您的 KYC 流程原本是为了阻止人为攻击而设计的。但现在攻击者变成了机器。这就是 AI 原生验证。

想象一下完美的注册流程。自拍清晰，被要求时也能转脸。护照照片页干净整洁，所有信息填写完整。背后的集成系统仅用了一个下午就上线了，而且从未出现过任何错误。账户在一分钟内就获得了批准。

现在假设这一切都不是人为操作。人脸是自动生成的。文档图像也是自动生成的，与人脸图像相匹配。视频根本没有经过任何摄像头：它是由一个伪装成摄像头的软件传输到应用程序的。而负责处理这段视频的集成程序，是由一个自动编码程序编写的，它猜测了两个字段名称，并将超时视为通过。

那是一种模式，而非某个具体事件。但它的每个部分都有记录，而且大多数验证栈的设计都早于这种情况的发生。当这种场景作为初始假设时，你就会构建原生于人工智能的验证机制。

三件事同时发生了变化。

攻击者。2024年11月，美国财政部金融犯罪执法网络（FinCEN）发布了一份关于深度伪造媒体的警报 （在新标签页中打开），其中指出：“从2023年开始，并持续到2024年，FinCEN观察到金融机构报告的可疑活动有所增加，这些活动描述了涉嫌在欺诈计划中使用深度伪造媒体的情况。” 警报还补充说，一些账户被开设，其身份信息疑似由人工智能生成。欧洲刑警组织创新实验室在其2022年的报告 （在新标签页中打开）中已经将“欺骗‘了解你的客户’机制”列为深度伪造技术的犯罪用途之一。

方法比媒体更重要。 ENISA 欧盟网络安全局将展示攻击（将物品举到摄像头前）与注入攻击区分开来。注入攻击是指将数字伪造物“直接注入生物识别子系统”，因此，用该机构的话说，其“旨在绕过生物识别系统”。 PAD “控制措施”，即检查是否佩戴口罩或屏幕。在其2024年3月发布的良好实践报告 （在新标签页中打开）中，深度伪造演示和注入攻击是受访利益相关者认为最难防范的两种生物识别攻击类型。FinCEN的警示信号之一与银行的情况类似：“客户在实时验证检查期间使用第三方网络摄像头插件。”

开发者。在2025 年 Stack Overflow 开发者调查 （在新标签页中打开）中，84% 的受访者表示他们正在或计划在开发过程中使用 AI 工具，但其中不信任这些工具准确性的人（46%）多于信任的人（33%）。这个数据反映的是工具的使用情况，而不是机器编写代码量，而且我们也没有找到第二个数据（此处重复）的原始资料。如今，阅读供应商文档的第一位用户越来越倾向于使用人工智能代理，而代理的开发者并不完全信任这些文档。

文档正在为该读者重建。llms.txt 提案 （在新标签页中打开）最初由 Jeremy Howard 于 2024 年 9 月发布，要求网站添加“/llms.txt markdown 文件”以提供 LLM ——友好型内容”。OpenAPI规范 （在新标签页中打开）长期以来一直描述着一种 API 这样一来，“人类和计算机”无需阅读源代码即可理解它。模型上下文协议 （在新标签页中打开）允许人工智能客户端调用服务器的工具，其文本也直言不讳地指出了风险：“工具代表任意代码执行，必须谨慎对待。”

该决定。验证结果过去常常以……结束。 PDF 在合规官面前。现在，它会进入一个 webhook 处理程序，在几毫秒内授予或拒绝访问权限。软件无法读取绿色勾号。它需要状态、原因以及证据强度的说明。

AI原生意味着什么：五项测试

这些是您可以查看的属性。

1. 有些证据并不依赖于摄像头画面。如果每次检查都读取申请人设备提供的像素，那么一次足够成功的注入就能同时推翻所有检查结果。 ENISA 报告指出，两种文件防御措施最为突出：注册表查询和读取芯片，报告称这“可以消除几种合成攻击”（报告还指出，欧盟并未始终允许私营公司读取芯片）。

2. 设备所声明的内容会在服务器上再次进行核查。 NIST SP 800-63A-4 （在新标签页中打开）（最终版，2025 年 7 月）指出，供应商“ SHALL 实施技术控制措施，以提高人们对数字媒体是由真正的传感器生成的信心”，并以检测虚拟摄像头、模拟器或越狱设备为例。仅在手机上计算出的活体检测结果只是一种主张，而非最终结论。

3. 结果说明了其可靠性，以及原因。通过芯片验证的护照和通过照片验证的驾驶执照不应该显示相同的单词。我们之前已经报道过这一点。 KYC 保证水平。

4. 编码代理无需猜测即可进行集成。这意味着它需要一个可以获取的索引、精确的请求和响应合约，以及一个包含每个结果测试用例的免费沙箱，因此代理的工作是通过测试来验证的，而不是仅仅依靠信任。

5. 决策阐明规则，并留有余地。同样如此。 NIST 该部分内容提到“自动化分析和决策”。 SHOULD 可通过人工审核来补充，以解决检测错误”。一个只能回答“是”或“否”的系统，没有疑虑的余地。

它不代表什么

• 仪表盘上的聊天机器人。但这并不会改变伪造视频能够通过检测的本质。

• 让模型独立做出决定。我们的目标并非在决策中引入更多人工智能，而是提供更充分的证据，并做出可解释的决策。

• 风险评分是黑箱式的。“风险：0.83”而没有任何理由，无法向客户、审计人员或监管机构解释清楚。

• 声称能识别所有深度伪造视频。没人能证明这一点。 NIST 之所以对演示攻击检测软件进行独立评估 （在新标签页中打开），正是因为其性能各不相同，需要进行衡量。欧洲刑警组织的观点依然成立：“任何识别过程的稳健性都取决于整个过程，而不仅仅是其视觉步骤。”

法律对“人”在循环中的作用有何规定

有三篇文本值得阅读原文，因为它们的内涵比通常描述的要狭窄得多。

• GDPR 第22条规定，任何人“有权不受仅基于自动化处理而作出的、产生法律效力或类似重大影响的决定的约束”。如存在例外情况（合同或明确同意），控制者仍须至少提供“获得人工干预的权利”，以表达意见并对该决定提出异议。第22条第(1)款和第(3)款 （在新标签页中打开）。

• 2023 年尼日利亚数据保护法第 37 条。结构几乎相同：享有不受“仅基于个人数据自动化处理（包括用户画像）”的决定约束的权利，并享有“获得人工干预”、“表达观点”和“对决定提出异议”等保障权利。第 37(1) 和 (3) 条 （在新标签页中打开）。

• 欧盟人工智能法案附件 III远程生物识别被列为高风险技术，但同一点指出，它不包括“仅用于确认特定自然人是否为其所声称之人”的生物识别验证 。附件 III ，第 1(a) 点 （在新标签页中打开）。如果系统是远程生物识别，第 14(5) 条 （在新标签页中打开）要求在采取行动之前，结果必须由至少两名合格人员确认；第 86(1) 条 （在新标签页中打开）赋予受影响人员获得基于附件所作决定的“清晰且有意义的解释”的权利。 III 高风险系统。

因此，一对一的自拍检查与在多张照片中进行人脸比对的处理方式不同。某个特征属于哪一类，这需要咨询您的律师。自愿参与 NIST 人工智能风险管理框架 （在新标签页中打开）（2023年1月）用一句话概括了其实用性：人工监督流程应“明确定义、评估和记录”。我们仅阅读了欧盟、尼日利亚和美国的相关文本。其他国家/地区的文本有所不同。

该如何处理这个

如果您是采购人员，请在采购环节询问这些问题，并要求以书面形式答复。

• 如果攻击者完全控制了摄像头画面，你的哪些检查仍然有效？

• 哪些活体检测结果是在设备上计算的，哪些结果会在服务器上再次检查？

• 结果是否告诉我它是如何通过的，并且我的代码可以根据这个字段进行分支？

• 当某条规则需要有人审核或被拒绝时，我能否看到是哪条规则，以及之后是谁更改了结果？

• 你检测不到什么？不要轻信简短的回答。

如果你正在建造。今天下午，用 Toden 您可以将集成提示 （在新标签页中打开）交给您的编码代理。代理会读取您的代码库，与您沟通，并在获得您的批准后才会编写代码。然后，让它验证代码的有效性：沙箱是免费的，并且每个结果都有一个测试 ID。最后，请阅读assuranceLevel和reasonCode对结果。

如果你正在关注，请关注三件事：注入攻击检测是否能像呈现攻击检测那样建立一套完善的测试标准（ ENISA 2024 年指出，目前还没有一项技术被全球接受），芯片读取技术是否会在更多地方合法地向私营公司开放，以及供应商是否会开始公布他们遗漏的信息。

在哪里 Toden 今天是什么，接下来会发生什么？

这就是现状，但存在一些限制。

• 超越摄像头的证据。验证可以基于政府数据库（在尼日利亚、加纳、肯尼亚、南非和科特迪瓦），也可以基于护照芯片，该芯片已在我们的服务器上进行认证。只有当芯片签名者与可信发卡机构关联时，芯片才有效；否则，验证结果将无效。读取芯片需要我们的移动SDK，因为任何浏览器都无法完成此操作。在其他所有情况下，验证都基于证件本身，结果也如实显示：assuranceLevel是chip，gov_db或者document。

• 服务器端复核。活体检测可以使用手势、随机屏幕颜色序列或两者结合。对于闪光灯检测，手机会报告它检测到的内容，然后我们逐个颜色地读取录像。如果我们的读取结果太弱而无法判断，则记录为结果不确定，不会对用户不利。如果录像始终未到达，您的工作流程会将该案例转交给相关人员处理或直接拒绝。更多信息请参阅服务器端活体检测以及手势与闪光灯检测的区别。

• 注入信号，而非注入防护。设备智能会检测虚拟摄像头、模拟器、已root的手机以及应用程序完整性失效等问题，并可通过决策规则进行读取。verification.cameraSuspect这些信号会输入到您的规则中。我们并不声称能够检测到所有深度伪造视频，也不会公布检测率。这篇文章将详细解释这种攻击。

• 结果清晰明了。每个结果都附有概要说明。status， 这checkStatus下面，reason判决和稳定reasonCode您自己制定的批准、审核和拒绝规则以决策图的形式运行，记录其执行路径，并且statusHistory列出所有更改及其执行者，无论是工作流程还是其他方面。 API 关键人物或审阅者。

• 代理文档。文档发布了一个llms.txt索引页（每页均为 Markdown 格式）、两个 OpenAPI 3.1 合约、代理技能和文档 MCP 服务器搜索文档但不做任何操作 API 调用。代理在沙盒环境中构建；用户发布工作流并切换到生产环境密钥。

还有尚未存在的事物。 MCP 用于处理您的帐户操作（例如创建会话或读取结果）的服务器正在规划中，目前暂不可用。 MCP 规范将授权设为可选，如果使用授权，则要求服务器“验证访问令牌是否专门为其颁发”（授权部分 （在新标签页中打开））。任何能够读取身份数据的工具，在发布之前都必须满足这一标准，甚至更高。

除此之外，这只是我们的观点，并非承诺。我们认为验证的发展方向是：结果本身具备证据追踪能力；代理机构代表客户行事，需要有自己的身份识别方式；市场将根据供应商承认自己无法看到的内容来评判他们。我们宁愿以此来衡量供应商，而不是用某个形容词来评判。

本文内容不构成针对您具体情况的法律建议。您需要核实哪些信息、何时需要审核以及需要告知申请人哪些信息，取决于您所在国家/地区的监管机构和相关规定。

想看吗？打开 Toden 工作区 （在新标签页中打开），或者让您的代理查看AI 集成指南 （在新标签页中打开）。