导语：杭州中院 9 月 4 日公开庭审一起涉”AI 换脸”的个人信息保护公益诉讼案，两名被告人用几张照片生成点头眨眼的动态视频，靠虚拟相机替换手机摄像头，绕过了购物平台的人脸核验。这不是实验室里的演示，是司法认定的真实使用。技术链条值得逐环拆开看。
一、法院给这套技术下的定论
先分清两件事。人脸核验其实是两步：人脸比对，判断是不是你；活体检测，判断画面里是不是活人。这次被绕过的是后者。
活体检测的常用手段就两类。动作挑战，让用户按随机指令点头、眨眼、张嘴、摇头；静默活体，不给指令，靠摩尔纹、反光、纹理、屏幕翻拍痕迹、深度这些图像统计特征来判断。
对应的攻击在学术上有分类：展示攻击（Presentation Attack），拿假脸、面具、翻拍屏幕怼镜头；视频插入攻击（Video Injection Attack），直接把假视频流塞进 App。本案属于后者。
这个区别很关键。视频插入攻击绕过的不是识别算法，而是输入管道——App 根本没拿到真实摄像头的数据。
杭州中院在裁判说理里给出的定性是：AI 视频已经能够骗过一部分仍在广泛使用的、以传统活体检测为核心的人脸识别系统。这句话是司法对技术现实性的确认。
二、素材：法院查明的第一步
换脸模型要的是人脸要素：关键点、五官比例、轮廓和纹理。关键点检测（68 点、106 点这类）是开源方案的标配，dlib、InsightFace 都能直接调用。
一张正脸照片往往不够。模型要重建三维人脸和关键点分布，正脸加侧脸、再加不同表情，合成结果的相似度和稳定性会明显上一个台阶。所以灰色服务收料时，问的都是”有没有不同角度的照片”。
案子里查明的第一步就是这个：两名被告人非法获取他人手机号、头像照片和身份信息。素材来源也都在明面上——社交平台公开照片、证件照、直播截图，门槛几乎为零，只要能和某个手机号、某个头像账号对上号就有价值。
南都 2025 年做过一次调查，发现主流社交平台、短视频平台和电商渠道里都藏着”过脸”服务，商家宣称”任何平台的人脸识别都能直接过”。
三、合成：法院查明的原理
现在的换脸模型基本都是双分支结构。
身份分支负责”这个人是谁”：从目标照片里定位关键点，抽取五官与纹理，编码成人脸特征向量。运动编码器负责”这个人怎么动”：从一段驱动视频里解析头部姿态、眼睑开合、嘴型变化。最后的融合网络把身份特征贴到驱动帧上，生成新的脸。
法院查明的描述和这个结构是对得上的：涉案”AI 换脸”技术通过深度学习的算法，识别、提取照片中的人脸要素信息，并不断进行训练建模，生成模拟真人的动态视频。向左看、向右看、张张嘴、眨眨眼——这些在人脸验证环节中的常用动作，都能通过”AI 换脸”技术生成。
这解释了一个关键点：动作不是模型编出来的，是从真人身上抄过来的。只要给一段普通的说话视频，动作就齐了。
工具层面已经白菜化。Deep-Live-Cam 这类开源项目，一张照片加上摄像头就能实时换脸，人脸跟着你本人的表情和动作走；境外换脸网站更直接，按次计费，谁都用。
四、注入：法院查明的做法
人脸核验读的是相机数据流。攻击者的思路不是骗摄像头，而是让 App 读不到真实摄像头。
案子里查明的做法是：二人在手机中植入虚拟相机应用程序来替换本地相机，当平台调取摄像头进行人脸识别验证时，屏幕中的人脸就自动替换成这段合成视频，从而躲避验证防线。
这背后其实有四条技术路径，案子踩中的是第一条：
- 系统级虚拟相机：把自己注册成系统认可的相机设备，App 弹摄像头授权时选它，送出去的就是合成视频
- 越狱加注入模块：libvirtualcamera.so 这类模块集成 ffmpeg，解码预先录好的视频，转成相机数据格式，替换真实相机的原始数据流
- 改 Framework 层：改 Camera3Device 之类的实现，让它从指定路径读 YUV 帧；配合 RTMP 推流，能把远程画面实时转成本地相机流
- 云手机与远程虚拟摄像机：真人在远端操作，平台看到的画面来自云端设备
中国信通院人工智能研究所安全治理部主任石霖 2025 年向南都解释的就是”注入攻击”这套：手机越狱并装注入程序，人脸验证一开，程序识别到与相机数据采集相关的关键函数，就把自定义视频注入目标进程，绕过物理相机的数据流，对真实环境做隔离。
央视网的报道还提到，这两人通过境外聊天软件接入黑灰产交易链条，承接非法任务。采素材、做视频、跑核验，很可能已经是一条分工明确的服务链，有人专门做”过脸”，按条收费。
整条链不需要目标配合，不要密码，不要任何内部信息。
五、活体检测为什么没挡住
回到防守方。
动作挑战被”抄”过去了。预设指令本意是从用户身上拿随机性，合成视频照着动作库逐条生成就行；若用实时换脸，动作直接来自真人，随机性天然达标。
静默活体看的是图像统计特征。但注入进来的不是翻拍画面，是直接进内存的码流。没有屏幕摩尔纹可查，也测不出”这是块屏”。
还有架构问题：活体检测跑在客户端还是服务端？跑在客户端，”App 进程内的数据可信”这个前提本身就不成立。
一句话收口：活体检测回答的是”画面像不像活人”，它不回答”画面是不是真的”。视频源被换掉，后面的算法再强也没有意义。
六、防线：四道闸
检测不能只盯着像素。学术界最近的方向是虚拟相机检测（Virtual Camera Detection）。2025 年 12 月 arXiv 上那篇《Virtual camera detection: Catching video injection attacks in remote biometric systems》给出的思路是：训练阶段采集真实用户的会话元数据，用机器学习模型识别注入尝试——看的是会话和设备侧信号，不看画面本身。
工程上能落地的也是这四层：端侧查运行环境，会话侧做设备与账号的行为关联，认证链路上别把人脸当唯一凭据，协议侧让指令由服务端随机下发并要求实时响应。厂商侧的数据也在恶化，ROC.ai 称注入攻击一年内涨到 9 倍，这是厂商口径，但方向清楚。
案件的判决也指向治理方向：法院判令两名被告人公开道歉，并支付公益损害赔偿金 5857 元，与二人非法所得数额一致。这笔钱专用于个人信息保护、人脸深度合成技术不当应用治理等公益事项。
回到央视主持人白岩松那句话，无论 AI 怎么发展，都不能以侵害别人的权益为代价，更不能让造假的人占尽便宜。
这起案子真正的意义在于，它是司法确认的现实样本：技术已经跑在黑灰产的流水线上。AI 换脸的成本还会继续往下掉，人脸识别这条防线要跟上，就得先承认一个前提——摄像头看到的东西，默认不可信。
暂无评论内容