最近在韩国发生的「N 号房 2.0」事件，再次把 Deepfake（深度伪造）这个老生常谈的话题带到了台前。

加害人们聚集在 Telegram，用 AI 将女性照片合成为裸照，昭示着，Deepfake 的包围圈，早已从娱乐明星、政治人物，扩张到你我这样的普通人。

在这个 AI 成为显学的时代，我们想要了解，看似并不新鲜的、但近年越发普及的技术，如何影响了日常生活。

Deepfake 进化到什么程度了，会造成什么危害？如何用技术反 Deepfake？普通人怎么防范 Deepfake？

我们和瑞莱智慧算法科学家陈鹏博士聊了聊这些问题。瑞莱智慧成立于 2018 年，由清华大学人工智能研究院孵化，深耕 AI 鉴伪多年。

陈鹏告诉我们，普通人在鉴别 Deepfake 上已经一败涂地，反 Deepfake 还得看 AI。

一张图，几秒钟，Deepfake 越来越简单

Deepfake 最早兴起于 2017 年的「美版贴吧」Reddit，主要形式是将明星的脸替换到色情视频的主角身上，或者恶搞政界人物。

如今，造谣、搞黄色，仍然是 Deepfake 的主流用途，只是变得更加容易。

陈鹏解释，采集一张照片也足够换脸，当然，采集的数据越多，痣、五官等人脸的细节也会被更好地建模，换脸的效果就越逼真。

今年 4 月，两位德国艺术家的行为艺术项目，就是一个活生生的例子。

他们设计了一个 AI 相机 NUCA，相机本体 3D 打印，内置 37 毫米广角镜头，拍下的照片会被传输到云端，由 AI「脱去衣服」，10 秒钟不到即可「出片」。

NUCA 其实不知道你的裸体是什么样，只是通过分析你的性别、面部、年龄、体型等，呈现 AI 眼里你的裸体。

粗劣吗？或许不重要，几秒之间，你已经在 AI 面前暴露无遗，别人说不定也会相信这是你。

韩国「N 号房 2.0」也被曝光出类似的细节：一个 22.7 万人的 Telegram 聊天室，内置一个将女性照片合成为裸照、并能调整胸部的机器人，5 到 7 秒生成 Deepfake 内容。

换脸、脱衣，只是 Deepfake 的一种应用。

通过生成式 AI 模型（GAN、VAE、扩散模型等），合成或伪造逼真的内容，包括文字、图像、音频、视频，都可以称为 Deepfake。

其中，音频的 Deepfake 也相当常见。

2023 年初，科技记者 Joseph Cox 拨打银行的自动服务热线，播放自己用 ElevenLabs 克隆的 AI 语音「我的声音就是我的密码」，要求检查余额，没想到语音验证成功了。

陈鹏表示这不奇怪，之前捕捉我们的声纹信息，需要几分钟、几十分钟的语音，但现在可能半分钟、几十秒，就能捕捉个大概。多接几个骚扰电话，我们的声音或许就泄漏了。

当然，想要更精准地克隆，复制音调等说话风格，比如让郭德纲说英文相声、让霉霉讲中文，仍然需要更多的语料。

甚至，文本也是一个被 Deepfake 的领域。AI 生成的文本早已到处可见，被学生拿来作弊和应付作业让老师头疼，但我们或许还没有意识到这背后的风险。

虚假消息和谣言，是文字 Deepfake 的重灾区，陈鹏说，以前还需要人类自己写文案，但现在针对某个事件，AI 可以生成各种言论，然后自动化地投放到社交媒体。

Deepfake 更快速、更简单，在陈鹏看来，主要有三个原因。

一是，文生图、文生视频等生成式 AI 技术有了突破，二是，算力越发普及，消费级的显卡已经能够运行生成式 AI 模型。

还有很重要的一点，Deepfake 这项技术，被优化成了各种门槛更低的工具。

拿换脸举例，Deepfake 的开源项目不少，比如 Github 的 DeepFaceLive 和 Deep-Live-Cam，用户可以从网站下载代码，在本地配置运行环境。

如果不懂技术的小白还是觉得有难度，也有专业人士直接把饭喂到嘴边，对模型进行封装，编写成简单好用的软件供玩家免费下载，自己赚点广告费，包括很多一键脱衣的 app。

至于音频的 Deepfake，也已经有成熟的商业公司，以 SDK（开发工具包）或者 API（应用编程接口）的方式，让用户轻松使用服务。

用户甚至不需要一台带有显卡的设备部署程序，而是将音频等内容上传到网站，等待生成结果，然后下载。

所以，复杂的技术原理隐藏幕后，在用户面前的是一个个「开箱即用」的界面，连青少年们也能随手制造虚假信息。

一言以蔽之，陈鹏的结论是：

Deepfake 已经到了普通人唾手可得的地步了。

肉眼鉴别 Deepfake，人类可能已经一败涂地

当一项技术「飞入寻常百姓家」，最可能被波及的，恰恰也是普通人。

诈骗是 Deepfake 最常见的作恶方式之一。

今年年初，一家跨国公司香港分公司因为 AI 被骗走了 2500 万美元。受害人参加了一次视频会议，其他人都是经过「AI 换脸」和「AI 换声」的诈骗分子。

事已至此，我们可以做些什么保护自己？

如果别人拿 Deepfake 来骗你，钻 AI 的空子，是其中一种办法，但有保质期。

举个例子，我们在视频通话时，如果怀疑对方是 AI 换脸，可以引导对方做些特定的动作，比如把手放在面前快速划动几下、大幅度地转动头部。

如果 AI 换脸背后的模型没有对手部遮挡做专门的优化，那么就会露馅，脸可能会出现在手的背部，或者突然发生扭曲。

转动头部的原理也是一样，如果在收集数据的阶段，对方没有特意采集大于 45 度的转头素材，那么脸部贴合的形迹就会不自然。

但未来，这种肉眼可见的瑕疵，肯定会慢慢减少。

陈鹏开玩笑说，如果诈骗分子觉得你是只待宰的肥羊，存了心要骗你，扒光你的社交媒体信息，花好几天优化你的模型，那么这些方法也不保证有用。

一个视频如果没有出现这些瑕疵的话，那就说明它是真视频？这不是的。
至于说有效没效，那肯定不能完全有效、百分百有效，就是一定程度上有效。

换成专业一些的说法，人类的视觉感知，在语义层次上表现得很好，比如能够轻松分辨出物体或场景的含义，但在处理像素级别的、低层次的细微差别时，感知能力不如 AI 模型。

从这个角度看，陈鹏认为，普通人在分辨 Deepfake 上已经一败涂地，专家或许还有一战之力，因为看得太多，分析能力比较全面，可以看出某个地方不符合规律。

我们都不是列文虎克，也没有火眼金睛，但人性亘古不变。所以，我们也可以拉起传统的、和技术无关的心理防线——小心驶得万年船。

诈骗往往万变不离其宗：窃取隐私，利用恐惧、贪欲、情绪价值编故事，冒充熟人或包装自己获取信任，图穷匕见以钱为最终目的。

牢记这点，然后提高戒心，不点陌生链接，不随便给验证码，尽量不在互联网过度暴露人脸、声音、指纹等个人生物信息，接到可疑电话，谈到钱就多个心眼，多种方式验证对方身份，比如询问只有彼此知道的事情。

古语有云，攻心为上，我们一旦意识到自己有可能被骗，那么就有可能不被骗。

魔法对轰魔法，AI 打败 AI

提高防诈意识还不够，韩国「N 号房 2.0」事件，展现了 Deepfake 的另一种作恶形式。人在家中坐，锅从天上来。

虚假裸照的受害者，可能遇上「复仇色情」——加害者以传播 Deepfake 材料为威胁，勒索和骚扰受害人，造成更严重的二次伤害。

但这把镰刀也可能举到我们头上：想象一下，诈骗团伙不知道从哪里拿到你的照片，合成到低俗视频，发短信威胁你，不转账，就全网曝光，你该如何自证？

陈鹏所在的瑞莱智慧，确实遇到过这类个人业务，对方说被视频换脸，能不能还他个清白。

方法当然是有的：魔法对轰魔法，AI 打败 AI。

陈鹏介绍，AI 鉴伪主要有两条技术路线：主动式防御，被动式检测。

先说主动式防御，当我们在社交媒体发了照片，不希望照片被别人利用，那么可以在其中嵌入一些视觉上不可感知的噪声。

如果别人拿我们的照片训练模型，因为这种隐形的干扰，AI 没法很好地提取其中的视觉表征，最终出来的结果可能扭曲或者变糊，这叫作「对抗样本攻击」。

「半脆弱性水印」，是另一种主动式防御的方式。添加水印之后，如果别人编辑了我们的照片，这个水印会被破坏，我们就可以知道，这个图片被处理过了，不太可信。

水印不能直接阻止图片被 Deepfake，但可以检测和认证图片的真实性。

当然，主动式防御的门槛较高，我们需要防患于未然，提前对图片进行一些处理。

更常见的情况是，我们没法未卜先知，收到自己的「裸照」，却也是第一次和自己这样「坦诚相见」。这时候，就要用上被动式检测。

瑞莱智慧旗下有一系列负责鉴伪的 AI 产品，包括生成式 AI 内容检测平台 DeepReal、人脸 AI 安全防火墙 RealGuard 等等。

简单来说，用 AI 鉴别 AI，分为两个环节，先提取大量的伪造特征，再基于这些样本建模，让 AI 学习鉴伪的规律。

颜色的扭曲、纹理的不合理、表情的不自然、音画的不同步、虹膜形状的不规则、两个瞳孔高光的不一致，都是 AI 的学习素材。

其中，视频的鉴伪，可能比图像的准确率更高，因为视频由一系列连续的图像组成，相比单独的图像，提供了更多可以用于鉴伪的信息，比如人物在不同帧之间的动作连续性。

本质上，AI 鉴伪有些像人类用肉眼找茬，也是在利用 AI 模型本身的瑕疵。

但瑕疵肯定会逐渐改善，所以产生了一个很关键的问题：是先有伪造，后有鉴伪吗？如果如此，鉴伪不是永远落后伪造半拍吗？

陈鹏回答，生成的技术，可能略微领先鉴伪的技术，但他们内部有红蓝对抗的攻防实验室，一边模拟 Deepfake，一边防御 Deepfake，不断提高 Deepfake 的检测能力。

如果有什么新的 Deepfake 技术面世，他们可以很快复现，然后在检测产品上进行验证，「新的技术出来，即使我没有见过，我还是能够一定程度上检测出来」。

而且，模型本身也有一定的泛化能力，见过的 Deepfake 内容多了，碰上没见过的，一定程度上也可以准确识别和检测。

总之，AI 伪造和鉴伪，是一个长期对抗、互相博弈的「猫鼠游戏」。

这也是为什么，陈鹏一直在研究 AI 鉴伪算法：

反 Deepfake 对抗性太强了，需要长期投入，不像很多 AI 产品，做完就不用管了。

尽管如此，他仍然比较乐观：「用法律法规监管，平台进行内容治理，产业界提供技术和工具，媒体让更多人意识到风险，多方面治理到一定程度，肯定会有缓和。」

以后上网，我们可能会陷入这样一个有些荒谬的场景：验证码让你证明「我是人」，Deepfake 又让你证明「我不是我」。

技术没法完全检测出所有的恶意，但人类也不必过于焦虑，Deepfake 的得逞只是最后的结果，防范 Deepfake 却可以随时开始。

就像陈鹏所说，即使一个非常简单的 AI 产品，也是一个很系统性的工程。

我们是更大的系统里的部分，让受伤的人发声，让加害的人被罚，让阻止恶行的技术介入，让社会的观念抬高一寸，我们才能共同走向一个技术不被恐惧而是被合理使用的未来。

#欢迎关注爱范儿官方微信公众号：爱范儿（微信号：ifanr），更多精彩内容第一时间为您奉上。

爱范儿 | 原文链接 · 查看评论 · 新浪微博

上世纪末的作品《攻壳机动队》中，全身义体化的素子，怀疑自己是否仍然存在。身体、记忆和其他人的关系，当这些事物都能够被复制，也就无法成为肉身生命的论据。

AI 歌手爆火之时，孙燕姿也在回应里提出类似的观点，你并不特别，你已经是可预测的，而且不幸你也是可定制的。

我们可以加上一句，任何人都是可以被 AI 描述和生成的，哪怕你从未做过某些事情。

鲁迅真的说过，一见短袖子，立刻想到白臂膊。人类的想象力是共通的，毫不意外，每当技术有新进展，某个垂直赛道会被开发得越发成熟：搞黄色。

曾经因为 N 号房震惊世界的韩国，此时此刻正在上演 2.0 版本。

普通人对普通人的暴力

之前的 N 号房事件，作案人在加密即时通讯软件 Telegram 上建立多个聊天室，发布性剥削内容。这次的事件，也主要发生在 Telegram。

两者主要是犯罪手段的区别：一个是偷拍，一个是 Deepfake（深度伪造）。

我们早已对 Deepfake 不陌生，它利用 AI 生成看似真实的视频、音频或图像，模拟实际没有发生的事情。

Deepfake 常用在娱乐圈和政治人物，但它也正被普通人所掌控，拿来伤害其他普通人。

N 号房 2.0 的加害人们，将魔爪伸向了身边的家人、同事和同学，很多 Telegram 聊天室按照学校或者地区组织，所以群友有共同的熟人、臭味相投的话题。

除了身边女性，女明星也是他们围猎的对象。有些聊天室甚至细分到了职业类型，包括教师、护士、军人等。

《韩民族日报》报道，一个 22.7 万人参与的 Telegram 聊天室，只需要女性的照片，就能在 5 到 7 秒内生成 Deepfake 内容。

22 万什么概念？韩国 2023 年新生儿人数只有 23 万，总人口数只有 5000 多万。

这个聊天室内置一个将女性照片合成为裸照、并能调整胸部的机器人，用户进入聊天室后，聊天窗口会立即弹出消息：「现在发送你喜欢的女性照片。」

参与者数量多到令人发指，或许和「准入门槛」不高有关：在 X（原 Twitter）通过搜索特定关键词就可以找到链接。

这个聊天室还建立了变现模式。前两张照片免费，之后收费，每张照片收费 1 钻石（0.49 美元，约 3.47 人民币）。支付只能用虚拟货币，以便匿名。如果邀请朋友，也可以拿到一些免费额度。

但也有些聊天室需要「投名状」——想进群，先提交 10 张认识的人的照片，并通过面试。

聊天软件 KakaoTalk 的头像、Instagram 的照片，都可以作为「原材料」。

更细思极恐的是，受害者和加害者里，青少年的比例都不小。

志愿者们做了实时更新的地图，显示犯罪发生在哪些学校。就算是女子学校也会有受害者，因为加害者不一定是同学。

到底有多少学校受到影响，目前还没有定论。有博主称，这次涉及了超过 70% 的学校。

8 月 26 日，《韩国中央日报》指出，至少包括全国约 300 所的学校，其中甚至还有小学。8 月 28 日，WSJ 的报道又将数字扩大到了约 500 所。

一位网友在评论区感叹：「这基本上就是整个韩国了……」

虽然此次事件还没有明确的调查结果，但过去的数据也能说明情况的严重性。

韩国妇女人权研究所统计，从今年 1 月到 8 月，共有 781 名 Deepfake 受害者寻求帮助，其中有 288 名未成年人，占比 36.9%。真实数字可能远高于此。

另外，韩国国家警察厅称，自 2023 年初，约 300 名被指控制作和分发虚假裸照的人中，约 70% 是青少年。

不少韩国女性到微博发出求助，她们不会中文，只能机翻内容，传递无助和恐惧，「N 号房 2.0」一度冲上微博热搜。

有些网友奇怪为什么韩国女性跑到中文互联网求助，其实不只是中文，韩国女性也有用其他语言发声，除了韩国内部，新加坡、土耳其等国的媒体也报道了这起事件。

她们认为，被外国人关注和批评的话，媒体会更积极地报道，相关部门会更认真地调查，而不是装聋作哑和息事宁人。

一些犯罪证据乃至始作俑者的身份，是韩国女性自己调查的，类似当年的 N 号房。好在，韩国总统和在野党领袖已经表态了，韩国总统尹锡悦提出：

Deepfake 是一种明确的数字性犯罪，我们将彻底根除它们。

Deepfake 可能被看作是恶作剧，但它显然是在匿名掩护下利用技术的犯罪行为，任何人都可能成为受害者。

Telegram 的服务器在海外，其首席执行官又被拘留在巴黎，所以调查起来有困难。韩国通信标准委员会表示已经致函，要求法国政府配合调查 Telegram。

被舆论关注之后，相关行为有所收敛，但《韩民族日报》又跟踪报道发现，有些贼心不死的用户，会通过更严格的「身份验证」，在更私密的聊天室继续 Deepfake。

虚假的内容，真实的伤害

Deepfake 不是新鲜事，但它的伤害其实很少被正视。

韩国一些女性将自己的社交账号设为私密，或者删除发布在网上的照片，尝试做些补救。

她们既痛苦，又怀疑。一方面，她们不知道，自己的照片被分享到了哪，传播了多远。另一方面，她们不理解，为什么都在要求受害者小心上传照片，而不是教育加害者。

当女学生在 Instagram 的 Story（快拍）呼吁「把上传的所有照片都拿下来吧」，同校男生们却能说出「你们太丑了，根本不会用在那些东西上」这种荒谬言论。

网上还不乏这样的声音：「不知道这种犯罪为什么会造成很大的伤害。」「如果是几个人自己制作的，伤害应该很小吧。」

但受害者们所经历的，不仅是看到自己的脸被 Deepfake。加害者们还会侮辱她们，散布她们的地址、电话、学生证等个人信息，造谣她们的私生活，接近并骚扰她们。

更可怕的是遇上「复仇色情」——加害者以传播 Deepfake 材料为威胁，勒索和伤害女性，造成更严重的二次伤害。

《韩国先驱报》报道，17 岁的京畿道高中生 Song，以前经常在网上分享一些跳舞的照片和短视频。一天，她在 Instagram 收到了一条附有三张露骨照片的匿名消息：「你的朋友和父母了解你生活的这一面吗？」

这些照片都是 Deepfake 的，但几乎没法和真实图像区分。噩梦没有结束，她回复的消息，只会让对方更兴奋、提出更多的要求。

没有谁能分担痛苦。甚至有受害者表示：「我所知道的世界已经崩塌了。」

这和加害者为此付出的代价不对等。

此次事件尚未尘埃落定，但韩国之前有对 Deepfake 判决，其中一起在 8 月 28 日进行了一审。

从 2020 年 7 月到今年 4 月，朴某盗用大学校友等女性受害者的脸部照片，制作了 419 个 Deepfake 色情视频，并传播了 1735 个，被判处有期徒刑 5 年。

受害者们从 2021 年 7 月开始辗转奔走，才成功将加害者推上审判台，让朴某在今年 5 月被起诉。

因为这次大型 Deepfake 事件，韩国相关部门考虑，将最高刑期从 5 年提高到 7 年。

又考虑到 Deepfake 的青少年犯罪很常见，但法律有漏洞，韩国正在衡量义务教育阶段作案人的最高惩罚。

时至今日，Deepfake 在很多地方仍是灰色地带，保护力度跟不上威胁速度。

比如在美国，如果受害者是成年人，各州有不同的法律规定，或定为刑事犯罪，或提起民事诉讼，但目前还没有联邦层面的法律禁止制作 Deepfake 色情内容。

之所以立法困难，一个原因在于，有些观点认为，Deepfake 图片里的主体就算长得像你，实际并不是你，所以你的隐私并没有真正受到侵犯。

然而谁都清楚，图片虽然虚假，伤害是真实存在的。

法律推进缓慢，与此同时，那些未曾露面的加害者，暂时「偃旗息鼓」，等待「卷土重来」。

作恶如此简单，Deepfake 和所有人有关

韩国并非个例，Deepfake 的发生不限国界。

2023 年 9 月，西班牙的小镇阿尔门德拉莱霍，一群男生将女同学发在社交媒体的照片上传到了一款「一键脱衣」AI 工具。小镇有五所中学，女同学的「裸照」在至少四所流传。

这款工具可以通过手机 app 或者 Telegram 使用，受害者至少有 30 名，主要是 12 岁到 14 岁的女学生。

始作俑者大多和她们认识，也是未成年人，至少有 10 名，部分甚至未满 14 岁，不能面临刑事指控。

他们在 WhatsApp 和 Telegram 创建群聊传播这些「裸照」，通过 Instagram 威胁受害者，勒索「赎金」和真人裸照。

美国新泽西州的一所高中发生过类似的情况，受害者也在 30 名左右，她们的男性同学在暑假制作了「裸照」。

校长保证，所有图片已被删除，不会再被传播，始作俑者被停学了几天，又像没事人一样回到「案发地点」。

Deepfake 最早兴起于 2017 年的「美版贴吧」Reddit，主要形式是将明星的脸替换到色情视频的主角身上，或者恶搞政界人物。

从技术原理来说，主要有两条路径：一是编码器-解码器路径，通过将图像进行压缩和重建，将一张脸替换成另一张脸；二是生成器-鉴别器路径（即生成对抗网络，GAN），通过对抗训练生成逼真的图像。

如今，Deepfake 是一个更为广义的概念，不再仅限于最初的面部替换，我们用它来指代通过技术手段伪造现实的一切行为。

复杂的技术原理隐藏幕后，在用户面前的是一个个「开箱即用」的界面，青少年们也能随手制造虚假信息，Deepfake 从一门技术，堕落为几乎没有门槛的工具。

「一键脱衣」的 app 们，只需要一张照片、一个电子邮件地址和几美元，就可以批量脱掉名人、同学、陌生人的「衣服」，被用来「脱衣」的图片，往往从社交媒体获取，未经发布者同意，然后也在他们不知情的情况下传播。

基于接受过海量图片训练的开源扩散模型，用户可以通过输入提示词的方式，生成名人的虚假露骨照片。

像 Deep-Live-Cam 这样的开源 GitHub 项目，通过一张照片，就能在视频聊天中换脸。

骗过年轻人或许有难度，但是长辈们就不一定了，现实的惨痛例子已经上演——美国的一位 82 岁老人，因为盲信在视频里坑蒙拐骗的 AI 马斯克，损失了 69 万美元的退休金。

2023 年 7 月，德国电信发了一条关于儿童数据安全的广告，呼吁家长尽量少在互联网分享儿童隐私。

图像、视频和音频，都在被 Deepfake，虽然理智明白「眼见为实」成了过去时，但我们的心理还没有完全接受，也不具备对应的分辨能力，所有人都可能成为受害者。

技术或许中立，但人用技术产出的信息不只是信息，也是用来进行羞辱、污名和获得优越感的武器。越低俗和猎奇的内容，越容易传播，自古皆然。

普通人可以做些什么？至少我们可以决定自己如何使用技术，也可以选择产出和传播什么信息，对受害者给予关注，对加害者嗤之以鼻，以微末的力量，推动法律和社会观念的进步。

被换脸，为什么是受害者删除照片？被偷拍，为什么是受害者深感羞耻？这似乎是技术也没法回答的问题。

#欢迎关注爱范儿官方微信公众号：爱范儿（微信号：ifanr），更多精彩内容第一时间为您奉上。

爱范儿 | 原文链接 · 查看评论 · 新浪微博