企业官网建设流程全解析

最近我们团队内部搞了一次技术直播，主题是人脸深度伪造鉴别。这是第48期分享，前面47期聊过风控模型、图数据库、实时计算这些老本行，但这期的人脸伪造鉴别，讲真，准备起来比以往任何一期都费劲。原因很简单：这个领域变化太快，半年前还靠谱的方法，现在可能已经被新的生成技术按在地上摩擦了。

如果你在金融科技公司待过，大概率知道人脸识别已经被用到了什么程度：手机银行转账、线上开户、信贷申请、保险理赔……凡是需要确认"屏幕对面是本人且是活人"的场景，背后都挂着一套人脸识别加活体检测的系统。而深度伪造技术（Deepfake）针对的就是这些系统的命门。做这项工作，需要同时理解生成模型、计算机视觉、风控工程，还得懂一点攻防博弈的思维，门槛不低。

所谓深度伪造，简单说就是用深度学习模型把一个人的脸换到另一个人的身体上，或者让一个人的嘴型跟着任意音频动起来，甚至生成一个完全不存在的人脸。早期这技术还停留在"一眼假"的水平，现在生成的伪造人脸，肉眼几乎分辨不出来，连边框融合、光照一致性这些细节都处理得相当干净。这意味着攻击者可以拿着别人的身份照片，合成一段动态视频去骗过远程开户审核，甚至在某些支持视频面审的贷款流程里，直接冒充借款人完成身份核验。

直播的时候我打了个比方：传统活体检测像是给门上加锁，深度伪造攻击则是直接把整面墙换掉了。一个"点头、眨眼、张嘴"的动作指令类活体检测，面对一段精心伪造的视频，基本上形同虚设。所以人脸深度伪造鉴别要做的事情，就是在系统判断"这是本人、这是活人"之外，再加一道判断："这段视频或者这张图，是不是由算法生成出来的"。它不是替代活体检测，而是在活体检测之上叠加的一层防御。

这期直播围绕四个问题展开：威胁到底是什么、鉴别有哪些技术路线、系统怎么搭、上线后怎么持续运营。这篇文章是那次直播的整理版本，我把准备材料、直播现场讲的内容，以及会后补充的思考和踩坑记录都放了进来。适合谁看？在金融、互联网、安全领域做人脸相关业务的工程师、风控同学，以及所有对深度伪造攻防感兴趣的算法从业者。

1. 威胁认知先行：深度伪造在金融场景里的真实攻击面

1.1 人脸识别的三个信任假设是怎么被击穿的

任何一套人脸识别系统，底层都建立在三个假设之上。第一，这张脸确实属于身份证上的那个人；第二，这张脸背后是一个活着的人；第三，这个人是真实出现在摄像头前面的，而不是一段录好的视频。

传统活体检测解决的是第二和第三条假设。动作指令活体检测让你眨眼、转头、张嘴，目的是确认"你是一个能对外界指令做出响应的人"；红外活体检测借助活体皮肤与屏幕、纸张在近红外波段的反射差异，确认你是一个有血有肉的物体；3D结构光则进一步验证脸部的立体几何结构。但这些手段在设计的时候，并没有假设攻击者已经掌握了深度伪造能力。

当攻击者用一个人的历史照片或少量视频训练出换脸模型，再把伪造结果投到摄像头前，所有的"活体"信号都可以是伪造出来的：动作指令可以通过表情驱动技术让伪造脸做出指定动作，屏幕反光可以后期合成，甚至生理信号在某些高级伪造中都能被模拟。

这就是威胁认知的第一步：不要假设攻击者只会拿一张打印照片来怼摄像头。现实中的攻击已经分层化——低成本攻击用静态照片和屏幕翻拍，中等成本攻击用简单换脸工具，而真正值得警惕的高成本攻击，会把目标人物的多角度照片、音频、历史视频收集齐，用定制化的生成模型做一段高逼真的伪造视频，直攻你最核心的审核流程。

1.2 从"识别"到"鉴别"：防御思路的一次升级

在深度伪造出现之前，活体检测领域的主流思路是"证明你是活的"。而深度伪造鉴别完全换了一个角度：不去证明"你是活的"，而是去证明"这段画面不是机器生成的"。

这个绕弯很有意思。伪造人脸不管怎么逼真，终究是通过计算生成的，而生成过程一定会留下痕迹。可能是肤色边缘的微小不自然，可能是光照方向的物理不一致，可能是眼球反射环境的细节错误，也可能是某个频带上的统计异常。鉴别模型的本质，就是学习这些"生成痕迹"的分布规律，然后判断输入画面里是否包含这类痕迹。

所以我一直跟团队强调，做深度伪造鉴别，首先要建立"指纹思维"。每一个生成模型，无论是GAN还是扩散模型，它的上采样方式、损失函数、网络结构，都会在输出图像上留下独特且可统计的偏差。这就像不同的打印机印出来同一张照片，墨点分布模式各有特征。鉴别模型训练到后期，真正学会的不是"这张脸长得像谁"，而是"这张脸背后的生成过程长什么样"。

从防御体系的角度，深度伪造鉴别也不是孤立的。它应该和人脸比对、活体检测、设备指纹、行为风控组合成一个多层的决策引擎。单看任何一层都可能被骗，但攻击者要同时骗过所有层，成本会指数级上升。这个思路后面讲到系统架构的时候再展开。

1.3 哪些业务环节最容易被深度伪造攻击

根据我们前期的排查和复盘，风险最高的环节集中在三个场景。

第一个是线上开户。以往开户审核要求用户上传身份证照片加实时自拍，后来加了视频录制环节，要求用户朗读随机数字。深度伪造攻击者可以先用目标人物的照片库合成一段朗读视频，再配合环境噪点和设备信息伪装，直接攻破整套流程。这个场景最危险，因为开户是一次性入口，一旦开立成功，后续的转账、信贷都建立在错误身份之上。

第二个是信贷视频面审。很多小额信贷产品支持视频面审，虽然会有人工坐席在场，但人工受限于时间和精力，对大段对话中的图像真实性判断能力其实没有想象中那么强。已有案例显示，攻击者用换脸视频参加远程面审，坐席全程没有察觉异常。

第三个是账户解冻与申诉。这类场景的审核流程往往比开户松，攻击者可能利用社交工程手段获取目标用户的基础信息，再配合伪造视频完成身份验证，后续用来转移资金。

我把这三个场景整理成了表格放在团队文档里，直播时也列了出来：

这张表最大的价值在于，它逼着我们承认一个事实：很多业务环节的现有防线，在深度伪造面前几乎不设防。这也正是我们决定投入资源做专门鉴别系统的原因——继续堆活体检测的规则，已经解决不了新的攻击形态。

2. 鉴别方案全景拆解：每种信号背后都有破绽

直播讲到这一部分的时候，我把鉴别技术按照"信号的维度"分成了四层，从最简单到最复杂分别是：单帧图像特征、频域统计特征、视频时序特征、生理信号特征。每层能防住不同类型的攻击，也各有各的局限。

2.1 图像空间：盯着像素找微观瑕疵

最早期的深度伪造鉴别就是从单帧图像入手，核心思路是寻找画面里肉眼可见、或者模型可感知的合成痕迹。

最典型的是边界伪影。早期的换脸技术直接把源人脸贴到目标人脸上，做一次边缘模糊就完事，在连接处会存在明显的不自然过渡。后来换成人脸解析图引导的融合方式，边界问题大幅改善，但依然会在发际线、耳廓、下颌线这些区域留下特征不连续。

还有纹理细节的丢失。生成模型在重建人脸时，对皮肤毛孔、雀斑、皱纹这类高频纹理的还原能力有限，结果就是伪造区域显得"过分光滑"。检测模型可以通过统计分析局部区域的纹理能量来判断这种异常，不需要人类肉眼去分辨。

不过我要提醒一句，单帧图像检测的天花板很明显。现在的生成模型已经可以生成高分辨率的高保真人脸，单帧层面的痕迹越来越少。我们在实际评测中发现，单帧模型对高质量伪造样本在公开基准上通常能到0.9左右的AUC，但在跨数据集测试时经常掉到0.7以下。这说明模型学到的是特定伪造方式的"表面特征"，而不是通用的"生成痕迹"。所以单帧检测只能作为整个系统的一层，不能单独扛事。

2.2 频域分析：用数学变换把痕迹逼出来

如果说图像空间是"用眼睛找破绽"，频域分析就是"用显微镜找破绽"。

把一张图片做傅里叶变换或者离散余弦变换之后，会得到一个频谱图，它描述的是图像的周期性结构分布。真实相机拍摄的照片，其频谱特征由光学系统、传感器阵列、拜耳滤波阵列等物理过程决定；而深度伪造生成的图像，其频谱特征由神经网络的转置卷积、上采样插值等计算过程决定。两者在频谱的周期峰值、高低频能量分布上都有明显差异。

这种差异最早是在分析GAN生成图像时发现的。GAN生成器大量使用转置卷积做上采样，而转置卷积会在某些特定频率上引入周期性伪影，表现为频谱图中的规则峰值。检测模型可以直接判断频谱中是否存在这种"规则的尖峰"，准确率高且鲁棒性好。

频域分析一个让我印象深刻的优点是跨模型泛化能力相对强。因为无论换脸模型怎么换，只要它还是用卷积神经网络做上采样，就会留下类似的频谱痕迹。不过扩散模型火起来之后，这个问题有了新变化：扩散模型的生成过程走的是去噪采样路线，不依赖转置卷积，频谱伪影的模式和GAN完全不同。这意味着针对GAN训练的频域检测器，面对扩散模型生成的人脸时效果会大打折扣。这也是这个领域"道高一尺魔高一丈"的典型体现，技术选型时必须考虑未来攻击方式的迁移。

2.3 视频时序：让时间维度成为照妖镜

单帧图像能造假，但一段视频里的时间一致性造假难度会直线上升。人脸的微表情、眼球的动态、肌肉的联动，这些在时间维度上有极其复杂的统计规律。伪造视频不管单帧多完美，连续播放时很容易出现破绽。

眨眼频率异常是第一个被大量研究的线索。真实人眼的眨眼间隔、时长存在个体规律和生理限制，早期换脸模型生成的视频里，人物要么不眨眼，要么眨眼频率明显偏离正常人区间。模型只要统计眼睛开合状态的时序曲线，就能发现异常。

口型不同步是第二个线索。语音驱动的换脸视频里，嘴唇动作和音频内容的对齐精度常常不够，辅音、元音的唇形转换存在滞后或超前。尤其当说话速度快、口型变化频繁时，同步误差会变得更加明显。

第三个线索是头部运动与面部表情的解耦。换脸模型通常把表情迁移和姿态迁移分开处理，结果就是人物转头的时候，脸部光影变化和真实物理规律不一致，或者表情变化幅度跟不上头部运动。这些细节需要模型捕捉多帧之间的联动关系，单帧图像完全看不出来。

这些时序特征天然适合用序列模型学习。常见的做法是先用人脸检测器把视频里每一帧的人脸裁剪出来，再输入到LSTM、GRU或者时序Transformer里，让模型同时关注空间特征和时间特征。更加工程化的做法是抽关键帧，比如每秒抽5帧而不是全量25帧，在保证精度下降可控的前提下大幅降低计算量。

但时序检测也有短板，最典型的就是压缩问题。视频经过编码压缩后，很多时序细节被抹平，模型性能会快速下降。另外，如果攻击者选择只伪造几帧关键画面，其余帧用真实视频拼接，时序模型同样会被绕开。所以我们内部把时序检测定位成"高价值线索的挖掘器"，而不是唯一防线。

2.4 生理信号：伪造模型最难跨过的坎

这一层是直播现场讨论最热烈的话题。所谓生理信号检测，最典型的是rPPG（远程光电容积脉搏波描记法）——通过分析人脸皮肤区域在视频多帧之间的细微颜色变化，还原出血液流动带来的皮肤反射率波动，进而估计心率。

原理不复杂：心脏每搏动一次，面部毛细血管里的血容量会产生周期性变化，这会微调皮肤表面对光的吸收和反射。普通摄像头的传感器精度虽然有限，但跨几十帧做信号累积和频谱分析，依然能把这种周期性信号提取出来。真实人脸的心率曲线是生理信号，而伪造视频是逐帧生成的，每一帧之间缺乏这种生理连续性，因此rPPG信号要么完全测不到，要么波形异常。

我个人的经验是，rPPG对特定类型的深度伪造效果很出色，但对高质量、高帧率、精心合成人脸姿态和光影的视频，也会出现漏检。原因在于rPPG本质上是信噪比博弈：压缩率高了、分辨率低了、光照变化剧烈了，生理信号会被噪声淹没。另一个值得关注的生理信号是面部微表情的肌肉动力学，这比rPPG更难伪造，但检测难度也更高，目前业内还没有特别成熟的产品化方案。直播时我建议工程团队把它作为前瞻研究方向，而不是当下的依赖项。

3. 一套可落地的检测系统：从数据到模型的完整链路

前面讲了技术原理，这一部分讲真正落地的时候，系统是怎么一步步搭起来的。直播分享的很大一部分价值就在这里——纸上谈兵容易，真刀真枪地做系统，到处都是选择题。

3.1 数据是第一步：没有伪造样本，模型无从谈起

深度伪造鉴别是个典型的监督学习问题，但和大多数视觉任务相比，它的核心难点在于"正样本"（伪造样本）获取困难，且分布极不固定。

公开数据集是我们起步阶段的唯一选择。业内做这个方向通常会用几套公开的伪造视频和图像数据集作为基础，它们涵盖了多种主流换脸和表情驱动方法的生成结果，已经是社区的标准基准。但我们很快就发现两个问题。

第一个问题是公开数据集和真实攻击数据分布差异巨大。公开数据集里的伪造视频通常是精心生成的，画面质量高；而真实攻击视频往往经过二次压缩、重新编码、平台传输，画面劣化严重。在公开数据集上训练的模型，拿到线上真实流量里一测，性能掉得让人怀疑人生。

第二个问题更加棘手：公开数据集的伪造者身份和真实人物身份没有重合。这意味着模型在公开数据上学到的"身份无关的伪造痕迹"可能不够通用，一旦真实攻击使用的是全新身份，模型的判断能力会打折扣。

针对这两个问题，我们做了三件事。第一，收集多套公开数据集做交叉归一化，统一分辨率、统一人脸裁剪方式，把它们合在一起训练。第二，建立自己的伪造样本生产线，把我们担心的高级攻击方式，比如表情驱动、嘴型同步，用开源工具在内部生成一批样本，加入训练集。第三，也是最关键的，把线上被拦截的真实攻击样本回流，做人工标注后持续补充到训练池里。这个"数据飞轮"是我们后期模型效果持续提升的核心动力。

在数据预处理上，统一人脸裁剪对齐是必须的。输入尺寸我们最终定在224乘224，这个分辨率在精度和计算量之间是比较好的平衡点。所有样本都做人脸关键点检测，按照双眼连线角度做旋转矫正，确保人脸被标准化到大致相同的姿态。这块如果不做，模型会被输入图片的拍摄角度、环境干扰带偏，学到很多和伪造无关的噪声特征。

3.2 模型选型与训练细节：从CNN到多分支融合

模型结构的选择上，我们经历了三个阶段。

第一个阶段用的是纯卷积网络，骨干网络就是通用的图像分类模型。把最后全连接层换成二分类头，输出的就是伪造概率。这个方案简单高效，单帧推理速度快，但对视频时序信息和频域信息的利用完全空白。

第二个阶段加入了频域分支。主网络处理RGB图像，另一个浅层网络接收图像的频域变换结果，比如DCT系数或者高频分量图，两条分支的特征在最后一层做融合。这个改动带来的提升非常显著，尤其是对GAN类伪造的检测准确率，直接涨了好几个百分点。背后的原因正是第二小节讲的：频域分支学到了生成模型的上采样痕迹。

第三个阶段引入了时序建模。针对视频输入，先抽取5到8帧，每帧独立跑空间特征提取，再拼接序列并行输入到Transformer编码器中，让模型学习帧间关联。这样系统就同时有了空间、频域、时序三类信息，整体判别能力是一加一大于二的效果。

训练细节上，有几个经验值得单独写一笔。

第一，损失函数用带难例挖掘的交叉熵损失，效果比普通交叉熵好。具体做法是把每个batch内预测错误、且置信度高的样本挑出来，在loss计算时加权。这个策略让小批量训练里被淹没的难样本得到更多关注，收敛更快，最终精度也更高。

第二，数据增强必须包含视频压缩模拟。我们实测发现，不做压缩增强的模型在真实线上数据上AUC大约0.78，加入多档位JPEG和视频压缩增强之后，直接提升到0.88以上。压缩增强是性价比最高的单项投入，没有之一。

第三，初始化用预训练权重，而不是随机初始化。人脸图像和通用图像有大量共享的低层特征，迁移学习的收敛速度和最终精度都明显优于从头训练。这一步别省，省了就是拿自己的训练时间和GPU资源开玩笑。

提示：模型训练完成之后，不要急着上线。先做一次跨数据集评估——用另一套没参与训练的公开数据测一遍，如果AUC掉幅超过0.15，说明模型泛化能力不足，需要回到数据层面找原因，而不是调参硬撑。

3.3 推理性能与部署架构：不能为了精度牺牲响应时间

风控系统对延迟的要求非常苛刻，人脸审核环节如果硬生生多了几百毫秒，用户体验会明显变差。我们的目标是把整个检测过程控制在单张GPU卡100毫秒以内，不含网络开销。

模型侧的优化分三步走。第一步是量化，把FP32权重压到FP16，再压到INT8，精度损失控制在0.5%以内。第二步是算子融合，把卷积层和BatchNorm层在推理时融合成单算子，减少内存读写。第三步是批处理优化，在峰值流量时把多条请求拼成一个batch，让GPU利用率从30%提到80%以上。这三步做完，性能提升基本能到两倍以上，效果非常可观。

部署架构上，我强烈建议走微服务方式，把深度伪造鉴别做成独立服务，通过内部RPC接口暴露给上层业务。原因在于：深度伪造鉴别模型迭代频率远高于人脸比对模型，独立服务可以单独发版、单独扩容、单独灰度，不会因为一个模型升级而影响整条业务链路。

在线流程大概是这样的：业务端拿到用户上传的视频后，先做人脸检测和跟踪，把有效人脸帧裁剪出来；然后并行送入三个引擎——人脸比对、活体检测、深度伪造鉴别；三个引擎的结果汇总到风控决策层，由决策层根据分值区间做最终判定。深度伪造鉴别服务内部再分两条路径：短视频走同步推理，要求低延迟；长视频超过10秒的走异步队列，由离线的批量任务做帧采样和深度检测，结果回调给业务方做复核。

这个架构的好处是每一层都能独立演进。物理层的活体检测、逻辑层的伪造鉴别、业务层的复核策略，互不阻塞，各自迭代各自上线。后面新增对抗训练模型，或者接入新的生理信号检测器，都只需要替换或增加一个内部服务节点。

4. 我踩过的坑：模型表现好不等于线上扛得住

这是直播现场我花时间最多的一部分，也是我个人觉得最有价值的部分。很多团队做深度伪造鉴别，实验室指标很好看，一上真实流量就翻车，踩的坑基本都集中在下面几个。

4.1 数据泄露导致的虚高指标

这是我们走过的最大弯路，没有之一。

现象是这样的：模型在测试集上AUC达到0.98，我们欢天喜地准备上线，结果在真实流量上一测，AUC直接掉到0.75。排查了很久才发现问题出在数据划分上。

公开数据集通常包含多套子数据集，来自不同的伪造方法。我们一开始做数据划分的时候，把所有子数据集混合在一起随机切分训练集和测试集。这会导致同一个视频的相邻帧、甚至同一个伪造身份的不同视频，同时出现在训练集和测试集里。模型的记忆能力很强，它根本不需要学会泛化的伪造痕迹检测，只需要记住这些特定帧、特定身份的特征就能拿高分。测试集里混入了和训练集同源的样本，指标自然虚高。

正确的做法是：按视频级别切分，保证同一个来源视频的所有帧只能出现在训练集或测试集中的一个。更进一步，按伪造方法级别切分，让测试集里的伪造方法在训练集中尽量不存在，这样才能测出模型的跨方法泛化能力。我们把切分策略改掉之后，AUC从0.98回落到0.85，这个数字才是真实水平的反映。也是从那次之后，我在团队里立了一条规矩：任何模型报告指标之前，先口头说清楚数据切分方式。

4.2 压缩传输后的性能崩塌

模型上线第一周，线上检测率低得离谱，我们差点怀疑模型部署出了问题。后来定位到根因：用户上传的视频经过App端压缩、CDN传输、服务端再转码，画质和训练数据完全是两个世界。尤其是平台传输环节对视频做了强压缩和重编码，大量高频细节被抹掉，模型的频域分支几乎失去了作用。

这个坑的教训就是：训练阶段的压缩模拟不能省。我们重新调整了训练数据增强策略，在训练时对样本施加从高质量到劣质的多档压缩，让模型学会在低质量输入下仍能提取可用的判别信号。调整之后，线上AUC从0.72回升到0.87。

这里还有一个容易被忽略的细节：传输后的人脸分辨率很可能不足224乘224。我们的视频抽帧引擎需要先做人脸检测，如果人脸检测框太小，就提升抽帧频率多抽几帧，把多帧特征做平均，尽量弥补单帧信息的损失。

注意：如果检测速度和线上效果同时不理想，先别急着换更大的模型。优先检查输入视频的实际分辨率和码率分布，很多"模型不行"的结论，其实是"数据管线不行"的误判。把线上的真实样本打印出来看一遍，比翻论文管用得多。

4.3 脏数据与标注噪声

凡是做过数据标注的人都懂，标注噪声是模型的天敌。深度伪造鉴别这个任务，标注噪声尤其严重，原因在于有些伪造样本太逼真了，标注员自己都分不清真伪。

我们的标注流程里有一道"双人标注加仲裁"机制：每一条样本由两个人独立标注，如果两人结果一致就采纳，不一致则进入仲裁环节，由资深的算法工程师复核。听起来很严谨，但实际操作中，资深工程师也会在20%以上的仲裁样本里拿不准。后来我们做了一个关键调整：把标注任务从"真或假"二分类，改成"真、假、不确定"三分类，让标注员面对拿不准的样本可以如实标"不确定"，这类样本不进入训练集，但单独存起来作为待分析样本，积累到一定量后统一做聚类和人工复核。

别小看这个改动。它直接切断了"标注员硬着头皮标一个可能错误的结果"这条污染链路，训练集的噪声水平明显下降，模型收敛更稳定。我强烈建议所有做类似任务的同学考虑三分类标注方案，虽然标注成本略有上升，但省下来的返工时间远远超过投入。

4.4 对抗攻击与鲁棒性短板

深度伪造鉴别模型上线后，面临的攻击者不是静态的。他们会收集你的检测结果反馈，不断调整伪造策略来绕过检测。更直接的手段是对输入图片做微小扰动，也就是对抗攻击，让模型产生错误判定。

我们在红队测试中做过验证：对伪造图片叠加一层肉眼几乎不可见的噪声，模型对它的判定概率可以从0.9直接压到0.1以下。这个结果让我们非常警觉。对抗训练的加入是必须的，具体做法是在训练过程中动态生成对抗样本加入训练集，让模型学会对这类微小扰动保持鲁棒。

但对抗训练也有代价：模型在正常样本上的精度通常会轻微下降，训练时间翻倍。所以在投入之前要权衡。我当时给团队的建议是基于业务场景做分级——高风险环节，比如开户、大额转账，必须做对抗鲁棒性加固；低风险场景可以先用普通模型顶上，把计算资源留给更紧迫的环节。

5. 上线之后的那些事：评估体系与持续运营

模型上线只是开始，后面的运营才是真正的重头戏。这一部分直播时讲得比较快，因为时间关系，很多细节都是会后整理文档补充的，这里完整展开。

5.1 评估指标：别再只盯准确率

很多团队汇报模型效果的时候习惯说"准确率99%"，这在类别严重不均衡的时候意义不大。深度伪造鉴别场景里，正常用户占比可能超过99%，伪造攻击寥寥无几。一个把所有请求都判成正常的模型，准确率能高达99.5%以上，但它对安全毫无贡献。

合适的指标组合是：AUC衡量整体排序能力，TNR在低FPR条件下衡量误伤率。线上运营最关心的其实是两个数：检出率，也就是伪造攻击被拦截的比例；误伤率，也就是正常用户被误判为伪造的比例。前者决定了风控的安全水位，后者决定了用户体验和客诉量。

我们把安全水位和目标误伤率画成一条权衡曲线，找到业务可接受的操作点。比如要求正常用户误伤率不高于0.1%，在这个条件下把检出率做到85%，就是一期上线的目标。目标定下来之后，所有模型迭代都围绕它来评估，团队沟通效率大幅提升。这里我特别想强调：先定业务目标，再谈模型指标，顺序反了会陷入无止境的调参循环。

5.2 阈值策略与人工协同

单模型的输出是一个0到1的伪造概率，但业务决策不能只靠这一个值。我倾向于把判定梯度化：概率低于0.3直接放行，高于0.7直接拦截，中间地带进入人工审核队列。

这个灰区设计非常重要。它承认了模型的局限性——有些样本模型就是拿不准，硬性二分类反而会制造更多错判。人工审核环节让这部分拿不准的样本交由有经验的风控审核员看，同时审核结果会回流为标注数据，持续改善模型。这样模型、业务、标注数据形成一个闭环，跑得越久越准。

实际运营中，灰区比例控制在5%到10%比较合理。比例太高说明模型能力不足，需要投入训练；比例太低说明阈值过紧，可能导致误伤。我们每两周review一次灰区分布，观察它随时间的变化趋势，用来动态校准阈值。特别是新攻击方式出现的时候，灰区比例会突然上升，这就是一个重要的预警信号，说明该更新模型了。

5.3 红队机制与持续迭代

最后聊一聊这个领域最残酷的现实：深度伪造技术在不断进化，你的模型只能防住已经见过的伪造方式。今天模型能拦住90%的换脸视频，明天攻击者换一个最新的生成工具，检出率可能直接腰斩。

所以持续对抗能力是系统的生命线。我们的做法是建立一个常态化的红队机制，每季度做一次攻防演练。红队用市场上最新的生成工具、最新的绕过技巧制造攻击样本，评估现有模型在这些样本上的表现，然后把失败样本加入训练集做针对性迭代。红队成员和模型开发团队分开，避免攻防一体的思维惯性。

另一个关键动作是模型月度滚动更新。不是每次都要重训，而是用最新的线上真实攻击样本和红队样本做增量微调。增量微调的成本远低于全量重训，而且效果提升非常明显。我们过去一年的数据是：月度增量微调让模型的季度平均检出率从82%稳步提升到91%，而误伤率保持稳定。这个数据说明，比起追求单次训练的完美，持续的小步快跑才是更现实的策略。

坦白讲，深度伪造鉴别没有一劳永逸的方案。这是一场持续的攻防竞赛，系统的价值不在于某个模型有多强，而在于整个机制能不能快速感知新攻击、快速迭代、快速上线。数据飞轮、红队演练、月度迭代这三件事组合在一起，是我目前实践下来最靠谱的运营模式。

直播最后我留了十分钟给线上同学提问，有个问题让我印象深刻：如果把鉴别系统做到极致，能不能彻底杜绝深度伪造攻击？我的回答是，技术能做到的极限是让攻击成本远高于攻击收益。当攻击者需要花费数天时间、动用定制化生成模型、反复试探你的检测边界才能骗过一次审核时，绝大多数攻击就失去了经济上的意义。这个目标比"彻底杜绝"现实得多，也更有价值。

从第48期直播准备到现在，我最大的体会是：这个领域的核心不是某一个精妙的模型，而是对整个攻防链条的系统性理解。数据、模型、部署、运营，任何一环掉链子，前面做的努力都会打折。希望这篇文章能帮你少走一些弯路。