为什么人脸识别扫一下就能付款，不怕被照片、面具骗过去吗？

不知道你每次在超市或者便利店刷脸付款的时候，心里有没有闪过一个念头：这玩意儿对着脸扫一下就把钱扣了，我要是拿张高清照片对着镜头，能不能白嫖一瓶可乐？再狠一点，整个 3D 面具戴脸上，是不是能直接把别人账户里的钱转走？

说实话，有这想法太正常了。毕竟早年人脸识别刚出来的时候，确实闹过拿照片就能解锁手机的笑话。但发展到今天支付级别的人脸识别，你要是还觉得一张照片就能蒙混过关，那就太小看这背后的技术攻防战了。

先说最基础的照片攻击，现在基本已经被彻底封死了。你以为摄像头只是在给你拍张照比对五官？根本不是。

现在主流的支付设备和高端手机，用的都是 3D 结构光技术，简单说就是往你脸上投射几万个肉眼看不见的红外点阵，通过反射回来的时间差算出你脸上每一处的深度，直接建一个立体的人脸模型。

你拿张照片过去，整个平面的深度数据都一样，系统一眼就能识别出来这是张纸，连第一关都过不了。哪怕你用高清屏幕播放视频，本质上还是个平面，照样一测一个准。

那有人会说，照片不行，我整个高仿真的硅胶面具总可以了吧？也没那么容易。先不说做一个能以假乱真的 3D 面具成本有多高，就算你真做出来了，还有红外纹理检测在等着。

真实的人类皮肤在红外线下的反射率，和硅胶、塑料完全是两码事，就像你用手电筒照手和照塑料瓶，透出来的光根本不一样。更不用说现在的系统还会分析微表情 —— 你眨眼的时候眼周肌肉的细微牵动，张嘴时脸颊的自然褶皱，这些极其细微的生物特征，再精致的面具也复刻不出来。

当然，道高一尺魔高一丈，这几年 AI 换脸技术发展很快，也确实出过事。去年南京就有一起案子，有人用 AI 换脸生成动态视频，骗过了个别平台的人脸识别，盗刷了一万多块钱。

但你仔细看就会发现，这种攻击成功率极低，被告人试了好多个平台，也就只在某一个平台得逞了。因为现在主流的支付系统早就防着这一手了，除了静态的生物特征，还会加随机动态指令 —— 一会儿让你摇摇头，一会儿让你眨眨眼，甚至让你念一串随机数字。

AI 生成的视频都是提前渲染好的，根本没法实时响应这种随机指令。更先进的还有炫彩活体检测，屏幕快速闪烁不同颜色的光，捕捉你脸上的光影变化，真实皮肤的光学反射规律，AI 目前还模拟不了这么精准。

说句实在的，真正发生过的刷脸盗刷案例，绝大多数都不是技术被攻破了，而是人被骗了。比如前阵子抚州那个案子，骗子谎称帮人解封微信，哄着受害者对着镜头做眨眼摇头的动作，背地里偷偷走了支付流程。还有更早的趁女朋友昏睡，扒着眼皮刷脸转账的，这些本质上都是社会工程学攻击，就好比你把密码亲口告诉别人了，再安全的锁也没用。

而且现在监管也盯得很紧，2025 年专门出台了人脸识别支付的安全标准，明确要求不能把人脸识别作为唯一的验证方式，人脸数据必须加密存储，甚至很多数据直接在本地安全芯片里处理，根本不上传服务器。说白了，你的脸在系统里只是一串不可逆的特征码，连服务商都还原不出你的真实长相。

总的来说，支付级人脸识别的防伪能力已经做到了 99.99% 以上，普通的照片、面具在它面前跟纸糊的一样。真正需要当心的，从来不是技术漏洞，而是那些借着 "刷脸验证" 的名义骗你对着镜头做动作的套路。毕竟再坚固的城门，也架不住有人主动给敌人开门。