眨三次眼也沒用：AI 影片早已騙過人臉辨識

10 月 26 日，「AI 生成的影片已經能騙過人臉辨識」衝上熱搜。留言區一片「頭皮發麻」，但真正讓人不安的不是技術本身，而是那條熱搜底下沒有人敢問出口的問題：我上一次掃臉的時候，螢幕另一端確認的到底是我，還是一段十五秒的影片？

杭州市中級人民法院今年公布的一起案件，把答案攤在桌上。兩個人從網路上蒐集他人的照片，用 AI 生成點頭、搖頭、眨眼的動態影片，再篡改相機資料，就這樣通過某購物平台的人臉核驗，把帳戶裡的個人資料搬個精光。

長沙雨花區法院另一起更直白。一名大學生在非法網站買了「AI 人臉偽造影片」的技術，做出他人的人臉動態影片，重設支付密碼，不到四個月盜刷五萬餘元。沒有駭客電影裡的機房，沒有內鬼，一個人在宿舍就能做完。

「眨眨眼」這道防線，原本就是拼湊出來的

活體偵測的邏輯，說穿了就是讓鏡頭確認「螢幕前是個活人」。早期靠眨眼、張嘴、搖頭，後來加上光線變化、螢幕反光、紅外線深度，再後來是動作隨機化——系統隨機要你向左轉頭，或者唸出一串數字。

這套設計有個沒有明講的前提：偽造一張會動的臉，遠比偽造一張靜止的臉困難。

這個前提在 2026 年塌了。現在的影片生成模型，輸入一張正面照，幾十秒就能給你一段帶著微表情、帶著呼吸起伏、頭部還會輕輕晃動的片段。你叫它點頭它就點頭，你叫它眨眼它就眨眼。生成成本呢？《環球時報》訪談的專家給了個數字：幾十元、十幾秒音檔，就能「複刻」任何人。

真正的破口不在模型，在派送

值得講清楚的是，這類攻擊很少靠「騙過最先進的演算法」。它們騙的是流程裡最薄的那一環。

第一環是資料來源。你的人臉照片不需要被駭進資料庫，臉書動態、人力銀行的履歷照、二手平台的頭像、快遞單上的證件照影本，隨便一張正面清晰照就夠了。杭州那起案子裡，嫌疑人做的事就是「網路蒐集」。

第二環是相機資料的可信度。篡改相機資料聽起來很高階，實際上很多用戶端把鏡頭拍到的畫面當成可信輸入，中間沒有簽章驗證。這就等於門鎖很結實，但門框是紙糊的。

第三環是重複使用。同一套模板可以批次套在幾十個人身上，封一個帳號就換一個殼，成本幾乎為零。專家說的「門檻極低、模板可批次複製、封號就換殼」，講的不是技術，是這門生意的邊際成本。

這條鏈的上游，是一門更賺錢的生意

盜刷五萬是刑事案件的量級。真正規模化的在另一頭。

10 月 18 日，演員吳越發聲，說某個帳號用 AI 假冒她的形象和聲音推銷保養品。她保留的截圖顯示，那款商品累計銷量 16492 件，粗估銷售額超過 130 萬元。造假影片的結尾，還出現仿冒鄧亞萍的形象接著帶貨。

一邊是幾十元的製作成本，一邊是百萬級的銷售額。這種不對稱，才是這類內容屢禁不止的原因。封號不是懲罰，是損耗。

同步發生的還有監管動作。中國廣電總局部署了「AI 魔改」專項治理，重點清理基於四大名著、歷史題材、英模人物的違規改編，主要網路視聽平台 9 月清理違規影片近 13000 條。清理量以萬計，說明供給端的產能已經過剩。

一般人能做的，比想像中具體

央視給的建議很實用，值得抄下來：

視訊通話時，讓對方做一個指定動作——連眨三次眼、摸一下鼻子、用手指在臉前晃一下。AI 換臉在遮蔽和快速位移時最容易露餡，畫面會出現延遲、邊緣抖動或不自然的扭曲。

陌生來電，對方一直不說話，你先別開口。安靜等三秒，還在沉默就掛斷。聲音樣本是複製的原料，你多說一句，素材就多一段。

非必要不提供身分證號、工作單位、住家地址、職稱。盡量別把人臉、照片、聲音、指紋留在來路不明的小程式裡。

對平台來說，真正有效的不是把活體偵測做得更花俏，而是三件事：在擷取端加上簽章，讓「相機資料」這件事有來源可查；高風險操作強制二次驗證，別把掃臉當成唯一憑據；以及給生成內容留一個簽章位——哪個模型產的、誰發的、平台辨識後做了什麼。

還有一個不太舒服的結論

這輪討論裡，很多人把希望寄託在「偵測工具」上。但偵測永遠是落後的：你得先有一段可疑影片，才能去驗它。而掃臉付款這件事，發生在你還沒看到影片之前。

所以真正的解法大概率不在演算法這一側，而在制度側和產品側：把「人臉」從唯一憑據降級成輔助憑據，把大額轉帳、改密碼這類動作拉回多因素驗證，把生成內容的署名變成預設選項而不是可選項。

技術已經把「看起來像真的」這件事做到白菜價。接下來要花錢的，是重新定義什麼叫「確認是我」。