來源：創事記
歡迎關注「創事記」的微信訂閱號：sinachuangshiji
文/周繼鳳
來源：深燃（ID：shenrancaijing）
「不知道到底誰搜集了你的人臉信息，也不知道一般如何保存，更不知道這些信息會被拿來做什麼。」
家住北京通州區某小區的業主張先生，最近突然被小區物業通知「小區門禁要改成人臉識別」。在業主們的一片歡呼聲中，他顯得有些「異類」，「我比較擔憂的是，這些搜集的人臉信息會存儲到哪兒？數據會不會被洩露？但小區大部分人不關心人臉識別的隱患，也覺得自己的臉不值錢。」
而遠在廣東東莞的市民最近發現，去公共廁所上廁所需要刷臉取廁紙。市民需要站在機器前的識別區內，將臉對準機器上人臉識別的顯示屏，間隔3秒鐘，機器緩緩「吐」出長約90釐米的廁紙。
前不久，一段「男子戴頭盔看房」的視頻在網絡上瘋傳。原來是一些地產售樓部開始使用人臉識別技術進行客戶比對，以防「飛單」，而頭盔男子是為了保護自己的臉。
人臉識別幾乎充斥了我們的生活，躲都躲不掉。
相對應的，灰產也隨之猖獗。深燃發現，在QQ、淘寶、閒魚、百度貼吧、知乎等平臺上，人臉相關信息和「代過人臉識別」的服務正在被堂而皇之地交易著。
要命的是，「目前對於採集數據的防護，更多的看廠商的自覺」。儘管人臉識別市場巨頭扎堆，長出了不少獨角獸，市場規模即將突破百億元，但行業目前的狀態是缺乏監管規範。
不止一位業內人士指出如果應用開發公司和雲端公司技術能力跟不上，或內部人員洩密，很有可能洩露人臉信息。無論採集、運營、存儲哪一環出現了問題，你的臉以及身份證等私人信息很容易在大數據時代裸奔。有媒體曾曝出幾十萬張戴口罩的人臉照片正以2毛錢一張的價格販賣，這些照片一半是通過網絡爬取，一半來自真實世界。
而由於人臉與個人身份信息綁定，一旦丟失人臉信息，個人將面臨難以想像的後果。對於人臉識別安全的擔憂，一時間讓這個日漸普及的新技術站上了風口浪尖，究竟誰在拿我們的臉賺錢？這項技術日趨泛濫，我們究竟該如何保護自己？
泛濫的人臉識別
不知從何時起，我們已經被各式各樣的人臉識別包圍，尤其疫情之後，無接觸的需求更是加速了人臉識別出現在普通人生活中的頻率。現在，進入任何一個公共場所之前，請先刷臉。
進入醫院，先在門口人臉識別測溫；去商場逛街，門口保安攔下你讓你刷臉；出入車站，需要人臉識別認證；很多小區物業以安全的名義，先斬後奏引進人臉識別系統；部分演唱會需要人臉識別實名入場，一些人臉識別系統甚至通過攝像頭識別出了有案底的在逃人員……
我們每天使用的有支付功能的APP也紛紛上線了活體人臉識別技術，它們都需要實名認證，那都離不開人臉識別。
在這些安防、金融風控領域，人臉識別成了身份認證的強制手段，普通人難以拒絕。
除此之外，不少場景以方便快捷之名也「刷起了臉」。去便利店購物，可以選擇刷臉支付；去健身房運動可以選擇刷臉出入；刷臉認證已經成為手機APP、電子產品密碼解鎖的替代選擇。更為極端的情況是，據媒體報導，北京某小區的垃圾桶都用上了人臉識別，垃圾桶蓋在識別出居民身份後才自動打開。
2019年發布的《中國刷臉支付技術應用社會價值專題研究報告》顯示，這一年將成為中國刷臉支付的元年，用戶數將達到1.18億，2022年國內刷臉支付的用戶將超過7.6億人。
人臉識別技術還進入了部分高校和中小學校。有學校開始用人臉識別記錄分析學生在課堂上的表情，目的是為了「方便」老師教學。
更可怕的是，越來越多的場景在當事人沒有感知的情況下，悄無聲息獲取人臉信息，成了商家「熟客識別」、營銷定位的數據來源。比如為了精準營銷，不少地區上線了人臉識別廣告屏，這些廣告屏通常設置在電梯間旁，路過電梯間的人們會被攝像頭捕捉人臉信息。比如，「看房戴頭盔」事件背後是幾乎所有的房地產售樓部都安裝了人臉識別系統，通過對客戶進行人臉比對，防止「飛單」。
總的來說，「安防是人臉識別落地最早和最廣的應用場景，其次是金融行業的風控、營銷等。」愛分析分析師黃勇總結道。
但細思極恐的是，大部分人臉信息的收集未經當事人同意，沒人知道自己的人臉信息存儲在何處，更不知道自己的「臉」是否會被私下販賣、交易甚至用於違法勾當。
因為人臉信息涉及到身份ID認證，一張臉對應一個身份信息，如果一個人的人臉信息、身份證信息同時被不法分子獲取，相當於實現了個人信息匹配，就有極大的可能性被冒用身份辦理網貸、註冊軟體或網站、甚至解鎖支付軟體、精準詐騙等等。
「不同於一般的帳號、手機號，人就一張臉，人臉信息被盜取只能去整容換臉了，否則被盜取了經匹配的人臉信息後，你每天出門就相當於腦門上頂著信用卡在走路，是很危險的。」日本二維碼聚合支付平臺NETSTARS CTO陳斌曾對深燃指出。
猖獗的灰黑產
泛濫的人臉識別背後，則是規模龐大、亂象叢生的人臉識別市場，有水面之上光鮮的一面，就有隱藏在水面之下的灰黑產業鏈。
深燃觀察發現，因為需求旺盛，靠人臉信息賺錢的灰產遍布百度貼吧、淘寶、知乎、QQ等我們常用的社交平臺。
深燃在QQ上搜索「人臉識別」相關關鍵詞，就跳出了數個QQ群，進群後發現，不斷有買方賣方發布需求和可承接的業務，一分鐘就有十幾條消息滾動，不難看出生意熱火朝天。
「微信支付限制誰可以解」、「登錄閒魚人臉有沒有人能做」、「拼多多人臉能搞來，第一次合作先搞後費，後期大量單」，底下立馬有人回應：「我加你」。
群裡還有人是「收料的」（也就是購買身份證信息、人臉信息），「真人現拍也行，價格到位。」一位群友在群裡說道。
據深燃觀察，群裡最多的業務當屬針對微信和支付寶等支付類產品的人臉識別破解技術。有人不停地吆喝售賣，「接微信人臉解封，本人凍結、收款限制，接別人過不去的採集，成功率99%」。
其次是網際網路產品的代過人臉識別的需求，社交類平臺如陌陌、探探，電商類如拼多多，以及愛迎彼、58同城的公司註冊。
應灰黑產的需求，滋生出了諸多提供身份證、人臉信息以及「代過人臉識別」技術的中間商。
提供「代過人臉識別」服務的商家能將照片「活化」，生成動態視頻，從而騙過人臉核驗機制。
有些黑產買家非法獲取支付寶帳號的相關信息後，如登陸郵箱帳號、登陸密碼、支付密碼、註冊人姓名、身份證號碼等，還需要藉助「代過人臉識別」技術將倒賣來的帳號實名認證，再將帳號賣出。
還有些活躍在社交、電商APP上的黑產從業者，也是藉助人臉信息以及代過技術繞過平臺上的人臉識別認證，實施精準詐騙。據媒體報導，繞過58同城人臉識別的騙子就能發布招聘信息實施詐騙，在陌陌等社交平臺有騙子藉助「代過人臉識別技術」繞過實名認證，進行情感詐騙等勾當。
深燃與人臉技術提供方的QQ對話
深燃以手中掌握大量支付寶帳號的買家身份，加了一位可以「代過人臉識別」的商家，對方表示提供支付寶帳號就可以幫忙搞定動態人臉識別認證，一張臉25元，另外，還可針對社交平臺上的活體動態人臉識別認證提供「代過服務」。
深燃與代過人臉技術提供方的QQ對話
群內另一位售賣人臉信息的賣家對深燃介紹，一張大頭照是25元，一張身份證信息是30元。並且隨手發來了兩張清晰的大頭照和身份證照片，但又迅速撤回。
對於這個定價，對方解釋道，以前那些便宜的5毛錢一張的，都被人臉識別過多次了，根本過不了，而他提供的是「最新的」，價格貴一些。
曾有媒體曝光，有黑產從業者在淘寶、閒魚上以人臉數據0.5元一份、「照片活化」網絡工具及教程35元一套在售賣。
北京青年報也曾報導，有商家在網絡商城兜售「人臉數據」，涵蓋2000人的肖像，共計17萬條，照片的主人公不僅有明星，還有不同職業、不同年齡的普通人。此外，每張照片搭配一份數據文件。
儘管近來人臉識別灰產被頻繁關注，但並不妨礙從業者們賺錢。深燃在淘寶、閒魚、百度貼吧、知乎上也發現了「代過人臉識別」交易，據了解，提供的服務和前文所述大同小異。
淘寶、閒魚、知乎、百度貼吧上的「代過人臉識別」交易
靠「臉」吃飯的企業們
灰黑產叢生，但必須要承認，人臉識別本是一門正當的好生意。
首先，技術本身是相對成熟的。「相比體態識別、行為軌跡識別等更為複雜場景的識別技術來說，人臉識別相對比較簡單，主要是靜態場景，而且數據也比較豐富。」黃勇指出。
技術門檻沒那麼高，就意味著好進入。而作為個人生物特徵的人臉，實際上已經成為對一個人進行身份認證的重要手段，一張臉只對應一個人，這種唯一性，滿足了大量需要身份認證的場景的需求，也使得人臉識別的應用場景非常廣泛，落地場景、商用變現都變得容易。比如人稱」AI四小龍」的商湯科技、曠視科技、雲從科技、依圖科技都是從人臉識別起家。
技術成熟，還能立馬落地商用，沒有哪家公司願意放棄這塊蛋糕。事實上，「無論是傳統廠商、網際網路巨頭，還是中小創新型廠商，只要是場景解決方案裡需要用到人臉識別，其業務或多或少都會涉及到這一技術」黃勇指出。
聞到錢的味道，上遊的人工智慧晶片、算法技術和數據集公司，中遊提供解決方案的技術公司，以及下遊人臉識別相關具體場景的應用公司，各種看似與人臉識別八竿子打不著的機構紛紛跑步入場，推動著整個賽道駛入快車線。
就目前來看，如今的賽道已經被這幾類玩家瓜分。
最令人矚目的當屬「AI四小龍」在內的AI初創企業，它們以核心識別算法為主打優勢，最早將目光瞄準了人臉識別技術，且商業模式以2B、2G為主。比如曠視科技在2014年選擇與支付寶合作，找到了第一個商業化落地場景；雲從科技最早布局的是金融、安防領域，先後拿下了公安部、四大銀行等標杆單位，最近還成為了「海關總署2020年動態人臉識別綜合應用系統」的解決方案提供商。
老牌的安防企業如海康威視、大華股份、川大智勝、歐比特等也在虎視眈眈。掌握用戶數據的運營商如移動、聯通等，以及集成商(如中移建設、東華軟體)、各省廣電公司等都試圖分食蛋糕。
值得注意的是，網際網路巨頭們已經成為一股不可小覷的勢力，早已開始投資或自研相關的人臉識別技術。比如，螞蟻金服開始獨立研發人臉識別技術；百度最近發布了四款度目硬體：人臉應用套件H1、AI鏡頭模組C1、視頻分析盒子B1、人臉抓拍機VH-01；騰訊推出騰訊優圖，積累研發有關人臉識別的技術與應用，於今年年初研發出了口罩佩戴識別專用AI，戴著口罩也能人臉識別。
「人臉識別相當於人工智慧時代的一個基礎技術能力，而巨頭本身就有大量的可應用場景，同時，這些巨頭不缺資金和技術，目前也在對外輸出，轉而做to B業務。」黃勇稱。
誰在洩露你的臉
2019年，一位杭州大學教授將杭州野生動物園告上了法庭，引發了全國關於人臉識別技術安全隱患的討論。人們這才發現，便捷、無處不在的人臉識別背後，實際上存在著想像不到的安全隱患。
水面之上，人臉識別市場巨頭叢生、前景廣闊，便捷了生產和生活，但水面之下，大量洩露的人臉信息被販賣交易，作價只有幾毛錢。人們刷一下臉，個人信息就有可能裸奔在網際網路上。
問題和漏洞究竟出在哪？
多位業內人士表示，如今的人臉識別技術應用廣泛，這些收集上來的人臉信息，依據部署方式不同、數據存儲的地方也不盡相同，有些是上傳到雲端，有些則是上傳到本地化的後端伺服器上。
「而數據的洩露大概率出現在兩個環節，應用開發公司和雲服務廠商。」一位業內人士向深燃表示，這兩個環節可能由於技術能力不足而遭黑客攻擊、或因對內部員工的權限管理不嚴，而數據外洩，成了灰黑產的盤中餐，不過大公司在安全防護上相對好一些。
360城市智能集團執行總裁、360視覺總經理邱召強曾對媒體證實，「360視覺曾對市面上的人臉識別設備測試，發現70-80%沒有任何安全防護，基本處於裸奔狀態。攻擊它們甚至不需要黑客，一個網絡工程師就能通過wifi、藍牙或者網線等方式遠程接入埠，除了『竊取』數據，還能植入定向傳輸的木馬程序，讓設備自動傳輸數據到指定IP。」
但這不單是技術的問題，一位長期關注AI行業的投資人表示，「針對數據洩露，最有可能解決的是區塊鏈技術，但實際上在現有的框架下，數據很難做到100%安全。所以只能通過法律法規強制性規定的方式。技術永遠是道高一尺魔高一丈，只要有技術存在，就一定有漏洞。」
一位分析師也告訴深燃，「因為缺乏具體的法律法規，目前對於採集數據的防護，更多的看廠商的自覺。」
商湯科技CEO徐立也曾對媒體表達過相應的觀點，他認為應對方法不是限制人臉識別的使用，而是在技術發展早期或者到一定階段時，制定相應標準規定在什麼情況下可以使用這些數據，什麼情況下不能使用。
不過好在，已經有部分地區行動了起來。
天津在12月1日通過《天津市社會信用條例》，突出了對信用主體的權益保護，規定任何組織和個人不得非法採集、歸集、使用、加工、傳輸社會信用信息，不得非法買賣、提供或者公開社會信用信息。
即將於明年1月1日起施行的《民法典》在「人格權編」中提出，處理人臉在內的個人信息，應當遵循合法、正當、必要原則。
至於人臉所有者，我們每一個個體如何保護自己的臉，不少專家指出，大眾應該在面對需要人臉識別的場景時提高自我防範意識，認真閱讀隱私政策；尤其要警惕舉著身份證拍照的需求，因為既有身份證又有人臉信息；在個人信息侵權事件發生後，應當及時向法院起訴、向政府有關部門舉報。