まばたきはもう証拠にならない——AI動画は顔認証を突破した

10月26日、「AI生成動画は顔認証を突破できる」という話題が中国のSNSでトレンド入りした。コメント欄は「鳥肌が立った」という声で埋まった。だが本当に気持ち悪いのは技術そのものではない。あのトレンドの下で、誰も口に出さなかった問いのほうだ。前回顔認証をしたとき、画面の向こうで「本人だ」と確認したのは、本当に私だったのか。それとも15秒の動画だったのか。

杭州市中級人民法院が今年公表した事件が、その答えを正面から突きつけている。二人組はネット上で他人の写真を集め、AIでうなずき、首を振り、まばたきする動画を作り、さらにカメラのデータを改ざんした。それだけで通販プラットフォームの顔認証を通し、口座にあった個人情報を根こそぎ持ち出した。

長沙市雨花区人民法院の事件はもっと露骨だ。大学生が違法サイトで「AI顔偽造動画」の技術を購入し、他人の顔の動画を作って支払いパスワードを再設定、4か月足らずで5万元余りを不正に使い込んだ。ハッカー映画に出てくるようなサーバールームも、内部の共犯者もいない。寮の一室で、一人で完結する。

「まばたき」という防波堤は、もともと間に合わせだった

生体検知の理屈は単純で、カメラに「画面の前に生身の人間がいる」と確認させることにある。初期はまばたき、口を開ける、首を振る。その後は光の変化、画面の反射、赤外線の深度情報が加わり、さらに動作のランダム化——左を向け、数字を読み上げろ、とシステムが指示するようになった。

この設計には、明文化されていない前提がある。動く顔を偽造するのは、静止した顔を偽造するよりはるかに難しい、という前提だ。

その前提が2026年に崩れた。いまの動画生成モデルは、正面の写真を1枚入れるだけで、数十秒後には微表情と呼吸の起伏、わずかな頭の揺れを備えたクリップを出力する。うなずけと言えばうなずき、まばたけと言えばまばたく。コストはどれほどか。環球時報の取材に応じた専門家は、数十元と十数秒の音声があれば誰でも「複製」できる、と具体的な数字を示した。

本当の穴はモデルではなく、流通の側にある

はっきりさせておきたいのは、こうした攻撃は「最先端のアルゴリズムを騙す」ことにほとんど依存していないという点だ。狙われるのは、プロセスの中で最も薄い部分——つまり一枚の壁だ。

一つ目はデータの出どころ。あなたの顔写真は、データベースに侵入されなくても手に入る。WeChatのモーメンツ、求人サイト、フリマアプリのアイコン、宅配伝票に貼られた身分証のコピー。正面がはっきり写った1枚で足りる。杭州の事件で容疑者がやっていたのは、まさに「ネットからの収集」だった。

二つ目はカメラデータの信頼性。カメラデータの改ざんと聞くと高度に思えるが、実のところ多くのクライアントは、カメラが渡してきた映像をそのまま信頼できる入力として扱い、間に署名検証を挟んでいない。鍵は頑丈だが、ドアの枠が段ボールでできているようなものだ。

三つ目は使い回し。同じテンプレートを数十人分に一括で当てはめ、アカウントが凍結されたら別の殻に移る。限界費用はほぼゼロだ。専門家が言う「参入障壁が極端に低い」「テンプレートは量産できる」「凍結されたら殻を替える」というのは、技術の話ではない。この商売の限界費用の話である。

この連鎖の上流には、もっと儲かる商売がある

5万元の不正利用は、刑事事件としての規模だ。本当に大きな市場は、その反対側にある。

10月18日、俳優の呉越が声を上げた。あるアカウントがAIで彼女の顔と声を偽造し、スキンケア商品を売っていたという。彼女が保存していたスクリーンショットによれば、その商品の累計販売数は1万6492件、売上高は概算で130万元を超える。偽造動画の最後には、鄧亜萍のそっくり形象が登場して販売を続けていた。

制作費は数十元、売上は100万元単位。この非対称性こそが、こうしたコンテンツが何度取り締まってもなくならない理由だ。アカウント凍結は罰ではなく、経費なのである。

規制の動きも並行して進んだ。国家広播電視総局は「AI魔改」の特別治理を展開し、四大名著や歴史題材、英模人物を題材にした違規改変の整理を重点的に進めた。主要な動画配信プラットフォームは9月だけで違規動画を約1万3000本削除している。削除件数が万単位になるということは、供給側の生産能力がすでに過剰だということだ。

普通の人にできることは、想像より具体的だ

中央電視台（CCTV）が示した助言は実務的で、そのまま書き留める価値がある。

ビデオ通話では、相手に指定の動作をしてもらう。3回連続でまばたきする、鼻に触る、顔の前で手を振る。顔交換は遮蔽物と速い動きに弱く、映像に遅延が出たり、輪郭がちらついたり、不自然に歪んだりする。

知らない番号からの着信で相手が黙ったままなら、こちらから口を開かない。3秒待ち、それでも無言なら切る。声のサンプルはクローニングの原材料であり、一言多く話せば素材が一段増える。

身分証番号、勤務先、自宅住所、役職は、必要でなければ渡さない。出どころの分からないミニアプリに、顔や写真、声、指紋を残さないこと。

プラットフォーム側に有効なのは、生体検知を凝った作りにすることではない。やるべきは3つだ。取得側で署名を付け、「カメラデータ」に由来をたどれるようにする。高リスクの操作には二段階認証を必須にし、顔認証を唯一の根拠にしない。そして生成コンテンツに署名の枠を用意する——どのモデルが作り、誰が発信し、プラットフォームが検知後に何をしたのか。

もう一つ、居心地の悪い結論

今回の議論では、多くの人が「検出ツール」に期待を寄せた。だが検出は常に後手に回る。疑わしい動画がまず存在して、はじめて検証できるからだ。そして顔認証決済は、あなたがその動画を見るより前に起きている。

だから本当の解は、おそらくアルゴリズム側にはない。制度側とプロダクト側にある。顔を唯一の根拠から補助的な根拠へ格下げし、高額送金やパスワード変更といった操作を多要素認証に戻し、生成コンテンツの来歴表示を任意ではなく既定にする。

「本物に見える」ことの値段は、技術がすでに二束三文まで下げてしまった。これからコストをかけるべきは、「本人であることの確認」とは何かを定義し直す作業のほうだ。