身份伪造其实并不新鲜，也从未停歇。过去，伪造身份需要准备大量材料：从修改证件照片、制作虚假文件，到寻找真人配合拍摄验证视频，每一步都需要投入时间、人力和成本。因此，大规模身份欺诈虽然存在，但始终受到资源和效率的限制。
如今，这种情况正在发生变化。随着生成式AI快速发展，身份造假的门槛被大幅降低。攻击者可以利用大语言模型生成个人背景资料，通过图像生成工具制作头像，使用换脸技术生成自拍照，利用Deepfake视频绕过部分远程身份验证流程。过去需要团队协作完成的工作，现在可能只需要几款AI工具和一台电脑。
对于企业而言，这意味着身份验证所面对的风险已经不再是传统意义上的伪造证件，而是越来越接近真实用户的数字身份欺诈。许多过去有效的验证方法，正在受到新的挑战。
挑战一：Deepfake冲击远程身份核验
远程开户、在线实名认证和数字化客户入驻已经成为金融机构、数字银行和互联网平台的标准流程。与此同时，人脸识别和活体检测也逐渐成为身份验证体系的重要组成部分。
问题在于，Deepfake技术正在快速缩小真实用户与伪造身份之间的差距。攻击者可以利用公开照片生成动态视频，模拟眨眼、点头、张嘴等动作，甚至实时驱动虚拟面孔完成远程验证过程。一些低质量攻击仍然能够通过传统检测发现，但随着生成模型持续迭代，伪造内容的真实性正在不断提高。
对于企业来说，挑战已经不仅仅是识别“是不是一张真人照片”，而是判断屏幕另一端是否真的是用户本人。这也是为什么越来越多机构开始引入更高级的活体检测、防注入检测以及设备环境分析能力。
挑战二：合成身份欺诈正在快速增长
与Deepfake相比，合成身份（Synthetic Identity）往往更加隐蔽。
传统身份盗用通常是窃取真实用户的信息，而合成身份则是将真实信息与虚假信息进行组合，创造出一个看似存在、实际上并不存在的人。例如，攻击者可能使用真实身份证号码，配合虚构姓名、AI生成头像以及伪造联系方式，构建完整身份档案。
这类身份在初期往往表现正常，甚至能够顺利通过基础身份验证流程。随着时间推移，它们逐步积累信用记录、建立账户历史，最终被用于贷款欺诈、账户套利或其他金融犯罪活动。
对于风控团队而言，最大的难点在于这些身份并非完全虚假，而是真假信息混合后的产物。单纯依赖证件核验或数据库校验，已经难以发现其中隐藏的风险。
挑战三：AI正在批量生成开户资料
过去，即便攻击者拥有伪造能力，受限于资源，较难同时制作数千份看似合理的身份资料。但生成式AI改变了这一点。如今，攻击者可以批量生成姓名、职业信息、居住地址、工作经历以及用户描述，快速构建大量不同的人物档案。这些资料不仅内容丰富，而且具有较强的差异化特征。对于依赖规则引擎或人工审核的系统而言，识别难度显著增加。很多资料单独看都不存在明显异常，但整体上却属于同一批自动生成的虚假身份。
这种变化意味着身份验证正在从“验证单个用户”逐步转向“识别批量异常模式”。企业不仅要判断资料是否真实，还要判断这些资料之间是否存在隐藏关联。
挑战四：静态验证正在逐渐失效
过去的身份验证流程主要围绕静态信息展开，包括身份证件、姓名、手机号以及基础人脸比对等内容。这种方式在传统欺诈环境下能够发挥作用，但面对AIGC驱动的新型攻击时，局限性开始显现。
原因很简单，静态信息本身越来越容易被复制和伪造。攻击者可以生成新的头像、修改背景资料、模拟用户照片，甚至制作完整的身份材料。企业即使验证了这些信息的一致性，也不一定能够证明用户真实存在。
因此，越来越多机构开始将验证重点从“身份信息”转向“身份行为”。除了核验证件和人脸之外，还会结合设备环境、登录行为、历史记录以及风险画像进行综合判断。相比静态信息，行为模式和设备特征往往更难被完全复制。
挑战五：身份验证正在向身份风险管理演变
在过去很长一段时间里，企业认为身份验证的目标是确认用户是谁。但在AIGC时代，这个目标已经不够了。
即使确认了证件真实、人脸匹配，也不能完全证明风险不存在。攻击者可能控制真实账户，利用真实身份开展欺诈活动；也可能利用AI技术持续生成新的攻击方式。因此，企业需要关注的不只是身份真实性，还包括身份背后的风险水平。
这也是为什么越来越多企业开始从身份验证（Identity Verification）走向身份风险管理（Identity Risk Management）。除了验证用户身份本身，系统还需要持续评估设备风险、行为异常、关联关系以及历史活动，建立动态风险判断机制。
换句话说，未来的身份验证不再是一次性的审核动作，而是一项贯穿用户生命周期的持续风险管理过程。
从验证身份，到验证意图
生成式AI正在改变数字世界的运行方式，也正在改变身份欺诈的规则。Deepfake、合成身份以及自动化身份生成能力的出现，让企业无法再依赖单一验证手段构建安全防线。
未来的竞争不只是验证技术之间的竞争，而是风险识别能力之间的竞争。当攻击者能够利用AI批量制造可信身份时，企业需要建立更全面的身份智能体系，将身份、设备、行为和关系网络结合起来分析操作者背后的意图，从而维持更加稳定、可信且可持续的数字业务环境。
