“刷脸”时代的 安全风险与防范

沈臻懿

或许很多人都听说过这样一句略带调侃意味的“戏言”——这是一个看脸的时代。不经意间，该“戏言”正在潜移默化地改变着我们的生活。从指纹支付、扫码支付到人脸支付，在消费便捷的同时，风险也不期而至。

通过3D传感摄像头等软、硬件结合方式对人脸进行识别时，其内置的点阵投影仪可释放出3万余个肉眼不可见红外点，判断该人脸是否为视频、照片、面具或者软件模拟所形成的

作案人借助“人工智能换脸技术”来对非法获取的被害人照片进行预处理，再利用专门的“活化照片”来编辑生成动态视频，进而骗取人脸核验通过

说来就来的“刷脸”时代

研究表明，我们每个人的脸，同自身的指纹一样“独一无二”。每一张面孔，都有着不同的瞳孔距离、鼻子大小、下巴輪廓、表情状态等特征数据。计算机系统可以借助照片等影像资料来识别、绘制这些特征，并将其编织在一起。在此基础上，通过建立相应的数学方程，可利用一定的算法来加以访问。

从指纹支付、扫码支付到人脸支付，数字技术发展的脚步从未停歇。随着人脸识别技术应用的普及，支付、取款、进小区、打卡上班、入住酒店、乘坐火车……大量的生活场景都可以通过“刷脸”来实现。甚至当你在百货商场购物时，你只需站在试衣间前刷一波脸，人工智能（AI）导购就能根据“刷脸”画像向用户精准推荐适合你的个性化服饰搭配。

俗称“刷脸”的人脸识别技术不仅给人们的生活带来了极大的便利，在疫情防控常态化的今天还发挥着独特的作用。由于人脸识别技术进行了相应的技术升级，因而对于戴着口罩的人脸也可进行自动识别，避免了因摘除口罩而带来的暴露风险。

不过，人脸识别技术也是一把“双刃剑”，很容易被不法分子所利用，进而在“刷脸”过程中发生个人信息泄露、信息被盗取等状况。人们不禁要问，“‘刷脸时代，除了享受便捷外，我的‘脸真的安全吗”？

如影随形的安全风险

随着“人手一台”，甚至“人手多台”的智能手机的广泛应用，越来越多人已习惯将手机作为日常生活中的首选支付工具，甚至是唯一工具。其往往在一台手机上绑定多张银行卡，需要支付时“刷脸”即可完成交易。“刷脸”技术在给人们带来快捷方便的同时，潜在风险和安全隐患也悄然而至。

人脸识别技术相当于一把隐形的“钥匙”，用“刷脸”来启动系统，登录应用，或完成支付。“刷脸”流程看似只需短短几秒钟，但在此过程中，消费者或用户的姓名、年龄、性别、职业、身份号、手机号、邮箱地址，其在不同场景下的情绪状态等大量用户“人脸”信息都会被提取并存储。不仅是提供“刷脸”的操作系统，还包括与之连通的其他组织、机构等，都在“光明正大”地采集着公众的个人信息。在当前这个“数据为王”的时代，如此一个庞大、立体且精准、翔实的“生物特征数据库”，必然成为各方眼中的“香饽饽”。

随着人脸识别技术的蓬勃发展，我们迅速迈入了一个“弱隐私”时代。如果这些信息未能得到妥善保管而被外泄，公民个人将面临隐私直接被暴露的风险。一旦用户人脸特征和账户信息同时被泄露，就有可能导致用户个人财产被非法转移。2020年，警方在破获的盗用公民个人信息案件中，就发现作案人借助“人工智能换脸技术”对非法获取的被害人照片进行预处理后，再利用专门的“活化照片”来编辑生成动态视频，进而骗过人脸核验机制得手。在某些不法交易平台上，往往只需要花上几块钱就能买到大批量的人脸照片，5000余张人脸照的标价，甚至还不到10块钱。面对“刷脸”新技术，黑客们早已按捺不住，10秒钟即可解锁手机，120秒可破解人脸识别门锁系统……

从人脸面部信息以及人脸识别技术的自身特点来说，人脸所涵盖的信息量，较之于虹膜、指纹等生物特征信息而言相对较少，其变化的复杂程度也使得人脸识别技术的精度低于虹膜和指纹。同时，人脸面部信息，还是唯一一种在当事人毫无察觉的情况下就可以提取到的生物特征信息。有人曾表示过这样的担忧，“当你走在路上，对方一扫你的脸就能让你被动完成支付，这难道不是行走的密码吗”？诸如此类的担忧并非没有道理。倘若单纯利用人脸识别技术来完成支付或其他操作，其安全性难免会受到影响。用户在以签名、摁手印、输密码等方式来办理业务时，必然会身临现场，并当场阅读、知悉相应事项。但在以“刷脸”方式进行业务办理时，用户甚至会在不知情的情况下，被他人偷拍“人脸信息”而进行交易。

在信息认证方式上，人们经历了密码识别、芯片识别，再到如今发展迅猛的人脸识别。在数字密码阶段，用户信息如果被盗取，其还有机会通过挂失、冻结、修改等方式来对原有安全等级进行提升。但在生物信息识别阶段，存储在支付终端、考勤设备、门禁系统中的“刷脸”信息，若是被盗用，甚至连更改的机会都没有。正常情况下，我们每个人都无法换脸，这就导致人脸数据信息的不可替换性。信息一旦泄露，所受到的影响即是终身的。

安全风险的技术防范

各类新技术在推广应用的过程中，的确会有诸多未知风险。这就需要人们进一步提升安全意识，将风险防范于未然。科技界有这样一种认识——技术产生的问题由技术解决。对于“刷脸”时代的安全风险，同样可以通过技术手段加以防范。

识别人脸伪造的技术升级

“刷脸”风险之一，在于人脸伪造所带来的身份冒用情形。这就需要进一步提升活体检测的科技含量，以确保系统检测到的对象是一名“活人”，而非“工具人”或“纸片人”。考虑到普通手机摄像头的识别度限制，研究人员采用红外双目摄像活体检测技术，通过对人脸细微动作与微观表情的检查，来剔除照片或面具假脸的欺骗行为。此外，针对市面上较为普遍的2D人脸识别技术来说，将“刷脸”支付设备进行3D人脸识别技术升级，也可有效防止因人脸伪造带来的身份冒用情形。通过3D传感摄像头等软硬件结合方式对人脸进行识别时，其内置的点阵投影仪可释放出3万余个肉眼不可见的红外点，以判断该人脸是否为视频、照片、面具或者软件模拟生成的。

多种验证方式的交叉应用

笔者认为，将生物特征作为唯一特征，反而有可能成为一种安全隐患。若是密码丢失或被盗，还可以再设置一个新密码。但如果存储了生物特征信息的服务器被攻破，信息数据库被盗取，我们不可能再拥有第二张面孔来替换。因此，从安全技术防范层面考虑，对于安全性要求非常高的金融类行业，应当将人脸识别技术与其他多项验证方式进行交叉应用。在进行银行“刷脸”取款，或者“刷脸”支付等过程中，应当同时采用人脸识别，与账号绑定的手机号验证以及密码验证进行三重防护。此外，作为用户，在互联网和社交等场景的“刷脸”须格外慎重，不要轻易登录或使用那些不熟悉的应用程序、地址链接，更不要将自己的脸作为关键信息的“开启钥匙”。

人脸数据存储的科技防护

当前，“刷脸”安全风险，还存在于人脸数据的存储环节。运营方收集到的海量人脸数据，都被集中存储在相应的后台数据库中。其一旦被黑客入侵，这些高敏感度的人脸数据就有可能发生大规模的泄露。为了提升人脸数据存储的科技防护力度，可通过脱敏保护、前端数据水印隐写等技术方式介入。所谓人脸数据的脱敏保护技术，即是对于人脸敏感信息，采用脱敏方式对数据进行变形，从而实现对敏感隐私数据的高度保护;数据水印隐写则是一种用于信息隐藏的加密技术，通过这一技术的介入，原始数据文件中即会包括若干难以辨别的数字水印，以防止预期接受者以外的其他任何人掌握相关信息。这些必须通过专门运算才得以显形的水印信息与原文件被一同存储，可以最大限度地保证人脸数据存储的安全。

编辑：黄灵  yeshzhwu@foxmail.com