对着手机摄像头眨眨眼、实名刷脸视频张张嘴，认证三秒钟后屏幕上弹出一行字：“认证成功”。实名刷脸视频整个过程快得让人来不及紧张，认证但就是实名刷脸视频这三秒钟的录像，已经被传到了某个服务器上，认证和你的实名刷脸视频身份证照片、姓名、认证身份证号绑在了一起。实名刷脸视频
我上个月帮家里老人办理手机银行，认证第一次近距离观察这个流程。实名刷脸视频老人对着镜头反复试了五次，认证每次都是实名刷脸视频“请保持光线充足”或者“请勿遮挡面部”。第六次终于通过时，认证她松了口气，实名刷脸视频问我：“这拍的东西存哪儿了？会不会被人拿去用？”我一时不知道怎么回答。这个问题比想象中复杂。
实名认证刷脸视频的核心逻辑很简单：证明镜头前这个活人，和身份证上的那个人是同一个人。它比密码可靠，因为密码可以告诉别人；比指纹方便，因为手指脱皮或者沾水就识别不了。但视频这东西，一旦生成，就脱离了你的控制。它不像密码，改了旧的就没用了。你的脸改不了。
有个做安全的朋友告诉我，现在黑市上流通的“过脸”视频，价格从几十块到几百块不等。有些是用户自己录的，有些是被人诱导录的。他见过一个案例：某平台要求用户手持身份证录制一段朗读数字的视频，结果这些视频被打包卖给了境外诈骗团伙，用来注册虚假账号。用户当时只觉得是个普通认证，根本不知道自己的脸会被拿去做什么。
平台方的说法通常是“加密存储”“仅用于身份核验”。但加密存储不等于不会被泄露。去年某快递公司内部员工偷卖用户信息，其中就包括刷脸认证的截图。这些截图虽然只是单帧画面，但配合其他泄露的数据，足够在某些审核不严的平台通过验证。
更麻烦的是深度伪造技术。以前需要专业团队才能做的换脸视频，现在用开源软件加一张照片就能生成。有安全研究员做过测试，用一段十秒的真人视频，配合目标人物的几张照片，就能合成出通过部分平台活体检测的假视频。平台在升级检测手段，黑产也在升级伪造技术，这是一场没有终点的猫鼠游戏。
我注意到一个细节：不同平台对刷脸视频的要求不一样。有的只让你转头，有的让你念数字，有的让你同时做动作。要求越复杂，理论上越难伪造，但用户体验也越差。有次我在某政务平台认证，系统要求我“缓慢向左转头并保持三秒”，我转了五次都没通过，最后发现是背景里有人走过影响了识别。这种时候你会觉得，机器比人还挑剔。
法律层面，个人信息保护法把生物识别信息列为敏感个人信息，处理时需要单独同意。但实际操作中，用户为了用一个App，往往只能点“同意”。不同意就用不了，这算不算真正的同意？有律师朋友说，这类案件举证很难，因为用户很难证明自己的刷脸视频是从哪个平台泄露的。
回到老人那个问题。我最后告诉她：视频存在平台的服务器里，理论上只有认证系统能调用，但谁也不能保证绝对安全。她听完沉默了一会儿，说：“那以后能不刷就不刷吧。”可问题是，现在越来越多的服务默认要求刷脸，从银行到政务，从医院挂号到小区门禁。你想不刷，有时候连门都进不去。
技术本身没有对错。刷脸认证确实堵住了很多身份冒用的漏洞，让远程办事成为可能。但便利的代价是，我们把自己的脸交了出去，却不知道它会被复制多少次、存储多久、用在什么地方。下次对着镜头眨眼的时候，或许可以多想一秒：这张脸，正在变成一串谁都能复制的数据。