当AI开始“创造身份”，传统KYC面临新挑战！

正文：

2026年11月5日，美国纽约南区联邦检察官办公室发布的一份起诉书揭示，三名男子利用AI技术“克隆CEO”，并冒充国际律师事务所的律师，经过两年时间，先后从全球多家公司诈骗了1.29亿美元（约8.61亿元人民币）。

两年前，中国香港的一位财务职员在一场多人视频会议中，会议上“英国总部CFO”和“其他同事”均在场，但实际上只有他是真实存在的。最终，这位财务人员在指示下分15次将2亿港元转入5个本地账户，这起案件至今未见公开的逮捕、起诉或追赃通报。

在中国大陆，黑灰产正在将“人脸识别”等技术转变为可以批量采购的商品。今年3月，福州的一起法院判例显示，两名被告利用AI技术生成用户身份信息和照片，制作出眨眼、点头、张嘴、摇头等一系列视频，进行账户认证后用于转移在线赌博诈骗等资金。

随着技术的持续进步，从国内到国际，类似的AI欺诈事件愈发增多，这已经不再是“换脸骗老人”那么简单。证件、人脸、行为等以往用于确认身份的要素，如今都能够被深度合成。

Sumsub中国区业务负责人李劼在近期接受移动支付网采访时强调，身份欺诈的模式已发生变化，“过去的身份欺诈主要是盗用真实身份信息、伪造证件或盗用账户，但随着AI技术的发展，欺诈者可以以更低的成本生成逼真的伪造证件、合成面部图像，甚至模拟真实人的行为特征。”

简而言之，身份欺诈这一黑灰产业务，过去依赖“偷窃”，如今可以通过“创造”来实现。

在AI时代的背景下，单一的KYC措施显然已经不够。

李劼将企业所需判断的信息划分为四个层次，包括提交的信息是否真实；这些身份信息是否属于当前用户；用户是否参与了验证；整个操作是否存在欺诈风险。在传统的思维框架下，只有第一层属于传统KYC的范畴，而剩下的三层，仅凭一张证件或一段视频已无法满足要求。

Sumsub的策略是将证件验证、活体检测、深度伪造检测与设备信息、机器人检测及行为风险分析相结合，通过交叉判断来进行评估。李劼认为，设备和行为信号提供了额外的风险依据，避免仅依赖单一材料进行判断，尤其在面对伪造证件、AI生成影像和类人交互的复杂攻击时，多维度的交叉判断显得尤为重要。

更为重要的变化体现在时间维度，根据Sumsub的研究，约70%的欺诈行为发生在用户注册或开户之后，这一发现直接推翻了“开户审核”的行业操作惯例。如果七成的风险在门开启后发生，那么原本在门岗的资源投入是否存在错配呢？无论如何，信任不应仅仅是开户时的结果，而应贯穿于整个业务生命周期。

随着AI的引入，相关问题和挑战也随之升级。当注册、支付和信息提交不再由人直接完成时，企业需要确认的不仅是“谁在操作”，还有“AI代表谁、获得了什么授权、是否在授权范围内行动”。为此，Sumsub提出了KYA（Know Your Agent）框架，将AI与真实、可验证的人类身份相结合，识别自动化活动，并在高风险场景中增加特定的活体检测。

今年四月，Sumsub升级了自适应深度伪造检测方案，从依赖固定的检测模型转向具备实时学习和自我适应能力的机制，能够基于多来源信号动态调整风险参数与判定标准，减少对频繁人工重训的依赖；自研的活体检测则通过AI和神经网络构建3D人脸模型，在数秒内完成真实用户验证并识别伪造攻击。这些升级的目标不仅在于提升检测能力，也在于在安全性与用户体验之间取得平衡，避免让正常用户承担过多的验证负担。

许多观点认为，AI为攻防双方都带来了挑战与机遇，但李劼并未简单归纳未来的趋势为“AI验证AI”。企业确实需要利用AI识别和防范由AI带来的风险，但最终目标仍然是建立清晰的授权关系和责任链条。

李劼认为，“匿名执行”的风险比“自动执行”更为严重，如果无法确认指令的发出者和责任人，再强大的自动化技术也难以建立信任。技术可以辅助判断，但人类必须是最后的把关者。

在谈到中国市场时，李劼指出，中国企业的国际化进程已从早期的“市场拓展”进入“全球化运营”。前者主要关注销售增长，而后者则需要在新的监管框架内实现长期运营，同时关注合规、效率与风险。

在合规方面，不同市场的身份体系和监管要求差异显著；在效率方面，多套工具和人工流程提高了运营成本；在风险方面，AI驱动的复杂欺诈增加了管理难度。

第一类是结构性问题，例如一家跨境支付企业在多个市场中运营，可能需要同时支持不同国家的身份证件、企业注册信息和本地化验证流程。“如果每进入一个市场都需重新构建合规系统，企业的运营成本和技术复杂度会显著增加。”

第二类是实际需求，Sumsub的解决方案是打造一个统一、可配置的平台。既不为每个市场从零开始，也不采取一套规则覆盖所有市场，而是根据当地要求和业务场景组合证件验证、企业验证、反洗钱筛查、交易监测与反欺诈能力，并随监管和风险变化调整流程。合规团队可在单一控制台中配置工作流，集中管理案件，以减少在不同系统间的切换。同时，动态风险评分使低风险用户享有更顺畅的体验，而更严格的审查则留给高风险行为和异常场景。

第三类是最直观的案例，本文开头提到的事件均属于此类。许多此类案例表明，不法分子并不寻找系统漏洞，而是试图让自己“看起来正常”。因此，建立信任链显得尤为重要。

在这三重挑战之上，某些特定市场可能还会带来额外的考验。例如在中东、拉美及部分新兴市场，难点通常不是证件种类少，而是格式复杂、信息来源分散和流程难以标准化。而Sumsub目前覆盖超过220个国家和地区，支持超过14000种证件类型和50多种语言。

谈及竞争对手，李劼认为Sumsub的优势在于两方面：一是高度可定制和模块化的平台架构，通过API与SDK使企业能根据市场和业务阶段自由组合模块；二是源于十多年服务全球市场积累的监管认知，平台不仅提供技术工具，还将对不同司法辖区的监管重点、欺诈演变路径与合规实践的认识，融入到验证与风控逻辑中。

在许多企业看来，合规仅是一张市场准入的门票。然而李劼认为，合规不应仅视为进入市场时的一项成本，而应成为支撑长期运营的能力。所谓“成本”是支出后即消失，而“能力”则是规模越大越具价值。依此标准，合规能力在多个方面都有体现。

首先是合理的人力分配。例如在企业验证（KYB）领域，公司注册信息、受益所有人和董事资料散布于不同国家、不同语言和不同数据源，传统方法依赖大量人工收集和比对。在案件管理环节，Sumsub的Summy AI Copilot能够基于客户管理后台已有的案件信息和风险信号，进行整合与分析，自动生成结构化的案件摘要和风险洞察，帮助合规团队更快掌握案件动态，并辅助后续调查与决策。

在跨国反洗钱和交易监测场景中，Summy AI Copilot同样可以帮助团队�

来源：移动支付网