人脸活体检测：识别真假人脸防攻击

可视化演示

展示活体检测的攻击类型、纹理特征分析与多模态检测流水线，切换模式查看防伪核心技术。

攻击方式入侵

自从大厦安装了人脸识别闸机，各路“冒牌访客”就盯上了它。有人把领导的照片打印出来贴在纸板上，有人举着手机播放领导的视频，还有人花大价钱定制了硅胶面具。门卫小张每天站岗，就是在和这些“冒牌货”斗智斗勇。他发现，冒牌货越多，越说明一个道理：每种攻击都有破绽，关键是把破绽找出来。

在技术世界里，这些冒牌访客对应着四类典型攻击。照片攻击成本最低，把目标的人脸照片打印出来或直接放在屏幕上；视频重放用手机或平板播放目标的录屏，能模拟出眨眼、摇头等动作；3D面具按真人头部建模，立体感强、贴合轮廓，是最难防的类型；还有高质量打印攻击，用高像素打印机和特种纸张还原皮肤纹理，试图骗过纹理检测。

如何防御？第一步是“知己知彼”。攻击方式的分类决定了检测算法的设计目标：照片攻击要抓“平面感”，视频重放要抓“屏幕感”，面具攻击要抓“材质感”。活体检测系统就像小张一样，先摸清骗子们的套路，再针对性出招。

静默活体

小张练就的第一招叫“瞄一眼”。访客不用做任何事，小张站在原地扫一眼就能判断真假，就像老练的店员一眼识别出钞票真伪。这一招在技术里有个雅致的名字——静默活体检测：只用一张或几帧图像，判断被摄对象是不是活人，全程不需要用户配合。

为什么“瞄一眼”就够？真人的皮肤有细微的纹理和自然的光泽变化，而照片表面平整、缺少立体层次；照片在灯光下容易出现规律的条纹（摩尔纹）和明显反光；屏幕还有像素点阵和刷新闪烁。算法把这些线索装进特征向量：纹理复杂度、反光强度、摩尔纹是否出现，再交给分类器打分。静默活体的优势是体验极佳，用户无感通过；代价是信息有限，遇到高仿攻击可能失手。

$$\displaystyle P(\text{live} \mid x) = \frac{1}{1 + e^{-(\mathbf{w}^{\top} x + b)}}$$

1. 特征提取：把一张人脸图变成一组数字特征，纹理、反光这些线索都装进这个向量里。

$$x = [x_1, x_2, \dots, x_d]$$

2. 线性打分：每个特征乘以对应的权重再加偏置，得到“活体倾向”的原始分数。

$$z = \mathbf{w}^{\top} x + b$$

3. 概率转换：sigmoid 函数把任意分数压到 0 到 1 之间，接近 1 表示活体概率高。

$$\sigma(z) = \frac{1}{1 + e^{-z}}$$

4. 阈值判定：概率超过 0.5 判为活体，否则判为攻击。

$$\hat{y} = \begin{cases} 1 & \sigma(z) \ge 0.5 \\ 0 & \text{其他} \end{cases}$$

这就像小张瞄一眼照片就看出“皮笑肉不笑”——平面的东西在光影下总会露馅。静默活体用最少的信息做最快的判断，是无数刷脸闸机默认开启的第一道防线。

动作活体

但有的访客举着 iPad，屏幕里的人会眨眼、会微笑，静态“瞄一眼”可能被骗。于是小张加了第二招：“麻烦眨眨眼，再摇个头。”这就是动作活体检测：系统随机下发指令（眨眼、张嘴、摇头），用户必须完成，然后验证动作是否真实发生在镜头前。

动作活体的核心不是“检测动作”这么简单，而是时序验证：系统先定位人脸关键点（眼角、嘴角、鼻尖），再跟踪这些关键点在一段时间里的运动轨迹。真实人脸是三维刚体加局部形变，轨迹平滑自然；屏幕上的视频人脸是二维平面投影，点头时边缘轮廓会异常，眨眼时眼部像素没有真实的遮挡变化。此外，指令是随机的——这轮让你眨眼，下轮让你张嘴，提前录好的视频根本“接不住招”。

$$\displaystyle S = \alpha \cdot \bar{s} + (1-\alpha) \cdot \frac{1}{T}\sum_{t=1}^{T} a_t$$

1. 逐帧静态得分：每一帧图像单独给出一个“看起来像不像活体”的分数。

$$s_t = f_{\theta}(I_t)$$

2. 动作得分：动作模块判断当前帧是否在眨眼或摇头，输出一个动作真实度。

$$a_t = g_{\phi}(I_t)$$

3. 时序平均：把 T 帧的动作得分取平均，平滑偶发的单帧误判。

$$\bar{a} = \frac{1}{T}\sum_{t=1}^{T} a_t$$

4. 加权合成：静态与动作得分按权重 α 融合，得到最终活体分数。

$$S = \alpha \cdot \bar{s} + (1-\alpha) \cdot \bar{a}$$

小张说，视频里的脸就像画在玻璃上的脸——它可以“演”，但没法“真的动”。动作活体把“动”这个维度变成验金石，让预录视频的骗术当场穿帮。

红外活体

最让冒牌访客头疼的是小张的第三招——“手电筒照照”。别小看这个手电筒，它射出的不是普通光，而是红外光。这一照，硅胶面具的接缝、纸张的质感、塑料的光泽全都在红外相机下现出原形。

红外活体检测使用红外相机和主动红外光源，利用不同材质对近红外光的吸收与反射差异来判断真假。真实皮肤富含水分和血液，在红外下呈现柔和均匀的散射；硅胶面具的红外吸收曲线与皮肤差异明显；纸张反射率极高，在红外里“亮得刺眼”；手机屏幕则会反射出光源的斑点。除了材质，红外图像还能反映活体温度分布——人脸区域与周围背景的温度过渡是自然的，假体则生硬突兀。部分设备还结合深度信息，进一步确认面部立体轮廓。

红外方案的最大优势是对抗材质伪造和暗光可用：光线再暗，红外灯一照，照样成像。代价是需要专用硬件——带红外摄像头的设备，普通前置摄像头无法直接支持。

这就像小张用手电筒一照，面具的接缝和材质变了颜色。假的就是假的，再逼真的妆容也骗不过红外光——它看的是“你是什么材料做的”，而不是“你长什么样”。

深度学习活体

小张见得多了，慢慢有了“直觉”——某个人走过来，他瞬间觉得“哪里不对劲”，却说不出具体原因。年轻的门卫问他怎么练的，他挠挠头：“看多了自然就会了。”深度学习就是给机器装上同样的直觉：海量真伪样本喂给神经网络，让它自己总结规律。

深度学习方法有几个主力工具。CNN 特征提取：卷积神经网络像层层放大镜，先看边缘，再看纹理，最后拼出“平面还是立体”的高级特征。光流分析：计算相邻两帧每个像素的移动方向和速度，真实人脸有自然的 3D 运动视差，而屏幕重放的视频只有整体 2D 位移。时序建模：用 LSTM 或 Transformer 记住动作的连贯模式，比如眨眼的前后帧过渡是否自然。更前沿的还有自监督学习：用大量无标注视频预训练，让模型先学会“人脸本来长什么样”，再微调做真假判别。

$$\displaystyle \hat{y} = \text{MLP}([v; \; \bar{F}])$$

1. 卷积特征：CNN 从人脸图中逐层提取边缘、纹理、结构特征。

$$h = \text{CNN}(I)$$

2. 全局池化：把空间特征浓缩成固定长度的向量，保留关键信息、压缩尺寸。

$$v = \text{Pool}(h)$$

3. 光流场：用相邻两帧计算每个像素的移动方向和速度，得到运动信息。

$$F_t = \text{Flow}(I_t, I_{t+1})$$

4. 联合判定：静态向量与光流均值拼接后送入分类器，输出真假结论。

$$\hat{y} = \text{MLP}([v; \; \bar{F}])$$

小张的直觉不是天赋，而是无数次实战训练的沉淀；深度学习的“阅人无数”也是同一个道理——数据多到一定程度，模型自然学会那些人类说不清但确实存在的破绽。

策略融合

单靠一招，总有失手的时候。小张总结经验，整理出“三招连用”：先瞄一眼（静默），再让动一动（动作），必要时手电筒照一照（红外）。三道关卡层层叠加，冒牌访客几乎没有可乘之机。成熟的人脸活体系统，采用的正是这种多模态融合策略。

多模态融合：静默、动作、红外三种方案分别打分，再按可信度加权求和。风险分级：不同场景采用不同严格度——门禁考勤要求“快”，支付和开户要求“严”。阈值控制：阈值像是门卫心里的“容忍度”，调高则更安全但容易误伤真人，调低则更流畅但风险增加。最后是对抗防御：针对已知攻击训练对抗样本，让模型对“骗术”更敏感。

$$\displaystyle S = w_1 s_s + w_2 s_a + w_3 s_i, \quad w_1 + w_2 + w_3 = 1$$

1. 各模态打分：静默、动作、红外三种方案分别给出活体得分。

$$s_s, \; s_a, \; s_i$$

2. 加权求和：权重表示对每个来源的信任程度，三者之和为 1。

$$S = w_1 s_s + w_2 s_a + w_3 s_i, \quad w_1 + w_2 + w_3 = 1$$

3. 阈值判定：融合得分高于阈值则放行，否则拒绝。

$$\text{result} = \begin{cases} 1 & S \ge \tau \\ 0 & S < \tau \end{cases}$$

4. 风险分级：支付等高危场景调高阈值，追求更安全；门禁等场景调低阈值，追求更流畅。

$$\tau_{high} > \tau_{low}$$

小张说，每道关卡都可能漏网，但三道关卡叠在一起，漏网之鱼几乎为零。真正的生产系统从不押注单一技术——多模态融合才是从“演示能用”走向“商用可靠”的分水岭。

部署优化

大厦要建新的分楼，小张没法同时站在每个门口。他把自己毕生功夫压缩进一个“便携式智能门卫”——手机里的刷脸 App 和园区闸机都能跑。这就是活体检测的部署优化环节。

落地部署有四个关键词。模型轻量化：把大模型压缩成小模型，常用手段有模型剪枝（去掉不重要的连接）、蒸馏（让小模型学大模型的知识）、量化（把 32 位浮点变成 8 位整数），让模型体积和耗电大幅下降。端侧推理：直接在手机 NPU 或闸机芯片上计算，人脸数据不出设备，既保护隐私又避免网络延迟。性能指标：核心看误接受率（FAR）和误拒绝率（FRR）——FAR 越低越安全，FRR 越低越友好。持续迭代：攻击手法不断翻新，算法必须持续采集攻击样本、重新训练、灰度发布。

$$\displaystyle FAR = \frac{FP}{FP + TN}, \quad FRR = \frac{FN}{FN + TP}$$

1. 误接受率：在所有“攻击样本”中，被系统错误放行的比例——门卫把骗子放进来了。

$$FAR = \frac{FP}{FP + TN}$$

2. 误拒绝率：在所有“真人样本”中，被系统错误拦截的比例——门卫把主人挡在门外。

$$FRR = \frac{FN}{FN + TP}$$

3. 此消彼长：阈值抬高，FAR 下降，但 FRR 上升；两个指标随阈值反向变化，需要按场景找平衡点。

$$\tau \uparrow \;\Rightarrow\; FAR \downarrow, \; FRR \uparrow$$

小张的“分身术”让大门、侧门、地下车库都有了一双警惕的眼睛，而且每一双眼睛还会通过学习新的“骗术”不断升级。活体检测的部署不是一锤子买卖，而是一场持续的攻防赛跑。

AI 应用场景

Python 演示

import random  def extract_features(is_live):    # 模拟从摄像头帧提取特征: is_live 为 True 表示真人    if is_live:        return {            "texture": round(random.uniform(0.70, 1.00), 3),   # 皮肤纹理自然            "reflect": round(random.uniform(0.00, 0.25), 3),   # 屏幕反光弱            "motion": round(random.uniform(0.50, 1.00), 3),    # 自然微动            "blink": round(random.uniform(0.60, 1.00), 3)      # 眨眼规律        }    return {        "texture": round(random.uniform(0.10, 0.45), 3),        "reflect": round(random.uniform(0.50, 1.00), 3),        "motion": round(random.uniform(0.00, 0.30), 3),        "blink": round(random.uniform(0.00, 0.30), 3)    }  def static_score(feat):    # 静默活体: 纹理分高, 反光分低    return 0.6 * feat["texture"] + 0.4 * (1 - feat["reflect"])  def action_score(feat):    # 动作活体: 运动和眨眼都正常    return 0.5 * feat["motion"] + 0.5 * feat["blink"]  def liveness_score(feat, alpha=0.5):    # 多模态融合: 静默与动作各占一半    return alpha * static_score(feat) + (1 - alpha) * action_score(feat)  def check_liveness(feat, threshold=0.6):    score = liveness_score(feat)    return score, score >= threshold  def main():    random.seed(42)    cases = [True, False, True, False, True]    for i, is_live in enumerate(cases, start=1):        feat = extract_features(is_live)        score, passed = check_liveness(feat)        print("样本{}: 真活体={:<5} 得分={:.3f} 判定={}".format(            i, str(is_live), score, "通过" if passed else "拒绝"))        pred = "活体" if passed else "攻击"        expect = "活体" if is_live else "攻击"        assert pred == expect, "分类错误!"  if __name__ == "__main__":    main()

1. def extract_features(is_live)模拟从摄像头帧提取特征，活体与攻击样本的特征分布刻意拉开差距。
2. "texture": round(random.uniform(0.70, 1.00), 3)真人皮肤纹理丰富，随机采样在 0.7~1.0 的高分区。
3. "reflect": round(random.uniform(0.50, 1.00), 3)攻击样本（照片/屏幕）反光强烈，反光作为静默活体的关键负向特征。
4. return 0.6 * feat["texture"] + 0.4 * (1 - feat["reflect"])静默得分：纹理越高越好，反光越低越好。
5. def liveness_score(feat, alpha=0.5)融合函数，alpha 控制静默与动作两个来源的信任权重。
6. score >= threshold阈值判定，阈值越高越严格，对应 FAR 下降、FRR 上升。
7. assert pred == expect, "分类错误!"校验每个样本是否被正确拦截或放行，防止“灯下黑”误判。

常见误区

面试题