深度伪造

换脸的视频、拟声的电话、以假乱真的照片——这一节讲深度伪造（deepfake）。但本节最想给你的不是「怎么用肉眼看出假视频」这类很快就会过时的技巧，而是一个结构性的洞察：「事后检测假的」这条路在原理上就是吃亏的，所以业界的重心正在转向「事前给真的盖章」。这个转向背后是两套具体的技术：C2PA / Content Credentials（给内容记录来龙去脉）与 SynthID（在生成物里埋不可感知的水印）。本节还会讲清一件与你直接相关的事：中国的标识办法已于 2025-09-01 生效，EU AI Act 的透明度规则已于 2026-08-02 适用——这些不是未来的规定。同时本节有多处明确留白：几个被广泛引用的「检测准确率下降多少」的数字，本文未取得原始论文中的准确值，所以一个都不给。

先把「深度伪造」这个词说清楚

深度伪造（deepfake）这个词是「deep learning（深度学习）」加「fake（伪造）」拼出来的。说白了就是：用深度学习技术做出的、让某人看起来说了或做了他实际没说没做的事的假内容。

它不是一种技术，是一类目标。学术界最早把不同的伪造手法系统整理出来的，是一份很重要的数据集工作。

出处：Rossler 等，标题 FaceForensics++: Learning to Detect Manipulated Facial Images（学习检测被篡改的人脸图像），arXiv 1901.08971，发布 2019-01-25。状态：已发表于 ICCV 2019，经同行评议（ICCV 是计算机视觉三大顶会之一）。

这份工作的贡献是建立了一个包含多种人脸伪造方法的数据集，并给出了基准检测结果。它收录的四种手法，恰好对应了四种不同的「造假路数」，值得逐一翻译成大白话：

这张表最重要的启示不是记住四个名字，而是「伪造」是很多条互相独立的技术路线，而不是一条。这一点直接决定了下一节要讲的那个不对称。

另一份被反复引用的数据集是 DFDC（Deepfake Detection Challenge，深度伪造检测挑战赛）。出处：Dolhansky 等，标题 The Deepfake Detection Challenge (DFDC) Dataset，arXiv 2006.07397，发布 2020-06-12。状态：arXiv 预印本，本文未取得其同行评议记录。它的贡献是建立了一个大规模的深度伪造检测数据集，并组织了公开竞赛。

核心洞察：造假与检测的成本结构是不对称的

这是本节最值得带走的一条，因为它解释了几乎所有后续的技术选择。

先把这个不对称摆出来：

这个不对称有个更严峻的版本。检测器本身通常也是机器学习模型，而它一旦公开，造假者就可以拿它当「陪练」——反复生成、被拒、调整，直到能骗过它。相当于考试的题库如果公开了，考生就能针对题库刷题，而不是真的掌握了知识。

这里必须给一个明确的留白声明，而且这一处很关键：

为什么会掉？原因很朴素，值得用生活类比讲一遍：检测器是在特定数据集上训练的，那些视频用的压缩方式、分辨率、光照条件、伪造工具都是那一批。而真实世界的视频经过了社交平台的多次压缩转码、有各种奇怪的画质、用的可能是完全不同的伪造工具。

打个比方：一个只在自家厨房练过的厨师，突然被派到一个灶头火力不同、锅不一样、食材产地也不一样的地方——同一道菜就是做不出原来的味道。本质上就是：模型学的是「这一批数据里的伪造痕迹」，不是「伪造的本质」。

C2PA / Content Credentials：给内容配一份「履历」

这是「溯源思路」目前最主要的一套标准，值得认真讲。

先解释名字。C2PA 是 Coalition for Content Provenance and Authenticity 的缩写，中文可译作「内容来源与真实性联盟」。provenance（来源 / 出处）这个词是关键——说白了就是「这东西从哪来、中间经过了谁的手」。它在艺术品和古董行业是个老概念：一幅画值多少钱，很大程度上取决于它的传承记录清不清楚。

组织性质：C2PA 是一个联合开发基金会（Joint Development Foundation）项目。规范版本（截至 2026-08-08）：2.4。官方规范页面是 spec.c2pa.org。

这里要专门澄清一处广泛流传的过期信息：中文资料里常见「C2PA 最新版本是 2.3」这种说法。截至 2026-08-08，最新是 2.4。各组件的版本号如下（这份清单也顺便告诉你这套标准包含哪些部分）：

技术原理讲三个点就够了：

第一，它用 X.509 证书信任模型。这套东西你天天在用而不知道——浏览器地址栏那把小锁，背后就是 X.509 证书。说白了就是：有一批被公认可信的机构（证书颁发机构）来为其他人的身份背书，形成一条信任链。相当于银行开户要出示身份证，而身份证之所以可信是因为它由公安机关签发——信任是一层一层传下来的，最后落在一个大家都认的根上。

第二，凭证以「manifest」的形式绑定到数字资产上，记录创建与修改历史。manifest 直译是「清单」，其实就是那份履历表：这张图什么时候、由什么设备或软件生成、之后被谁用什么工具改过。相当于一辆二手车的保养记录——不只告诉你它是哪年出厂的，还告诉你中间修过几次、换过什么件。

第三，它支持两种绑定方式，这一对概念很重要：

为什么要两种都有？因为它们的弱点互补，跟 §13.3 里讲的「显式标识 + 隐式标识」是同一个思路。硬绑定精确但一压缩就断，软绑定耐用但不够精确。本质上就是：既贴骑缝章，又记下这份合同大概长什么样——一种失效时另一种还能派上用场。

SynthID：把水印埋进生成的过程里

另一条路线是水印。代表性的是 Google DeepMind 的 SynthID（官方页面 deepmind.google/science/synthid/）。

它的思路和 C2PA 不同：C2PA 是在文件外面挂一份履历，SynthID 是在内容内部埋一个记号。打个比方：一个是给包裹贴单据，一个是在织物的纤维里织进暗纹。

最有意思的是它在文本上的做法，值得完整引一下官方说明：Large language models generate text one word (token) at a time. Each word is assigned a probability score... SynthID adjusts these probability scores to generate a watermark.（大语言模型一次生成一个词（token）。每个词都会被赋予一个概率分数……SynthID 调整这些概率分数来生成水印。）

这句话需要翻译。回想 §8.2 讲过的自回归生成：模型每写一个词，都是从一堆候选词里按概率挑一个。SynthID 的做法是：在挑词的那一刻，按一套只有自己知道的规则，稍微调一下各个候选词的分数。

相当于这样一件事：你让一个人写一篇文章，并偷偷跟他约定「凡是能用『因此』的地方尽量用『所以』」。文章读起来完全正常，谁也看不出异样，但如果你统计全文用词的分布，会发现一个不该出现的规律性偏移——那就是水印。说白了就是：不改变内容的意思，只在无关紧要的选择上留下一串可统计的痕迹。

图像、视频与音频那边，官方给的是抗干扰能力的描述：

• 图像与视频官方原文：designed to stand up to modifications like cropping, adding filters, changing frame rates, or lossy compression（被设计为能承受裁剪、加滤镜、改帧率、有损压缩等修改）。注意用词是 designed to（被设计为），这是一句关于设计目标的表述，不是关于实测结果的保证。
• 音频官方原文：can't be altered by common modifications like adding noise, MP3 compression, or changing the speed of the track（不会被加噪声、MP3 压缩、改变音轨速度这类常见修改所改变）。

把 C2PA 和 SynthID 放一起对照，能看出两条路线的分工：

最后那一行是本节最需要记住的逻辑要点，因为它是最容易被误用的地方。打个比方：一件商品有超市的价签说明它是超市在卖的；但一件商品没有价签，可能是掉了、可能是刚上架还没贴——你不能因此断定它是偷来的。

法规这边：标识义务已经在生效，不是未来的事

这一节的法律部分与 §13.3 有重叠，这里按「深度伪造」这个角度重讲一遍。再次提醒：本文不构成法律建议。以下为截至 2026-08-08 的官方文本转述。

中国 ·《人工智能生成合成内容标识办法》

• 发布与生效国家互联网信息办公室发布，文号国信办通字〔2025〕2 号，发布日 2025-03-07，生效日 2025-09-01。
• 核心要求AI 生成合成内容应当进行显式标识（文字标注、语音提示、显著标识等）与隐式标识（通过元数据等方式）。服务提供者应在生成内容的文件元数据中添加隐式标识。

欧盟 · EU AI Act 的透明度义务

• 法规编号Regulation (EU) 2024/1689
• 官方表述原文：providers of generative AI have to ensure that AI-generated content is identifiable. On top of that, certain AI-generated content should be clearly and visibly labelled, namely deep fakes and text published with the purpose to inform the public on matters of public interest.（生成式 AI 的提供者必须确保 AI 生成内容可被识别。此外，某些 AI 生成内容应当被清晰且可见地标注，具体指深度伪造以及为向公众告知公共利益事项而发布的文本。）
• 适用日期透明度规则于 2026-08-02 起适用。

注意欧盟这段原文里有一个两级结构，很容易被忽略：第一级是「可被识别」（identifiable，可以靠机器读取的方式实现），第二级是对深度伪造和涉及公共利益的告知性文本额外要求「清晰且可见地标注」（clearly and visibly labelled）。也就是说，深度伪造被单独拎出来，要求的是人眼能看见的那种标注，而不只是埋在元数据里。

这和中国办法里「显式 + 隐式」的双重要求思路是一致的——两个辖区各自的措辞不同，但都指向同一个判断：光靠机器可读的标记不够，涉及可能误导人的内容，得让人直接看见。

普通人能做什么：一份务实的应对清单

技术和法规讲完了，落到你自己身上。先说一句最重要的：不要指望靠肉眼练成「AI 鉴别专家」。那类「看手指数量」「看眨眼频率」的技巧过期得极快，靠它们建立的信心是危险的。

真正稳的做法全部不依赖你的眼力，而依赖流程。

• 一 · 对「要求你立刻转账 / 立刻提供验证码」的音视频，一律换渠道回拨核实这是最重要的一条，因为它对应最常见的实际危害。不管声音多像、脸多像，都挂掉，然后用你原本存的号码拨回去。说白了就是：不要在对方给你的渠道里验证对方——那等于让被怀疑的人自己出证明。相当于有人自称银行工作人员打电话来，你要做的是挂掉、拨卡背面的官方客服号。
• 二 · 家庭与团队约定一个「口令」一个只有你们知道、不会出现在任何社交平台上的问题或短语。拟声技术能复刻声音，但复刻不了你们上周私下商量的那句暗号。相当于取快递时对一句只有家人知道的话。
• 三 · 判断真伪先看「来源渠道」，而不是「内容看起来像不像」一段视频的可信度，主要来自它是从哪个渠道发布的——是当事机构的官方账号，还是转了七手的群聊。这是溯源思路在日常生活里的朴素版本。
• 四 · 记住「没凭证 ≠ 是假的」，也记住「有凭证 ≠ 内容为真」前半句上面讲过了。后半句同样重要：C2PA 凭证证明的是「这份文件的来龙去脉」，不是「画面里发生的事是真的」。一段真实拍摄、凭证完整的视频，照样可以通过掐头去尾的剪辑来误导人。本质上就是：邮局能证明这封信确实由谁寄出，但证明不了信里写的是实话。
• 五 · 减少自己的声音与人脸素材在公开场合的暴露量拟声与换脸都需要素材。这不是让你不发照片，而是知道这件事存在一个量的关系——公开的清晰正脸与长段清晰语音越多，被用来做素材的门槛越低。
• 六 · 如果你在做产品或发布内容，标识义务已经是当下的合规项中国办法 2025-09-01 已生效、EU AI Act 透明度规则 2026-08-02 已适用。这不是「以后要注意」，是「现在就该核对」。具体要求请以官方文本为准，必要时咨询你所在辖区的执业律师。
• 七 · 遇到涉及自己的伪造内容，第一步是固定证据保存原始文件（不要只截图）、记录发布链接与时间、记录传播范围。相当于发生交通事故先拍照留证再挪车——处理办法可以慢慢想，但证据一旦被删就找不回来了。
• 八 · 别把「检测工具说是 AI 生成的」当成定论这一条经常被忽略，但危害很实际：各种「AI 内容检测器」自身的误报同样是真问题，尤其是对非母语者写的文本。一个检测器的输出是一条线索，不是判决书。拿它去指控别人，是对工具能力的误用。

这八条里最该记住的是第一条和第四条。第一条防的是最常见的真实损失，第四条防的是最常见的逻辑错误。

肉眼线索还剩哪些可信：一份不吹不黑的清单

前面反复强调「别指望靠肉眼鉴别」，但更准确的表述是「别把肉眼当唯一判据」，而不是「肉眼一点用没有」。这里给一份诚实的边界：什么线索依然有点价值，什么早就被 Medium 甩在后面。

• 还能当参考的边缘线索口型与语音的对不上、光线方向不一致、饰品/耳环的左右镜像错误、背景里的人莫名模糊——这些在粗糙的早期伪造里比较常见。但它们的保质期很短：换脸类错误正在快速被新模型修掉。
• 最容易过时、别依赖的那类「数手指有几根」「看眨眼频率」「看有没有反光」——这类「xx 特征暴露了 AI」的秘籍，几乎每次新模型发布就被推翻。
• 对于「声音」尤其要认怂电话本身有压缩和杂音，人耳在这种条件下几乎分辨不出合成痕迹。说白了就是：脸还能靠常识起疑，声音你是真听不出来。

结论一句话：肉眼线索适合当「怀疑的起点」，绝不适合当「结论的依据」。看到可疑就启动流程（换渠道回拨、查来源、固定证据），而不是停在「我瞅着它哪儿不对劲」这一步。

最被低估的一种：声音，而不是视频

公众讨论深度伪造，注意力几乎全在换脸视频上。但从实际造成损失的角度看，声音是更值得警惕的一条通道，原因有三个，而且每一个都很朴素。

第一，做假声需要的素材远少于做假视频。视频要有多角度的面部、要有一致的光照、要处理头发和边缘——这些都是难点。而声音只需要一段清晰的说话录音。说白了就是：造一张假脸要考虑几十个细节，造一段假声音要考虑的维度少得多。

第二，我们对声音的鉴别能力天生就比对图像弱。你能一眼看出照片修得过分，但很难听出一段电话录音里有合成痕迹——尤其是在电话本身就有压缩、有杂音、听着本来就不清楚的情况下。打个比方：一张模糊的照片你会觉得可疑，但一通听着有点闷的电话你只会觉得「信号不好」。本质上就是：电话通话的质量本来就差，这正好给合成留出了藏身的空间。

第三，也是最要紧的：声音场景通常伴随着「必须马上决定」的压力。视频是你事后看的，可以暂停、可以回放、可以找人一起看。而电话是实时的——对方在催你，你在紧张，你没有时间冷静核实。

这就是为什么前面那份清单的第一条是「一律挂掉换渠道回拨」。它对付的不是技术，是「紧迫感」这个真正的攻击面。相当于各种诈骗的共同套路都是「现在、立刻、马上」——因为一旦你有时间想，套路就破了。

一条不看真假也能照做的底线原则

所以有一条极简的原则值得刻在脑子里：凡是催你「马上」做不可逆的事（转账、给验证码、改密码、点某个链接），无论声音多熟悉，都先中断，再用你自己掌握的渠道核实。这条原则的好处是它完全不需要你判断真假——你只需要判断「这件事急不急」，而这个判断你一定做得出来。

关于拟声技术能做到什么程度，本文的态度是不给数字。因为「需要多少秒素材就能克隆一个人的声音」这类断言在营销材料里满天飞，而本次核实未取得绑定具体系统与评测方法的权威数据，所以一个数字都不给。但你不需要那个数字——上面那条原则在任何技术水平下都成立。

一个反向的危害：「说谎者的红利」

深度伪造造成的危害，通常被理解为「假的被当成真的」。但还有一个方向相反、同样严重的后果，很少被提到。

当所有人都知道「视频可以造假」之后，真实的证据也开始失去说服力。

逻辑是这样的：过去有一段录像，就算是铁证。现在有了一段录像，被拍到的人可以说「这是 AI 做的」。而由于「检测」这条路本来就吃亏（前面讲过），你往往无法在短时间内证明它是真的。结果是——造假技术的存在，本身就给所有想否认的人提供了一个现成的挡箭牌。

打个比方：如果市场上开始流传大量假发票，那么诚实的商家拿出真发票时，也会被多问几句。假货泛滥损害的不只是买家，还有真货的可信度。

这个后果对你意味着什么？两点很实在：

• 一 · 重要的事情不要只留一种形式的证据重要约定尽量落到可交叉验证的多个痕迹上——书面确认、正式渠道的记录、多方在场。相当于装修时不光口头约定，还签合同、留付款凭证、拍施工照片。单一证据在今天更容易被质疑。
• 二 · 这恰恰是溯源体系真正的价值所在C2PA 这类体系表面看是「防假」，但它更大的作用其实是「保真」——给诚实的内容一个可以自证的办法。回到那个邮局的比方：挂号信制度的意义不只是揭穿伪造，更是让守规矩的人能拿出证据。本质上就是：给真东西发身份证，比追着假东西跑更划算。

所以这一节的立场很明确：深度伪造确实是一个真实的问题，但正确的反应不是「以后什么都不能信了」这种虚无感。正确的反应是把判断的依据，从「内容看起来像不像真的」换成「它从哪来、有没有可交叉验证的痕迹」。前者靠眼力，会越来越不可靠；后者靠流程，会越来越可靠。