每当刷脸登录、支付验证，你都曾被一句"请眨眨眼"驯化出一种默契：跟着做动作，就证明你是活人。
现在央视把这条防线的底掀开了——在攻击者那边，"眨眼"只是点一下鼠标左键。知乎
技术很猛，收益很惨
杭州市中级人民法院公布的一起案例讲的正是这条链路：不法分子利用网络收集他人照片，AI生成"点头、摇头、眨眼"等动态视频，再植入虚拟相机替换本地摄像头——平台调取摄像头做活体验证时，屏幕验证区域直接换成合成画面。中国新闻网知乎
凭这套操作，两人先后非法登录某购物平台近30个账号，窃取收货地址、购物车等信息对外流转，获利500多个虚拟币，合计只有约3708元。知乎
他们还用同款技术制作虚假活体视频，违规认证20个账号牟利2149元。长沙也有同款案子：一名大学生从黑灰产群里买来把照片变成动态视频的技术，不到4个月，三个受害人的银行卡被刷走5万余元。知乎知乎
这条流水线分工明确：上游批量收身份证、手机号、人脸照片，中游AI加工破验证，下游转卖。知乎
两人案发后退回违法所得5857元，检察机关作出刑事不起诉决定，但仍要担民事侵权责任、当庭致歉。知乎
被攻破的不是算法，是摄像头
关键不在算法被打败，而在验证的输入端被掉了包：摄像头画面被接管后，指令再随机也白搭。活体检测防的是"照片冒充真人"，没防住"视频替换镜头"。被攻破的是2D人脸识别，iPhone Face ID那种3D结构光并不在其列。知乎
AI能力这一侧也确实让人咋舌：2023年威尔·史密斯吃面的AI视频还被嘲"没牙老太太嚼空气"，叉子穿脸、面条像蛇扭；如今顶级视频模型已能理解光线照在人脸上的状态，一张普通照片导入系统，几分钟就能生成会转头眨眼的动态视频。知乎知乎
防线不能只靠你小心
监管已经在动：去年9月1日，《人工智能生成合成内容标识办法》正式施行，配套强制性国家标准同步落地。9月7日，最高人民法院发布《关于依法审理涉人工智能纠纷案件的意见》，针对的就是AI换脸拟声这类问题。知乎中国新闻网
但真正的战场在验证链路本身：平台如果还只把"点头眨眼"当唯一防线，就该补上设备指纹、行为特征这些摄像头之外的校验。知乎
普通人现在能做的4件事
少发高清正脸照：别在不必要的平台上传高清正脸照，你随手公开的自拍可能就是别人眼里的"原材料"。知乎
别让脸当唯一的钥匙：能关的App刷脸登录尽量关，密码能解决就用密码。
别装来路不明的旧版App，更别被诱导安装"远程协助""虚拟相机"类软件——黑灰产上游会冒充短视频平台客服、游戏主播，以"自动扣费没关""送你游戏装备"为借口骗你下载远控软件，姓名、身份证号、手机号、人脸照片、验证码整套送出。知乎
发现账号异常登录，第一时间改密码，顺手检查收货地址和购物车。
密码泄露了能改，脸泄露了可换不了。AI能力在长个，守方必须跑得比它快。
