刷臉“黑科技”安全嗎？
人臉識別的技術和產(chǎn)業(yè)風險凸顯，需要構建相應的市場環(huán)境和監(jiān)管機制。
“你是什么垃圾？”這樣的靈魂拷問，或許將被人工智能技術終結。
今年8月，一款名為“火星男孩”的智能廚余垃圾分類機出現(xiàn)在長沙市岳麓區(qū)望城坡街道長華社區(qū)。居民掃描人臉后，可將垃圾放到拍照處識別，若垃圾識別成功，垃圾桶開啟，完成垃圾分類。
不僅是垃圾分類，隨著以人臉識別為代表的生物識別技術迅速普及，行業(yè)投融資日益活躍，各種“刷臉”應用不斷涌現(xiàn)：火車站刷臉檢票進站、高考考生刷臉進考場、城市救助管理刷臉尋人……
但如火如荼的發(fā)展盛景背后，生物特征數(shù)據(jù)的安全風險也隨之凸顯，亂象漸增。
一方面是虛火漸旺。CB Insights“2019 年全球AI企業(yè)100強榜單”中，排在前11位的5家中國公司成立年限僅3——8年，多為5年內(nèi)催熟而成，在基礎研究領域普遍缺乏深度和定力。
另一方面，數(shù)據(jù)裸奔導致隱私泄露現(xiàn)象漸重。阿里首席風險官邵曉峰測算，我國相關黑產(chǎn)從業(yè)人員超150萬，市場規(guī)模達千億元級別，但卻難有法律跟進——網(wǎng)絡安全法尚缺落地細則；行業(yè)、企業(yè)標準較多但缺乏強制效力，致使監(jiān)管缺少抓手，執(zhí)法層面困惑。
如此背景下，不少行業(yè)人士呼吁，構建與之相適應的市場環(huán)境和監(jiān)管機制，迫在眉睫。
攻防持久戰(zhàn)
當下，生物識別技術逐步向深度學習進化，協(xié)助各行業(yè)各領域從業(yè)人員將經(jīng)驗數(shù)字化，節(jié)省人力，提高效率。
例如，生物識別技術的應用場景已逐漸從最初的員工考勤、小區(qū)門禁等延伸至智慧醫(yī)療、智能家居等諸多領域。維護社會治安、識別侵入人員、保證財產(chǎn)安全、人證核驗、監(jiān)控安防、線上支付等方向的技術應用，已經(jīng)大范圍落地。
然而，技術升級必然伴隨著攻擊手段的升級，攻與防、正與邪始終處在持久戰(zhàn)之中，“反人臉識別技術”“反生物識別產(chǎn)業(yè)”等黑科技、黑產(chǎn)業(yè)也隨之漸火。
例如，硅谷Bellus3D公司研制出Face Camera相機，能從各個角度捕捉人臉輪廓，然后3D打印出一張逼真的人臉面具；美國卡耐基梅隆大學開發(fā)的CMU眼鏡可干擾計算機視覺，混淆佩戴者的性別、年齡等絕大部分面部特征；線上換臉工具Deepfake能把上百張人物樣圖輸入一個算法中完成“換臉”，生成普通人無法辨識的假視頻。
因此，防御機制也必須持續(xù)升級。
“光流分析、3D結構光、飛時測距（TOF）等技術日益成熟，使用微紋理、多光譜、運動信息等可有效抵御2D及3D假體攻擊。此外，虹膜識別、靜脈識別、步態(tài)識別等其他的生物識別技術也取得積極進展?！敝袊嗣胥y行科技司司長李偉介紹。
此外，為應對近來全國多地出現(xiàn)的基于“反人臉識別技術”的資金盜刷案件，金融機構開始疊加“聲紋+語音”技術系統(tǒng)來識別欺詐行為。
“刷臉之后，還可讓消費者面對屏幕讀出隨機出現(xiàn)的幾個數(shù)字。”清華大學信息技術研究院語音語言技術中心主任鄭方介紹，“一是每人的聲音各異，二是通過這種活體檢測可識別其轉(zhuǎn)賬行為的真?zhèn)??！?/p>
這一安全防護技術也可用于多個社會化服務領域。遠鑒科技投資總監(jiān)王秋明以自己公司的應用舉例說，要進入遠鑒科技有限公司的辦公區(qū)，就需要“人臉+聲紋+語音”的驗證方式，每位員工在刷臉之后還須讀出屏幕上隨機產(chǎn)生的八位數(shù)字，才能算考勤打卡成功。
“通過手機端的APP就實現(xiàn)了打卡，APP只有在進入辦公區(qū)范圍內(nèi)才能夠啟用，這樣的考勤方式既便捷又安全?！蓖跚锩髡f。
數(shù)據(jù)在“裸奔”
“生物識別技術在大步快進，難免會重速度不重安全，這或許會造成一些不可逆轉(zhuǎn)的風險?！毙怕?lián)智慧創(chuàng)始人楊楠認為。
這已經(jīng)成為全球性難題——在世界經(jīng)濟論壇2018年和2019年的《全球風險報告》中，排名三四位的是網(wǎng)絡攻擊、數(shù)據(jù)詐騙及數(shù)據(jù)泄露風險。全球范圍內(nèi)，數(shù)據(jù)及網(wǎng)絡安全已連續(xù)兩年成為除自然因素以外的最嚴重風險。
而生物特征數(shù)據(jù)的泄露危害尤甚。
李偉表示，生物特征數(shù)據(jù)具有唯一性，通常不隨個人主觀意愿而變化，因此難以針對不同業(yè)務、不同渠道、不同場景進行安全隔離。生物特征一旦被非法竊取利用，基于此特征的身份認證系統(tǒng)均可被輕易繞過，導致大規(guī)模隱私泄露，或致系統(tǒng)性風險。
“由于采集難度、硬件需求等不同，各種生物識別技術的防攻擊性差別各異。虹膜、指靜脈等生物特征相對安全，人臉、指紋則完全暴露于外，過度采集、過度存儲的現(xiàn)象非常普遍。”楊楠表示。
如今，人臉識別技術被廣泛用于高鐵、飛機、紅綠燈監(jiān)控等公共場所，識別和采集范圍最遠可至10公里。不法分子可通過遠程、非接觸方式，在本人毫無察覺之下“無聲無息”地批量采集生物特征數(shù)據(jù)，手段極具隱蔽性。
一些開展相關采集業(yè)務的第三方技術商以及各類手機APP運營商，也常在用戶不授權、未授權情況下偷采、存儲數(shù)據(jù)，造成泄露風險。
比如Facebook就在2018年因“未經(jīng)照片主體同意的情況下，定期對照片進行掃描和生物特征匹配”而遭到起訴；今年2月，深圳深網(wǎng)視界公司發(fā)生大規(guī)模用戶信息泄露事件，超過250萬用戶的身份證號碼、人臉圖像及拍攝地點等信息外泄。
面對這一系列問題，當前的治理手段卻相對有限。
數(shù)據(jù)行業(yè)專家隋欣池分析，首先，大多數(shù)企業(yè)維護數(shù)據(jù)庫安全的意識薄弱,且這一安防能力需要長期的技術積累，企業(yè)水平參差不齊。其次，企業(yè)大多將算法而非數(shù)據(jù)當作自己的核心資產(chǎn)，倒賣數(shù)據(jù)的行為很普遍，防不勝防。
虛火漸旺時
“不僅是一些企業(yè)發(fā)展‘重量難重質(zhì)’，更有大批跟風現(xiàn)象和資本簇擁，已致使一些領域陷入惡性競爭，造成劣幣驅(qū)逐良幣?！编嵎秸f。
他以售賣一款基于人臉識別技術的身份核驗系統(tǒng)舉例，去年有少數(shù)技術公司給銀行出價8萬元，已經(jīng)算是虧本了，今年更是有公司提出為銀行免費服務，“大家都是先搶市場再說”。
這種情況自2018年產(chǎn)業(yè)規(guī)模開始井噴就已經(jīng)出現(xiàn)。
CVSource報告顯示，2018年上半年AI創(chuàng)業(yè)公司融資事件驟增至130次，總額402億元，超過了2017年全年。而2013年，進行融資的AI創(chuàng)業(yè)公司數(shù)量還只有21家。
此景象頗為眼熟——與2015年網(wǎng)貸行業(yè)“大爆發(fā)”如出一轍。當年，紅杉、IDG、老虎等投資人先后進駐111家網(wǎng)貸平臺，共發(fā)生總額為188億元的121次融資事件，海爾、鏈家、恒大、綠地等產(chǎn)業(yè)巨頭，也紛紛以并購和設立子公司的方式迅速占位。
如今，當年大手筆“催熟”網(wǎng)貸的資本方紛紛轉(zhuǎn)戰(zhàn)AI，掀起另一股熱潮。胡潤數(shù)據(jù)顯示，截至2018年年底，紅杉資本共捕獲了49家AI企業(yè)，在投資企業(yè)數(shù)量上高居榜首，IDG、老虎等機構也相當活躍，恒大、聯(lián)想、海爾等公司也大筆砸錢。
但沸沸揚揚之下，中國的AI產(chǎn)業(yè)實力卻并不能與之匹配，無論是AI公司的成長質(zhì)量、數(shù)量還是研發(fā)能力，均與發(fā)達國家存有一定差距。
鄭方分析，中國AI創(chuàng)業(yè)公司與西方國家一些優(yōu)秀企業(yè)的差距主要在于：中國機構重在應用層面投入，對芯片、硬件、算法等基礎技術有所忽略。相比之下，歐美一些企業(yè)的投資更加全面和立體，不僅重視商業(yè)應用，還有大批實力雄厚的企業(yè)投身于基礎研發(fā)，并高度重視知識產(chǎn)權保護。
“一些企業(yè)急于求成，并無核心技術，只是利用開源軟件對各路數(shù)據(jù)進行簡單訓練，形成一些不成熟的解決方案，卻最終因為‘會講故事’而獲得資本青睞造成市場估值畸高，擠兌了一些‘良幣’的生存空間?！编嵎綖榇藨n慮。
多位受訪人士警示，網(wǎng)貸行業(yè)早前就是在經(jīng)歷了亂象叢生、監(jiān)管整頓、破產(chǎn)爆雷之后大幅縮水，至2019年一季度已不足200家平臺仍能良性運營。“新技術、新產(chǎn)業(yè)應以此為戒?！?/p>
立法防走偏
在不少受訪專家看來，數(shù)字經(jīng)濟時代，新技術、新產(chǎn)業(yè)正深刻改變經(jīng)濟發(fā)展方式和軌跡，亟待對此建立多維度、立體式的管理體系，防止數(shù)字經(jīng)濟業(yè)態(tài)“走偏”。
當前我國并無生物識別領域的專項法，對其規(guī)范更多依托于個人隱私保護的相關法律法規(guī)，但目前我國直接涉及個人數(shù)據(jù)保護的相關法律法規(guī)相對分散，在執(zhí)行上也羈絆頗多。
對此，有專家認為可適當借鑒歐美經(jīng)驗。
去年3月，比利時出臺法規(guī)禁止私人使用人臉識別等基于生物特征的視頻分析攝像機，全面整頓視頻監(jiān)控市場；
去年5月，歐盟實施《通用數(shù)據(jù)保護條例》（GDPR），將生物識別數(shù)據(jù)納入監(jiān)管，任何收集、傳輸、保留或處理涉及到歐盟所有成員國內(nèi)個人信息的機構均受該條例約束；
今年2月，俄羅斯央行以去年出臺的第4859-U號條例為參考頒布了新規(guī)，降低個人生物識別數(shù)據(jù)收集和處理過程中的風險。
簡單的“拿來主義”在中國顯然行不通?！拔覀兛梢赃x擇GDPR中適合國情的部分予以借鑒。比如從業(yè)機構處理和使用數(shù)據(jù)需要征得用戶同意”，鄭方認為，GDPR規(guī)定“控制者需證明數(shù)據(jù)主體已經(jīng)同意對其個人數(shù)據(jù)進行處理，且數(shù)據(jù)主體應當有權隨時撤回其同意?！币虼?，用戶有權要求互聯(lián)網(wǎng)服務商停止信息采集，也有權選擇不被營銷廣告打擾。
同時，盡快完善國民生物特征數(shù)據(jù)庫也是良策之一。
鄭方認為，首先應建立覆蓋全國的人口數(shù)據(jù)庫，并適時升級為居民身份核驗庫，逐步建立管理平臺、申請領證（申領）平臺、認證平臺和追溯平臺，構建起“一庫四平臺”的頂層架構。由國家有關部門統(tǒng)一管理，杜絕數(shù)據(jù)泄露。
“國家級的居民身份核驗庫建立之后，有需求的機構可以在相關部門的管理和督導下，與核驗庫的運營機構建立合作關系，研發(fā)和輸出經(jīng)由脫敏、加工、過濾后的產(chǎn)品，將一切納入監(jiān)管之中?！睏铋f。
曠視科技副總裁謝憶楠認為，在這一過程中，要深化政企合作，加強行業(yè)組織、科研機構等作用，推動頭部企業(yè)成為相關數(shù)據(jù)庫及其使用標準的積極響應者、貫徹者。
李偉認為，要處理好安全與創(chuàng)新的關系，既不能盲目冒進，神化生物識別技術的作用；也不能裹足不前，漠視其優(yōu)勢。要加強技術研究，深入分析不同技術在效率、安全性上的優(yōu)劣，尤其要重視技術中性對公眾隱私、國家安全的影響，趨利避害。在風險可控的前提下選取較為成熟、安全性高的技術穩(wěn)妥應用。
注：文章內(nèi)的所有配圖皆為網(wǎng)絡轉(zhuǎn)載圖片，侵權即刪！
