L'IA supera il riconoscimento facciale, e le palpebre non provano nulla

Il 26 ottobre, in Cina, l'idea che un video generato dall'IA possa ormai ingannare il riconoscimento facciale è finita tra gli argomenti più discussi sui social. Nei commenti si leggeva soprattutto una frase: «mi è venuta la pelle d'oca». Eppure a disturbare non è la tecnologia. È la domanda che sotto quel trend nessuno ha formulato ad alta voce: l'ultima volta che mi hanno scansionato il volto, chi stava confermando dall'altra parte dello schermo? Io, o una clip di quindici secondi?

Un caso reso pubblico quest'anno dal Tribunale popolare intermedio di Hangzhou mette la risposta sul tavolo. Due persone hanno raccolto foto altrui online, le hanno animate con l'IA — cenni del capo, dinieghi, battiti di palpebre — e poi hanno manomesso i dati della fotocamera. È bastato per superare la verifica del volto su una piattaforma di e-commerce e svuotare gli account dei dati personali.

Il tribunale del distretto di Yuhua, a Changsha, ha giudicato una versione ancora più esplicita. Uno studente aveva comprato su un sito illegale la tecnica per fabbricare «video di volto falso con l'IA», ha prodotto il volto animato di un'altra persona, ne ha reimpostato la password di pagamento e in meno di quattro mesi ha sottratto più di 50.000 yuan. Nessuna sala server da film di hacker, nessun complice interno. Una persona sola, in una stanza di studentato.

Il «sbatta le palpebre» è sempre stato un rattoppo

Il rilevamento della vitalità, detto senza giri di parole, chiede alla fotocamera di confermare che davanti all'obiettivo ci sia una persona vera. Le prime versioni si affidavano alle palpebre, alla bocca aperta, al capo scosso. Poi sono arrivati le variazioni di luce, i riflessi sullo schermo, la profondità a infrarossi. Infine la randomizzazione dei gesti: il sistema ti dice di girare la testa a sinistra oppure di leggere una sequenza di cifre.

Tutto l'impianto poggia su un presupposto mai dichiarato: falsificare un volto che si muove è molto più difficile che falsificarne uno immobile.

Quel presupposto è crollato nel 2026. Basta dare a un modello video attuale una sola foto frontale e in decine di secondi si ottiene una clip con microespressioni, respiro e un leggero oscillare della testa. Gli chiedi di annuire e annuisce, gli chiedi di sbattere le palpebre e le sbatte. Il costo? L'esperto intervistato dal Global Times ha dato un numero: qualche decina di yuan e una decina di secondi di audio bastano per «replicare» chiunque.

Il buco non è nel modello, è nella distribuzione

Vale la pena dirlo chiaro: attacchi del genere raramente puntano a battere l'algoritmo più avanzato. Colpiscono l'anello più sottile del processo.

Il primo anello è la provenienza dei dati. Non serve violare un database per ottenere il tuo volto. Basta una foto frontale nitida: un post su WeChat, un portale di annunci di lavoro, l'avatar su un sito di usato, la fotocopia del documento incollata su una bolla di consegna. Nel caso di Hangzhou il metodo dei sospettati è stato riassunto così: «raccolta su internet».

Il secondo anello è l'affidabilità dei dati della fotocamera. Manometterli suona sofisticato; in pratica molti client trattano ciò che arriva dalla fotocamera come input fidato, senza alcuna verifica di firma nel mezzo. La serratura è solida, il telaio è di cartone.

Il terzo anello è il riuso. Lo stesso modello si applica in blocco a decine di persone, e quando un account viene chiuso se ne apre un altro con un guscio diverso. Il costo marginale è vicino a zero. Quando gli esperti parlano di «soglia d'ingresso bassissima, modelli replicabili in serie, chiuso un account cambiano guscio», non stanno descrivendo una tecnologia. Stanno descrivendo l'economia unitaria di un business.

A monte della filiera c'è un commercio molto più redditizio

Sottrarre 50.000 yuan è la scala di un procedimento penale. Il volume vero sta all'altro capo.

Il 18 ottobre l'attrice Wu Yue ha parlato pubblicamente: un account usava l'IA per contraffare il suo volto e la sua voce e vendere prodotti per la cura della pelle. Gli screenshot che ha conservato mostrano 16.492 pezzi venduti e un fatturato stimato oltre 1,3 milioni di yuan. In chiusura del video falso compariva un sosia di Deng Yaping che continuava a vendere.

Da un lato qualche decina di yuan di produzione, dall'altro vendite a sette cifre. È questa asimmetria a spiegare perché il fenomeno non si ferma. Chiudere un account non è una punizione: è un costo operativo.

In parallelo si è mossa la regolamentazione. L'Amministrazione nazionale per la radio e la televisione ha avviato una campagna contro le «riscritture con l'IA», concentrata sugli adattamenti non autorizzati dei quattro grandi romanzi classici, dei temi storici e delle figure esemplari. Le principali piattaforme video hanno rimosso quasi 13.000 contenuti illeciti solo a settembre. Quando i numeri delle rimozioni si contano a decine di migliaia, la capacità produttiva a monte è già in eccesso.

Quello che può fare chiunque è più concreto di quanto sembri

I consigli della CCTV sono abbastanza pratici da copiarli:

Durante una videochiamata, chiedi all'interlocutore un gesto preciso: sbattere le palpebre tre volte di fila, toccarsi il naso, passare una mano davanti al viso. Lo scambio di volto cede soprattutto in caso di occlusione e movimenti rapidi: aspettati ritardi, bordi che tremolano o deformazioni innaturali.

Se arriva una chiamata da un numero sconosciuto e dall'altra parte nessuno parla, non essere tu il primo a rompere il silenzio. Aspetta tre secondi; se resta muto, riaggancia. Un campione vocale è la materia prima della clonazione, e ogni frase in più è un pezzo di materiale in più.

Non fornire numero di documento, datore di lavoro, indirizzo di casa o qualifica se non è davvero necessario. Cerca di non lasciare volto, foto, voce e impronte dentro mini-app di provenienza incerta.

Per le piattaforme, la strada efficace non è un rilevamento della vitalità più elaborato, ma tre cose: firmare i dati già in fase di acquisizione, così che i «dati della fotocamera» abbiano un'origine verificabile; imporre un secondo fattore sulle operazioni a rischio invece di trattare la scansione del volto come unica credenziale; e riservare uno spazio di firma ai contenuti generati — quale modello li ha prodotti, chi li ha pubblicati, cosa ha fatto la piattaforma dopo averli identificati.

Resta una conclusione scomoda

Buona parte di questo dibattito punta sugli strumenti di rilevamento. Ma il rilevamento arriva sempre dopo: prima deve esistere un video sospetto, poi lo si può testare. Il pagamento con il volto, però, avviene prima che tu quel video lo veda.

La soluzione vera, quindi, probabilmente non sta sul lato degli algoritmi, ma su quello delle istituzioni e dei prodotti: declassare il volto da credenziale unica a prova accessoria, riportare bonifici consistenti e cambi di password dentro la verifica a più fattori, rendere l'attribuzione dei contenuti generati un'impostazione predefinita e non un'opzione.

La tecnologia ha già mandato a prezzi stracciati la capacità di «sembrare veri». Adesso costerà denaro ridefinire che cosa significa «sono davvero io».