人脸视频10秒眨眼

一段10秒的人脸人脸视频，只要捕捉到一次完整的视频眨眼动作，就足以让某些人脸识别系统误判为“活体”。秒眨这不是人脸猜测，是视频2023年某安全团队在测试中反复验证过的结果。他们把一段手机翻拍的秒眨视频对准门禁摄像头，视频里的人脸人眨了眨眼，门开了。视频整个过程不到8秒。秒眨

眨眼检测本来是人脸个挺聪明的设计。早期照片攻击太容易了——打印一张人脸照片举到摄像头前，视频系统就放行。秒眨活体检测技术因此被引入，人脸而眨眼是视频最直观的生理信号之一：活人一定会眨眼，照片不会。秒眨逻辑简单，实现也不复杂。摄像头连续抓帧，追踪眼部区域的特征点，计算眼睛开合的比例变化。从睁到闭再到睁，一个完整的波形出现，就判定为活体。

问题出在“翻拍”这件事上。攻击者不需要破解算法，只需要用另一块屏幕播放一段真人视频。视频里的人自然会眨眼，摄像头拍到的是屏幕上的脸，但眨眼动作是真实的。系统看到的波形跟真人一模一样。更麻烦的是，现在手机屏幕的分辨率和刷新率越来越高，翻拍画质足以骗过大多数中低端活体检测方案。

我试过一次。用iPad播放一段朋友的自拍视频，对着某款打卡App的摄像头。第一次没成功，因为屏幕反光。换了角度，把亮度调低，第二次就过了。App提示“打卡成功”，全程大概12秒。那个App用的就是“眨眼+转头”的组合验证。转头也能翻拍，只要视频里有转头动作就行。

安全圈里有个说法叫“10秒窗口”。意思是，只要拿到一段10秒左右、包含眨眼和轻微头部动作的人脸视频，就能突破市面上相当比例的活体检测。这段视频从哪来？朋友圈、短视频平台、视频通话录屏，甚至你自己对着镜头自拍时后台偷偷录的那几秒。获取成本低到可以忽略不计。

那为什么还有那么多系统在用眨眼检测？成本。更可靠的活体检测方案，比如结构光、红外深度、3D人脸建模，需要专用硬件。一颗结构光模组的成本可能比普通摄像头贵几十倍。大量门禁、打卡、支付验证场景用的是普通RGB摄像头，只能在软件层面做文章。眨眼检测是软件方案里性价比最高的那个。

有些厂商试图加码。比如要求随机眨眼——系统提示“请眨左眼”或“请眨两次”，攻击者需要实时合成对应动作。但这又带来新问题：用户体验变差，识别时间变长。而且实时换脸技术也在进步，2024年已经有开源工具能在普通显卡上做到实时驱动人脸视频。攻防两端都在跑，防守方并没有明显领先。

一个做安防的朋友跟我说过实话：他们内部测试时，翻拍攻击的成功率从来没降到过零。区别只是用多贵的设备、花多长时间。10秒视频能过的系统，加长到30秒、换更高清的屏幕，基本都能过。真正能挡住翻拍的，是那些要求配合动作+红外+深度信息的复合方案，但那种设备贵，铺不开。

普通人能做什么？如果你在意自己的脸被用来打卡或验证，尽量别在公开平台发正脸清晰视频。视频通话时注意背景里有没有人在录屏。至于那些还在用眨眼检测的门禁系统——它们防的是随手拿张照片试试的普通人，不是有心人。这个事实，做安全的人知道，做产品的人也知道，只是没人愿意在宣传页上写出来。