對話清華易鑫教授：比“剪刀手”拍照會泄露指紋嗎？AI生成圖像能否騙過人臉識別？

清華大學網絡科學與網絡空間研究院副教授、博士生導師易鑫

出品｜搜狐科技

作者｜張雅婷

編輯| 楊 錦

近日，“建議拍照不要隨便比剪刀手”話題沖上熱搜。有觀點認為，在1.5米內，鏡頭如果完全對著手指，有可能被提取到指紋信息，威脅用戶信息安全。

比“剪刀手”拍照，真的會有指紋泄露的風險嗎？除了指紋，AI時代還有哪些需要關注的隱私安全問題？對此，搜狐科技與清華大學網絡科學與網絡空間研究院副教授、博士生導師易鑫進行了深入的交流。

易鑫認為，普通手機攝像頭在正常距離下很難拍到可供識別的完整指紋，加上社交平臺上傳圖片時普遍會進行壓縮，細節(jié)信息存在丟失。“在正常生活里，只要你的數(shù)據(jù)沒有被廣泛泄露，沒有被有心人專門去做推理和還原，泄露風險其實不太大。”

在易鑫曾經做過的隱私研究中，社交媒體上主動發(fā)布的視頻、照片，一般能推理出的信息主要包括經濟條件、興趣愛好、當前職業(yè)等，但很難被“偷”去做指紋、人臉識別，因為后者對精度和分辨率要求會非常高。

比如，即使有一定素材，用AIGC生成的照片很真實，但很難騙過人臉識別系統(tǒng)。“現(xiàn)在的人臉檢測算法，用到的特征非常多，比如掃臉的時候，系統(tǒng)往往會讓你張嘴、眨眼。另外屏幕變顏色時，它會看你的臉部、眼睛反光是否有對應的響應。”

相對于人臉、指紋這種生物信息泄露，易鑫認為當下更需要警惕的是，不少用戶過于魯莽地使用大模型——為了圖方便，很多人會不加分辨地將截圖、對話、身份信息等上傳給大模型，而沒有充分考慮隱私、安全這些問題。

“Agent現(xiàn)在是隱私和安全的一個重災區(qū)。尤其是很多第三方AI助手，本身開發(fā)門檻已經非常低，這里面就很容易存在安全漏洞，甚至惡意行為。”

以下為對話實錄：

搜狐科技：最近有一個上熱搜的話題，就是“比剪刀手拍照可能有指紋泄露的風險”，您怎么看？

易鑫：理論上來說，我們不太可能通過普通攝像頭拍到原始的完整指紋信息。指紋對于信息識別的精度要求很高，要求的是每一個局部都非常精細。

這意味著攝像頭的分辨率得非常高，如果是現(xiàn)在常見的手機攝像頭，除非把手懟到鏡頭前，否則不太可能構建一個完整的指紋。除非專門拿個相機裝上長焦鏡頭，去懟著人的局部拍，還剛好拍到了完整的指紋輪廓。

并且除了拍攝環(huán)節(jié)，還有傳播鏈路的問題。比如一張很高清的照片，你上傳或者發(fā)布到任何平臺，比如微信朋友圈，基本都會自動壓縮，這些指紋的細節(jié)信息其實就丟失了。

所以在這樣的情況下，我覺得在正常生活里，只要你的數(shù)據(jù)沒有被廣泛泄露，沒有被有心人專門去做推理和還原，泄露風險其實不太大。

搜狐科技：那您覺得最近輿論上的這種擔憂，主要來源于什么？

易鑫：我覺得這其實是一個好跡象，至少說明公眾對生理信息、隱私信息的關注度，已經顯著提升了。

在隱私安全研究領域，有很多研究會比較不同國家、不同文化背景的人，對隱私的重視程度和應對策略。結果發(fā)現(xiàn)，國內用戶對隱私相對沒那么敏感，會更關注是否“好用”，很多人愿意犧牲一部分隱私，去換取便利性。

所以這些年其實有很多研究方向，叫“可用安全/可用隱私”，就是研究怎么讓用戶在可接受的可用性成本下，又能兼顧隱私和安全。這其實是個很有挑戰(zhàn)的事情。

搜狐科技：在最新的研究中，手機拍照能識別出哪些信息？

易鑫：在最近的研究工作中，可以做到通過手機攝像頭，在正常手持拍照的距離內，通過識別臉上的毛細血管等顏色的微小變化，檢測到你的微表情，甚至檢測到你的心跳、血氧等等生理相關信息。

搜狐科技：在社交平臺上上傳照片，有什么風險？

易鑫：我們自己平時也會做一些隱私研究，比如招募志愿者，請他們自愿提供自己在社交媒體上主動發(fā)布的視頻、照片等媒體資源，然后我們會分析，這里面會暴露出發(fā)布者多少隱私信息。

我們發(fā)現(xiàn)，能推理出的信息主要包括經濟條件、興趣愛好、當前職業(yè)等等。比如我看到你戴了個高級手表，可以推測你可能相對比較有錢。至于生物特征，像指紋、人臉，其實對精度和分辨率要求會非常高。

搜狐科技：除了指紋，人臉也是大家關心的話題。社交平臺上的照片，有可能會被“偷”去做人臉識別嗎？

易鑫：在人臉識別技術早期，有張照片就能騙過攝像頭，但安全專家發(fā)現(xiàn)這種方式太容易被攻擊了，人臉識別就進化到看人的三維形狀和輪廓。

再到后面，發(fā)展到大家熟悉的“活體檢測”，就是掃臉的時候，系統(tǒng)往往會讓你張嘴、眨眼，或者變換屏幕顏色，要看你在張嘴、眨眼時，皮膚變化是否符合真人規(guī)律。包括屏幕變顏色時，它會看你的臉部、眼睛反光是否有對應的響應。

所以總體而言，現(xiàn)在的人臉檢測算法，用到的特征非常多，所以也是比較安全的，這也是它現(xiàn)在能在支付、金融等領域廣泛應用的重要前提。

僅基于照片，想訓練一個人臉模型去騙系統(tǒng)，其實還是非常難的。

搜狐科技：現(xiàn)在AI進化得特別快，大家都擔心AIGC生成的照片、視頻會有安全隱私風險，您怎么看？

易鑫：我覺得目前AI生成能力分為三個階段，一是讓真人覺得它自然、不違和，二是讓AI也檢測不出來它是生成的，三是身份驗證，比如人臉、指紋的安全驗證。現(xiàn)在AI大概處于第一和第二階段之間。

AIGC生成得“真實”，只代表它在自然性上做得很好。它看起來像真人，也像目標人物。但“像真人”和“滿足生理身份驗證”，中間其實還有很大的鴻溝。

從安全驗證這個角度來說，目前普通人不用太擔心，比如Face ID要求真實攝像頭接入，指紋識別也要求專門的指紋傳感器。

不過在安全驗證之外，AIGC會帶來很多其他風險，比如它可能模仿你的身份，做一些不合時宜的事情，引發(fā)輿論問題，或者侵犯個人隱私等等。

搜狐科技：為什么大家會特別擔心指紋、人臉等生物信息泄露？

易鑫：過去幾年業(yè)內其實出現(xiàn)過一些案例，有些所謂“黑心廠商”，在存儲用戶密碼或者數(shù)據(jù)的時候，用明文存儲，或者安全措施不到位，導致信息泄露。

如果有些網站把用戶的生理信息，也用不夠安全、不夠加密的方式去存儲，那這個后果就比密碼泄露嚴重得多。因為密碼泄露了，你還能改密碼。但指紋和面容是一輩子都改不了的。一旦泄露，就是真正意義上的永久泄露。

所以很多消費者和普通用戶會對它有天然顧慮，我們做隱私安全研究時，很多人會說：“我知道指紋、面容很好用，也很安全，但我就是怕一次泄露。”

搜狐科技：作為隱私安全領域專家，您自己在社交平臺發(fā)照片、發(fā)視頻時，會特別注意什么嗎？

易鑫：這一塊其實還真沒有什么特別的小技巧。

雖然我們的一些研究發(fā)現(xiàn)，通過社交網絡上的照片、視頻，確實可以推理出很多個人信息。但至少目前，現(xiàn)實社會里還沒有出現(xiàn)大規(guī)模基于這些內容進行攻擊的案例。

攻擊者做攻擊，其實是需要動機的。他們一般是為了勒索、賺錢，或者攻擊公司，而不是單純?yōu)榱朔治銎胀ㄓ脩襞笥讶ΑＫ詫τ谄胀ㄓ脩舳裕膊挥脫牡健榜R上把朋友圈全刪掉”的程度，沒有必要。

搜狐科技：前段時間有報道稱，有用戶讓Kimi翻譯截圖，結果模型突然回復了一個陌生人的完整簡歷。像這種隱私泄露，主要是模型技術問題導致的嗎？

易鑫：第一個問題在于，現(xiàn)在很多用戶處在“瘋狂擁抱AI”的階段，所以什么都往里面?zhèn)鳎热缥募⒘奶煊涗洝⒔貓D、合同，根本不會考慮隱私、安全這些問題。

另一方面，從模型本身來說，它現(xiàn)在也確實不完美。正常情況下，用戶讓它翻譯一個截圖，它應該只返回截圖相關的內容，不應該突然給我一個陌生人的簡歷，所以這顯然是處理錯誤，這既可能來源于模型幻覺，也可能來源于語義理解錯誤、上下文混淆等問題。

搜狐科技：那普通用戶該怎么降低這種風險？

易鑫：我覺得這里面第一步，其實還是用戶自身要建立一些意識，如果你覺得某些內容可能涉及隱私，那就盡量別上傳。

當然也不能只靠用戶自覺，比如我們自己做的一些工作，會研究如何通過交互界面、可視化提示等方式，讓用戶意識到你當前上傳的內容，可能存在隱私風險。

搜狐科技：上傳給大模型的信息是保存在本地的嗎？

易鑫：這個得具體情況具體分析。除非你使用的是“本地部署”的大模型，否則現(xiàn)在絕大部分普通用戶訪問的大模型，都是通過網絡訪問官方服務器的。既然是聯(lián)網服務，那數(shù)據(jù)很多情況下都會上傳到服務器。

當然，技術上確實可以做到“部分本地處理”，比如有些內容只在本地運行，不上傳云端。但公司一般不會主動這么做，因為平臺收集數(shù)據(jù)是有價值的，可以建立更準確的用戶畫像，做推薦、廣告、商業(yè)轉化。

搜狐科技：您覺得在AI時代，哪些隱私安全問題最值得重視？

易鑫：第一類就是“長上下文歷史記錄”，現(xiàn)在很多AI大模型會長期保存你的歷史對話，所以盡量不要在不同時間里，持續(xù)上傳那些能夠互相拼接的敏感信息。雖然每一句單獨看都很安全，但組合起來，可能會暴露很多東西。

第二類是Agent，比如現(xiàn)在很多AI助手，已經不是單純聊天了，而是幫你發(fā)郵件、訂票、操作網頁等等，但問題在于——你想讓它幫你操作，就必須授權。比如你讓AI買12306車票，你就得給它賬號密碼、身份證信息，很多人雖然心里會猶豫，但最后還是會給，所以Agent現(xiàn)在其實是隱私和安全的一個重災區(qū)。尤其是很多第三方AI助手，本身開發(fā)門檻已經非常低，這里面就很容易存在安全漏洞，甚至惡意行為。

第三類是更偏未來的一類風險，比如現(xiàn)在越來越火的具身智能機器人、智能家居、IoT設備，如果這些設備接入大模型，那它的攝像頭、麥克風、各種傳感器都會長期工作。如果系統(tǒng)存在漏洞，理論上就可能被攻擊。

尤其未來如果機器人普及之后，它不僅有攝像頭、麥克風，還能真實執(zhí)行動作。之前一些網絡安全比賽里，就已經有人演示過：機器人系統(tǒng)被攻擊后，會做出異常動作，比如揮拳、撞人等等。甚至還存在設備之間相互傳播攻擊的可能。

運營編輯 |曹倩審核｜孟莎莎