針對支付寶「刷臉支付」的閉眼測試，識別率不到70%，換句話說，10個人中就可能出現3個人被「借臉盜刷」用於線上支付。
從技術視角抽絲剝繭，進一步其解構方案背後的流程和權責。在金融安全本應當講究謹慎剋制的行當裡，究竟是什麼原因促使從業者不顧使用者安全風險，如此冒進和大膽。
01「標題黨」鬧出烏龍
「一男子睡夢中“被支付”上萬元，竟是用了人臉識別！」
上週，一則關於浙江袁先生因「刷臉錢被盜」的公訴案件登上「寧波公安」的公眾號，並被浙江新聞頻道電視報導。
50多歲的袁先生，在浙江寧波一家餐廳打工。4月2日早上，他發現自己銀行卡里的一萬多元存款竟不翼而飛！
民警經過排查發現，和袁先生同住的劉某、楊某有重大作案嫌疑。經審訊，是同事趁袁先生睡覺時，用他的手機刷臉開機，再用微信將他銀行卡里的錢轉走。
案件中涉及到兩個技術環節，一是手機解鎖，案件清楚描述嫌疑人是通過人臉驗證解鎖手機，並且是閉眼通過刷臉解鎖驗證。二是微信支付，目前微信支援的支付方式包括密碼支付、指紋支付、刷臉支付、免密支付等。
警方並沒有透露手機品牌及型號。一位不願具名的警官表示，手機為「千百來塊」的安卓低端機。
手機解鎖能盜用人臉，權責當屬手機責任方，那麼更為關鍵的「微信支付」又是如何實現的？
在「寧波公安」官方公眾號的案件披露中，我們發現了「關鍵細節」：
「經警方調查，竊賊是袁先生的室友，而其作案手法竟是趁袁先生睡熟之際，拿起袁先生放在床頭的手機，掃了袁先生的臉解鎖後，進入手機支付平臺，刷臉轉走了存款。」
描述中的最後一句「刷臉轉走了存款」，將矛頭直指微信「刷臉支付」的安全隱患，即無法識別熟睡中的使用者的閉眼狀態，導致被熟人盜刷。
據機器之心瞭解，針對「閉眼盜刷」的風險早有防範措施，通常在人臉識別過程中加入「注視識別」的二維人眼關鍵點檢測，並且這項技術早已經在行業普及。
照此推測，微信的「刷臉支付」當真存在該嚴重漏洞？而嫌疑犯恰好就是利用「刷臉認證」方案中的同一個漏洞攻破兩道技術防線？
很快，就有從業人士推翻了案件中的「關鍵細節」，表示「從目前市場在售手機來看，千把塊的手機基本是沒有微信「刷臉支付」功能的。」
而與此同時，各大媒體針對該事件的報導迅速升溫，網路媒體渠道的標題中多用「刷臉錢被偷」作為噱頭引發關注。新聞的由頭沒有問題，但是通過我們進一步與新聞當事人和警方溝通才發現，報導者和警方本身都沒有意識到「錢被偷」中一個更為關鍵的環節是「錢如何在微信應用內被轉走」。
畢竟，「刷臉被盜」和「刷臉支付被盜」完全是兩回事。
事有蹊蹺，為進一步追溯真相，機器之心聯絡到浙江新聞頻道的編輯。對方表示，在新聞中報導，並沒有提及微信轉賬的具體方式。「這個資訊點我們也沒有向當事人和民警採集。」
盛編輯向機器之心表示，「可以明確的是，解鎖環節採用刷臉方式。至於支付方面，他們是關係很好的工友，同居一室，微信支付密碼幾近公開。」
機器之心聯絡到寧波市公安局海曙分局警官，多次溝通之下，他表示，在該案件中竊賊是通過刷臉進行手機解鎖，但在微信支付環節「應該」採用密碼支付。因為兩位作案人與袁先生是工友關係，同居一室，平時很親密，微信支付密碼基本都知道。
「還可以用微信『刷臉支付』嗎？不可以吧！這個細節我們在案件問詢中沒有展開。」
因為對於「人臉識別」目前的技術水平和應用現狀缺少足夠清晰的認知，這起噱頭十足的報導差點被鬧出烏龍。
02 安全隱患卻真實存在
在「借臉盜刷」事件之後，我們決定進一步求證目前手機「刷臉支付」的防攻能力。畢竟在上述案件中，換一個手機型號，「刷臉支付盜刷」並非不存在可能性。
對此，我們隨機蒐集到13位使用者、12款市場主流手機機型進行系統性測試，分別在微信和支付寶應用端，進行睜眼/閉眼狀態下的轉賬支付實驗。
結果備註：
1）上述測試結果以2019年4月10日10:00am-4:00pm測試為準，之後測試資料有所波動將在下文提及，但不作為測試結果統計範圍內。
2）測試指在同等環境下，同一個測試人以同一姿勢進行測試，兩次以上得到同一個結果。
3）在測試者閉眼狀態下，通常有旁人進行輔助測試，確保閉眼狀態的真實性。
4）測試結果，「成功」指兩次或兩次以上的測試結果為「支付成功」，反之「失敗」。
5）測試樣本隨機抽取，樣本數量較小，但具有一定的參考價值。我們希望反映的是，兩套已經大規模的支付應用微信、支付寶，在針對睜/閉眼狀態的人臉識別方案的缺漏。
根據上圖統計的測試結果，在針對支付寶「刷臉支付」功能的閉眼狀態測試中，超過33%（4臺）的手機都能夠在閉眼狀態下通過支付，其中17%的使用者完全無障礙通過閉眼支付，17%的使用者在閉眼支付的連續相同環境下測試結果不穩定，無規律波動，但均出現超兩次「閉眼刷臉」認證通過。
安卓手機針對支付寶「刷臉支付」閉眼狀態實測，順利驗證通過
換句話說，目前支付寶「刷臉支付」功能的人臉認證的「準確率」連67%都不到。在我們隨機挑選的13人測試中就有4人能夠通過「閉眼支付」。
試想如果把手機測試規模擴大到20臺機型、100臺機型……將測試人群擴大100人、1000人、10000人……結果會怎樣？
在測試中，我們還發現微信和支付寶對於「刷臉支付」功能的支援力度和方式有所不同。
微信目前只針對少數高階機型、具備前置三維深度視覺方案的手機開放「刷臉支付」許可權，比如蘋果的iPhoneX、iPhone Xs、iPhone Xs Max，華為Mate 20 Pro。即在我們的測試中，僅有四款機型具備「刷臉支付」功能，但就有三臺均能通過微信的「閉眼支付」驗證。
對於支付寶，絕大部分採用二維人臉驗證方案的手機都能夠開啟「刷臉支付」，並且許可權和3D人臉識別方案相同，不僅可在支付寶應用內完成轉賬和支付等交易，還可以跨平臺使用，比如在滴滴平臺呼叫支付寶「刷臉支付」功能進行結賬。
在體驗方面，和3D人臉識別方案的別無二致，在前端的使用者基本感覺不出異樣。
採用二維人臉識別方案的安卓手機，在餓了麼應用中，採用支付寶「刷臉支付」功能結賬
測試前，我們對於測試結果和「閉眼支付」的通過率都始料未及。站在使用者立場，我們也曾相信在兩個使用者超過十億的金融支付平臺的交易安全能夠得到足夠保障。
但當我們拿到統計完的測試結果，部分測試人員及旁觀者都十分吃驚，「支付寶還有這樣的漏洞？」，我們很難再對其報以樂觀和信任的態度。
03 刨根問底「刷臉支付」
或許有人提出異議，既然是在手機端完成的「人臉驗證」，技術方案和安全責任理應由手機廠商承擔。在與騰訊微信公關溝通時，對方也轉達了技術人員的觀點，「手機中人臉識別支付功能，確實是使用手機廠商的功能，所以質疑更多關注在手機廠商的人臉識別標準上會更好。」
據機器之心瞭解，一套完整的手機安全認證通常涉及到APP應用方、手機廠商、TEE服務商、演算法廠商等多方配合。
但是，針對「刷臉支付」具體應用而言，這些合作方究竟是如何協同的，背後究竟隱藏著什麼樣的「黑盒子」？
這對於劃定支付安全漏洞的權責十分重要，否則只能是手機廠商與應用廠商互相「踢皮球」。
我們聯絡到手機安全虛擬化作業系統方面的專業人士，進一步追溯在手機應用中實現「刷臉支付」涉及到的技術細節與許可權。
一位不願具名的TEE廠商CTO向機器之心表示，從人臉驗證方案來看，主要有兩種模式：
1）本地3D人臉模式，比如Apple Face ID、微信、銀行APP授權手機刷臉認證模式，一般走傳統的手機安全認證流程。
2）2D人臉支付模式，比如支付寶應的刷臉支付功能，一般為遠端認證，這部分只涉及到應用方自己的app和後臺系統。
首先，從本地3D人臉模式談起。
在這套方案中需要對可信執行環境概念，也就是TEE ，Trusted Execution Environment進行了解。
當我們要在手機端進行某些關鍵或者敏感操作時，比如加密或安全儲存，無法在公共安全的作業系統內執行。於是，就有了虛擬化出來的可信任的作業系統/程式，即TEE廠商。他們在硬體隔離的安全區域中，單獨安裝可信應用程式來提供這些操作。
在一個完整的3D人臉驗證流程中：
1）首先，應用方APP會呼叫手機作業系統功能介面，提示使用者人臉識別，手機作業系統喚醒攝像頭，採集人臉資料，包括面部2D圖片+3D結構資訊。
2）然後，攝像頭使用與TEE共享的資料加密金鑰，針對採集到人臉資料進行加密，並傳輸到手機的TEE安全虛擬作業系統中。 TEE再使用該套加密金鑰進行解密，獲得原始人臉資料資訊。
3）接著，手機將呼叫人臉識別演算法對原始人臉資料進行分析和特徵點識別，並與預先儲存的人臉特徵資料進行比對，再將比對結果進行數字簽名後，通知給應用方APP。
4）最後，應用方APP再將該結果傳送給應用方後臺系統，並利用數字證書對應的公鑰校驗識別結果，最終完成整個刷臉支付過程。
與這一模式對應的是，具備前置3D深度視覺攝像頭方案的手機廠商，比如iPhone X、iPhone Xs、華為Mate 20 Pro等。照上述理論，針對這類手機，應用廠商進行刷臉認證實現金融交易時，呼叫的都是手機端的資料、演算法以及比對結果。
但是，針對該模式中，應用廠商對於手機呼叫資料和計算結果的干涉程度，我們仍保留疑問。
因為在我們聯絡到微信公關部，針對微信刷臉閉眼支付的安全問題進行溝通的前後兩個時間段，我們的三個樣本測試結果均出現了反轉。
4月10日上午，筆者採用iPhone Xs在睜/閉眼的測試中，兩次閉眼微信刷臉支付成功，支付寶測試失敗。同日，筆者同事A採用華為Mate 20Pro進行測試，同樣閉眼刷臉支付成功。筆者同事B採用iPhone X進行微信測試，測試結果同上。
但在4月10日下午，與微信公關同事針對該事件進行溝通並提出採訪訴求後，在4月11日再次進行微信刷臉閉眼測試時測試結果發生變化，筆者與上述同事採用iPhone Xs、iPhone X、華為Mate 20Pro多次測試微信閉眼刷臉均為失敗。
4月12日晚上，在我們的採訪需求溝通了兩天之後，微信支付安全團隊終於給出回覆，但並沒有針對微信「閉眼支付」安全的關鍵問題進行迴應。
他們表示，微信針對手機人臉支付的機制要求相關機型要符合必要的安全標準，包括3D結構光深度攝像頭、比對計算等操作在TEE可信環境等。
同時，微信制定了一系列嚴密的測試驗收機制，從安全、使用者體驗上保證該裝置的人臉支付合規，包括包含活體檢測判斷、有效支付距離&角度，明顯非注視不能支付等安全標準，以及專項攻防測試，包含螢幕錄影、3D頭模等可能存在的攻擊手段，只有通過標準驗收的裝置才具備開通微信人臉支付的條件。
關於在微信「刷臉支付」閉眼測試結果前後不一的現象，究竟是誰在背後進行演算法或者資料的調整尚不得而知，我們也將繼續關注。
下邊來聊聊支付寶的2D人臉驗證支付模式。
時間線回到2015年，馬雲在德國漢諾威IT博覽會上演了經典的「掃臉」。為螞蟻金服的Smile to Pay（微笑支付）掃臉技術站臺，刷自己的臉從淘寶網上購買了一枚20歐元的1948年漢諾威紀念郵票。
也就是在那一年，支付寶正式推出「刷臉登入」功能，即使用者用人臉驗證取代賬號密碼進行登入。
彼時，螞蟻金服柒車間負責人陳繼東談道：
生物識別取代傳統密碼驗證是一個行業趨勢，人臉識別技術2015年7月份開始，逐步在支付寶實名認證、重置密碼、換綁手機、風險支付校驗等功能中應用，現在擴大到了登入這個主流場景中，實踐證明，真實應用場景下的識別成功率已經在90%以上。
經過四年的發展和迭代，「刷臉登入」從支付寶一個隱藏在四級子選單、體驗大於實用的「展示功能」，逐步前置，許可權放手，發展為幾乎面向所有智慧機型開放的「刷臉支付」，應用場景進入到網際網路金融的核心陣地。
記得2017年，筆者初次體驗「刷臉支付」功能時，在每筆交易使用前都需要額外呼叫，並且在使用前需要進行點頭、搖頭、張嘴等動作配合，以進行活體檢驗，安全驗證流程基本到位。
但因為概念超前，環節過於繁瑣，很長時間裡，支付寶的「刷臉支付」功能只是默默地隱藏在應用內。
在這一階段，支付寶的人臉識別技術一直採取和AI技術公司曠視科技（Face++）合作，由Face++提供從人臉比對、檢測、識別的核心演算法，後來進一步發展成為支付寶的人臉識別技術方案提供商。
變化發生2017年下半年。iPhone X問世，FaceID概念迅速大規模普及。正是生物支付戰略落地的最佳視窗期，支付寶大膽地踩下了油門。
與此同時，螞蟻金服自建人臉識別技術平臺的訊號也日臻強烈。2017年11月，螞蟻佐羅（ZOLOZ），螞蟻金服孵化的首家安全技術公司成立，螞蟻金服並表示將藉助該平臺開放其金融級生物識別技術能力。
爾後，支付寶及螞蟻金服平臺下的更多人臉識別應用技術改道採用「螞蟻佐羅」團隊方案，曠視（Face++）被迅速取代。
自身技術平臺健全，支付寶在生物支付，尤其是「刷臉支付」技術的推廣和落地也駛入快車道。在支援iPhoneX「刷臉支付」許可權之後，支付寶開始小範圍地加速推進國產安卓機的3D人臉識別方案落地，多為價格偏高的旗艦機型，比如OPPO FindX、小米8探索版等。
但市場趨勢不遂人願，由於3D人臉識別硬體方案，即結構光攝像頭模組價格居高不下，且數款採用該配置的高階機型推廣未及預期。安卓市場還未掀起3D人臉識別熱潮，3D人臉識別方案就折戟沉沙，iPhone 在安卓生態的示範作用無奈失靈。
於是，支付寶開始立即同步推進部分單目/單目+紅外/雙目攝像頭方案，即2D人臉識別方案或者進化版，比如華為nova3。
2D人臉識別方案無法做到準確的活體檢測，面臨假體攻擊的極大安全隱患，這是技術方案所客觀決定的。
但是，將使用者體驗和流量擺在第一位的產品經理們，當然不願再用老一套的「活體檢驗」繁瑣流程。付個賬，還要折騰老半天的搖頭晃腦，誰還願意用？
那麼在支付包的邏輯裡，二維影象比對如何能夠保證防禦「假體攻擊」呢？
技術不夠，資料來湊。
據支付寶的合作應用廠商表示，為確保在二維方案下的人臉識別準確性，支付寶會呼叫阿里系平臺更多的資料維度，如消費資料、消費習慣、信用資料、消費能力等，結合人臉識別結果一同針對該使用者的金融行為做出評判。
但事實證明，基於側面資料的輔助驗證手段，在人臉驗證技術所涉及到的安全隱患面前只不過是一顆給廠商自己的「安慰劑」。
根據目前測試結果，支付寶「刷臉支付」測試的準確率如此之低，連五年前承諾的90%準確率都遠遠不及。
在支付寶官網首頁，「你是中心」，鮮明的標語用大字號書寫著。當我們溝通多輪，才拿到支付寶技術人員的迴應，「支付寶刷臉設有『注視識別』，可以有效防範閉眼狀態下通過刷臉的情況」，迴應和標語在此刻都顯得尤為蒼白無力。
04 支付寶為何如此激進？
在金融安全如此謹言慎行的業態裡，支付寶大膽而激進的風格獨樹一幟。
「在支付格局上面，支付寶等網際網路公司和人民銀行等銀行系機構實際上已經產生了非常大的衝突。」一位不願具名的人工智慧金融安全的從業人士說道。
一面是在符合監管要求層面的金融機構，比如各大銀行APP在進行嘗試創新時，都不敢步子邁得過大，做得過快。因為監管機構明確沒有檔案支援。但是另一方面，支付寶等基於網際網路公司一貫的作風和基因，視流量和體驗至上，對比而言更顯冒進。
事實上，雙方衝突和爭奪的焦點還在於在金融支付全流程的標準化問題上。
一項完整的金融認證方案的標準，涉及從影象採集資料傳輸到演算法攻防等的整個鏈條，從使用者的終端一直到銀行端，需要實現端到端的全程的安全可控。比如，交易裝置需要通過相關權威的金融檢測機構認證，確保達到金融安全級別，才能夠進行交易。
但顯然，對於目前使用者通用的消費類裝置，並沒有專門的金融機構進行認證。
有演算法公司表示，在針對多款手機裝置攝像頭進行適配時，發現目前手機內部整合的演算法和方案，完全不能針對攻擊和假體做到防範。
標準尚未定奪，此時得標準者，即得盟主位。而標準聯盟的競爭才是支付寶、微信以及各大銀行體系競爭的本質。
首先，力推和信任在手機終端實現全流程的身份認證流程是FIDO聯盟。
該聯盟認為，如果身份資訊和認證等所有流程僅限於手機本地端完成全，那麼就預設是安全的，使用者驗證均以本地驗證為準，然後再向後端發起交易，此時的金融機構、銀行等，將直接接受終端裝置的身份認證結果。
FIDO聯盟成立於2012年7月，其宗旨為滿足市場需求和應付網上驗證要求。目前，中國銀行、民生銀行、工商銀行、交通銀行、中信銀行、聯通沃支付、移動和包、興業證券、國泰君安證券等泛金融應用背後均支援FIDO標準。
雖然支付寶早期也參與過FIDO聯盟的認證業務，但很快意識到標準聯盟的重要性之後，2015年，螞蟻金服轉身，與中國信通訊研院等單位聯合發起新的聯盟，IFFA聯盟，同樣以解決身份認證問題為己任。
依託阿里系自身龐大的金融和電子商務業務，IFAA近年來的使用者基礎和客戶群體成長迅速。到2017年，IFAA已經支援36個手機品牌的200款手機型號，覆蓋7000萬使用者。在2018年的雙十一中，支付寶生物支付佔比超過60%，IFAA市場負責人姚青予將其歸功於IFFA聯盟的功勞。
而對於同樣擁有海量使用者的騰訊，當然不會甘心歸於IFFA勢力。2017年8月，騰訊宣佈自立山頭對外開源SOTER標準，該標準主要用於微信指紋支付、微信公眾號/小程式指紋授權介面等場景。
得盟主位，即得行業。
綜合來看，目前金融身份認證市場仍呈現出『三足鼎立』的格局。
國際身份的FIDO堅持中立視角。騰訊SOTER起步較晚，在開放性略有不足，尚不能稱為聯盟標準，IFFA這幾年勢頭正猛。
巨頭不願將使用者的關鍵安全認證資訊拱手於人，並且行業對安全快速的身份認證的統一標準將是不斷「擴建生態圈」、確立行業地位的最有力保障，建立並發展聯盟勢在必行。
金融安全從業人士談到此現狀時，表示出擔憂，「過度信任終端和應用廠商，如果出現問題，手機廠商應該承擔什麼責任，銀行承擔什麼責任，支付公司承擔什麼責任？現在都沒有細則。」
「要知道，以往的在我們金融機構裡，只要出現問題，第一個板子一定是打到後面的金融機構，銀行或者是支付公司身上。」
所以，我們會看到銀行業在面對不夠成熟的新技術方案時，總是顯得保守和剋制。最常見的，不難發現銀行類APP永遠無法像微信或者支付寶那樣「常駐」，而是每進入一次應用，都需要「驗明正身」。
傳統銀行機構線上體驗水平停滯不前，被視為其他金融支付應用的機會和潛力所在，所以微信和支付寶才要極力地推廣和完善金融支付極致的使用者體驗，建立以自我為中心的行業標準，拉攏使用者。
而在這個過程中，支付寶相比微信顯然更為激進和大膽。
05 原來，我們都是用安全換便利
如果支付寶平臺所採用的技術方案存在安全隱患，那麼如何才算得上是一套健全而有保障的「刷臉支付」技術方案？
我們對此採訪了雲從科技金融產品部負責人張興旺。過去幾年裡，雲從參與制定了由中國人民銀行主導的刷臉支付應用標準的起草與制定，該方案預計在年內正式釋出。作為起草與制定方之一，雲從科技的觀點和建議具有一定的參考意義。
張興旺表示，以前述的典型案件場景為例，在進行使用者身份認證環節時有兩個明顯缺漏。
第一，針對活體的檢測，比如在銀行業做刷臉取款，在正式刷臉前有一個重要的「自動活動檢測」環節，判斷當前相機前面是否是「真人」；
第二，判斷交易者的主觀意願，即交易者是否願意主動進行交易。
而在該案件以及我們針對支付寶的「刷臉支付」功能測試中，第一項明顯不符合，既不是採用專用活體檢測硬體方案，也沒有針對使用者進行「動作配合」檢測。
我們不禁要問，僅僅建立在二維人臉驗證的硬體方案基礎上，為什麼活體檢測環節要被取消？
「這個問題在移動端技術方案中很常見，也就是說軟體的易用性和安全性實際上是相互矛盾的。安全性是金融交易最基本的要求，滿足安全性後才應考慮應用性。」張興旺表示。
誠然，作為一般使用者，大部分人都會認為如果還需要活體檢測，那「刷臉解鎖」環節未免太繁瑣，太耽誤驗證時間。
目前，業內人士之所以將「刷臉解鎖」稱之為「非配合」驗證方式，恰恰是因為現在的「刷臉解鎖」因為追求極致體驗，取消了使用者配合的檢測環節，「過度追求無感體驗」。
此外，如果客戶端識別到交易者眼睛閉合，那麼可以判定使用者不符合交易意願要求，無論是後續的解鎖還是支付都不應當繼續下去。顯然，在案件中手機解鎖和支付寶「刷臉支付」案例中，更大可能性是因為閉眼識別的演算法準確度上出了問題。
針對睜眼/閉眼狀態識別，目前最簡單的方式就是先提取面部中眼睛的關鍵點，通過它是呈現一條線還是一個橢圓形，能夠做出基本判斷是否睜眼/閉眼。
但是，這僅僅是最基本的一項判斷方法。因為僅僅針對眼睛形狀判斷睜/閉眼狀態，很有可能將「小眼睛」特徵的人識別為閉眼。
「到底這個判斷閾值應該做到什麼程度，是需要平衡的。針對每個使用者，還需要用大量資料來反覆驗證，到底是識別到什麼樣的開合程度才算合適。只有獲得足夠大和豐富的使用者資料，才能幫助演算法進一步迭代，提升準確性。」張興旺談道。
雖然支付寶很早就在推進人臉識別技術，但到目前為止，在手機應用端進行「刷臉」的消費習慣仍沒有真正建立，資料量不足或許是制約演算法準確度的原因之一。
但這也並不能成為支付寶「刷臉支付」功能存在極強安全隱患的說辭。如果演算法和技術不到位，功能為什麼要上線，還要開放如此大的許可權全線推廣？
一位不願具名的金融安全從業人士評價道：
「這個事情，你要做到最基本的功能可用，比如90%人能用，可能花費一倍努力就夠了，但是你要保證99.9%的人都不判斷出錯、都沒有問題，那可能就要花費十倍甚至一百倍的精力。
但事實上，不管是網際網路公司，還是演算法公司好，都沒有認真細緻地去思考這個事情，結果就會導致有10%或者更多的人出現問題。」
經過我們測試，支付寶在「閉眼驗證」這個環節準確率甚至連90%的及格線都沒有達到。
在搜尋和資訊流領域，百度李彥巨集認為，「中國使用者可以用隱私換取便利」；在金融安全層面，似乎也有人在套用同樣的邏輯，「中國使用者可以用安全換取便利」。
「在我們的眼中看，如果說做金融安全級別是八分的門檻，那麼他們可能就是三四分的水平。將偏向日常應用技術能力用來做金融場景，這是很難被接受的。」
該金融安全從業人士說道，「解決辦法當然會比問題多得多，但對於應用廠商而言，未必會願意用『安全保守』的方案來做。」
06 誰來為安全買單？
「我們認為最終最大的受害者仍然是消費者，這是完全不顧消費者的利益，不管公眾的安全，直接就將具備明顯安全隱患的功能上線是很可怕的。手機廠商也是如此，設計明顯就是有漏洞的，但是仍然釋出給了消費者。
不要指望手機廠商和應用廠商會因為你的利益損害而得到賠償。這在法律和情面上都不可能得到保障。」
假設使用者因為採用應用廠商的「刷臉支付」被盜取了錢財，手機廠商和應用廠商需要擔責嗎？
一位不便具名的科技法專家進行了解答，她表示在上述案件中涉及到三重法律關係。
一是刑事部分，從目前有限的資訊來看，盜竊成立的可能性較大，有主觀故意、非法佔有等表現。
二是民事部分，主要是手機廠商是否涉及到產品對消費者侵權。
根據《消費者權益》第七條：消費者在購買、使用商品和接受服務時享有人身、財產安全不受損害的權利。消費者有權要求經營者提供的商品和服務，符合保障人身、財產安全的要求。
第十八條：經營者應當保證其提供的商品或者服務符合保障人身、財產安全的要求。對可能危及人身、財產安全的商品和服務，應當向消費者作出真實的說明和明確的警示，並說明和標明正確使用商品或者接受服務的方法以及防止危害發生的方法。賓館、商場、餐館、銀行、機場、車站、港口、影劇院等經營場所的經營者，應當對消費者盡到安全保障義務。
人臉識別標準目前已有國家標準出臺。手機廠商的人臉識別技術需達到標準，否則給消費者造成的損失應予賠償。同樣地，應用廠商也需要遵守這項人臉識別國家標準。
但遺憾的是，針對上述提到的標準，《公共安全人臉識別應用影象技術要求》（GBT35678-2017），我們發現它適用於公共安全領域人臉識別應用中人臉影象的採集、檢測與儲存；並且，僅在影象註冊環節說明閉眼、眼鏡未正視前方不允許，在識別影象時未提及眼部特徵的要求。
換句話說，目前能夠承擔手機「刷臉支付」背後隱患與安全的，不過是消費者本身而已。而那些所謂大力推廣「便捷」與「易用」的生物支付技術背後，不過是支付寶和微信等應用廠商為了稱盟圈地的手段。