杭州中院近期公布的一起案件，戳破了很多人對“刷臉安全”的幻覺：兩名不法分子用網絡收集來的照片，通過AI生成點頭、眨眼、搖頭等動態視頻，再用虛擬相機替換攝像頭輸入，繞過購物平台活體核驗，非法登錄近30個賬號，盜取並售賣個人信息，還違規提供虛假實名認証。法院判令二人公開道歉，並支付公益損害賠償金5857元。

金額不大，但信號很強。過去人們常說，密碼可能泄露、驗証碼可能被攔截，臉總偷不走。如今，這張“最像自己的鑰匙”也可能被復制。問題不只是AI偽造技術變強了，更是部分平台核驗機制升級慢了。依賴“指定動作”判斷真人的傳統活體檢測，面對AI合成視頻和視頻流注入，已經顯得單薄。

更值得追問的是平台責任。有的平台匆匆上線人臉核驗，卻把低成本的單一動作校驗當成主要防線﹔有的明知虛擬相機、視頻流注入已是新型攻擊手法，卻不能及時升級﹔還有的核驗能力來自第三方服務商，自身不掌握底層算法，出事后容易互相推諉。平台不能因為採購了第三方服務，就免除個人信息保護和安全防護責任。

制度層面並非沒有依據。《人臉識別技術應用安全管理辦法》明確，能實現同等目的時，不得把人臉識別作為唯一驗証方式﹔處理人臉信息前應開展個人信息保護影響評估，達到一定規模還需備案。最高法今年發布的涉人工智能糾紛意見也明確，未經同意利用AI生成可識別自然人的虛擬形象並使用的，構成人格權益侵害。這意味著，刷臉不能隻圖方便，更應按高風險個人信息處理活動來管理。

平台和技術服務方必須主動進化。核驗從“單次動作過關”升級為多信號交叉驗証，在高逼真度AI攻擊樣本基礎上開展紅隊測試，疊加設備可信驗証、視頻流注入檢測、生理活體特征分析和多因素身份認証。監管部門繼續嚴查AI偽造人臉黑灰產鏈條，推動攻擊樣本共享、漏洞通報和動態測評，讓偽造技術可識別、可追溯、可追責。

對個人而言，也要更新安全認知：不隨意向不可信渠道提供高清正臉照、証件照和動態視頻﹔支付、登錄等敏感場景盡量開啟短信、郵箱、設備鎖等二次驗証﹔發現異常登錄及時凍結賬號並留存証據。

刷臉、眨眼，本意是為了讓人們更安心地享受數字生活。但技術越便利，越不能把安全寄托在“看起來像本人”的單一判斷上。面對AI深度偽造的加速演進，平台要升級、監管要跟進、個人要警惕，共同把數字生活的安全底線扎得更牢。