中经记者 杨井鑫 北京报道
近日，杭州市中级人民法院公布了一起案件，两名不法分子利用网络收集他人照片，通过AI技术在照片基础上生成点头、摇头、眨眼等动态视频，再通过篡改摄像头数据，成功突破了一家购物平台的人脸核验。
该案件在市场引起了较大的影响，尤其是商业银行在开户、转账等操作中同样嵌入了人脸核验，且是银行重要的身份认证手段之一。这起案件是否意味着使用AI合成视频也能突破银行的人脸核验呢？一旦产生损失银行是否也有责任呢？公众对于这种风险隐患又该如何避免呢？
AI滥用风险隐患
事实上，通过AI应用针对性破解人脸核验的案件目前越来越多，甚至不少被部分黑灰产当作了新型攻击账户的方式。2026年9月，江苏破获了一起特大新型网络犯罪案件，36名涉案人员的操作逻辑非常清晰：他们先收集带照片的公民身份信息，用AI把静态照片合成带眨眼、张嘴动作的动态视频，再通过篡改摄像头的软件，把平台调用的实时画面替换成提前存好的视频。
2026年3月山东青岛警方查获的5万多条AI合成动态人脸视频，也是用同样的思路绕过人脸核验，被电诈团伙拿去做虚假实名认证。
此外，近期湖南长沙雨花区法院同样宣判了一起典型案例。不法分子利用AI技术，将受害人的静态照片合成为动态人脸视频，再借助虚拟相机工具模拟眨眼、转头等动作，成功绕过部分平台的人脸识别流程，短短四个月便盗刷资金5万余元。
更重要的是，在AI生成工具越来越普及的情况下，“照片转换动态人脸视频”的技术门槛较低，制作成本更是低至几十元。一旦大规模应用于攻击银行、互联网平台的人脸核验，部分机构所面临的风险将大幅提升。
9月17日，山东相关监管部门在2026年国家网络安全宣传周中也警示了四大AI新型威胁，包括Deepfake换脸诈骗、语音克隆诈骗、AI钓鱼攻击和AI破解人脸识别。其中，在AI破解人脸识别中提到了“利用深度合成技术伪造人脸视频，突破平台身份认证机制，窃取账号和数据”。
技术与风控“赛跑”
由于AI生成视频已经有突破购物平台人脸核验的先例，这让公众对银行账户的安全性产生了担忧。近日《中国经营报》记者联系了多家银行，想就AI合成视频通过银行人脸核验的可能性进行采访，但银行普遍选择缄默。
“银行很难直接对这种可能性发表肯定或否定的看法。目前，简单的AI合成视频是很难通过银行的人脸核验关，但是会不会有新的技术应用也不好说。”一家城商行人士向记者表示。
该人士还向记者举例：“如果一个人使用手机拍摄一段视频，将视频用于人脸核验，实际上也是通不过的。”
一家国有银行科技子公司人士向记者表示：“银行对于人脸核验认证中重要的一个环节是活体认证，这个活体的认证并不仅限于点头或摇头，而是要通过技术确认视频中的人是真实的，而不仅仅是图像、视频或数字模型。换句话说，AI生成的人脸和动作是能够通过技术手段识别的。”
据他介绍，AI合成的视频普遍是存在光影断层、表情不协调等特征，可以通过技术手段大幅提升识别能力。“静态的图像可以分析皮肤纹理，动态的视频可以进行光谱分析，甚至是瞳孔反射。”
“目前，不少金融机构已经尝试通过AI防御AI，先用AI自动识别，再采用人工核验的模式。”上述国有银行科技子公司人士表示。
上述城商行人士也表示，在银行风控流程中，人脸核验在有不确定性的情况下，银行会采取多渠道验证模式，包括手机短信密码、人工视频等等。“目前披露的多起案件也给予了金融机构警示，银行风控能力与科技能力也是密切相关的。在当前AI技术不断更迭的情况下，银行金融机构更应该重视风控，保障客户的资金安全。”
同时，他提醒储户要做好以下三点：不随意授权人脸：非必要不开启人脸登录/转账，尤其是小额免密场景；保护原始生物信息：社交平台少发高清正脸照片、视频，防止被不法分子采集建模；关注账户异动：开通动账提醒，发现异常立即挂失并报警。
他在回应储户账户安全时明确表示：“银行持续迭代多维度风控能力，全力守护账户资金安全，储户不必过度恐慌。”
警惕AI新型威胁
在越来越多的AI应用中，通过AI合成视频突破平台人脸核验是否涉嫌犯罪？如果受害者遭受损失是否有权向银行或者平台索赔呢？
北京德和衡律师事务所合伙人庞珊珊律师表示，AI被不法分子利用顺利通过了一些平台的生物认证在《刑法》上涉嫌侵犯公民个人信息罪。根据《刑法》第253条之一，违反国家有关规定，向他人出售或者提供公民个人信息，情节严重的，处三年以下有期徒刑或者拘役；情节特别严重的，处三年以上七年以下有期徒刑。违反国家有关规定，将在履行职责或者提供服务过程中获得的公民个人信息，出售或者提供给他人的，依照前款的规定从重处罚。非法获取信息后用假脸通过认证后骗贷、骗购、转账的行为涉嫌诈骗罪。根据诈骗对象的不同，可能构成不同类型的诈骗罪，包括贷款诈骗罪（第193条）、信用卡诈骗罪（第196条）、骗取贷款罪（第175条之一）。
庞珊珊还表示，篡改摄像头、把实时画面替换成合成视频的行为涉嫌非法控制计算机信息系统罪。根据《刑法》第285条第2款，违反国家规定，侵入前款规定（国家事务、国防建设、尖端科学技术领域的计算机信息系统）以外的计算机信息系统或者采用其他技术手段，获取该计算机信息系统中存储、处理或者传输的数据，或者对该计算机信息系统实施非法控制，情节严重的，处三年以下有期徒刑或者拘役；情节特别严重的，处三年以上七年以下有期徒刑。
在出现相关事故并遭受损失之后，受害者是否能向涉及银行或者平台索赔呢？庞珊珊认为，判断是否有责任不能一概而论，需要看银行或者平台是否尽到了安全保障义务。如果银行与平台作为专业机构，若其生物认证系统存在漏洞，即构成未尽安全保障义务，需承担相应赔偿责任。其适用的法理基础是“制造风险者防范风险、风险与收益对等”——银行发卡、建系统、收手续费，就该承担更重的防伪与安全保障义务。在银行未完成安全保障义务的情况下，需向储户赔付再向黑产追偿。
来源：中国经营报
