双11直播风控最难的一件事，是平台眼睁睁看着几万个账号在后台注册成功，却拦不住。去年某直播平台的技术负责人跟我聊，说大促那几天异常注册请求是平时的几十倍，明知道那些账号有问题，流程就是拦不下来。


今年只会更难。黑产用上AI之后，批量注册的门槛低到可以忽略。一张身份证照片、一段AI生成的认证视频，就能过掉大部分传统的人脸核验系统。本文拆解双11场景下直播平台遇到的攻击手法，以及人脸实名认证到底怎么才能拦住批量账号。

双11期间黑产到底在干什么

先说清楚黑产图什么。

直播平台在大促期间最值钱的东西就那几样：新人券、满减红包、直播间秒杀资格。这些东西的获取门槛通常是一个实名账号。注册得越多，薅到的羊毛越多。一个账号能领的券有限，那就批量注册。

以前批量注册的瓶颈在实名认证——你得有真实的身份证和人脸。现在这个瓶颈被AI打穿了。

某零售品牌的数据显示，新人礼活动中超过20%的新增来自疑似黑产设备。直播平台的促销节点只会更高。

黑产的链路大概分三步

第一步，搞身份信息。 从各种数据泄露渠道批量买真实的姓名和身份证号。成本极低，一个“料”几毛钱到几块钱。

第二步，绕过人脸核验。 这是最关键的一步。早期用照片翻拍、屏幕录制，现在直接上AI。印尼市场2025年出过一波攻击潮，黑产用非法获取的身份证信息和照片，通过AI生成与深度伪造技术批量构造“真人认证”视频。这些视频画面自然，传统活体检测根本分不出来。

第三步，批量执行。 用自动化框架控制大量虚拟设备或模拟器，在同一时间集中发起注册请求。代理池切IP，设备指纹模拟真实环境，单个账号的行为看起来跟正常用户没区别。

三步连起来，传统人脸核验系统基本形同虚设。

传统核验方案为什么扛不住

大部分直播平台现在用的还是“照片比对+动作活体”这套组合。用户上传身份证照片，对着镜头眨眼摇头，系统判断是不是真人，再跟身份证照片比对。

对付普通用户够用。对付AI驱动的黑产，有三个致命缺口。

缺口一：AI换脸视频能过活体。 动作活体验证的是“镜头前的人会不会眨眼摇头”。AI生成的视频完全能做到。黑产不需要真人在镜头前操作，一段合成视频就能走完整个流程。印尼那波攻击里，黑产生成的认证视频甚至比真实用户表现得更“正常”。

缺口二：设备注入绕过摄像头。 这是更隐蔽的方式。黑产不在摄像头前放任何东西，直接在系统层面把预录视频或合成视频流注入到核验流程里。从风控系统视角看，这就是一个正常的视频流，但根本不是摄像头拍的。CIRT.GY的安全报告把这种注入攻击列为2026年身份验证系统的主要威胁之一。

缺口三：静态策略拦不住动态攻击。 大部分平台的核验策略是固定的——固定的动作序列、固定的阈值、固定的检测模型。黑产第一次攻击可能失败，但他们会调参数再来。一个策略用几个月不更新，在黑产眼里就是透明的。

有效的方案长什么样

旷视FaceID在海外处理过类似的攻击场景。2025年印尼金融平台遭遇AI深度伪造攻击潮时，防御方案的核心逻辑分三层。

第一层，识别AI合成痕迹。 不是判断“这张脸像不像人”，是分析“这张脸有没有被AI篡改过”。AI生成的视频和真实拍摄的视频在频域特征、时序连续性、微纹理细节上存在差异。人眼看不出，模型可以。

第二层，多维策略拦截。 把黑名单、随机因子、设备风险检测整合成一套协同机制。

黑名单策略：发现一个攻击样本，立刻关联设备ID、网络特征，同批次账号全部拦截。

随机因子检测：每次活体检测下发的动作指令随机生成，让批量素材无法复用。

设备风险检测：识别模拟器、虚拟设备、异常调用环境。

第三层，联动防御。 在一个平台上捕获的新型攻击特征，同步更新到所有接入平台的防御策略。黑产在一个地方留下的攻击痕迹，会成为其他平台的预警信号。

这套方案上线后，批量攻击的成功率迅速下降，原本能通过的异常请求被系统性拦截。

双11场景下的针对性建议

结合直播平台的具体业务特点，给几个落地层面的建议。

注册环节的核验强度要分层。 不是所有注册请求都值得调最高强度的核验。正常用户注册时，静默活体加设备检测基本够用，体验也好。但一旦设备指纹命中风险标签、或者注册请求来自已知的黑产IP段，立刻升级到动作活体加AI合成检测。既保体验，又保安全。

关注认证通过后的行为。 核验只是入口。一个账号通过了认证，但注册后5分钟内就领了新人券、没看过任何直播、没产生任何互动，这个账号大概率有问题。把核验结果跟后续行为数据打通，风控模型的准确率会高很多。

随机因子不能少。 活体检测的动作序列必须随机。如果每次都是“眨眼-摇头-张嘴”，黑产采集一次素材就能无限复用。FaceID在活体流程里引入了随机因子，让批量素材无法在多个账号间复用。这个机制在双11这种批量攻击场景下特别有效。

模型更新频率是硬指标。 黑产的攻击手法迭代很快。月更的模型，新攻击出来之后会有几周的空窗期。FaceID的模型更新能做到48小时一轮，新攻击特征被发现后，防御策略很快就能覆盖。

留存审计记录。 《直播电商监督管理办法》要求核验记录保存不少于3年。双11期间核验量暴增，日志存储和检索的压力会很大。提前规划好存储方案，别等到审计的时候发现记录不全。

常见问题

静默活体在双11高并发场景下扛得住吗？

静默活体比动作活体更适合高并发场景。动作活体需要用户做完整套动作，流程长、并发占用久。静默活体用户正常看着摄像头就行，0.8秒左右出结果，单台服务器能支撑的并发量高很多。双11期间如果所有请求都走动作活体，排队和超时会成为新的问题。

怎么判断一个账号是不是批量注册的？

单看一次核验通过与否不够。需要结合设备指纹、注册时间、IP段、后续行为综合判断。一个账号如果设备指纹跟其他几十个账号关联、注册时间集中在同一秒、注册后立刻领取优惠券，基本可以判定是黑产。核验系统负责在入口过滤明显攻击，风控系统负责在入口之后做关联分析。

AI换脸视频到底能不能防住？

没有100%防住所有攻击的方案。关键是防御的更新速度。黑产在迭代，防御也得迭代。FaceID的做法是持续追踪新型攻击样本，48小时内完成模型更新。防御的价值不是“永远不被攻破”，而是“攻破的成本远高于黑产的收益”。

双11期间核验系统扛不住怎么办？

提前压测。把预估峰值流量告诉核验服务商，确认弹性扩容能力。FaceID支持公有云、混合云、私有化部署，高并发场景下可以按需扩容。如果双11当天才发现扛不住，就来不及了。

获取直播风控方案，免费合规诊断，欢迎留资咨询。