過去一年，從央視315晚會曝光多家線下門店違規使用人臉識别攝像頭分析消費行為，到一些小區居民遇到“不刷臉就回不了家”的無奈，再到“深度僞造”等技術的使用門檻不斷降低，人臉識别應用面臨了不少挑戰。

12月17日，由南都個人信息保護研究中心主辦的“2021啄木鳥數據治理論壇”在北京舉行。南都人工智能倫理課題組在會上發布了《人臉識别應用場景合規報告（2021）》（以下簡稱“報告”），對20款移動端人臉識别應用的合規情況進行了測評分析。

報告顯示，六成具有人臉識别功能的App沒有單獨的人臉識别規則。從具體場景來看，支付轉賬類整體表現較好，而娛樂特效、門禁等領域的App在規則告知方面較為欠缺。另外經技術測評，所測4款娛樂特效App未對個人信息進行加密傳輸，人臉圖片鍊接可被公開訪問，存在較大的安全風險。

六成沒有單獨人臉識别協議，刷臉支付“告知同意”較為合規

今年7月3日，一則“人臉識别一定要穿上衣服”的詞條火上熱搜。很多用戶誤以為人臉識别系統隻會将人臉部分的信息上傳，于是他們可能在趴在被子裡時、洗澡、和另一半擁抱時做人臉識别。殊不知，人臉以外的部分也被攝像頭記錄下來，被别人看到。

這一尴尬背後反映了App人臉識别功能在普及的同時，其收集個人信息的方式與公衆認知存在一定差異。結合多個安卓應用商店内App下載排名情況和互聯網公開平台的用戶投訴情況，課題組選擇支付轉賬、實名驗證、物業門禁、娛樂特效等20款App進行測評。

結果顯示，僅有8款App在用戶使用人臉識别功能前單獨提示相關規則，包括“雲閃付”“中國工商銀行”“支付寶”“京東金融”“淘寶”“京東”“中國農業銀行”“QQ”。

具體到場景類别——在刷臉支付場景下，被測App都會在用戶開通刷臉支付時向其顯示人臉識别規則。例如“支付寶”“淘寶”的《生物識别服務通用規則》，“京東”“京東金融”的《京東人臉服務協議》，“雲閃付”的《人臉識别服務協議》《面容支付協議》，“中國工商銀行”的《刷臉支付業務協議》。

在一次性的實名驗證場景下，隻有“QQ”“中國農業銀行”和“淘寶”3款App顯示了人臉識别規則。

娛樂特效領域的4款App都沒有單獨的人臉識别規則。但“趣演”“ZAO”會有簡短提示人臉信息的處理規則，例如，“趣演”在用戶觸發“AI換裝“功能時會彈出提示，告知“人臉照片在視頻合成後會立即删除，不會保留你的人臉照片和數據”。

“趣演”的彈窗告知

兩款物業門禁類App中，“瞳景社區”則在錄入人臉前沒有出示任何協議；“親鄰開門”則會彈出《親鄰人臉開門服務協議》。但該協議并非專門針對人臉信息的處理，未對人臉信息的處理規則做具體說明。

報告顯示，在8款提供單獨人臉識别規則的App中，也存在提示不到位的情況。比如“支付寶”“淘寶”“中國工商銀行”三款App開通人臉支付功能時，沒有獲得用戶的明示同意。

此外，“中國工商銀行”有支付轉賬、實名驗證等多種刷臉場景，但有的場景提示人臉識别規則，有的場景不提示。具體表現為，在設置開啟“線下商戶刷臉支付”功能時，App會向用戶顯示《刷臉支付業務協議》；在使用“雲保管”（一項雲存儲功能）時，盡管需要用戶用人臉登錄，但這一環節不會向用戶出示任何人臉識别規則——用戶點擊一個按鈕，就能直接進入人臉驗證。

2）人臉識别規則差距大，存儲位置和時限告知不明

報告顯示，與隐私政策不同，不同App的人臉識别協議的框架不同，其詳細程度、内容差别也較大。

例如，《QQ人臉識别功能服務協議》一共隻有簡短的三段，并未說明人臉信息的儲存期限、儲存方式、處理規則等信息。《雲閃付App人臉識别服務協議》告知了關閉人臉登錄服務的具體步驟和人臉識别未通過時的解決辦法等内容，并表明将依據隐私政策保護用戶信息，在協議更新時将告知用戶并征求同意。

測評結果顯示，很多App人臉識别規則沒有告知存儲時限或位置，僅有6款App提及人臉信息存儲情況。

“京東”“淘寶”“中國農業銀行”“京東金融”4款App稱将在“必需的時限”内保存人臉信息；“淘寶”進一步承諾，完成驗證服務後将及時删除人臉原始圖像。與“淘寶”形成對照的是，“中國工商銀行”表示，每次驗證中拍的圖片都可能被保存，以幫助修正算法。

關于存儲位置，隻有“支付寶”1款App承諾錄入的生物識别信息保存在設備本地——“您錄入的生物識别信息将僅保存在該設備上，一旦您更換設備，你需要在新的設備上重新錄入生物識别信息”。

3）娛樂特效App人臉圖片鍊接可被公開訪問

報告還利用技術手段對20款App做了數據安全檢測。數據安全檢測通過安裝啟動被測App、登錄實體賬号并觸發人臉采集上傳功能，采用逆向分析、數據抓包等技術手段檢測相關應用在真實環境下的個人信息收集、網絡傳輸情況。

測評結果顯示，20款App中，16款對個人信息作了信息加密和傳輸加密處理，另有4款娛樂特效App存在問題。

比如“趣演”沒有對人臉信息進行加密處理。該App的“AI換裝”功能是通過用戶上傳照片，然後選擇視頻模闆後可生成一段換臉視頻。但由于沒有加密措施，用戶的換臉視頻的鍊接可被公開訪問。這意味着，換臉視頻可能被任何人獲取。

“趣演”的換臉視頻可被公開訪問

“ZAO”“更美”“新氧醫美”等3款App，盡管使用了HTTPS安全傳輸協議，但沒有對數據本身加密，導緻用戶的人臉照片等信息被上傳服務器後，服務器返回鍊接可被互聯網公開訪問。課題組将相關鍊接複制到浏覽器中，可以直接查看對應的信息。這意味着，攻擊者一旦截獲傳輸數據包，就将獲得用戶的一系列敏感個人信息。

報告認為，人臉識别應用軟件在規則告知和技術安全方面呈現出良莠不齊的現象，不同場景的應用在合規方面差距明顯。頭部銀行和互聯網平台企業在規則制定方面較為規範，但仍在政策透明度方面有明顯問題，而部分娛樂特效類App則出現了非常明顯的安全漏洞，可能成為人臉識别領域隐私洩露的“重災區”，應當引起開發者的重視。

文/南都人工智能倫理課題組研究員李娅甯 胡耕碩