Shahid Hanif, CEO a spoluzakladatel Shufti – rozhovor

Shahid Hanif, CEO a spoluzakladatel Shufti, je technologický podnikatel s rozsáhlými zkušenostmi s vytvářením platforem pro ověření identity, fintech, blockchain a decentralizované software. Spoluzakladatel Shufti v roce 2017 a strávil více než sedm let jako hlavní technologický ředitel, vedl interní vývoj umělé inteligence poháněné biometrické a dokumentové ověřovací technologie, než se stal CEO v prosinci 2024. Hanif je také zakladatel Developers Studio, blockchain vývojářské společnosti s více než 100 specialisty, a dříve působil jako CTO Quickbit, kde pomáhal vyvinout technologii plateb kryptoměny před vstupem společnosti na burzu. Dříve spoluzakládal Programmers Force a pomáhal rozšířit software a datové vědy společnosti na více než 500 zaměstnanců v deseti kancelářích na třech kontinentech.

Shufti je umělou inteligencí poháněná platforma pro ověření identity, která pomáhá organizacím vytvářet důvěru, předcházet podvodům a splňovat požadavky Know Your Customer, Know Your Business a Anti-Money Laundering. Jeho platforma spojuje ověření dokumentů a biometrické ověření, elektronické ověření identity, NFC-založené kontroly, obchodní ověření, zajištění věku, detekci podvodů, pokračující monitorování a případové řízení prostřednictvím jednotné infrastruktury. Společnost podporuje tisíce typů dokumentů a více než 150 jazyků ve více než 240 zemích a územích, což umožňuje podnikům ověřovat zákazníky a organizace prostřednictvím jediné globální integrace. Jeho technologie zkoumá autenticitu dokumentů, biometrickou živost, inteligenci zařízení a další signály rizik, aby detekovala padělané dokumenty, deepfakes, manipulaci s účty a koordinované útoky na identitu.

Když jste spoluzakládal Shufti v roce 2017, jste původně vedl technologický vývoj společnosti jako hlavní technologický ředitel, než jste se stal CEO v roce 2024. Jaké nedostatky v digitálním ověření identity vás původně motivovaly k vytvoření platformy, a jak se vaše pochopení problému změnilo s rozvojem generativní umělé inteligence?

Když jsme spoluzakládali Shufti v roce 2017, největšími výzvami byly pomalé ověření, příliš mnoho manuální práce a systémy, které nefungovaly dobře v různých zemích. Mnoho řešení pro ověření identity bylo nekonzistentních, zejména v high-risk průmyslech. Také měly potíže s ověřením dokumentů v nelatinských jazycích a nemohly spolehlivě ověřovat identity z celého světa.

Dnes generativní umělé inteligence změnila problém. Není to již jen o čtení ID dokumentu. Je to o tom, zda dokument a osoba, která ho předkládá, jsou skutečné. Umělé inteligence učinila identifikační podvody rychlejšími, levnějšími a mnohem snadněji škálovatelnými. Naučili jsme se, že ověření někoho jednou během onboardingu již není dostatečné. Podniky nyní potřebují umělou inteligenci, která může detekovat i ty nejpokročilejší falešné dokumenty a identity.

Belgické úřady nedávno varovaly, že více než 10 000 lidí se stalo obětí identifikačních podvodů s využitím umělé inteligence za posledních rok. Co tento případ odhaluje o tom, jak rychle se identifikační zločiny vyvíjejí, a proč jsou kopie legitimních dokumentů vytvořené umělou inteligencí zvláště obtížné k detekci?

Varování belgických úřadů týkající se 10 000 obětí je pouze špičkou ledovce. Odhaluje, že zločinci přešli z základního editování dokumentů na plnou identifikační syntézu.

Kopie vytvořené umělou inteligencí jsou obtížné k detekci, protože mohou napodobovat vládní šablony s pixelovou přesností. Tradiční OCR (Optical Character Recognition) se zaměřuje na extrakci textu, ale ignoruje vizuální integritu obrazu. Umělá inteligence nyní může replikovat bezpečnostní funkce, které dříve vyžadovaly fyzickou přítomnost pro ověření, což činí plochý obraz dokumentu zátěží místo důkazem identity.

Jak se kopie identifikačního dokumentu vytvořená umělou inteligencí liší od konvenčního padělání, upraveného dokumentu a plně syntetické identity?

Je důležité rozlišovat mezi těmito metodami:

Konvenční padělání: Fyzický padělaný dokument.

Upravený dokument: Legitimní ID, kde byly upraveny konkrétní pole (jako jméno nebo datum narození).

Syntetická identita: “Frankenstein” persona vytvořená kombinací ukradených skutečných údajů (jako číslo sociálního pojištění) s vynalezenými detaily.

Kopie vytvořená umělou inteligencí: Deepfake dokument vytvořený ze šablony nebo ukradené šablony pomocí Generative Adversarial Networks (GANs). Tyto často postrádají digitální historii a obsahují forenzní artefakty, jako jsou nesrovnalosti šumu senzoru, které lidské oko nemůže vidět.

Shufti předpokládá, že dokumentové deepfakes mohou vzrůst téměř o 3 900 % tento rok. Jaká aktivita pohání tuto projekci, a které předpoklady nebo omezení by organizace měly pochopit při interpretaci?

Očekáváme 3 900% nárůst dokumentových deepfakes, protože umělá inteligence učinila podvody mnohem snadněji vytvářet a škálovat. Zločinci již nejsou pouze nahrazují obličeje ve fotografiích. Nyní mohou vytvářet celé falešné identifikační dokumenty, které často projdou staršími ověřovacími systémy.

Je důležité pochopit, že tato projekce odráží, jak rychle se AI-poháněné podvody vyvíjejí, a ne pouze, kolik falešných dokumentů existuje. Největší výzvou je, že mnoho systémů pro ověření identity bylo navrženo před lety a nemůže detekovat pokročilé AI-generované falešné dokumenty, jako jsou realistické hologramy nebo face morphing. V důsledku toho mohou falešné identity projít kontrolami a zůstat skryté v databázích společností.

Mnohé podniky stále považují fotografii nebo sken identifikačního dokumentu za dostatečný důkaz identity. Jaké signály by měl moderní ověřovací systém zkoumat beyond viditelné informace na dokumentu?

Největší posun je, že podniky již nemohou spoléhat na tradiční kontrolu dokumentů. Potřebují, co nazýváme “Digitální oko” přístup. Místo toho, aby pouze četly informace na ID, systém musí zkoumat, zda je dokument sám o sobě autentický.

To znamená hledat jemné signály, které lidé nemohou snadno spatřit, jako zda byl obraz zachycen z obrazovky, neobvyklé vzory pixelů, nekonzistentní osvětlení nebo stopy zanechané generátory obrazů. Také kontrolujeme, zda části dokumentu byly zkopírovány, přesunuty nebo digitálně upraveny, spolu s nekonzistencemi v metadatech a kvalitě obrazu. Když zkombinujete všechny tyto signály, jste mnohem více pravděpodobně detekovat pokročilé AI-generované dokumenty, které starší ověřovací systémy by jednoduše přijaly jako skutečné.

Argumentoval jste, že zajištění identity by mělo být kontinuální, nikoli omezené na zákaznický onboarding. Jak by vypadalo kontinuální ověření v praxi, a jak mohou společnosti implementovat jej bez zavedení nadměrného dohledu, rizik pro soukromí nebo zákaznického tření?

Éra “jednorázové kontroly” je u konce. Kontinuální zajištění identity znamená aktualizaci uživatelského rizika proti 1 700+ watchlistům tak často, jako každých 15 minut, aby se předešlo “retroaktivnímu non-kompatibilitě”.

Pro implementaci tohoto bez tření nebo rizik pro soukromí používáme biometricky vázané opakovaně použitelné identity (FastID). Jakmile je uživatel ověřen, může se znovu ověřit pro high-risk akce (jako velké výběry) za méně než dvě sekundy pomocí pouze obličejového skenu. To eliminuje potřebu opakovaného nahrávání dokumentů, zatímco udržuje vysokou bezpečnostní pozici.

Podvodníci mohou nyní kombinovat syntetické dokumenty s face swapy, deepfake videem, injekčními útoky a ukradenými osobními informacemi. Jak by měly platformy pro identitu spojit integritu dokumentů, biometrickou živost, inteligenci zařízení a behaviorální analýzu, aby identifikovaly tyto koordinované útoky?

Podvodníci se stávají mnohem sofistikovanějšími. Místo použití pouze jedné techniky nyní kombinují AI-generované dokumenty, face swapy a injekční útoky, aby obešli identifikační kontroly. To je důvod, proč podniky potřebují podívat se na celý obraz, místo toho, aby se spoléhaly na jeden ověřovací krok.

Ve Shufti děláme to prostřednictvím kontextu-aware rizika skóre. Analyzujeme zařízení, které se používá k detekci emulátorů nebo headless prohlížečů, ověřujeme, zda je uživatel fyzicky přítomen s iBeta Level 2 certifikovaným pasivním liveness detekcí, a hledáme podezřelé vzory napříč účty analýzou identifikačních údajů, otisků zařízení a uživatelského chování. Kombinace těchto signálů činí mnohem snadnější identifikovat podvody, než způsobí škodu.

Generativní modely budou pokračovat v zlepšování, zatímco podvodníci mohou úmyslně komprimovat, rescannovat nebo upravit syntetická média, aby skryli manipulační artefakty. Jak by ověřovací poskytovatelé měli testovat, zda jejich detekční systémy zůstávají účinné proti novým a dříve neviděným útokům?

Výzvou je, že AI-generované podvody se vyvíjejí mnohem rychleji než tradiční bezpečnostní testovací cykly. Ověřovací poskytovatelé potřebují neustále vyhodnocovat své systémy proti novým útočným technikám, místo toho, aby se spoléhali na historická data. To znamená testování se syntetickými dokumenty, rekompresovanými obrázky, screen recapturami, injekčními útoky a jinými manipulovanými médii navržených k skrytí zjevných artefaktů. Zvyšující se pozornost se přesouvá od detekce konkrétního typu deepfaku k identifikaci nekonzistencí napříč několika signály, protože ty tendují k zůstat těžší pro útočníky replikovat, jak se generativní umělá inteligence zlepšuje.

Systémy pro ověření identity mohou způsobit vážné důsledky, když nesprávně odmítají legitimní uživatele. Jak by vývojáři měli měřit falešné pozitivy, demografické výkony a přístupnost spolu s přesností detekce podvodů?

Přesnost by neměla být pouze o chycení “špatných chlapů”; je to o zajištění bezproblémové cesty pro “dobré chlapce”. V našem odvětví se zaměřujeme na Failure to Extract Rate (FTXR) – který měří, jak často systém jednoduše selže “přečíst” obličej nebo dokument – a False Non-Match Rate (FNMR), kde jsou skutečné uživatelé nesprávně odmítnuti. Podle zdrojů výkon Shufti v DHS RIVR 2025 Benchmark prokázal 0% selhání extrakce napříč několika zařízeními a nejhorší FNMR pod 0,68%.

Developers musí jít beyond “lab averages” a měřit výkon proti “nejhorším” demografickým výsledkům. To znamená testování specificky pro konzistenci napříč různými barvami pleti, faciálními strukturami a kulturními oděvy. Dosahujeme toho tím, že trénujeme naše AI na globálně rozmanitých datech obsahujících miliony snímků. Robustní vyhodnocení není kompletní, dokud neprokážete, že váš systém je stejně přesný pro uživatele v venkovské oblasti s špatným osvětlením, jako je v kontrolovaném kancelářském prostředí. Cílem je Unified Identity Layer, který zůstává spravedlivý, inkluzivní a přístupný všem.

Pohledem do budoucna, budou technologie, jako jsou vládní podporované digitální identifikační peněženky, kryptograficky ověřitelné pověření a biometricky vázané identity, nakonec učinit nahrávání obrázků identifikačních dokumentů zastaralým, nebo budou pouze vytvářet novou sadu útočných ploch?

Určitě se pohybujeme směrem k budoucnosti, kde lidé nebudou muset nahrávat fotografie svých identifikačních dokumentů tak často. Vládní podporované digitální identifikační peněženky a důvěryhodné digitální ID činí prokázání identity mnohem rychlejším a bezpečnějším, protože umožňují ověřit informace přímo, místo aby se spoléhaly na obrázek dokumentu. Také vytvářejí hladší uživatelský zážitek snížením času potřebného k dokončení ověření.

To řečeno, každá nová technologie vytváří nové příležitosti pro zločince. Místo padělání dokumentů mohou útočníci nyní snažit ukrást digitální pověření, převzít kontrolu nad účty nebo ukrást důvěryhodné identity. To je důvod, proč digitální pověření sama o sobě nejsou dostatečná. Je stále důležité potvrdit, zda osoba, která používá identitu, je legitimním vlastníkem, například prostřednictvím biometrického ověření a liveness kontrol. Budoucnost ověření identity bude pravděpodobně kombinovat důvěryhodná digitální pověření s biometrií, vytvářející více vrstev ochrany místo toho, aby se spoléhala na jedinou metodu.

Děkuji za skvělý rozhovor, čtenáři, kteří chtějí se dozvědět více, by měli navštívit Shufti.