质量评估:分辨率、光照、遮挡、模糊度是否达标
 ├── 3. 活体检测:判断镜头前是真人还是照片/屏幕/面具
 ├── 4. 特征提取:将人脸映射为高维特征向量
 └── 5. 特征比对:与库内注册模板计算相似度,超过阈值判定为同一人

• 人脸检测解决“脸在哪”的问题，在复杂背景中精确定位人脸区域并做对齐校正；
• 特征提取将检测到的人脸转化为机器可计算的数学表示，典型特征涵盖两眼间距、鼻宽、脸型轮廓、皮肤纹理乃至皱纹走向等；
• 特征比对用距离或相似度度量待识别特征与库内模板的匹配程度，输出最终判定。

而这一切的前提，是第3步活体检测必须可靠——它恰恰是整条链路中最薄弱的一环。

五、2D方案的先天短板：“只认脸，不认人”

2D人脸识别存在一个结构性缺陷：它验证的是“这张脸对不对”，而不是“这个人是不是活的”。打印照片、屏幕翻拍、硅胶面具乃至一段回放视频，只要画面质量足够高，都可能骗过单纯的比对算法。

为弥补这一短板，业界引入了活体检测，核心思路是在比对之前增加“真人证明”：

• 交互式动作挑战：要求用户按随机指令完成点头、摇头、眨眼、张嘴等动作，证明画面具备实时性与主动响应能力；
• 静默式活体检测：在用户无感知的情况下分析画面的纹理细节、摩尔纹、反光模式，判断其是否来自屏幕翻拍或打印介质。

我们熟悉的“对着前置摄像头点头、眨眼”，正是第一类方案的典型交互。

六、深度伪造：攻击端的降维打击

2017年前后，一种被称为深度伪造（Deepfake）的换脸技术开始在海外网络社区流传。其核心是生成式对抗网络（GAN）：两个神经网络相互博弈——生成器负责合成以假乱真的人脸图像，判别器负责挑出伪造样本；在多轮对抗训练后，生成器产出的画面足以骗过判别器，也足以骗过人眼。

此后生成技术持续迭代，新一代扩散模型进一步提升了生成质量与可控性。对攻击者而言，造假成本大幅下降：只需一张网络收集的正面照片，即可驱动模型生成逐帧自然、动作符合核验指令要求的动态视频。完整攻击链条可以概括为：

① 素材收集:从社交平台获取目标用户的正面照片
② 视频合成:用生成模型按核验指令合成点头/摇头/眨眼视频
③ 相机篡改:借助虚拟摄像头劫持系统相机采集层
④ 绕过核验:伪造视频被当作实时画面送入活体检测与比对

其中第③步尤为关键：如果核验逻辑运行在客户端且无条件信任相机数据，攻击者甚至不需要物理摄像头参与，直接从数据层注入视频流即可。

七、光反射检测：利用物理规律的一道防线

面对伪造视频，开发者曾寄希望于光学层面的差异。其原理基于真实人脸的物理特性：

• 真实人脸是立体结构，光线照射后，鼻子、脸颊、眼窝等不同部位的反射强度与角度各不相同，形成复杂而连续的光照分布；
• 真实皮肤含有水分，会吸收部分光线，反射光谱具有生物组织特征；
• 照片、屏幕、面具本质上是平面或近似平面介质，反射模式单一，缺乏随深度变化的细节。

据此，算法通过对比光反射的细微差别，即可识破相当比例的平面伪造攻击。

但这条防线并非万能：其一，高保真渲染技术可以模拟较为逼真的光照分布；其二，若攻击发生在相机数据篡改层面，光线根本没有经过真实的物理空间，算法自然无从捕捉光学差异——这正是判例中攻击能够得逞的重要原因。

八、防御体系重构：从单点对抗走向纵深防御

对抗深度伪造，单靠某一个算法已不足够，需要构建多层防线，迫使攻击者在每一层都付出高昂成本。

1. 硬件层：优先采集深度信息

在支付、金融等高风险场景，采用3D结构光、飞行时间测距或红外双目等硬件方案，从采集端就获得深度与红外数据，平面伪造介质天然无法通过；成本敏感场景可采用RGB与红外组合的轻量方案。

2. 算法层：多信号交叉验证

• 挑战-响应随机化：动作指令由服务端随机下发且附带短时效，预录视频无法穷举所有指令序列；
• 光流一致性分析：真人连续帧的运动场平滑连续，合成视频在时序上常存在不自然的跳变；
• 生成痕迹检测：生成模型输出的图像在频域往往残留特定伪影，可作为辅助判据。

3. 采集与传输层：绝不信任客户端

核验逻辑与判定阈值必须在服务端执行；客户端需校验相机采集来源，检测虚拟摄像头与Root/越狱环境；上传数据加密并绑定会话与时间戳，防止重放攻击。

4. 业务风控层：压缩攻击收益

即便人脸核验被绕过，风控体系仍应兜底：设备指纹关联历史行为，异常设备触发多因子验证，敏感操作设置延时与限额，高风险交易转人工复核。攻击者即使突破单一环节，也难以在整条链路上畅行无阻。

# 伪代码:基于风险分级的动态核验策略
def face_verify(user, session):
    frame = session.capture_frame()
    if not liveness_detect(frame):             # 基础活体检测
        return reject("liveness failed")
    action = server_random_action()            # 服务端随机下发动作指令
    if not action_check(frame, action, ttl=5):
        return reject("action timeout or mismatch")
    if session.camera.is_virtual or session.device.compromised:
        return reject("untrusted capture source")
    similarity = compare(extract_feature(frame), user.template)
    if similarity < THRESHOLD:
        return reject("face mismatch")
    risk = risk_engine.score(session, user)    # 设备/网络/行为综合评分
    return require_mfa() if risk > HIGH_RISK else pass()

九、给开发者与企业的落地清单

• 所有判定逻辑与阈值放在服务端，客户端只负责采集与展示；
• 动作指令随机化并设置短时效，杜绝预录视频的可能性；
• 多帧校验配合光流一致性分析，提高合成视频的暴露概率；
• 检测虚拟摄像头、模拟器与Root/越狱环境，校验采集链路完整性；
• 高风险场景升级为3D硬件方案，普通场景采用静默活体叠加风控联动；
• 保留审计日志并定期开展攻防演练，持续跟进新型攻击样本；
• 同步做好人脸数据的加密存储与合规管理，避免验证数据本身成为泄露源。

十、结语

AI攻破的从来不是“人脸识别”这个概念，而是特定历史条件下“单一2D平面特征＋简单交互动作”的组合方案。技术对抗没有终点：生成模型在进化，防御体系也必须同步演进。对企业而言，真正的安全不在于某一环节的绝对可靠，而在于纵深的冗余——深度信息、随机挑战、服务端判定、设备风控、业务限额层层叠加，让每一次伪造都必须同时骗过所有防线。当攻击成本远超潜在收益时，数字化身份的信任秩序才能真正被重新建立。