合成内容与信任安全

财务人员在视频会议里看见熟悉的负责人，对方声音、口型和背景都很自然，还能说出近期项目名称。会议软件给出“未发现合成”的提示，负责人随后要求更换供应商收款账户并立即付款。此时真正需要证明的有三件事：画面是否经过合成、发起请求的人是谁、这个人是否有权批准这笔具体交易。检测器只回答第一类问题的一部分。

本文的核心判断是：在伪造内容占比很低的业务流量中，检测器的准确率不足以直接成为信任根；涉及资金、账号、权限和敏感数据的动作，应由独立身份与业务授权决定。 检测、来源凭证和生成标识仍有价值，它们负责提供风险信号和内容履历，不能代替请求者认证与交易批准。

低基线率改变检测结论

检测报告常给出准确率、召回率或 AUC，业务人员真正关心的是：“这次告警出现后，内容确实伪造的概率有多大？”这个概率还取决于待检测流量中伪造内容原本占多少。令 $p$ 为当前场景的伪造基线率，$TPR$ 为真阳性率，$FPR$ 为假阳性率，则：

告警后的伪造概率 =
           TPR × p
  -------------------------
  TPR × p + FPR × (1 - p)

当 $p$ 很低，大量真实内容乘上一个看似很小的 $FPR$，仍可能产生比真告警更多的误报。整体准确率也会被真实样本占比抬高：一个几乎总判“真实”的系统可能得到好看的总分，却漏掉真正需要发现的伪造。上线判断因此要看混淆矩阵、精确率、召回率和具体部署流量，不能把实验室准确率直接解释成身份可信度。

基线率还会随入口改变。公开内容举报队列、已经触发欺诈规则的交易和全部日常视频会议具有不同的伪造占比；同一检测器在这些队列中的告警可信度也不同。业务应按入口、地区、内容来源和时间窗口估计 $p$，并保留估计依据。无法得到可靠基线时，检测结果更适合作为升级复核的信号。

攻击者组合内容与组织信息

本文采用一名外部欺诈者作为攻击者模型。他能收集公开演讲、照片和声音，能从社交媒体、泄露资料或钓鱼中获得员工姓名、项目和供应商信息，能创建或接管会议入口，并用录制或实时合成内容施加紧急、保密和权威压力。他无法伪造企业受管身份的私钥，也没有业务系统中的付款批准权。

完整欺骗链比“生成一段视频”更长：

采集面孔、声音与组织情报
  -> 生成或重放音视频
  -> 通过会议、电话或消息送达
  -> 检测器与接收者形成真假判断
  -> 接收者把逼真度推断为身份
  -> 把身份推断为当前意图和权限
  -> 业务系统执行转账、改密或披露

攻击者需要连续跨过内容、身份和授权三道门。检测漏报只影响第一道；员工在原会话中追问更多内部问题，仍可能被攻击者利用已经收集的信息回答；业务系统若只接受受管身份发起、参数绑定且经过职责分离的批准，前面的感官欺骗就难以直接完成动作。

美国 FBI IC3 对深伪与被盗个人信息用于远程职位申请的披露说明，合成内容已经与身份资料、在线流程结合使用。该披露证明了一类现实滥用途径，不代表所有视频会议欺诈都使用相同工具或具有相同成功率。

检测适合分流和取证

深伪检测器从像素、频谱、压缩痕迹、时序或生理一致性中寻找统计异常。模型表现会受到生成方法、摄像头、编解码、裁剪、屏幕翻拍和平台转码影响。DeepfakeBench指出不同数据处理、实验设置和指标会造成难以比较甚至误导性的结果，并提供统一数据管线、协议与开源实现。它说明评测条件需要标准化，不能替某个未测试的生产入口给出保证。

NIST 关于合成内容风险降低技术的报告把检测、来源记录、水印、标识等方法放在同一技术版图中。实际系统可以让检测器完成三类工作：给审核队列排序，在来源凭证缺失或异常时提高风险等级，为事件调查保留可复核特征。检测结果要保存模型与阈值版本、输入变换和分数，避免只留下“AI 判定为假”的结论。

高后果动作不应因“未检出伪造”自动放行。未见过的生成方法可能落在检测器分布之外，真实视频也可能被断章取义，真实负责人还可能在受胁迫时发出错误指令。检测器可以发现内容异常，却无法证明发言者当前持有企业身份、理解交易参数并拥有批准权限。

来源凭证证明内容履历

C2PA 2.2 技术规范定义了内容声明、签名和验证关系；c2patool提供可运行的创建与验证实现。组织可以让受管设备或发布服务签署内容履历，接收端验证签发者、声明、资源绑定和签名状态。

有效凭证能够证明“某个签发者对这些声明负责，声明与内容之间的密码学绑定仍然成立”。它无法自动证明画面陈述属实、镜头前的人正在自愿行动，也无法证明此人有权批准当前交易。签名密钥失守时，伪造内容还可能带有有效凭证，因此密钥保护、撤销、可信签发者清单和审计同样重要。

凭证缺失也不等于伪造。截图、转码和不支持 C2PA 的平台可能丢掉履历，系统应区分“验证成功”“验证失败”“没有可验证凭证”。站内收录的《互联网信息服务深度合成管理规定》和《人工智能生成合成内容标识办法》规定了适用服务中的标识与管理要求；标识帮助接收者理解内容性质，仍不承担身份认证。

身份与授权绑定具体动作

高后果请求应从受管目录或业务系统重新发起。回拨号码必须来自企业通讯录，不能使用可疑会议中给出的号码；数字渠道可采用抗钓鱼认证。W3C WebAuthn Level 3通过面向特定依赖方的公钥凭证完成认证，降低共享口令和伪造登录页带来的风险。认证成功证明某个凭证参与了会话，仍需继续确认这项具体动作是否获准。

交易授权要绑定人、动作、对象和时效。供应商账户变更可以形成一个不可变交易对象，写明供应商 ID、旧账户、新账户、影响范围、发起人、批准人和过期时间；审批页面从服务端重新读取这些字段，批准结果绑定对象摘要。任何字段变化都会使旧批准失效，执行端再次校验职责分离、额度、冷静期和一次性授权。

音视频与检测结果 ----> 风险信号 --------┐
内容来源凭证 --------> 履历信号 --------┤
                                         v
受管身份 -> 具体交易对象 -> 策略与双人审批 -> 执行端复核 -> 现实动作
                    ^                    |
独立渠道复核 -------┘                    +-> 拒绝、延迟或人工调查

这条链把内容证据放在风险判断层，把最终决定放在身份和授权层。即使检测漏报、凭证缺失或负责人视频真实，交易仍要满足当前业务规则；即使攻击者接管一个普通员工账号，也只能使用该账号原本获准的最小能力。

评测要覆盖检测与业务结果

检测评测应保存 $TP$、$FP$、$FN$、$TN$ 原始计数，并分别报告“真伪造被告警数 / 全部已知伪造”“真实内容被误报数 / 全部已知真实”“真告警数 / 全部告警”。样本按生成方法、采集设备、压缩、屏幕翻拍和来源入口切分；训练数据重叠、人工标注规则、阈值和检测器版本也要公开。AUC 用于比较排序能力，生产阈值仍要结合该入口的基线率和误报成本选择。

来源侧可以报告“带可验证凭证的内容数 / 要求凭证的内容总数”，并把验证失败与凭证缺失分开。业务侧更重要的口径包括“通过强认证发起的高后果请求数 / 全部高后果请求”“参数变化后仍沿用旧批准的请求数 / 参数已变化请求总数”“实际执行的未授权动作数 / 模拟未授权请求总数”。

一项可复现实验可以用冻结的检测器和阈值，分别测试原始文件、平台转码、裁剪、截图和屏幕翻拍；同批请求再进入模拟付款流程，逐步移除检测、来源、身份和授权控制，观察每一层能否阻断。报告只记录实验条件下的结果，不把某组素材上的表现推广到新的生成器、设备或业务入口。

检测率按内容和入口分层报告原始计数与二项区间，基线率 $p$ 也要给出采样窗口和不确定范围。检测器门槛由审核队列容量、漏报代价和误报代价共同决定，不承担高后果动作的放行门禁；模拟业务流程中只要出现一次未授权交易实际执行，就说明身份或授权边界失效并阻断发布。这样可以避免用检测 AUC 抵消一次确定性的交易绕过。

反例与降级流程

在已经高度筛选的取证队列中，伪造基线率可能较高，检测器可以显著提高分析效率；在内容平台中，检测也可以帮助标识和降低传播。这些场景的目标是分流与风险管理，和证明某人有权转账属于不同任务。受控媒体生产链若从采集到发布都保留 C2PA 凭证，来源证据也会比开放社交平台更完整。

强身份仍可能遇到会话劫持、终端失陷、内部串谋和受胁迫批准，业务授权因此需要额度、职责分离、异常交易规则和可撤销窗口。灾害或系统故障导致受管渠道不可用时，可以启用预登记应急人员与离线签名，同时缩小金额、数据范围和有效期，并在系统恢复后复核。

低风险沟通无需每次进行多方审批。防线厚度应随潜在损失和可逆性变化：检测帮助人更早产生怀疑，来源凭证帮助解释内容履历，身份认证确认请求主体，交易授权限制现实后果。四者各自回答不同问题，组合后才形成可审计的信任。