精选
AI克隆让声音失去“证据力”：
生成式语音造假如何重塑社会信任？
从“听起来像本人”到“可验证身份”的信任机制迁移
AI声音克隆带来的核心风险，并不是机器能否“骗过耳朵”，而是它显著降低了伪造身份线索的成本：熟悉声线仍然具有说服力，却越来越不足以承担身份认证和高风险行动授权。 |
新华社8月17日刊发《莫让人工智能“偷声”击穿社会信任》：只需十几秒语音素材，AI就可能复刻声线、模拟情绪语气，并被用于未经许可的商业使用乃至诈骗。[1]
AI声音克隆首先表现为技术滥用，但更值得警惕的是它对身份认证逻辑的改变：生成式语音正在削弱声音作为“身份证据”的证明力。安全研究通常区分身份线索（identity cue）与身份凭证（credential）。前者帮助我们推断“可能是谁”，后者用于确认“确实是谁”。当复制成本骤降，“听起来像本人”与“确实来自本人”之间的差距，开始从个别欺骗演变为可规模化利用的制度缺口。
一 从身份线索到可复制表征：声音为何失去“证据力”？
声音同时承载三类信息：声波本身是物理信号；音色、韵律、口音和发音习惯构成可识别的说话人特征；亲情、权威、职业与共同经历则赋予声音强烈的社会意义。长期以来，“熟悉的声音”因此成为一种低摩擦、低成本的身份确认方式。
这种确认过去常常有效，并非因为人耳能够稳定识别所有伪造，而是因为定向伪造某个具体人的声线成本较高。语音克隆改变了这个约束：模型可以从较短参考语音中提取说话人表征，再与任意新文本组合，把“谁的声线”与“说了什么”技术性拆开。于是，一个人从未说过的话，也可能以高度相似的声线出现。
AI降低的不是“发声”成本，而是伪造“声音—身份绑定关系”的成本。 |
从身份认证角度看，声音正在从“强身份暗示”退化为“概率性线索”：它依然能够提高“可能是本人”的判断，却越来越不足以独立完成身份认证。AI改变的核心不是单纯的合成质量，而是声音特征与真实主体之间原本相对稳定的绑定关系。
二 AI造假的行为机制：逼真度之外，核验窗口如何被压缩
一通冒充家人的AI克隆电话为何可能奏效？关键不只在“像不像”，还在于受害者是否来得及核验。这里需要区分“感知逼真度”和“行为有效性”：攻击者不必制造一段在声学意义上无可挑剔的声音，只要在关键几十秒内，让“熟悉声线”被迅速解释为“熟悉的人”，就可能足以触发行动。
高风险场景通常由三个相互强化的条件构成：身份熟悉、情绪唤醒和时间压力。熟悉身份降低最初警惕，紧急叙事占用注意资源，而“马上转账”“不要挂电话”等指令进一步压缩交叉验证的时间。这里的“信任三角”只是风险组织框架，并非可直接估计的乘法公式；它强调社会工程攻击如何同时操纵身份、情绪与时间，使核验在行动之前被跳过。
图1｜AI声音造假的高风险交互框架：熟悉身份、强烈情绪与时间压力共同压缩核验窗口。
这也解释了为什么现实攻击并不一定需要“骗过所有检测器”。对诈骗者而言，更现实的目标是让一个处于紧急情绪、尚未完成独立验证的人先采取行动。AI声音因此把传统社会工程从“编造故事”推进到了“伪造关系线索”：攻击者不只提供虚假信息，还借用了受害者原本信任的身份表征。
三 鉴伪不等于认证：为什么“识别AI”仍不能证明“是本人”
面对AI造假，一个直觉方案是再训练一个AI去识别AI。但“鉴伪”和“认证”回答的并不是同一个问题。Deepfake检测试图判断“这段音频是否像由合成系统生成”；身份认证则需要回答“这次通信是否确实来自被声称的主体，以及他是否授权了当前行为”。前者属于内容分类，后者涉及身份、安全与授权。
这种差异在研究中已经非常具体。2025年的ReplayDF研究将合成语音经扬声器播放、再由麦克风重新录制，发现部分检测器性能显著下降；其中表现最好的W2V2-AASIST模型，等错误率（EER，越低越好）从4.7%升至18.2%。[5] 2026年的一项预印本研究进一步显示，少量样本训练的语音克隆可对商业说话人验证系统形成现实威胁，而反欺骗模型对未见过的合成方法仍存在明显泛化缺口。[6] 2025年的系统综述也把跨数据集、跨生成方法和真实信道条件下的泛化视为该领域的核心难题之一。[4]
因此，鉴伪仍然重要，但更适合作为一层“风险证据”，而不是最终授权依据。检测器给出“更像真人”的分数，不能证明电话另一端就是本人；检测到“疑似合成”，也不应自动等同于恶意。可信系统需要把内容检测与来源记录、身份确认和行为控制组合起来。
四 从“真假判断”到“来源证明”：可信语音的制度转向
更稳健的安全问题不再只是“这段声音像不像真的”，而是“它从哪里来、经历了什么、由谁授权”。这对应数字安全中的“来源证明（provenance）”思路：尽可能记录内容的生成设备或平台、修改历史与传播链路，并在高风险场景中通过独立通道确认说话者身份。
我国治理已经在向这一方向推进。《互联网信息服务深度合成管理规定》要求对合成人声、仿声等可能导致公众混淆的内容进行显著标识，并对训练数据、个人信息和日志留存提出要求；2025年9月1日起施行的《人工智能生成合成内容标识办法》进一步区分显式标识和隐式标识，并要求在音频及文件元数据中提供相应标识信息。[2][3] 国际上，C2PA的Content Credentials也试图以密码学绑定的方式记录数字内容的来源与编辑历史，为“从哪里来、被怎样修改”提供可验证线索。[7]
来源证明同样不是万能钥匙：有来源记录，不等于内容必然真实；能证明文件来自某个平台，也不等于能证明说话者本人同意了其中每一句话。更稳健的可信语音体系应采用分层防御：内容层进行鉴伪与水印，来源层保存可追溯记录，身份层采用回拨、独立渠道或多因素认证，行动层则对转账、授权等高风险操作设置延迟、限额、二次确认或人工复核。
图2｜可信语音的四层防线：内容鉴伪、来源证明、身份认证与行动控制。核心思想是避免任何一个单一信号承担全部信任。
五 从“声音权”到“可验证信任”：AI克隆之后的治理问题
法律层面，声音权益的边界正在变得更清晰。最高人民法院2025年发布的相关答疑指出，民法典第一千零二十三条第二款规定，对自然人声音的保护参照适用肖像权保护规则；对于足以识别到特定自然人的声音，未经许可擅自使用、公开，或者使用经人工智能技术处理的声音，可能构成侵权。[8]
但AI声音克隆还提出了一个比“是否擅用录音”更前沿的问题：如果一个系统能够持续以某人的声音生成任意新语句，那么风险对象已经不再只是一段既有录音，而是一种能够代表该人持续“发声”的生成能力。现行法律已经明确保护声音权益，但这种可被持续调用的“身份代理能力”应如何授权、撤回、追踪与问责，仍有必要进一步制度化。
未来可信沟通的原则，不再是“这个声音像不像他”，而是“来源能否验证、身份能否确认、行动是否得到授权”。 |
密码泄露推动了多因素认证，网页仿冒推动了数字证书与加密连接。声音也需要经历类似的安全升级。与其要求每个人练成一双能够识别AI造假的“鉴伪耳朵”，不如在高风险行动前设置独立、可验证的身份凭据，让转账、授权和敏感操作不再依赖单一声线。
声音仍然可以帮助我们识别一个人，却不应独自承担身份证明。AI把一个长期隐藏的前提暴露了出来：我们过去之所以愿意相信声音，很大程度上是因为定向伪造足够昂贵。当复制趋于廉价，社会信任就必须从“感知相似”迁移到可验证的来源、身份与授权链条。
参考资料
[1] 新华社：新华时评｜莫让人工智能“偷声”击穿社会信任，2026-08-17。
[2] 国家网信办等三部门：《互联网信息服务深度合成管理规定》，2022（2023-01-10施行）。
[3] 国家网信办等四部门：《人工智能生成合成内容标识办法》，2025（2025-09-01施行）。
[4] Li M, et al. A Survey on Speech Deepfake Detection. ACM Comput Surv. 2025; doi:10.1145/3714458.
[5] Müller N, et al. Replay Attacks Against Audio Deepfake Detection. Interspeech 2025; arXiv:2505.14862.
[6] Hong M, et al. Vulnerabilities of Audio-Based Biometric Authentication Systems Against Deepfake Speech Synthesis. arXiv:2601.02914, 2026.
[7] C2PA. Content Credentials Specification / Explainer, v2.4, 2026.
[8] 最高人民法院：《法答网精选答问（第十九批）——人格权专题》，2025-05-08。
转载本文请联系原作者获取授权，同时请注明本文来自陈孝良科学网博客。
链接地址：https://wap.sciencenet.cn/blog-1375795-1548503.html?mobile=1
收藏
