商家公开兜售“人脸数据”？刷脸时代谁来保护人脸信息

眨一眨眼睛手机就能解锁，刷脸能直接通过机场安检……当人们尽享技术给生活带来便捷的同时，与之相伴而来的，还有各种想象不到的陷阱。

近日有媒体报道，有商家在网络商城上公开兜售“人脸数据”。这17万条数据背后，是2000张脸，他们的主人有明星、普通市民，还有部分未成年人。而被采访的当事人表示，自己不仅对自己的“人脸数据”被出售毫不知情，甚至连自己的面部数据是什么时候被采集的都不清楚。这些数据包括带人脸的位置信息，以及人脸的106处关键点，如眼睛、耳朵、鼻子等轮廓信息。

资料图：旅客“刷脸”进站。 图/王刚

售卖这些“人脸数据”的店家，是一位从事人工智能相关工作的技术人员，收集了大量人脸数据，自称出售信息只是为了“挣个饭钱”，并不提供当事人的人名和身份证号等信息。

尽管该商品被举报后下架，但该事件却把一直以来被忽略的人脸信息的数据安全问题摆到了人们面前。特别是近日来在社交软件中一度风靡的换脸游戏，让人们忽然惊觉：假如我的脸被“卖”了怎么办？密码被盗可以换，可我去哪儿换一张脸？

我的脸能证明“我是我”吗？

与指纹、虹膜、DNA一样，人脸识别是基于人脸部特征进行身份识别的一种生物识别技术，被认为可以非常便捷地证明“我是我”。事实上在人们习惯使用人脸识别解锁手机之前，那些立在路边的监控摄像头，藏在手机里的美图软件、猜年龄软件等，都在应用着面部信息识别的技术。

从技术操作的流程来说，人脸识别技术大致需要通过采集、定位、匹配与识别等几大步骤来完成，而它的背后需要有庞大的数据库和精密的电脑计算。

值得注意的是，人脸信息又不同于密码和指纹，它的搜集过程可以是不被察觉的，被识别者可能在没有意识或没有直接接触时，就被采集信息。很多时候人们在“被刷脸”，而自己却连说“不”的机会都没有。你走在路上、坐在地铁里，脸部信息可能就在不知不觉中被搜集走了，可你却丝毫意识不到。

当然，目前已经证明，人脸识别技术用于抓捕危险逃犯、查获拐卖人口以及确认交通肇事逃逸者等维护社会治安稳定的领域，表现出精准高效的优势。很多人认为，“只要我不做违法违规的坏事，我的信息被采集也无所谓。”

“人脸识别技术并没有人们想象得那么安全。”中国图象图形学学会可视化与可视分析专委会秘书长、天津大学软件工程专业教授张加万表示，人脸识别技术近年来发展非常迅猛，很多高校和科研机构都在从事相关研究。现在，专业技术人员可以用技术手段合成二维、三维照片，轻松欺骗电脑系统，让大家相信，那个并不是“我”的人，就是“我”。

这是智能技术带来的安全隐患，即使人脸识别中的活体检测技术，也并非铜墙铁壁般牢靠，“一旦被破解，整个面部识别也就形同虚设了。”

技术远远“跑”在监管前面

电影《碟中谍4》里有一个令人印象深刻的场景：男主角汤姆·克鲁斯戴着神奇的“眼镜”，在人头攒动的火车站行走，一眨眼的工夫已经被认出，随即被特工盯梢。迎面走来美女杀手，手机发出滴滴的报警声，上面已经显示出对方完整的姓名和信息……

如今电影里的设想已经出现在我们真实的生活中。上述报道中，尽管兜售脸部信息的卖家称，自己并未出售相关的个人身份证等信息，但张加万认为，这依旧存在着很大的个人信息泄漏的风险。

通过不同数据库的交叉比对，很容易证明一个人的身份。他举例说，比如一个人留的快递收件人姓名是假名，但他的住址信息在其他数据库中依然有其真实身份信息，只需要几个数据库进行比对，则很容易找到两个名字之间的关联。有了人脸信息，可以实现实时换脸，直接解锁手机、打开门禁、刷脸支付，倘若再配合音频仿真技术，则更具有迷惑性，可能产生一系列的安全问题。

对于人脸识别技术的运用，国际社会早已有所讨论。2013年联合国大会通过决议——“数字时代的隐私权”。其中强调，“尽管对公共安全的关注可说明收集和保护某些敏感信息的合理性”，但各国政府需充分遵守其按照国际人权法所承担的义务，各国应“设立或维护现有的独立有效的国内监督机制，使其能够确保国家通信监控、通信截获以及个人数据收集工作具备适当的透明度并接受问责”。

不久前，科技巨头聚集地——美国旧金山通过法案，成为美国第一个禁止警察和当地政府机构使用人脸识别的大城市。这个法案也引起了不少争议，反对者认为，不应该完全禁用，而应该对如何使用这项技术进行更细致、更全面的规范。

技术显然远远“跑”在了监管的前面。目前在大部分国家，仍然没有关于人脸识别技术及其数据使用的相关立法，人们不知道这些属于自己的数据信息被收集到哪里，又将被如何使用。即使对从事人脸识别技术的研究人员，也看不清其未来发展将走向何方。正如人们往往只看得见浮现于大海中的部分冰山，而隐藏在海面以下的才是更巨大的冰山。

加强人脸特征信息全链条防护

“技术是一把双刃剑。”中国青少年科技辅导员协会人工智能教育专委会一位委员在接受采访时表示，一些隐藏的安全隐患也可能来自误操作等其他原因。比如智能摄像头将数据向云端上传时需要网络传输，这个过程可能会出现数据泄露；也有可能数据管理者与一些不具备足够服务能力的第三方合作出现安全漏洞。当然也不排除一些人为的因素，都可能会导致人脸数据的泄漏。

9月20日举办的金融网络安全论坛上，央行科技司司长李伟表示，在网络空间仅依靠人脸等单一特征进行金融交易验证，存在严重交易隐患。金融机构在相关交易时，人脸数据采集应提前告知用户信息使用的方式，明确获得客户授权。

张加万也提醒，现在对于人脸数据的科普还远远不能让人们充分意识到其隐藏的风险，“很多客户根本看不懂那些授权文件里的内容代表哪些具体内涵，但为了使用那些服务，还是同意了授权。”

“不要简单地将人脸特征作为唯一的交易验证因素，须根据风险等级结合用户口令等其他因素进行多因素认证。”李伟表示，人脸属于弱隐私生物特征，信息误用风险比较大。部分机构高估了弱隐私特征的识别作用，在网络空间仅依靠单一特征进行金融交易验证，存在严重隐患。这是一个需要引起注意的问题，张加万也在各种场合呼吁，在技术仍存在风险的时候，别太急于广泛应用于各种商业领域。

从与老百姓钱袋子直接相关的人脸识别支付应用角度，李伟认为目前线下应用风险相对可控，但也应遵循“用户授权、最小够用”“表达意愿、多重认证”以及“风险补偿、全程防护”原则。他建议要主动建立健全风险赔付资金、保险计划、应急处置等风险补偿机制，综合运用多种信息技术，加强人脸特征信息端到端的全链条安全防护。

中国青年报·中国青年网记者 胡春艳 来源：中国青年报