最近，复旦大学计算机科学技术学院张军平教授的一段科普视频又被翻了出来，再次冲上热搜。他说了一句话：做人脸认证的时候，一定要穿衣服。
很多人第一反应是笑，但看完他的解释之后，大概率笑不出来了。
屏幕上的那个圈，骗了所有人。
你打开手机做人脸验证的时候，屏幕中间会出现一个椭圆形的框，提示你把脸放进去。你看到的画面就是那个框里的内容，你的脸，加上一点脖子和肩膀。
但张军平教授指出了一个绝大多数人不知道的事实：摄像头并不是只看到圆的这一块的内容，它其实全部都看到了。
屏幕上那个椭圆形框，在技术上叫掩码。它的作用是引导你把脸对准位置，方便系统采集面部信息。但掩码只是前端显示的一个遮罩，后端系统接收到的画面，是整个前置摄像头视野范围内的全部图像。
手机前置摄像头的视场角（FOV）通常在68到80度之间，部分广角前置摄像头甚至超过80度。这个角度意味着什么？意味着当你举着手机对准自己的脸时，摄像头实际捕捉到的画面范围远远大于屏幕上那个小圈,你的上半身、背后的环境、旁边的人，都有可能被完整拍到。
你以为系统只看到了你的脸，但系统看到的，可能是你的整个上半身。
这在什么场景下会出问题？
洗完澡没穿衣服、早上刚起床衣衫不整、躺在床上随手一刷，这些场景下做人脸验证，你的身体信息、居家环境、甚至身边的隐私物品，全部可能被摄像头采集。
你觉得自己只是刷了个脸，但后端收到的可能是一张包含大量个人隐私的全画幅照片。
一、为什么非要你张嘴摇头？
做人脸验证的时候，系统经常会让你做一些动作：眨眨眼、张张嘴、左右摇头、上下点头。很多人觉得烦，不理解为什么不能直接拍一张照片完事。
这背后有一个真实的安全问题。
养老金冒领问题在中国长期存在。一些已经去世的老人，其家属没有上报死亡信息，继续用老人的身份冒领养老金。
据2025年国务院审计署报告，重点审计的25省企业职工、机关事业单位和城乡居民基本养老保险基金中，发现各类问题金额601.61亿元，涉及挪用、骗取、冒领等行为。仅安徽一省，就比对发现约9800名疑似养老金冒领人员。早期的身份验证只需要提交一张照片，冒领者拿着去世老人的照片就能通过验证。
为了堵住这个漏洞，活体检测技术应运而生。
活体检测的核心目的只有一个：确认屏幕前的是一个活着的真人，不是一张照片、一段视频或一个3D面具。
二、技术上怎么实现？
系统会随机发出动作指令：眨眼、张嘴、摇头、点头，然后通过算法分析连续多帧图像中面部关键点的位置变化。
比如让你张嘴，系统会检测上下嘴唇的距离是否超过了设定的阈值；让你摇头，系统会计算鼻尖和两耳位置的相对变化是否符合真实的三维头部运动模式。
照片做不到这些动作，普通视频也很难精确匹配随机指令的时序要求。这就是为什么系统不让你安安静静拍一张照片，静态照片无法证明你是活人。
当然，技术在升级，攻击手段也在升级。
据安全内参报道，黑产团伙已经能利用AI技术，根据一张静态证件照生成包含眨眼、张嘴等动作的虚假视频，尝试绕过活体检测。这也是为什么越来越多的手机开始搭载3D结构光人脸识别，通过向面部投射数万个不可见红外光点，构建三维面部模型，比2D活体检测的安全等级高出一个量级。
技术和安全的攻防，从来没有停过。
三、你的脸，比你想象的值钱
说完技术，说说更让人不安的事，人脸识别的普及在今天已经太广泛了…但安全问题呢？
2024年，中国人脸识别市场规模达到104亿元，应用场景覆盖安防（占比54%）、金融（16%）、娱乐（10%）、医疗（7%）、电商零售（6%）等几乎所有行业。你坐地铁刷脸进站，上班刷脸打卡，手机刷脸解锁，付款刷脸支付，一天下来，你的脸可能被采集了十几次。
可这些脸部数据，最终去了哪里？
据安全内参报道，此前曾有17万条人脸数据在网上被公开售卖，涉及多位当事人的照片和面部特征数据，当事人对此完全不知情。黑产团伙利用获取到的证件照和人脸数据生成AI视频，绕过平台的人脸验证环节，强行登录用户账号，窃取订单信息和资金。
人脸数据和密码有一个根本区别：密码泄露了可以改，脸泄露了改不了。你这辈子就这一张脸，一旦你的面部生物特征信息被窃取并建模，这个风险是终身的。
2025年6月1日起施行的《人脸识别技术应用安全管理办法》对此做出了明确规定：使用人脸识别技术必须论证其必要性，必须为用户提供非人脸识别的替代验证方式，必须做个人信息保护影响评估并留存记录。也就是说，不是所有场景都有权采集你的人脸信息，强制刷脸且不提供替代方案的行为本身就涉嫌违规.
2025年8月，重庆南岸区网信办开展了整治人脸识别技术滥用的专项行动，对个别企业人脸信息存储量达10万人的情形，明确要求依法向市网信办备案。10万人的人脸数据，集中在一家企业的服务器上，一旦被攻破，后果不堪设想。
