公共場所商業攝像頭人臉識別技術的安全風險

刷臉支付、刷臉打卡、刷臉門禁……近年來，人臉識別作為一項新的信息技術在各領域得到廣泛應用，同時因此產生的個人信息侵權糾紛也隨之而來。

相比于其他生物特征，人臉信息還具有易于獲取、獲取過程無感化、與個人身份關聯緊密等特性。某國際互聯網數據公司技術人士直言，人臉信息與個人身份之間的關系可謂“一目了然”，一旦建立其關聯信息，風險較大。

人臉識別技術的基本情況

人臉識別是指能夠識別或驗證圖像或視頻中的主體的身份的技術。首個人臉識別算法誕生于七十年代初。自那以后，它們的準確度已經大幅提升，現在相比于指紋或虹膜識別等傳統上被認為更加穩健的生物識別方法，人們往往更偏愛人臉識別。讓人臉識別比其它生物識別方法更受歡迎的一大不同之處是人臉識別本質上是非侵入性的。比如，指紋識別需要用戶將手指按在傳感器上，虹膜識別需要用戶與相機靠得很近，語音識別則需要用戶大聲說話。相對而言，現代人臉識別系統僅需要用戶處于相機的視野內即可，使得人臉識別成為了對用戶最友好的生物識別方法。這也意味著人臉識別的潛在應用范圍更廣，因為它也可被部署在用戶不期望與系統合作的環境中，比如監控系統中。人臉識別的其它常見應用還包括訪問控制、欺詐檢測、身份認證和社交媒體。

技術原理及模式

人臉識別技術的核心實際為“局部人體特征分析”和“圖形/神經識別算法”。人臉檢測是指在動態的場景與復雜的背景中判斷是否存在面像；人臉跟蹤是指對被檢測到的面貌進行動態目標跟蹤；人臉比對是對被檢測到的面貌進行身份確認或在面像庫中進行目標搜索。

在日常生活中主要有兩種用途，一是用來進行人臉驗證，驗證“你是不是某某人”，還有一種用于人臉識別，驗證“你是誰”。1:1模式，其身份驗證模式本質上是計算機對當前人臉與人像數據庫進行快速人臉比對，并得出是否匹配的過程，可以簡單理解為證明你就是你；1:N模式，即系統采集了“我”的一張照片之后，從海量的人像數據庫中找到與當前使用者人臉數據相符合的圖像，并進行匹配，找出來“我是誰”；M:N模式，是通過計算機對場景內所有人進行面部識別并與人像數據庫進行比對的過程。

主要問題和風險分析

隨著大數據、人工智能、云計算、5G等技術迅猛發展，人臉識別技術獲得了廣泛應用空間。手機解鎖、身份驗證、上班打卡等，人臉識別技術在金融、醫療、安檢、支付、文娛等諸多領域得到普及，這為數字經濟社會發展和人們日常生活帶來了新機遇。帶來便捷的同時，各類風險隱患層出不窮。現行的人臉識別技術，無論是在收集、保管還是使用的環節，都存在諸多的問題。

一是獲取人臉識別數據未征得被收集人同意。面部的生物數據明顯屬于個人信息，即便按現在的法律規定，人臉識別的收集環節也涉嫌嚴重的違法甚至犯罪。因為很多場合對個人面部數據的獲取，根本沒有征得被收集人的同意，難以認為是依法取得。

二是信息告知不充分。由于信息告知不充分，包括收集的主體、收集的數據范圍、使用目的及范圍、保護措施與相應風險等均未予明示。

三是缺乏合法監管。目前對于收集方獲取的人臉識別數據的管理，缺乏完善的監管。

四是數據存儲存在安全隱患。由于個人的生物學數據具有穩定不變性，一旦泄露，所帶來的潛在的安全風險，遠比手機號與賬戶信息的泄露更為嚴重。

五是商業化落地不當。隨著數字經濟的發展，競爭規則、數據規則和消費者保護規則存在競合趨勢，人臉識別殺熟就是其中典型代表。另外還存在歧視問題：研究表明，人臉可以顯示性傾向，且預測結果大部分正確。所以，同性傾向的人很可能會成為歧視對象。

“護臉”需要監管與技術并行

發展與安全并重，監管部門多措并舉推進人臉安全應用。技術上的“護臉”創新也在不斷涌現：

提升人臉數據多維性。源頭數據采用3D多維人像采集，讓人像更加立體多維，從而避免人臉遭仿冒。

提升人臉識別精準度。通過模型和算法提高真偽判別。

保障人臉識別系統安全性。對人像識別做二次驗證；防范API接口被篡改劫持，保證輸出效果、生成網絡效果的真實、發現設備和系統端口、通訊的異常；及時預警，防止灌入虛假人像、混淆真假人像、庫內人像信息被篡改；保證人臉數據存儲以及傳輸的完整性、機密性等。

提升人臉識別應用的風控能力。通過全生命周的安全管理，增強人臉識別從源頭到應用全鏈條的預警、攔截、防護能力，提升人臉識別應用的風險預警及安全防護能力。

這幾年，我國相繼頒布了《民法典》、《數據安全法》和《個人信息保護法》，構建起我國數據安全與個人信息保護的基本框架。人臉信息是個人信息的重要組成部分，具有不可更改等特殊性，需要比一般個人信息更為嚴格的保護。日前發布人臉識別測試國家標準《信息技術 生物特征識別 人臉識別系統測試方法》（GB/T 42981—2023），已經于2024年1月1日開始實施，《標準》注重于人臉識別系統的安全性和可靠性，提出了人臉識別系統的安全測試方法，包括對人臉識別系統的抗攻擊能力、抗干擾能力、抗異常能力等進行測試，評估人臉識別系統的安全性能和風險水平，防范和減少人臉識別系統的安全威脅和隱患。適用于各種人臉識別系統的測試，包括基于云端、邊緣和終端的人臉識別系統，以及基于不同場景和應用的人臉識別系統，如安防、金融、教育、醫療、娛樂等。可作為人臉識別系統的技術參考和評價依據，為人臉識別系統的設計、開發、采購、部署、運維、監管等提供指導和支持。

新《標準》的制定和實施，將為人臉識別產品進行測試檢驗或認證服務提供有效指導，從而促進人臉識別行業的規范治理和健康發展。