Shahid Hanif, Shuftin toimitusjohtaja ja perustaja – Haastattelusarja

Shahid Hanif, Shuftin toimitusjohtaja ja perustaja, on teknologiayrittäjä, jolla on laaja kokemus identiteettitodistus-, fintech-, blockchain- ja hajautettujen ohjelmistojärjestelmien kehittämisestä. Hän perusti Shuftin vuonna 2017 ja toimi yhtiön teknisen johtajan tehtävässä yli seitsemän vuoden ajan, johtaen sisäisesti kehittämistä tekoälykäyttöisen biometrisen ja asiakirja-todistusjärjestelmän kehittämistä ennen kuin hänestä tuli toimitusjohtaja joulukuussa 2024. Hanif on myös Developers Studion perustaja, joka on blockchain-kehitysyhtiö, jolla on yli 100 asiantuntijaa, ja hän on toiminut aiemmin Quickbitin teknisenä johtajana, jossa hän auttoi kehittämään yhtiön kryptorahapalveluteknologiaa ennen yhtiön listautumista. Aikaisemmin hän perusti Programmers Forcen ja auttoi laajentamaan ohjelmisto- ja data-analytiikkayhtiötä yli 500 työntekijään kymmenissä toimistoissa kolmessa mantereessa.

Shufti on tekoälykäyttöinen identiteettitodistusjärjestelmä, joka auttaa organisaatioita luomaan luottamusta, estämään petoksia ja täyttämään Tunne Asiakkaasi, Tunne Liiketoimintasi ja Rahanpesun Estämistä koskevat vaatimukset. Sen alusta yhdistää asiakirja- ja biometrisen todistuksen, sähköisen identiteettitodistuksen, NFC-pohjaiset tarkastukset, liiketoimintatodistuksen, ikävarmistuksen, petostentorjunnan, jatkuvan seurannan ja tapausten hallinnan yhdenmukaisen infrastruktuurin kautta. Yhtiö tukee tuhansia asiakirja-tyyppejä ja yli 150 kieltä yli 240 maassa ja alueella, mikä mahdollistaa yritysten todistaa asiakkaita ja organisaatioita yhden globaalin integraation kautta. Sen teknologia tutkii asiakirjan aitoutta, biometrisen elinvoimaisuuden, laitteen älykkyyden ja muita riskimerkkejä havaitsemaan väärennettyjä asiakirjoja, deepfake-kuvia, tilin manipulointia ja koordinoituja identiteettihyökkäyksiä.

Kun perustit Shuftin vuonna 2017, johtuitko aluksi yhtiön teknisen kehityksen johtajana ennen kuin tulit toimitusjohtajaksi vuonna 2024. Mitkä puutteet digitaalisessa identiteettitodistuksessa alun perin motivoivat sinua kehittämään alustaa, ja miten ymmärryksesi ongelman suhteen on muuttunut tekoälygeneraattorien kehittymisen myötä?

Kun perustimme Shuftin vuonna 2017, suurimmat haasteet olivat hitaasti todistusta, liian paljon manuaalista työtä ja järjestelmiä, jotka eivät toimineet hyvin eri maissa. Monet identiteettitodistusjärjestelmät olivat epäjohdonmukaisia, erityisesti korkean riskin aloilla. Ne myös kamppailivat asiakirjojen todistamisessa ei-latinankielisissä kielissä eivätkä voineet luotettavasti todistaa identiteettejä ympäri maailmaa.

Tänään tekoälygeneraattorit ovat muuttaneet ongelman. Se ei ole enää vain asiakirjan lukemista. Se on tiedon etsimistä siitä, ovatko asiakirja ja sen esittäjä aitoja. Tekoäly on tehnyt identiteettipetoksesta nopeamman, halvemman ja helpommin skaalattavissa. Olemme oppineet, että yhden kerran todistaminen asiakkaan rekisteröinnissä ei ole enää riittävää. Yrityksillä on nyt tarve tekoälylle, joka voi havaita jopa kaikkein edistyneimmät väärennetyt asiakirjat ja identiteetit.

Belgian viranomaiset varoittivat äskettäin siitä, että yli 10 000 ihmistä on joutunut tekoälykäyttöisen identiteettipetoksen uhriksi viime vuoden aikana. Mitä tämä tapaus paljastaa identiteettirikollisuuden nopeasta kehittymisestä, ja miksi tekoälykäyttöiset asiakirjakopiot ovat erityisen hankalia havaita?

Belgian viranomaisten varoitus 10 000 uhrista on vain jäävuoren huippu. Se paljastaa, että rikolliset ovat siirtyneet perusasiakirjojen muokkauksesta täysimittaiseen identiteettisynteesiin.

Tekoälykäyttöiset kopiot ovat hankalia havaita, koska ne voivat jäljitellä hallituksen malleja pikselin tarkkuudella. Perinteinen OCR (Optical Character Recognition) keskittyy tekstin poimimiseen, mutta se jättää asiakirjan visuaalisen eheyden huomiotta. Tekoäly voi nyt replikoida turvallisuusominaisuuksia, jotka aiemmin vaativat fyysistä läsnäoloa todistamiseksi, mikä tekee asiakirjan tasokuvan asiakirjan sijaan epäilyttäväksi.

Miten tekoälykäyttöinen kopio varastetusta identiteettiasiakirjasta eroaa perinteisestä väärennöksestä, manipuloituneesta asiakirjasta ja täysin syntetisestä identiteetistä?

On tärkeää erottaa nämä menetelmät:

Perinteinen väärennös: Fyysinen väärennetty asiakirja.

Manipuloitu asiakirja: Aito identiteettikortti, jonka tiettyjä kenttiä (kuten nimeä tai syntymäaikaa) on muokattu.

Syntetinen identiteetti: “Frankenstein”-henkilö, joka on koottu varastetusta todellisesta tiedosta (kuten sosiaaliturvatunnuksesta) ja keksityistä yksityiskohdista.

Tekoälykäyttöinen kopio: Deepfake-asiakirja, joka on luotu alusta tai varastetusta mallista käyttäen Generative Adversarial Networks (GAN) -verkkoja. Nämä usein puuttuvat digitaalisesta historiasta ja sisältävät forensisia artefakteja, kuten sensorin melun epäjohdonmukaisuuksia, joita ihmisen silmä ei voi nähdä.

Shufti arvioi, että asiakirjan deepfake-kopiot voivat lisääntyä lähes 3 900 prosenttia tänä vuonna. Mikä toiminta ajaa tämän arvion, ja mitkä oletukset tai rajoitukset organisaatioiden tulisi ymmärtää tulkittaessaan sitä?

Odotamme 3 900 prosentin kasvua tekoälykäyttöisissä väärennöksissä, koska tekoäly on tehnyt petoksesta paljon helpommin luotettavissa. Rikolliset eivät enää vain vaihda kasvoja valokuvissa. He voivat nyt luoda kokonaisia väärennettyjä identiteettiasiakirjoja, jotka usein pääsevät vanhempien todistusjärjestelmien ohi.

On tärkeää ymmärtää, että tämä arvio heijastaa, kuinka nopeasti tekoälykäyttöinen petos kasvaa, eikä sitä, montako väärennettyä asiakirjaa on olemassa. Suurin haaste on, että monet identiteettitodistusjärjestelmät suunniteltiin vuosia sitten eivätkä pysty havaitsemaan edistyneitä tekoälykäyttöisiä väärennöksiä, kuten realistisia hologrammeja tai kasvojen muokkausta. Tämän seurauksena väärennettyjä identiteettejä voidaan päästä läpi tarkastuksista ja ne voivat pysyä piilossa yritysten tietokannoissa.

Monet yritykset käsittelevät edelleen valokuvan tai skannauksen identiteettikortista riittävänä todisteena identiteetistä. Mitkä signaalit moderni todistusjärjestelmän tulisi tutkia asiakirjan näkyvän tiedon lisäksi?

Suurin muutos on, että yritykset eivät voi enää luottaa perinteisiin asiakirjatarkastuksiin. Niiden on käytettävä sitä, mitä me kutsumme “Digitaaliseksi Silmäksi”. Sen sijaan, että vain lukee tiedon identiteettikortista, järjestelmän on tutkittava, onko itse asiakirja aito.

Se tarkoittaa etsimistä hienoja merkkejä, joita ihmiset eivät voi helposti havaita, kuten onko kuva otettu näytöltä, epätavallisia pikselimalleja, epäjohdonmukaisia valaistuksia tai jälkiä, jotka tekoälykuvageneraattorit jättävät. Tarkastelemme myös merkkejä siitä, että osia asiakirjasta on kopioidu, siirretty tai muokattu, sekä epäjohdonmukaisuuksia metadatasta ja kuvan laadusta. Kun yhdistät kaikki nämä signaalit, olet paljon todennäköisemmin havaitsemaan edistyneitä tekoälykäyttöisiä asiakirjoja, joita vanhemmat todistusjärjestelmät hyväksyvät aidoiksi.

Et ole väittänyt, että identiteettivarmennus tulisi olla jatkuva eikä rajoittua vain asiakkaan rekisteröintiin. Miltä jatkuva todistus näyttäisi käytännössä, ja miten yritykset voivat toteuttaa sen ilman liiallista valvontaa, tietosuojan riskejä tai asiakkaan kitkaa?

“Yhden kerran tarkastus” -aikakausi on ohi. Jatkuva Identiteettivarmennus tarkoittaa käyttäjän riskin päivittämistä 1 700:een seurantaluetteloon usein joka 15 minuutti, jotta voidaan estää “jälkikäteen ei-sääntelyn”.

Toteuttamaan tämän ilman kitkaa tai tietosuojan riskejä käytämme biometrisiin sitoutuneita uudelleen käytettäviä identiteettejä (FastID). Kun käyttäjä on todistettu, he voivat uudelleentodistaa korkean riskin toimille (kuten suurille nostoille) alle kahdessa sekunnissa vain kasvojen skannauksella. Tämä poistaa tarpeen toistuvista asiakirjojen lataamisesta samalla, kun ylläpidetään korkeaa turvallisuustasoa.

Petkijät voivat nyt yhdistää synteettisiä asiakirjoja kasvojen vaihtoon, deepfake-videoihin, injektiohyökkäyksiin ja varastettuihin henkilökohtaisiin tietoihin. Miten identiteettialustojen tulisi yhdistää asiakirjan eheyden, biometrisen elinvoimaisuuden, laitteen älykkyyden ja käyttäytymisen analyysin havaitsemaan nämä koordinoitud hyökkäykset?

Petkijät ovat kehittyneitä. Sen sijaan, että he käyttävät vain yhtä tekniikkaa, he yhdistävät nyt tekoälykäyttöisiä asiakirjoja, kasvojen vaihtoa ja injektiohyökkäyksiä ohittaakseen identiteettitarkastukset. Tämän vuoksi yritysten on tarkasteltava koko kuvaa eikä vain yhtä todistusaskelta.

Shuftissa teemme tämän kontekstiajoon ymmärtävän riskiarvostelun kautta. Analysoimme laitetta, jota käytetään havaitsemaan emulaattoreita tai headless-selaimia, vahvistamaan, että käyttäjä on fyysisesti läsnä iBeta Level 2 -sertifioituilla passiivisilla elinvoimaisuustarkastuksilla, ja etsimme epäilyttäviä malleja tilitietojen, laitteiston sormenjälkien ja käyttäjän käyttäytymisen analyysin kautta. Nämä signaalien yhdistäminen tekee siitä paljon helpomman havaita petos ennen kuin se aiheuttaa vahinkoa.

Generatiiviset mallit jatkavat parantumista, kun taas petkijät voivat tietoisesti pakata, skannata uudelleen tai muokata synteettistä mediaa piilottamaan manipulointiartefakteja. Miten todistuspalveluntarjoajat testaavat, säilyttävätkö heidän havaitsemisjärjestelmänsä tehokkuutensa uusia ja aiemmin näkemättömiä hyökkäysmenetelmiä vastaan?

Haaste on, että tekoälykäyttöinen petos kehittyy paljon nopeammin kuin perinteiset turvallisuustestausjaksot. Todistuspalveluntarjoajien on jatkuvasti arvioitava järjestelmiään uusia hyökkäysmenetelmiä vastaan eikä vain historiallisia tietoja. Se tarkoittaa testaamista synteettisillä asiakirjoilla, uudelleenpakatuilla kuvilla, näytön uudelleenkaappauksilla, injektiohyökkäyksillä ja muiden manipuloitujen medioilla, jotka on suunniteltu piilottamaan ilmeiset artefaktit. Yhä enemmän painopistettä siirretään havaitsemisesta tietystä deepfake-tyypistä epäjohdonmukaisuuksien tunnistamiseen useiden signaalien yli, koska ne ovat yleensä hankalampia hyökkäyksille jäljitettäväksi, kun generatiivinen tekoäly paranee.

Identiteettitodistusjärjestelmät voivat aiheuttaa vakavia seuraamuksia, kun ne virheellisesti hylkäävät legitimejä käyttäjiä. Miten kehittäjien tulisi mitata virheellisiä positiivisia, demograafisia suorituskykyjä ja saavutettavuutta rinnakkain petosten havaitsemisen tarkin kanssa?

Tarkin ei tulisi olla vain “pahojen poikien” kiinni saaminen; se on myös varmistaminen siitä, että “hyvät pojat” pääsevät kitkattomasti eteenpäin. Meidän alan termeissä keskitymme Epäonnistumisen poimimisnopeuteen (FTXR) – joka mitta, kuinka usein järjestelmä yksinkertaisesti epäonnistuu “lukemisessa” kasvoja tai asiakirjaa – ja Virheellisen epäsovituksen nopeuteen (FNMR), jossa aitoja käyttäjiä hylätään virheellisesti. Shuftin suorituskyky DHS RIVR 2025 -vertailussa osoitti 0 prosentin epäonnistumisnopeuden useilla laitteilla ja huonoin FNMR alle 0,68 prosentin.

Keihittäjien on siirryttävä “laboratoriotasojen” yli ja mitattava suorituskyky “huonoin” demograafisten tulosten suhteen. Tämä tarkoittaa testaamista erityisesti monimuotoisten ihonvärien, kasvonrakenteiden ja kulttuurivaatetusten yhdenmukaisuuden suhteen. Saavutamme tämän kouluttamalla tekoälymme maailmanlaajuisilla, monimuotoisilla tietokannoilla, jotka sisältävät miljoonia kehyksiä. Vakaa arviointi ei ole valmis, ennen kuin olet osoittanut, että järjestelmäsi on yhtä tarkin sekä maaseudun heikkokatetuilla alueilla, joilla on heikko valaistus, että myös kontrolloiduissa toimistoympäristöissä. Tavoitteena on yhdenmukainen Identiteettikerros, joka on reilu, inklusiivinen ja kaikille saatavissa.

Katsoen eteenpäin, tekevätkö hallituksen tukemat digitaaliset identiteettikotelot, kryptografisesti vahvistetut tunnisteet ja biometrisiin sitoutuneet identiteetit lopulta vanhentuneiksi asiakirjojen kuvat, vai luovatko ne vain uuden hyökkäyspinnan?

Menemme kohti tulevaisuutta, jossa ihmiset eivät tarvitse ladata identiteettikorttien valokuvia yhtä usein. Hallituksen tukemat digitaaliset identiteettikotelot ja luotettavat digitaaliset tunnisteet tekevät identiteetin osoittamisesta paljon nopeamman ja turvallisemman, koska ne sallivat tietojen vahvistamisen suoraan, eikä riipu asiakirjan kuvasta. Ne myös luovat sileämmän käyttäjäkokemuksen vähentämällä todistuksen suorittamiseen kuluvan ajan.

Silti jokainen uusi teknologia luo uusia mahdollisuuksia rikollisille. Sen sijaan, että he väärentävät asiakirjoja, hyökkääjät voivat yrittää varastaa digitaalisia tunnisteita, kaapata tilejä tai kaapata luotettavia identiteettejä. Tämän vuoksi digitaaliset tunnisteet eivät ole riittäviä. On edelleen tärkeää vahvistaa, että henkilö, joka käyttää identiteettiä, on identiteetin laillinen omistaja, esimerkiksi biometrisen todistuksen ja elinvoimaisuustarkastusten kautta. Identiteettitodistuksen tulevaisuus on todennäköisesti yhdistää luotettavat digitaaliset tunnisteet biometriikkaan, luoden useita suojakerroksia yhden menetelmän sijaan.

Kiitos hienosta haastattelusta, lukijat, jotka haluavat oppia lisää, voivat vierailla Shuftissa.