Shahid Hanif, administrerende direktør og medstifter af Shufti – Intervieuserie

Shahid Hanif, administrerende direktør og medstifter af Shufti, er en teknologi-iværksætter med omfattende erfaring med opbygning af identitetsverifikation, fintech, blockchain og decentraliserede software-platforme. Han co-founded Shufti i 2017 og tilbragte mere end syv år som Chief Technology Officer, hvor han ledede den interne udvikling af dens kunstig intelligens-drevne biometriske og dokumentverifikationsteknologi, før han blev administrerende direktør i december 2024. Hanif er også grundlægger af Developers Studio, en blockchain-udviklingsvirksomhed med mere end 100 specialister, og har tidligere fungeret som CTO af Quickbit, hvor han hjalp med at udvikle dens kryptvaluta-betalingsteknologi før selskabets første børsnotering. Tidligere co-foundede han Programmers Force og hjalp med at udvide software- og datavidenskabsvirksomheden til mere end 500 ansatte på ti kontorer på tre kontinenter.

Shufti er en kunstig intelligens-drevet identitetsverifikationsplatform, der hjælper organisationer med at etablere tillid, forhindre svindel og opfylde kravene om Kundekendskab, Virksomhedskendskab og Anti-Pengetværsregler. Dens platform samler dokument- og biometrisk verifikation, elektronisk identitetsverifikation, NFC-baserede kontroller, virksomhedsverifikation, aldersgaranti, svindeldetektion, løbende overvågning og sagshåndtering gennem en samlet infrastruktur. Selskabet understøtter tusindvis af dokumenttyper og mere end 150 sprog på over 240 lande og territorier, hvilket giver virksomheder mulighed for at verificere kunder og organisationer gennem en enkelt global integration. Dens teknologi undersøger dokumentets ægthed, biometrisk livlighed, enhedsintelligens og andre risikofaktorer for at opdage falske dokumenter, deepfakes, konto-manipulation og koordinerede identitetsangreb.

Da du co-foundede Shufti i 2017, ledede du initialt selskabets teknologiudvikling som Chief Technology Officer, før du blev administrerende direktør i 2024. Hvad var det, der oprindeligt motiverede dig til at bygge platformen, og hvordan har din forståelse af problemet ændret sig med opkomsten af generativ AI?

Da vi co-foundede Shufti i 2017, var de største udfordringer langsom verifikation, for meget manuelt arbejde og systemer, der ikke fungerede godt på tværs af forskellige lande. Mange identitetsverifikationsløsninger var inkonsistente, især i højrisiko-industrier. De havde også svært ved at verificere dokumenter på ikke-latinske sprog og kunne ikke pålideligt verificere identiteter fra hele verden.

I dag har generativ AI ændret problemet. Det handler ikke længere kun om at læse en ID-dokument. Det handler om at vide, om dokumentet og personen, der præsenterer det, er ægte. AI har gjort identitets-svindel hurtigere, billigere og meget lettere at skalaere. Vi har lært, at verifikation af en person kun én gang under onboarding ikke længere er nok. Virksomheder har brug for AI, der kan opdage selv de mest avancerede falske dokumenter og identiteter.

Belgiske myndigheder advarede nylig om, at mere end 10.000 personer var ofre for AI-aktiveret identitets-svindel i løbet af det sidste år. Hvad afslører dette tilfælde om, hvor hurtigt identitets-kriminalitet udvikler sig, og hvorfor er AI-genererede kopier af legitime dokumenter særligt svære at opdage?

Advarslen fra de belgiske myndigheder om 10.000 ofre er kun toppen af isbjerget. Det afslører, at kriminelle er gået fra grundlæggende dokumentredigering til fuldstændig identitetssyntese.

AI-genererede kopier er svære at opdage, fordi de kan efterligne regerings-skabeloner med pixel-præcision. Traditionel OCR (Optical Character Recognition) fokuserer på at trække tekst ud, men ignorerer den visuelle integritet af billedet. AI kan nu replikere sikkerhedsfunktioner, der tidligere krævede fysisk tilstedeværelse for at verificere, hvilket gør et fladt billede af et dokument til en løsning i stedet for en bevis for identitet.

Hvordan adskiller en AI-genereret kopi af et stjålet identitetsdokument sig fra en konventionel forfalskning, en manipuleret dokument og en fuldstændig syntetisk identitet?

Det er vigtigt at skelne mellem disse metoder:

Konventionel forfalskning: En fysisk forfalsket dokument.

Manipuleret dokument: En legitim ID, hvor bestemte felter (som navn eller fødselsdato) er ændret.

Syntetisk identitet: En “Frankensteins” persona bygget ved at kombinere stjålet ægte data (som et social sikkerhedsnummer) med fabrikerede detaljer.

AI-genereret kopi: En deepfake-dokument skabt fra scratch eller et stjålet skabelon ved hjælp af Generative Adversarial Networks (GANs). Disse mangler ofte digital historie og indeholder forensiske artefakter som sensor-støj inkonsistenser, som det menneskelige øje ikke kan se.

Shufti forventer, at dokument-deepfakes kan øge med næsten 3.900% i år. Hvad driver denne projection, og hvilke antagelser eller begrænsninger skal organisationer forstå, når de fortolker den?

Vi forventer en 3.900% øgning i dokument-deepfakes, fordi AI har gjort svindel meget lettere at skabe og skalaere. Kriminelle er ikke længere kun udskiftning af ansigter i billeder. De kan nu generere hele falske identitetsdokumenter, der ofte slipper forbi ældre verifikationssystemer.

Det er vigtigt at forstå, at denne projection afspejler, hvor hurtigt AI-drevet svindel vokser, og ikke kun, hvor mange falske dokumenter, der findes. Den største udfordring er, at mange identitetsverifikationssystemer blev designet for år tilbage og ikke kan opdage avancerede AI-genererede fup, såsom realistiske hologrammer eller ansigts-morfing. Som resultat kan falske identiteter slippe igennem kontroller og forblive skjult i virksomhedens database.

Mange virksomheder behandler stadig et fotografi eller en scan af et identitetsdokument som tilstrækkelig bevis for identitet. Hvilke signaler skal et moderne verifikationssystem undersøge ud over den synlige information på dokumentet?

Den største ændring er, at virksomheder ikke længere kan stole på traditionelle dokumentkontroller. De har brug for, hvad vi kalder en “Digital Øje”-tilgang. I stedet for kun at læse informationen på et ID, skal systemet undersøge, om dokumentet selv er ægte.

Det betyder, at man skal se efter subtile tegn, som mennesker ikke let kan spotte, som om billedet er fanget fra en skærm, usædvanlige pixel-mønstre, inkonsistente lysforhold eller spor, der er efterladt af AI-billede-genereringsværktøjer. Vi undersøger også, om dele af dokumentet er kopieret, flyttet eller digitalt ændret, samt inkonsistenser i metadata og billedkvalitet. Når du kombinerer alle disse signaler, er du meget mere sandsynlig at opdage avancerede AI-genererede dokumenter, som ældre verifikationssystemer blot ville acceptere som ægte.

Du har argumenteret for, at identitets-sikring skal være kontinuerlig og ikke begrænset til kunde-onboarding. Hvad ville kontinuerlig verifikation se ud i praksis, og hvordan kan virksomheder implementere det uden at introducere excessiv overvågning, privatlivsrisici eller kunde-friction?

Æraen for “én-gangs-kontrollen” er ovre. Kontinuerlig Identitets-Sikring betyder, at man opdaterer bruger-risiko mod 1.700+ overvågningslister så ofte som hver 15. minut for at forhindre “retroaktiv ikke-overholdelse”.

For at implementere dette uden fiction eller privatlivsrisici bruger vi biometrisk-bundne genbrugs-identiteter (FastID). Når en bruger er verificeret, kan de gen-verificere for høj-risiko-handlinger (som store udtagninger) på under to sekunder ved hjælp af kun en ansigts-scan. Dette eliminerer behovet for gentagne dokument-upload og opretholder en høj sikkerhedsstilling.

Svindlere kan nu kombinere syntetiske dokumenter med ansigts-udskiftning, deepfake-video, injektions-angreb og stjålet personlig information. Hvordan skal identitets-platforme forbinde dokument-integritet, biometrisk livlighed, enheds-intelligens og adfærd-sanalyse for at identificere disse koordinerede angreb?

Svindlere bliver meget mere sofistikerede. I stedet for at bruge kun én teknik kombinerer de nu AI-genererede dokumenter, ansigts-udskiftning og injektions-angreb for at bypass identitets-kontroller. Det er derfor, virksomheder skal se på det fulde billede i stedet for at stole på en enkelt verifikations-trin.

Hos Shufti gør vi dette gennem kontekst-tilpas-risiko-vurdering. Vi analyserer enheden, der bruges til at detectere emulatorer eller headless-browsere, verificere, at brugeren er fysisk til stede med iBeta Level 2-certificeret passiv livligheds-detection, og se efter mistænkelige mønstre på tværs af konti ved at analysere identitets-data, enheds-fingerprints og bruger-adfærd. Kombinationen af disse signaler gør det meget lettere at identificere svindel, før det skader.

Generative modeller vil fortsætte med at forbedre sig, mens svindlere kan bevidst komprimere, genscanne eller ændre syntetisk medie for at skjule manipulations-artefakter. Hvordan tester verifikations-udbydere, om deres detections-systemer forbliver effektive mod nye og tidligere usete angrebsmetoder?

Udfordringen er, at AI-genereret svindel udvikler sig meget hurtigere end traditionelle sikkerhedstest-cykler. Verifikations-udbydere skal kontinuerligt evaluere deres systemer mod nye angrebs-teknikker i stedet for at stole på historiske datasets. Det betyder, at man skal teste med syntetiske dokumenter, rekompreserede billeder, skærm-genscan, injektions-angreb og andre manipulerede medier, der er designet til at skjule åbenlyse artefakter. Fokus er mere og mere på at identificere inkonsistenser på tværs af multiple signaler, fordi det tendrer til at forblive sværere for angribere at replikere, når generativ AI forbedrer sig.

Identitets-verifikations-systemer kan skabe alvorlige konsekvenser, når de forkert afviser legitime brugere. Hvordan skal udbydere måle falske positive, demografisk præstation og tilgængelighed sammen med svindel-detections-nøjagtighed?

Nøjagtighed skal ikke kun handle om at fange “de dårlige fyre”; det handler om at sikre en friktions-fri vej for “de gode fyre”. I vores branche fokuserer vi på Failure to Extract Rate (FTXR) – som måler, hvor ofte et system ikke kan “læse” et ansigt eller dokument – og False Non-Match Rate (FNMR), hvor ægte brugere forkert afvises. Ifølge kilderne viste Shuftis præstation i DHS RIVR 2025 Benchmark en 0% udvindings-fejl på tværs af multiple enheder og en værst-case FNMR under 0,68%.

Udbydere skal flytte sig ud over “laboratorie-gennemsnit” og måle præstation mod “værst-case”-demografiske resultater. Det betyder, at man skal teste specifikt for konsistens på tværs af diverse hudfarver, ansigts-strukturer og kulturel påklædning. Vi opnår dette ved at træne vores AI på globalt diverse datasets, der indeholder millioner af billeder. En robust vurdering er ikke fuldført, før du har bevist, at dit system er lige så nøjagtigt for en bruger i en rural region med dårlig belysning som det er i en kontrolleret kontormiljø. Målet er et Unified Identity Layer, der forbliver retfærdigt, inklusivt og tilgængeligt for alle.

Settende fremad, vil teknologier som regerings-backede digitale identitets-væltaller, kryptografisk-verificerbare credentials og biometrisk-bundne identiteter til sidst gøre oploadede dokument-billeder forældede, eller vil de blot skabe en ny sæt af angrebs-overflader?

Vi er bestemt på vej mod en fremtid, hvor mennesker ikke længere behøver at uploade billeder af deres identitetsdokumenter så ofte. Regerings-backede digitale identitets-væltaller og tillid til digitale ID’er gør det meget hurtigere og mere sikkert at bevise ens identitet, fordi de tillader information at blive verificeret direkte, i stedet for at stole på et billede af et dokument. De skaber også en glattere brugeroplevelse ved at reducere den tid, det tager at fuldføre verifikation.

Det sagde, hver ny teknologi skaber nye muligheder for kriminelle. I stedet for at forfalske dokumenter kan angribere prøve at stjæle digitale credentials, overtage konti eller kapre tillid til identiteter. Det er derfor, at digitale credentials alene ikke er nok. Det er stadig vigtigt at bekræfte, at personen, der bruger identiteten, er den legitime ejer, for eksempel gennem biometrisk verifikation og livligheds-kontroller. Fremtiden for identitets-verifikation vil sandsynligvis kombinere tillid til digitale credentials med biometri, og skabe multiple lag af beskyttelse i stedet for at stole på en enkelt metode.

Tak for det gode interview, læsere, der ønsker at lære mere, skal besøge Shufti.