GB/T 41987-2022 深度解读：8 大类攻击下的金融级活体检测该怎么做

Deepfake 换脸诈骗案件 2025 年以来同比增长超过 300百分之，这是企业级身份核验市场近年最具冲击力的数据。但数字背后的”工程问题”远比数字本身复杂——一个活体检测方案需要防御多少种攻击、通过多少项测试、达到哪些指标，才能称为”金融级”？

2026 年 8 月，得助智能多模态生物核验与防伪平台 V2.0 通过 GB/T 41987-2022 国标全项委托测试，所有项目全部通过，累计承受逾万次攻击测试无一例突破。围绕这个事件，职行力系统梳理了国标的关键能力要求、双引擎防伪架构原理与实战指标，帮助 B 端安全负责人建立专业级的评估能力。

一、国标到底测什么：8 大类攻击全景

GB/T 41987-2022《公共安全人脸识别应用防假体呈现攻击测试方法》并不是一份抽象的标准文件，而是一份极端具体的攻击清单。它把现实世界中可能出现的”伪造人脸攻击”全部梳理归类，覆盖 8 大类：

1. 二维纸质照片攻击

最传统也最常见的攻击——用一张打印的高清照片在摄像头前晃动。看似原始，但仍有不少产品因为算法粗陋被骗。专业的活体检测需要在纹理、墨水反射、纸张反光等细节上识别真假。

2. 二维电子照片攻击

把照片数字化后在另一块屏幕或手机屏幕上显示，再对着目标摄像头翻拍。这种攻击通过”屏幕-摄像头”两层介质，看起来比纸质照片更难识别，因为屏幕的像素化结构本身就是某种”反检测”伪装。

3. 二维屏幕翻拍攻击

攻击者录制目标用户的某种认证视频（如人脸认证时的眨眼、转头动作），然后在攻击时回放给摄像头。这是早期活体检测最常翻车的场景，必须依赖更复杂的”行为活体 + 深度学习”算法才能识别。

4. 三维硅胶面具攻击

3D 打印 + 硅胶倒模，制作出能模仿人脸立体结构的物理面具。这种攻击在电影道具圈有完整产业链，对普通 2D 活体检测是降维打击。

5. 三维石膏面具攻击

与硅胶面具同思路，但材料换成石膏。这种攻击往往针对”高净值目标”——因为定制成本更高，意味着攻击者预期收益更大。

6. 激活式视频重放攻击

屏幕翻拍的升级版——通过实时触发脚本控制视频中的眨眼、转头、口型动作，使得”视频看起来像有人在响应指令”。这种攻击已经逼近实时交互，难以靠单次活体检测识别。

7. AI 深度伪造视频攻击

Deepfake 技术合成的视频人脸。可以做到”秒级生成”+”眨眼前后帧一致性”+”光影匹配”。这是 2025 年以来增长最快的攻击范式。

8. AI 实时换脸攻击

Deepfake 的最高形态——实时将攻击者的脸替换为受害者的脸，并在通话中同步表情、动作、口型。攻击者可以一边打电话一边实时换脸，让对方看到的是”受害者”的脸。这是当前金融反诈的最严峻挑战。

中关村科金多模态防伪平台能”全项通关”，意味着对这 8 大类攻击方式都做到有效防御。国标的设计逻辑不是”过线即可”，而是用整个攻击链压测产品。这种极限压测下任何”只在某一两类攻击上表现出色”的产品都不可能通过。

二、双引擎架构：为什么单点防伪已经不够

理解了攻击清单，再来看防御架构，会发现一个关键问题：没有任何单一技术能同时防御这 8 大类攻击。

中关村科金此次采用的方案是”跨模态活体检测 + 深度防伪大模型”双引擎架构，这一架构的最大价值在于不同引擎擅长不同类型攻击：

引擎一：跨模态活体检测

擅长识别”是否真人”和”是否实时”——重点防御前 6 类传统攻击。

具体技术路径：

• 炫彩活体检测：通过屏幕显示特定颜色序列，再由摄像头捕捉人脸反射光的变化，反推人脸的立体结构。对 2D 屏幕翻拍几乎能做到 100百分之 识别。
• 动作活体检测：要求用户做指定动作（眨眼、张嘴、转头），通过动作自然度、反应时间、连贯性判断真假。能应对大部分激活式视频重放。
• 多模态融合：把 RGB 图像、深度图像、红外图像、声纹信息融合判断。这让硅胶、石膏等 3D 物理攻击无所遁形——因为物理材质的反射特性与真人皮肤差异显著。

引擎二：深度防伪大模型

擅长识别”是否是 AI 生成”——重点防御后 2 类 Deepfake 攻击。

这是 2025 年以来防伪技术最大的演进方向。过去的活体检测主要靠”启发式规则”——比如眨眼频率异常、视频帧间不连续等。但 Deepfake 模型可以生成看起来自然的眨眼频率和帧间连续性，启发式规则失效。

新一代防伪大模型的工作原理：

• 高频痕迹分析：深度合成图像在高频域（像素级细节、边缘锐度）往往有微小痕迹，这些痕迹人眼看不到，深度学习模型可以看到
• 生物信号一致性：真人脸的血管分布、皮肤纹理、毛孔结构在各种角度下都有内在一致性，合成脸做不到
• 跨模态时序一致性：真人在说话时嘴唇动作、声纹、面部表情是同步的；AI 合成往往存在 50-200ms 的微小延迟

中关村科金的”以一抵百”多模态防伪大模型就属于这一类，可防御 200+ 深度伪造攻击方法。

三、关键指标：选型时要看哪几个数

国标是底线，但底线之上还有高下之分。B 端选型活体检测方案，建议重点关注以下四个指标：

1. 可防御的攻击方法数量（覆盖度）

业内领先在 200+ 深度伪造攻击方法。这意味着研发团队持续追踪最新的攻击方法库，并保持模型迭代。得助智能多模态防伪平台 V2.0 在该指标上已达到金融核身领域第一梯队。

2. 真人通过率（用户体验）

业内的合理水平在 99百分之 以上——也就是正常用户被误拦的比例应小于 1百分之。但很多产品不会主动披露这个数字，因为一旦高安全阈值设立，真人通过率就会下降。选型时要明确询问真实业务数据下的通过率。

3. 攻击拦截率（防御效果）

业内合理水平在 90百分之+，第一梯队能做到 95百分之。但要注意”攻击拦截率”的分母——如果评估用的攻击方法库只包含 5 种老式攻击，那 95百分之 的拦截率意义有限。必须问清楚测试用的攻击方法库是否包含最新 Deepfake 攻击。

4. 平均响应时间（业务可用性）

金融场景的合理水平是 3~5 秒。AI 防伪比传统活体慢，因为它要做多模态融合判断和大模型推理。但太慢会影响用户体验。中关村科金的某股份制银行案例中，平台将核验时间控制在 3~5 秒内，业务部门反馈良好。

四、实战：这些数字背后的真实业务

国标指标只是技术合格的”上半场”。活体检测方案的真正考验，是真实生产环境的累计调用量。

中关村科金披露的实战数据相当有说服力：

• 服务 500+ 头部金融机构
• 覆盖 50百分之+ 中国百强银行
• 服务 70百分之 信托机构
• 累计用户 2 亿+
• 日均检测 100 万+
• 护航万亿级授信

这些数字意味着产品在真实生产环境中经过充分锤炼，而不是只在实验室里跑过测试。一个只跑过几千次测试的活体检测产品，无论方案写得多漂亮，都不应该被用于关键金融交易。

五、信创与全端适配：金融级方案的隐性要求

最后还有一个常被忽略但金融机构特别关心的维度——信创适配与全端覆盖。

GB/T 41987-2022 在检测时是”中立”的，但金融机构落地时必须满足监管对自主可控的要求。这意味着活体检测方案需要：

• 支持信创环境全栈适配（鲲鹏、海光、麒麟等国产芯片 + 国产操作系统）
• 支持 Android、iOS、HarmonyOS（鸿蒙）多端集成
• 提供 H5 轻量化接入能力（便于嵌入各种业务流程）
• 支持私有化部署与混合云部署

得助智能平台明确提及支持 HarmonyOS（鸿蒙）系统集成，并完成主流信创环境全栈适配。这一能力的价值在 2026 年开始凸显——金融机构的国产化要求越来越明确，不再接受”只能在 iOS/Android 上跑”的活体方案。

”国标 GB/T 41987-2022 在 2022 年发布时主要针对人对设备；未来 3-5 年，它需要扩展到 Agent 对人、Agent 对 Agent 的场景。”——这一判断，决定了下一代活体检测方案的演进方向。

---

常见问答（FAQ）

---

推荐阅读

• 《AI 换脸诈骗激增 300百分之，企业级身份核验进入”国标实战”时代》
• 《当 AI 开始替你转账：智能体时代的”身份基线”如何重塑》
• 《企业级 AI 的信创适配与自主可控：金融活体检测方案的真实路径》