刷臉時代的“面子”安全

張曄

因不同意進動物園要刷臉，浙江理工大學特聘副教授、浙大法學博士郭兵，將杭州野生動物世界告上了法庭。此案成為國內消費者起訴商家的“人臉識別第一案”。

2020年12月29日，該案二審在杭州中院開庭，郭兵提出指紋識別和人臉識別相關格式條款內容無效的訴訟請求。

前不久，一則“戴著頭盔看房”的視頻廣為流傳，因為一些售樓處的工作人員會通過人臉識別判斷購房者身份，進而決定是否給予購房優惠。

互聯網時代，“刷臉”等新技術的發展和應用帶來便利的同時，也為個人信息保護帶來了新挑戰。近年來，圍繞人臉識別的爭議不斷。這些爭議一定程度上反映了人臉識別應用之廣泛及由此引發的公眾擔憂。

互聯網時代如何保障個人信息安全？生物認證技術有哪些弱點？包括刷臉在內的生物認證應用場景和技術是否有相關的規范和監管？筆者采訪了有關專家。

1、生物特征就是我們的另一張身份證

在機場、高鐵站進站核驗身份，刷臉;到酒店辦理入住，刷臉;在銀行遠程開戶，刷臉;網上支付、通過門禁，刷臉……

近年來，以深度學習為核心的人工智能技術飛速發展，其中，視覺識別技術應用落地頗為廣泛，人臉識別逐漸從少數安防場景滲透到人們的日常生活之中。2020年以來，新冠肺炎疫情帶來無接觸的場景需求，更是加速了這一進程。

人臉識別其實是生物認證的一種，其他生物認證還有指紋識別、虹膜識別、聲音識別等。生物認證最大的特點是唯一性，比如每個人都有獨一無二的臉、指紋和虹膜等。

因此，生物特征也可以看作是我們的另一張身份證。“生物認證就是識別個人特征，比如說識別面容特征，跟查驗身份證號碼是一個道理，它可以指代我的個人身份。”江蘇省科協黨組成員、副主席，南京理工大學信息處處長李千目說。

可以想象一下，身份證不用時，要么放在錢包里，要么鎖在保險柜里。如果有一天，你的生物身份證被物業公司、動物園、銀行、酒店等存放在你無法知曉的電腦硬盤里，你還會覺得刷臉認證是安全的嗎？

北京永信至誠科技股份有限公司首席戰略官潘柱廷告訴筆者，密碼可以定期換，可以改。但是一個人的手指指紋只有10個，虹膜只有兩個，掌紋只有兩個，聲紋只有一套，臉也就只有一個。生物認證是不可撤銷的，一旦其信息泄漏了，就沒有什么補救措施。

從某種程度上說，缺乏安全保障的刷臉，與把身份證和銀行卡密碼隨便交給他人，沒什么區別。

“這樣一種技術的推廣應用，應該對其可能的收益和風險比進行充分論證。但在杭州野生動物世界這個案子中，我們看不出使用人臉識別技術的必要性和不可替代性，也看不到使用方對風險的充分考慮和準備。此類為推廣技術而推廣的行動都是需要警惕和反思的。”東南大學程國斌副教授這樣認為。

2、人臉識別為何屢被黑客攻破

早在2017年“3·15”維權活動中，就曝出刷臉登錄存在安全漏洞：憑借一張觀眾的自拍照，可以成功“換臉”破解手機的人臉認證系統。

其后，也有過人臉數據泄露事件發生，有的是因為存儲照片的數據庫被黑客攻擊，有的是因為工作人員將數據拷貝販賣獲利。

李千目告訴筆者，目前生物認證的弱點主要有兩個方面：一是生物認證主要靠圖像或者視頻來進行特征確認，圖像和視頻在某種程度上是可以偽造的，“現在有一種方法叫做AI偽造，就是通過AI算法‘造出一個不存在的人臉，或者自適應生成其他人臉，這種算法叫GAN，也稱為對抗式神經網絡，它可以通過大量的樣本訓練生成一些不存在的假樣本、偽樣本。”

二是生物認證本質上是字符映射，在計算機里人臉特征是用0和1這樣的數字來描述，所以即使系統里不存在這張臉，但是通過黑客攻擊的方法，就可以用數字的方式把這些特征輸入進去，人臉識別就有可能會通過。

2020年10月，一項涉及2萬多人的調查研究——《人臉識別應用公眾調研報告（2020）》顯示，有九成以上的受訪者使用過人臉識別，有六成受訪者認為人臉識別技術有濫用趨勢，還有三成受訪者稱，已經因為人臉信息被泄露和濫用而遭受到隱私或財產損失。

相較于身份證號、手機號之類的個人信息泄露，目前曝光于大眾視野的人臉數據泄露事件還不算多。但已有媒體報道，一些網絡黑產從業者利用電商平臺，批量倒賣非法獲取的人臉等身份信息和“照片活化”網絡工具及教程。

一個良性的變化是，民眾的隱私保護意識有所提升。報告顯示，高達八成的受訪者表示關心過人臉原始信息是否會被收集方保留以及會被如何處理。具體到人臉信息的處理規則，受訪者最想知道收集方“采取何種技術和管理措施保證收集的人臉信息安全”，以及“人臉識別技術是否為第三方提供，如是則第三方是誰”和“人臉信息目前被使用在哪些場景，是否變更了使用目的”。

3、行業自律與法律監管缺一不可

受訪專家大多表示，樂于看到人工智能等新技術的應用和發展，但加強個人信息保護同樣刻不容緩。

李千目認為，對于人臉識別技術的濫用，一是形成強有力的監管，對不法行為進行威懾;二是進行技術防范，用人工智能方法進行反人工智能的識別和判別，并建立相應的認證庫或第三方認證中心，對生物認證進行核查;三是加快立法，加大對違法行為的懲罰力度。

放眼全球，一些發達國家已經在立法上先行一步。2015年，美國發布《面部識別技術——商業用途、隱私問題及其適用的聯邦法律》報告，對商業實體使用面部識別技術來識別或跟蹤個人進行限制。2018年，《歐盟通用數據保護條例》（GDPR）正式生效，明確規定個人數據是個人所有的數據資產，被稱為“史上最嚴”的數據保護法案。

我國在個人信息保護層面的立法也已提速。例如《民法典》將自然人生物識別信息列為個人信息;《個人信息保護法（草案）》擬對侵害個人信息權益行為，給予沒收違法所得和罰款等處罰。

不可否認，技術有很強的工具屬性，誰都可以用，有人用鋼鐵造廣廈千萬間，也有人用槍炮屠戮生靈萬千。所以，程國斌認為，對于人臉識別技術的濫用，除了法律監管行業自律，還必須對其進行深刻的倫理反思和倫理治理。

“開發一項新技術的時候，人類總是帶有某種價值傾向或價值追求。對這個具體的初始價值與技術應該促進社會發展和人類幸福的總體價值之間的關系做出考量，是科技倫理重要的工作。”程國斌說。

2019年7月，中央全面深化改革委員會第九次會議審議通過了《國家科技倫理委員會組建方案》。實施科技倫理審查就是為科技創新劃定必要的倫理航道和價值底線，明晰科學技術活動中“有所為，有所不為”的倫理邊界，防止隨意打開“潘多拉魔盒”。

“但據我所知，目前我國倫理審查機制僅在醫學界建設得相對完備，而在高校院所和企業科研中基本是空白。與歐美的一些發達國家相比，我國科技倫理審查的覆蓋面和制度的完備性方面，還有較大的提高空間。”程國斌說，成立機構只是開始，一整套的機制、政策、法律體系和潛移默化的科學倫理意識還需加快培育。