人脸识别技术在智能手机上已经是标配，今天的我们刷脸解锁、刷脸支付就像吃饭喝水一样自然，以至于疫情期间戴口罩无法解锁手机时，我们会感到很不习惯。在享受便利的同时，却鲜有用户去关心安全问题。虽然手机厂商往往会在发布手机的时候宣称「破解人脸识别的几率低至百万分之一」，但双胞胎解锁对方手机的事情仍然偶尔会上新闻。
最近一段时间，来自清华的 RealAI（瑞莱智慧）向我们展示了一项更为简单的攻击技术。
在一副眼镜的攻击下，19 款使用 2D 人脸识别的国产安卓手机无一幸免，全部被快速破解。具体来说，RealAI 团队选取了 20 款手机做了攻击测试，覆盖不同价位的低端机与旗舰机。测试者佩戴了一副含有对抗样本图案的眼镜，制作这副眼镜的成本很低：借用一台打印机，加上一张 A4 纸。最终，除了一台 iPhone11，其余安卓机型全部解锁成功，完成整个破解过程只花了 15 分钟。
攻击测试人员成功解锁手机后，任意翻阅机主的微信、信息、照片等个人隐私信息，甚至还可以通过手机银行等个人应用 APP 的线上身份认证完成开户。
RealAI 团队表示，这一攻击测试主要利用了人工智能算法存在的「对抗样本」漏洞，但不同于之前的攻击尝试主要在实验环境下进行，而这次手机的攻击测试则佐证了这一安全漏洞的真实存在性。RealAI 表示，这是世界唯一通过 AI 对抗样本技术攻破商用手机人脸解锁的案例。更为严重的问题在于，这一漏洞涉及所有搭载人脸识别功能的应用和设备，一旦被黑客利用，隐私安全与财产安全都将受到威胁。
对抗样本攻击的概念其实并不新颖，2013 年，Google 研究员 Szegedy 等人发现机器学习容易遭受欺骗，通过故意在数据源上添加细微扰动，就可以让机器学习模型作出错误输出，对抗样本攻击也被视为 AI 安全领域的一大隐忧。在某些神经网络中，这张图像被认为是熊猫的置信度是 57.7%，且其被分类为熊猫类别的置信度是所有类别中最高的，因此网络得出一个结论：图像中有一只熊猫。
但是，只需要添加少量精心构造的噪声，可以得到一个这样的图像（右图）：对于人类而言，它和左图几乎一模一样，但是网络却认为其被分类为「长臂猿」的置信度高达 99.3%。
RealAI 团队本次实现的攻击却真正打破了「难以复现」的情况，一方面证实了对抗样本攻击的切实威胁，一方面也印证了人脸识别这项数千万人都在使用的应用技术正面临全新的安全挑战。近年来，关于人脸识别的争议一直存在，此前也陆续曝光过「一张打印照片就能代替真人刷脸」、「利用视频欺骗人脸身份认证」、「打印 3D 模破解手机人脸解锁」等等安全事件。
RealAI 表示，现有的人脸识别技术可靠度远远不够，一方面受制于技术成熟度，另一方面受至于技术提供方与应用方的不重视。「顺利解锁手机只是第一步，其实我们通过测试发现，手机上的很多应用，包括政务类、金融类的应用 APP，都可以通过对抗样本攻击来通过认证，甚至我们能够假冒机主在线上完成银行开户，下一步就是转账。」未来是否会有专门的产品与技术来应对对抗样本攻击？RealAI 的回复是，这是一定的。
而且他们目前已开发了相应的防御算法能够协助手机厂商进行升级。