3D面具给刷脸安全提了个醒

(资料图片仅供参考)

高维

花费10万元制造3D打印面具“复刻”本人、用该面具解锁多款手机、成功在支付软件刷脸支付……最近，一博主发布的测试视频引发网友担忧：刷脸支付岂不是有风险？

从安防到支付，从交通到门禁，我们已经进入到了一个“看脸”的时代。电影《碟中谍》中人脸面具瞒天过海的桥段似乎正在成真，看似更安全便捷的人脸识别，并非牢不可破。比如，2019年8月，安徽南斗星仿真机器人科技有限公司董事长王峻曾3D打印了自己的头部模型，通过了某APP的人脸识别验证。“刷脸”被“打脸”的不只以上实验，现实中也出现了相关判例：据成都市郫都区人民法院的披露，有不法分子获取他人信息制作“3D人脸动态图”，突破了人脸识别认证系统后登录支付软件，转移资金2.4万余元。

尽管该博主特别强调，3D面具“攻破”支付系统的条件很苛刻，不必过分焦虑，但媒体的跟进调查显示，背后的监管漏洞和法律风险让人无法忽视：制作者不一定要本人到场，也可在线提供面部数据或多张面部照片；关于3D面具的相关业务，有厂商报价在8万至20万不等，也有厂商称，制作一个人脸面具只需1万元左右；更值得担忧的是，有两家公司均表示，制造人脸面具不需要提供身份证等信息进行备案。也就是说，无论从理论还是现实层面讲，都无法完全排除这一隐患，仍需积极防范。

再者，不同的应用场景防护等级存在差异，“刷脸安全”也不限于支付安全。如浙江嘉兴多位小学生只用一张打印照片就能代替真人刷脸，取出智能柜里的快递。更不必说，和数字密码不同的是，作为个人信息中最为敏感的“个人生物识别信息”，人脸信息具有唯一性和不可更改性，一旦泄露出去或被3D建模，可能会引发连锁反应，损失难以得到有效救济。从源头上截断和防范风险，把相关服务限制在“最小必要”范围，无疑十分必要。

近年来，监管层面的一系列动作，也基本遵循了这一思路：2021年，最高人民法院发布司法解释，规定不得强制人脸识别为出入小区唯一验证方式；前不久发布的《人脸识别技术应用安全管理规定（试行）（征求意见稿）》也指出，实现相同目的或者达到同等业务要求，存在其他非生物特征识别技术方案的，应当优先选择非生物特征识别技术方案。在一攻一防的“猫鼠游戏”中，技术尚未足够成熟时，更要筑牢“防火墙”，拧紧“安全阀”，减少管理盲区。

网络安全为人民，网络安全靠人民。当下正值国家网络安全宣传周，讨论3D面具的堵漏也恰逢其时：形成安全共识，知道风险在哪，也是“我的脸我做主”的重要一步。

（文章来源：南方日报）