Shahid Hanif, PDG et co-fondateur de Shufti – Série d’entretiens

Shahid Hanif, PDG et co-fondateur de Shufti, est un entrepreneur en technologie doté d’une expérience approfondie dans la construction de plateformes de vérification d’identité, de fintech, de blockchain et de logiciels décentralisés. Il a co-fondé Shufti en 2017 et a passé plus de sept ans en tant que directeur technique, dirigeant le développement interne de la technologie de vérification de documents et de biométrie basée sur l’intelligence artificielle avant de devenir PDG en décembre 2024. Hanif est également le fondateur de Developers Studio, une société de développement de blockchain comptant plus de 100 spécialistes, et a précédemment occupé le poste de directeur technique de Quickbit, où il a aidé à développer sa technologie de paiement en cryptomonnaie avant l’introduction en bourse de l’entreprise. Plus tôt, il a co-fondé Programmers Force et a aidé à étendre la société de logiciels et de science des données à plus de 500 employés dans dix bureaux sur trois continents.

Shufti est une plateforme de vérification d’identité basée sur l’intelligence artificielle qui aide les organisations à établir la confiance, à prévenir la fraude et à respecter les exigences de connaissance du client, de connaissance de l’entreprise et de lutte contre le blanchiment d’argent. Sa plateforme réunit la vérification de documents et de biométrie, la vérification d’identité électronique, les vérifications basées sur la technologie NFC, la vérification d’entreprise, la garantie d’âge, la détection de la fraude, la surveillance continue et la gestion des cas via une infrastructure unifiée. La société prend en charge des milliers de types de documents et plus de 150 langues dans plus de 240 pays et territoires, permettant aux entreprises de vérifier les clients et les organisations via une intégration mondiale unique. Sa technologie examine l’authenticité des documents, la vie biométrique, l’intelligence des appareils et d’autres signaux de risque pour détecter les documents contrefaits, les deepfakes, la manipulation de comptes et les attaques d’identité coordonnées.

Lorsque vous avez co-fondé Shufti en 2017, vous avez initialement dirigé le développement technologique de l’entreprise en tant que directeur technique avant de devenir PDG en 2024. Quels étaient les points faibles de la vérification d’identité numérique qui vous ont initialement motivé à construire la plateforme, et comment votre compréhension du problème a-t-elle évolué avec l’émergence de l’intelligence artificielle générative ?

Lorsque nous avons co-fondé Shufti en 2017, les plus grands défis étaient la lenteur de la vérification, le travail manuel excessif et les systèmes qui ne fonctionnaient pas bien dans différents pays. De nombreuses solutions de vérification d’identité étaient incohérentes, en particulier dans les industries à haut risque. Elles avaient également du mal à vérifier les documents dans les langues non latines et ne pouvaient pas vérifier de manière fiable les identités du monde entier.

Aujourd’hui, l’intelligence artificielle générative a modifié le problème. Il ne s’agit plus seulement de lire un document d’identité. Il s’agit de savoir si le document et la personne qui le présente sont réels. L’IA a rendu la fraude d’identité plus rapide, moins coûteuse et plus facile à mettre à l’échelle. Nous avons appris que vérifier quelqu’un une seule fois lors de l’intégration n’est plus suffisant. Les entreprises ont maintenant besoin d’une IA qui puisse détecter même les faux documents et identités les plus avancés.

Les autorités belges ont récemment averti que plus de 10 000 personnes sont tombées victimes de la fraude d’identité basée sur l’IA au cours de la dernière année. Qu’est-ce que cet exemple révèle sur la façon dont la criminalité d’identité évolue rapidement, et pourquoi les copies numériques d’identités légitimes générées par l’IA sont-elles particulièrement difficiles à détecter ?

L’avertissement des autorités belges concernant 10 000 victimes n’est que la pointe de l’iceberg. Il révèle que les criminels sont passés de l’édition de base de documents à la synthèse complète d’identité.

Les copies numériques générées par l’IA sont difficiles à détecter car elles peuvent imiter les modèles de gouvernement avec une précision au niveau des pixels. La reconnaissance optique de caractères (ROC) traditionnelle se concentre sur l’extraction du texte, mais ignore l’intégrité visuelle de l’image. L’IA peut désormais reproduire les fonctionnalités de sécurité qui nécessitaient auparavant une présence physique pour vérifier, ce qui rend une image plate d’un document une responsabilité plutôt qu’une preuve d’identité.

Comment une copie numérique générée par l’IA d’un document d’identité volé diffère-t-elle d’une contrefaçon conventionnelle, d’un document manipulé et d’une identité entièrement synthétique ?

Il est important de faire la distinction entre ces méthodes:

Contrefaçon conventionnelle: Un document contrefait physique.

Document manipulé: Un document d’identité légitime dont des champs spécifiques (comme un nom ou une date de naissance) ont été modifiés.

Identité synthétique: Un « Frankenstein » construit en combinant des données réelles volées (comme un numéro de sécurité sociale) avec des détails fabriqués.

Copie numérique générée par l’IA: Un document deepfake créé à partir de zéro ou à partir d’un modèle volé en utilisant des réseaux antagonistes génératifs (GAN). Ceux-ci manquent souvent d’historique numérique et contiennent des artefacts forensiques comme des incohérences de bruit de capteur que l’œil humain ne peut pas voir.

Shufti prévoit que les faux documents générés par l’IA pourraient augmenter de près de 3 900 % cette année. Quelle activité est à l’origine de cette projection, et quels sont les hypothèses ou les limites que les organisations devraient comprendre lors de l’interprétation de celle-ci ?

Nous prévoyons une augmentation de 3 900 % des faux documents générés par l’IA car l’IA a rendu la fraude beaucoup plus facile à créer et à mettre à l’échelle. Les criminels ne se contentent plus de simplement échanger des visages sur des photos. Ils peuvent désormais générer des documents d’identité faux complets qui passent souvent inaperçus des anciens systèmes de vérification.

Il est important de comprendre que cette projection reflète à quel point rapidement la fraude basée sur l’IA est en train de croître, et non pas simplement le nombre de faux documents qui existent. Le plus grand défi est que de nombreux systèmes de vérification d’identité ont été conçus il y a des années et ne peuvent pas détecter les faux générés par l’IA avancés, tels que des hologrammes réalistes ou des morphing de visage. En conséquence, les fausses identités peuvent passer les contrôles et rester cachées dans les bases de données des entreprises.

De nombreuses entreprises traitent encore une photographie ou une copie d’un document d’identité comme une preuve suffisante d’identité. Quels signaux un système de vérification moderne devrait-il examiner au-delà des informations visibles sur le document ?

Le plus grand changement est que les entreprises ne peuvent plus se fier uniquement aux vérifications de documents traditionnelles. Elles ont besoin de ce que nous appelons une approche « d’œil numérique ». Au lieu de simplement lire les informations sur une pièce d’identité, le système doit examiner si le document lui-même est authentique.

Cela signifie rechercher des signes subtils que les humains ne peuvent pas facilement repérer, comme si l’image a été capturée à partir d’un écran, des modèles de pixels inhabituels, des éclairages incohérents ou des traces laissées par les générateurs d’images IA. Nous vérifions également les signes que des parties du document ont été copiées, déplacées ou modifiées numériquement, ainsi que les incohérences dans les métadonnées et la qualité de l’image. Lorsque vous combinez tous ces signaux, vous êtes beaucoup plus susceptible de détecter des documents générés par l’IA sophistiqués que les anciens systèmes de vérification accepteraient simplement comme réels.

Vous avez soutenu que l’assurance d’identité devrait être continue et non limitée à l’intégration du client. À quoi ressemblerait la vérification continue dans la pratique, et comment les entreprises peuvent-elles la mettre en œuvre sans introduire une surveillance excessive, des risques pour la vie privée ou des frictions pour le client ?

L’ère de la « vérification unique » est révolue. L’assurance d’identité continue signifie actualiser le risque de l’utilisateur contre plus de 1 700 listes de surveillance aussi souvent que toutes les 15 minutes pour prévenir la « non-conformité rétroactive ».

Pour mettre cela en œuvre sans friction ni risques pour la vie privée, nous utilisons des identités réutilisables liées à la biométrie (FastID). Une fois qu’un utilisateur est vérifié, il peut se réauthentifier pour des actions à haut risque (comme de grands retraits) en moins de deux secondes en utilisant simplement une analyse faciale. Cela élimine le besoin de téléchargements de documents répétitifs tout en maintenant une posture de sécurité élevée.

Les fraudeurs peuvent maintenant combiner des documents synthétiques avec des échanges de visage, des vidéos deepfake, des attaques d’injection et des informations personnelles volées. Comment les plateformes d’identité devraient-elles relier l’intégrité des documents, la vie biométrique, l’intelligence des appareils et l’analyse du comportement pour identifier ces attaques coordonnées ?

Les fraudeurs deviennent beaucoup plus sophistiqués. Au lieu d’utiliser une seule technique, ils combinent maintenant des documents générés par l’IA, des échanges de visage et des attaques d’injection pour contourner les vérifications d’identité. C’est pourquoi les entreprises doivent examiner l’image complète plutôt que de compter sur une seule étape de vérification.

Chez Shufti, nous le faisons via une notation de risque sensible au contexte. Nous analysons l’appareil utilisé pour détecter les émulateurs ou les navigateurs sans tête, vérifions que l’utilisateur est physiquement présent avec une détection de vie passive certifiée iBeta Level 2, et recherchons des modèles suspects entre les comptes en analysant les données d’identité, les empreintes digitales des appareils et le comportement de l’utilisateur. Combiner ces signaux rend beaucoup plus facile l’identification de la fraude avant qu’elle ne cause des dommages.

Les modèles génératifs continueront à s’améliorer, tandis que les fraudeurs peuvent intentionnellement compresser, rescaner ou modifier les médias synthétiques pour cacher les artefacts de manipulation. Comment les fournisseurs de vérification testent-ils si leurs systèmes de détection restent efficaces contre les nouvelles méthodes d’attaque et les méthodes non encore vues ?

Le défi est que la fraude générée par l’IA évolue beaucoup plus rapidement que les cycles de test de sécurité traditionnels. Les fournisseurs de vérification doivent continuellement évaluer leurs systèmes contre de nouvelles techniques d’attaque plutôt que de compter sur des jeux de données historiques. Cela signifie tester avec des documents synthétiques, des images recompressées, des captures d’écran, des attaques d’injection et d’autres médias manipulés conçus pour cacher les artefacts évidents. De plus en plus, l’accent est mis sur l’identification des incohérences à travers plusieurs signaux, car celles-ci ont tendance à rester plus difficiles pour les attaquants à reproduire à mesure que l’IA générative s’améliore.

Les systèmes de vérification d’identité peuvent créer des conséquences graves lorsqu’ils rejetteraient incorrectement des utilisateurs légitimes. Comment les développeurs devraient-ils mesurer les faux positifs, les performances démographiques et l’accessibilité parallèlement à la précision de détection de la fraude ?

La précision ne devrait pas se limiter à attraper les « mauvais garçons » ; il s’agit de garantir un chemin sans friction pour les « bons garçons ». Dans notre industrie, nous nous concentrons sur le taux de défaillance d’extraction (FTXR) – qui mesure à quel point souvent un système ne parvient simplement pas à « lire » un visage ou un document – et le taux de non-correspondance faux (FNMR), où les utilisateurs légitimes sont incorrectement rejetés. Selon les sources, les performances de Shufti dans le benchmark RIVR 2025 du DHS ont démontré un taux de défaillance d’extraction à 0 % sur plusieurs appareils et un taux de non-correspondance faux inférieur à 0,68 %.

Les développeurs doivent aller au-delà des « moyennes de laboratoire » et mesurer les performances par rapport aux résultats démographiques « les plus mauvais ». Cela signifie tester spécifiquement pour la cohérence à travers diverses nuances de peau, structures faciales et tenues culturelles. Nous réalisons cela en formant notre IA sur des ensembles de données mondialement diversifiés contenant des millions de cadres. Une évaluation robuste n’est pas complète jusqu’à ce que vous ayez prouvé que votre système est aussi précis pour un utilisateur dans une région rurale avec une mauvaise éclairage que dans un environnement de bureau contrôlé. L’objectif est une couche d’identité unifiée qui reste juste, inclusive et accessible à tous.

En regardant vers l’avenir, les technologies telles que les portefeuilles d’identité numérique soutenus par le gouvernement, les informations d’identité vérifiables par cryptographie et les identités liées à la biométrie rendront-elles finalement obsolètes les images de documents téléchargés, ou créent-elles simplement un nouveau jeu de surfaces d’attaque ?

Nous sommes définitivement en train de nous diriger vers un avenir où les gens n’auront plus besoin de télécharger des photos de leurs documents d’identité aussi souvent. Les portefeuilles d’identité numérique soutenus par le gouvernement et les identités numériques de confiance permettent de prouver son identité de manière beaucoup plus rapide et sécurisée car elles permettent de vérifier les informations directement, plutôt que de compter sur une image d’un document. Elles créent également une expérience utilisateur plus fluide en réduisant le temps nécessaire pour terminer la vérification.

Cependant, chaque nouvelle technologie crée de nouvelles opportunités pour les criminels. Au lieu de falsifier des documents, les attaquants peuvent essayer de voler des informations d’identité numérique, de prendre le contrôle des comptes ou de pirater des identités de confiance. C’est pourquoi les informations d’identité numérique seules ne sont pas suffisantes. Il est toujours important de confirmer que la personne utilisant l’identité est le propriétaire légitime, par exemple via la vérification biométrique et les contrôles de vie. L’avenir de la vérification d’identité est susceptible de combiner des informations d’identité numérique de confiance avec la biométrie, créant ainsi plusieurs couches de protection au lieu de compter sur une seule méthode. Merci pour cette grande interview, les lecteurs qui souhaitent en savoir plus devraient visiter Shufti.