シャヒド・ハニフ、ShuftiのCEO兼共同創設者 – インタビュー・シリーズ

シャヒド・ハニフ、ShuftiのCEO兼共同創設者は、アイデンティティ・バリデーション、フィンテック、ブロックチェーン、分散型ソフトウェア・プラットフォームを構築する経験豊富なテクノロジー・エントレプレナーです。彼は2017年にShuftiを共同創設し、7年以上にわたりCTOとして、人工知能駆動のバイオメトリクスおよびドキュメント・バリデーション・テクノロジーの社内開発を主導し、2024年12月にCEOに就任しました。ハニフは、100人以上の専門家を擁するブロックチェーン開発会社であるDevelopers Studioの創設者でもあり、以前はQuickbitのCTOとして、同社の暗号通貨決済テクノロジーの開発を支援しました。また、Programmers Forceの共同創設者として、同社を10のオフィスに拡大し、500人以上の従業員を擁するソフトウェアおよびデータ・サイエンス・カンパニーに成長させました。

Shuftiは、組織が信頼を確立し、不正行為を防止し、顧客認証、事業認証、反-money洗浄要件を満たすのに役立つ、人工知能駆動のアイデンティティ・バリデーション・プラットフォームです。同社のプラットフォームは、ドキュメントおよびバイオメトリクス・バリデーション、電子アイデンティティ・バリデーション、NFCベースのチェック、事業認証、年齢保証、不正行為検出、継続的な監視、ケース・マネジメントを統一されたインフラストラクチャを通じて提供しています。同社は、240以上の国や地域で、150以上の言語に対応する数千のドキュメント形式をサポートし、企業が単一のグローバル統合を通じて顧客および組織を認証できるようにしています。同社のテクノロジーは、ドキュメントの真正性、バイオメトリクス・ライブネス、デバイス・インテリジェンス、その他のリスク・シグナルを分析して、偽造ドキュメント、ディープフェイク、口座操作、調整されたアイデンティティ攻撃を検出します。

2017年にShuftiを共同創設したとき、最初はCTOとして同社のテクノロジー開発を主導し、2024年にCEOに就任しました。デジタルアイデンティティ・バリデーションにおける欠陥は何でしたか、それはあなたにプラットフォームを構築する動機を与えましたか。また、ジェネレーティブAIの台頭により、あなたの問題の理解はどのように変化しましたか。

私たちが2017年にShuftiを共同創設したとき、最大の課題は、遅い認証、多くの手作業、国によって異なるシステムでした。多くのアイデンティティ・バリデーション・ソリューションは、一貫性がなく、特に高リスク業界でそうでした。また、非ラテン語のドキュメントを検証することもできず、世界中のアイデンティティを信頼性高く検証することもできませんでした。

現在、ジェネレーティブAIは問題を変化させました。IDドキュメントを読むだけで十分ではありません。ドキュメントとそれを提示する人が本物であることを知る必要があります。AIは、アイデンティティ・フロードをより迅速、安価、かつスケーラブルにしました。私たちは、顧客のオンボーディング時に一度だけ検証するだけでは十分ではないことを学びました。企業は、最も高度な偽造ドキュメントおよびアイデンティティを検出できるAIが必要です。

ベルギー当局は、最近、過去1年間に10,000人以上がAI駆動のアイデンティティ・フロードの被害に遭ったと警告しました。この事例は、アイデンティティ犯罪がどのように急速に進化しているかを示しています。また、AI生成の正当なドキュメントのコピーは、特に検出が難しいのはなぜですか。

ベルギー当局の警告は、10,000人の被害者がいるという事実を示していますが、これは氷山の一角にすぎません。犯罪者は、基本的なドキュメント編集から、完全なアイデンティティ・シンセシスに移行しました。

AI生成のコピーは、政府のテンプレートをピクセルレベルで正確に模倣できるため、検出が難しいです。従来のOCR（光学文字認識）は、テキストの抽出に焦点を当てていますが、画像の視覚的完全性を無視しています。AIは、以前は物理的な存在を必要としたセキュリティ機能を再現できるようになりました。したがって、ドキュメントの画像は、アイデンティティの証明ではなく、負債となりました。

従来の偽造、操作されたドキュメント、完全な合成アイデンティティとは異なる、AI生成の正当なドキュメントのコピーはどのように異なりますか。

これらの方法を区別することは重要です:

従来の偽造: 物理的な偽造ドキュメントです。

操作されたドキュメント: 名称または生年月日などの特定のフィールドが変更された正当なIDです。

合成アイデンティティ: 偽造の詳細（例: 社会保障番号）と組み合わせて作成された「フランケンシュタイン」のような人物です。

AI生成のコピー: ジェネレーティブ・アダバーサリアル・ネットワーク（GAN）を使用して作成されたディープフェイク・ドキュメントです。これらのコピーには、人間の目で見えないセンサー・ノイズの不一致などのフォレンジック・アーティファクトが含まれることがあります。

Shuftiは、今年、ドキュメント・ディープフェイクが約3,900%増加することを予測しています。この予測はどのような活動によって推進されていますか。また、組織はこの予測を解釈する際に、どのような仮定または制限を理解する必要がありますか。

私たちは、AIが偽造をより簡単に作成およびスケールできるようにしたため、ドキュメント・ディープフェイクが3,900%増加することを予測しています。犯罪者は、単に写真の顔を入れ替えるのではなく、完全な偽造アイデンティティ・ドキュメントを生成できるようになりました。これらのドキュメントは、古い検証システムを通過することができます。

この予測は、AI駆動の不正がどのように急速に成長しているかを反映していますが、偽造ドキュメントの総数を示しているわけではありません。最大の課題は、多くのアイデンティティ・バリデーション・システムが数年前に設計されており、最も高度なAI生成の偽造を検出できないことです。したがって、偽造アイデンティティは検証を通過し、企業のデータベースに隠れることができます。

多くの企業は、アイデンティティ・ドキュメントの写真またはスキャンが十分なアイデンティティの証明であると考えています。現代の検証システムは、ドキュメントの可視情報を超えて、どのような信号を調査する必要がありますか。

最大の変化は、企業が従来のドキュメント・チェックに頼ることができなくなったことです。企業は、我々が「デジタル・アイ」アプローチと呼ぶものが必要です。IDの情報を読むだけでなく、ドキュメント自体が本物であることを確認する必要があります。

これは、人間が簡単に見つけることができない、繊細な兆候を探すことを意味します。例えば、画像がスクリーンからキャプチャされたかどうか、ピクセル・パターンが通常と異なるかどうか、照明が一貫性がないかどうか、AI画像・ジェネレーターによって残された痕跡があるかどうかなどです。また、ドキュメントの部分がコピーされたり、移動されたり、デジタルに変更されたりしている兆候や、メタデータと画像の品質の不一致を確認します。これらの信号を組み合わせると、古い検証システムでは検出できない、高度なAI生成の偽造ドキュメントを検出する可能性が高くなります。

あなたは、アイデンティティの保証は、顧客のオンボーディングに限定されるのではなく、継続的なものであるべきだと主張しています。実践では、継続的な検証はどのように見えますか。また、企業はこれを、過度な監視、プライバシー・リスク、または顧客の不快感を引き起こすことなく、どのように実装できますか。

「ワンタイム・チェック」の時代は終わりました。継続的なアイデンティティ・保証とは、顧客のリスクを15分ごとに1,700以上のウォッチ・リストに対して更新することを意味します。そうすることで、「遡及的非コンプライアンス」を防ぐことができます。

これを実装するには、顧客の不快感やプライバシー・リスクを引き起こすことなく、バイオメトリクス・バウンドの再利用可能なアイデンティティ（FastID）を使用します。ユーザーが一度検証されると、高リスクのアクション（例: 大きな引き出し）に対して、2秒未満で顔認証のみを使用して再検証できます。これにより、繰り返しのドキュメント・アップロードの必要性がなくなり、高いセキュリティ・ポストを維持できます。

不正行為者は、現在、合成ドキュメントを顔スワップ、ディープフェイク・ビデオ、インジェクション・アタック、盗まれた個人情報と組み合わせることができます。アイデンティティ・プラットフォームは、ドキュメントの完全性、バイオメトリクス・ライブネス、デバイス・インテリジェンス、行動分析をどのように接続して、これらの調整された攻撃を識別する必要がありますか。

不正行為者は、以前よりもはるかに高度な技術を身につけています。単一のテクニックではなく、AI生成のドキュメント、顔スワップ、インジェクション・アタックを組み合わせて、アイデンティティ・チェックを回避するからです。したがって、企業は、単一の検証ステップに頼るのではなく、全体像を考慮する必要があります。

Shuftiでは、コンテキスト・アウェア・リスク・スコアリングを使用してこれを行います。使用されているデバイスを分析してエミュレーターまたはヘッドレス・ブラウザを検出します。iBeta Level 2認定のパッシブ・ライブネス検出を使用して、ユーザーが物理的に存在することを検証します。また、アイデンティティ・データ、デバイス・フィンガー・プリント、ユーザーの行動を分析して、疑わしいパターンを検出します。これらの信号を組み合わせることで、被害を与える前に不正行為を検出することが容易になります。

生成モデルは、改良され続けますが、不正行為者は、合成メディアを圧縮、再スキャン、または変更して操作の痕跡を隠すことができます。検証プロバイダーは、検出システムが新しいおよび以前見られなかった攻撃方法に対して有効であることをテストするために、どのようなアプローチをとる必要がありますか。

課題は、AI駆動の不正が従来のセキュリティ・テスト・サイクルよりもはるかに迅速に進化することです。検証プロバイダーは、歴史的なデータセットに頼るのではなく、新しい攻撃テクニックに対してシステムを継続的に評価する必要があります。つまり、操作の痕跡を隠すために設計された、合成ドキュメント、再圧縮された画像、スクリーン・リキャプチャ、インジェクション・アタックなどの操作されたメディアを使用してテストする必要があります。注目は、特定のタイプのディープフェイクを検出することから、複数の信号間の不一致を識別することに移りつつあります。なぜなら、ジェネレーティブ・AIが改良されるにつれて、これらは攻撃者にとって複製するのがより困難なものになるからです。

アイデンティティ・バリデーション・システムは、正当なユーザーを誤って拒否することで、深刻な結果をもたらす可能性があります。開発者は、不正行為検出の精度とともに、誤陽性、人口統計学的パフォーマンス、利用可能性をどのように評価する必要がありますか。

精度は、単に「悪い人」を捕まえることだけではありません。正当なユーザーがスムーズなパスを通ることを保証することです。私たちの業界では、抽出失敗率（FTXR）と、正当なユーザーが誤って拒否される、偽陰性率（FNMR）に焦点を当てています。DHS RIVR 2025ベンチマークによると、Shuftiのパフォーマンスは、さまざまなデバイスで抽出失敗率0%、FNMRは0.68%以下でした。

開発者は、「ラボ・アベレージ」に頼るのではなく、「最悪ケース」の人口統計学的結果に対してパフォーマンスを評価する必要があります。つまり、さまざまな肌の色、顔の構造、文化的な服装に対する一貫性を特にテストする必要があります。私たちは、世界中の数百万のフレームを含む、グローバルに多様なデータセットでAIをトレーニングすることでこれを実現します。評価は、ユーザーが制御されたオフィス環境にある場合と同じくらい、貧困な照明のある農村地域にある場合でも、システムが正確であることを証明するまで完了しません。目標は、公平性、包括性、すべての人にとってアクセス可能な、統一されたアイデンティティ・レイヤーです。

将来を見据えて、政府が後援するデジタル・アイデンティティ・ウォレット、暗号論的検証可能な資格情報、バイオメトリクス・バウンド・アイデンティティなどのテクノロジーは、最終的にアップロードされたドキュメント・イメージを古いものにするでしょうか。あるいは、これらは新しい攻撃面を生み出すだけでしょうか。

私たちは、アイデンティティを証明するために、ドキュメントの写真をアップロードする必要がなくなっていく未来に向かって進んでいます。政府が後援するデジタル・アイデンティティ・ウォレットや信頼できるデジタルIDは、情報を直接検証できるため、アイデンティティを証明するのがより迅速でセキュアになります。また、検証を完了する時間を短縮し、ユーザー・エクスペリエンスをスムーズにすることで、より良いユーザー・エクスペリエンスを提供します。

ただし、毎回新しいテクノロジーが登場するたびに、新しい機会が生まれます。攻撃者は、デジタル資格情報を盗んだり、口座を乗っ取ったり、信頼できるアイデンティティをハイジャックしたりすることを試みるかもしれません。したがって、デジタル資格情報だけでは不十分です。例えば、バイオメトリクス検証やライブネス・チェックを使用して、アイデンティティを使用している人が本物であることを確認する必要があります。アイデンティティ・バリデーションの未来は、信頼できるデジタル資格情報とバイオメトリクスを組み合わせて、単一の方法に頼るのではなく、複数の保護層を作成することになるでしょう。

素晴らしいインタビュー、詳細を知りたい読者は、Shuftiを訪けてください。