Shahid Hanif, CEO i współzałożyciel Shufti – seria wywiadów

Shahid Hanif, CEO i współzałożyciel Shufti, jest przedsiębiorcą technologicznym z dużym doświadczeniem w budowaniu platform weryfikacji tożsamości, fintech, blockchain i zdecentralizowanego oprogramowania. Współzałożył Shufti w 2017 roku i przez ponad siedem lat pełnił funkcję Chief Technology Officer, kierując wewnętrznym rozwojem sztucznej inteligencji i technologii weryfikacji dokumentów i biometrycznych przed objęciem stanowiska CEO w grudniu 2024 roku. Hanif jest również założycielem Developers Studio, firmy zajmującej się rozwojem blockchain, z ponad 100 specjalistami, oraz wcześniej pełnił funkcję CTO w Quickbit, gdzie pomagał rozwijać technologię płatności kryptowalutowych przed pierwszą ofertą publiczną spółki. Wcześniej współzałożył Programmers Force i pomógł rozwinąć firmę oprogramowania i nauki o danych do ponad 500 pracowników w dziesięciu biurach na trzech kontynentach.

Shufti to platforma weryfikacji tożsamości oparta na sztucznej inteligencji, która pomaga organizacjom ustanowić zaufanie, zapobiec oszustwom i spełnić wymagania Know Your Customer, Know Your Business i Anti-Money Laundering. Jej platforma łączy weryfikację dokumentów i biometryczną, elektroniczną weryfikację tożsamości, kontrole NFC, weryfikację firm, gwarancję wieku, wykrywanie oszustw, monitorowanie i zarządzanie przypadkami za pomocą zintegrowanej infrastruktury. Firma obsługuje tysiące typów dokumentów i ponad 150 języków w ponad 240 krajach i terytoriach, umożliwiając firmom weryfikację klientów i organizacji za pomocą jednej globalnej integracji. Jej technologia analizuje autentyczność dokumentów, żywotność biometryczną, inteligencję urządzeń i inne sygnały ryzyka w celu wykrycia sfałszowanych dokumentów, deepfake’ów, manipulacji kontami i skoordynowanych ataków na tożsamość.

Gdy współzałożyłeś Shufti w 2017 roku, początkowo kierowałeś rozwojem technologicznym firmy jako Chief Technology Officer, zanim zostałeś CEO w 2024 roku. Jakie braki w weryfikacji tożsamości cyfrowej skłoniły Cię do budowy platformy, i jak Twoje zrozumienie problemu zmieniło się z powodu rozwoju generatywnych modeli AI?

Gdy współzałożyliśmy Shufti w 2017 roku, największymi wyzwaniami były powolna weryfikacja, zbyt dużo pracy ręcznej i systemy, które nie działały dobrze w różnych krajach. Wiele rozwiązań weryfikacji tożsamości było niekonsekwentnych, szczególnie w branżach wysokiego ryzyka. Nie były również w stanie wiarygodnie weryfikować tożsamości z całego świata.

Dziś generatywne modele AI zmieniły problem. Nie chodzi już tylko o odczytanie dokumentu tożsamości. Chodzi o to, czy dokument i osoba, która go przedstawia, są prawdziwe. AI uczyniło oszustwa tożsamości szybszymi, tańszymi i łatwiejszymi do skalowania. Nauczyliśmy się, że weryfikacja kogoś raz podczas procesu onboardingu nie jest już wystarczająca. Firmy potrzebują teraz AI, które może wykryć nawet najbardziej zaawansowane fałszywe dokumenty i tożsamości.

Władze belgijskie ostatecznie ostrzegły, że ponad 10 000 osób padło ofiarą oszustw tożsamości z użyciem AI w ciągu ostatniego roku. Co ten przypadek ujawnia o tempie, w jakim ewoluuje przestępczość tożsamości, i dlaczego AI-generowane kopie prawdziwych dokumentów są szczególnie trudne do wykrycia?

Ostrzeżenie ze strony władz belgijskich dotyczące 10 000 ofiar jest tylko wierzchołkiem góry lodowej. Ujawnia, że przestępcy przeszli od podstawowej edycji dokumentów do pełnowymiarowej syntezy tożsamości.

Kopie wygenerowane przez AI są trudne do wykrycia, ponieważ mogą naśladować szablony rządowe z precyzją na poziomie pikseli. Tradycyjne OCR (Optical Character Recognition) koncentruje się na wyodrębnianiu tekstu, ale ignoruje integralność wizualną obrazu. AI może teraz odtworzyć funkcje zabezpieczające, które wcześniej wymagały fizycznej obecności do weryfikacji, co sprawia, że płaski obraz dokumentu staje się odpowiedzialnością, a nie dowodem tożsamości.

Jak AI-wygenerowana kopia skradzionego dokumentu tożsamości różni się od konwencjonalnej fałszywki, zmodyfikowanego dokumentu i w pełni syntetycznej tożsamości?

Ważne jest, aby odróżnić te metody:

Konwencjonalna fałszywka: fałszywy dokument fizyczny.

Zmodyfikowany dokument: prawdziwy dokument tożsamości, w którym określone pola (takie jak nazwa lub data urodzenia) zostały zmienione.

W pełni syntetyczna tożsamość: “potwór” stworzony przez połączenie skradzionych danych (takich jak numer ubezpieczenia społecznego) z fałszywymi szczegółami.

AI-wygenerowana kopia: deepfake dokument stworzony od podstaw lub skradziony szablon z użyciem Generative Adversarial Networks (GAN). Często brakuje im historii cyfrowej i zawierają artefakty forensyczne, takie jak nieścisłości szumów czujników, których ludzkie oko nie może zobaczyć.

Shufti przewiduje, że fałszywe dokumenty mogą zwiększyć się o prawie 3900% w tym roku. Jaki rodzaj działalności powoduje tę prognozę, a jakie założenia lub ograniczenia powinny organizacje zrozumieć przy interpretowaniu jej?

Spodziewamy się wzrostu o 3900% fałszywych dokumentów, ponieważ AI uczyniło oszustwa znacznie łatwiejszymi do stworzenia i skalowania. Przestępcy nie tylko wymieniają twarze na zdjęciach. Mogą teraz generować całe fałszywe dokumenty tożsamości, które często przechodzą przez starsze systemy weryfikacji.

Ważne jest, aby zrozumieć, że ta prognoza odzwierciedla, jak szybko oszustwa z użyciem AI rozwijają się, a nie tylko, ile fałszywych dokumentów istnieje. Największym wyzwaniem jest to, że wiele systemów weryfikacji tożsamości zostało zaprojektowanych wiele lat temu i nie mogą wykryć zaawansowanych fałszywych dokumentów generowanych przez AI, takich jak realistyczne hologramy lub morfing twarzy. W rezultacie fałszywe tożsamości mogą przechodzić przez kontrole i pozostawać ukryte w bazach danych firm.

Wiele firm nadal traktuje fotografię lub skan dokumentu tożsamości jako wystarczający dowód tożsamości. Jakie sygnały powinien nowoczesny system weryfikacji badać poza widocznymi informacjami na dokumencie?

Największa zmiana polega na tym, że firmy nie mogą już polegać na tradycyjnych sprawdzaniu dokumentów. Potrzebują tego, co nazywamy “cyfrowym okiem”. Zamiast tylko odczytywać informacje z dokumentu, system musi sprawdzić, czy sam dokument jest autentyczny.

To oznacza poszukiwanie subtelnych znaków, których ludzie nie mogą łatwo dostrzec, takich jak czy obraz został pobrany z ekranu, niezwykłe wzory pikseli, niespójne oświetlenie lub ślady pozostawione przez generatory obrazów AI. Sprawdzamy również, czy części dokumentu zostały skopiowane, przeniesione lub cyfrowo zmienione, a także nieścisłości w metadanych i jakości obrazu. Kiedy łączymy wszystkie te sygnały, jesteśmy znacznie bardziej skłonni do wykrycia zaawansowanych fałszywych dokumentów generowanych przez AI, które starsze systemy weryfikacji po prostu zaakceptują jako prawdziwe.

Utrzymujesz, że gwarancja tożsamości powinna być ciągła, a nie ograniczona do procesu onboardingu. Co oznacza weryfikacja ciągła w praktyce, i jak firmy mogą ją wdrożyć bez wprowadzania nadmiernej inwigilacji, ryzyka dla prywatności lub tarcia dla klientów?

Era “jednorazowej weryfikacji” jest skończona. Ciągła gwarancja tożsamości oznacza odświeżanie ryzyka użytkownika wobec ponad 1700 list monitorowania tak często, jak co 15 minut, aby zapobiec “retroaktywnej niezgodności”.

Aby wdrożyć to bez tarcia lub ryzyka dla prywatności, używamy ponownie używalnych tożsamości związanych z biometrią (FastID). Po zweryfikowaniu użytkownika może on ponownie zweryfikować się w ciągu dwóch sekund za pomocą tylko skanu twarzy. To eliminuje potrzebę wielokrotnego przesyłania dokumentów, utrzymując przy tym wysoką postawę bezpieczeństwa.

Oszustowie mogą teraz łączyć syntetyczne dokumenty z wymianą twarzy, deepfake’ami, atakami iniekcji i skradzionymi danymi osobowymi. Jak powinny platformy tożsamości łączyć integralność dokumentów, żywotność biometryczną, inteligencję urządzeń i analizę behawioralną, aby wykryć te skoordynowane ataki?

Oszustowie stają się coraz bardziej wyrafinowani. Zamiast używać tylko jednej techniki, teraz łączą dokumenty generowane przez AI, wymianę twarzy i ataki iniekcji, aby ominąć kontrole tożsamości. Dlatego firmy muszą patrzeć na cały obraz, a nie polegać na jednym kroku weryfikacji.

W Shufti robimy to za pomocą świadomej oceny ryzyka. Analizujemy urządzenie, które jest używane do wykrycia emulatorów lub przeglądarek bez głowy, weryfikujemy, czy użytkownik jest fizycznie obecny za pomocą biometrycznej weryfikacji i analizujemy podejrzane wzorce wśród kont, analizując dane tożsamości, odciski palców urządzeń i zachowanie użytkownika. Łączenie tych sygnałów sprawia, że łatwiej jest wykryć oszustwa, zanim spowodują szkody.

Modele generatywne będą nadal się poprawiać, a oszustowie mogą celowo kompresować, skanować ponownie lub modyfikować syntetyczne media, aby ukryć artefakty manipulacji. Jak dostawcy weryfikacji testują, czy ich systemy wykrywania nadal są skuteczne przeciwko nowym i nieznanym wcześniej metodom ataku?

Wyzwaniem jest to, że oszustwa z użyciem AI ewoluują znacznie szybciej niż tradycyjne cykle testowania bezpieczeństwa. Dostawcy weryfikacji muszą nieustannie oceniać swoje systemy pod kątem nowych technik ataku, a nie polegać na historycznych zestawach danych. Oznacza to testowanie z syntetycznymi dokumentami, rekompresowanymi obrazami, ponownymi przechwytami ekranu, atakami iniekcji i innymi modyfikowanymi mediami, które mają na celu ukrycie oczywistych artefaktów. Coraz bardziej koncentrujemy się na wykrywaniu nieścisłości w wielu sygnałach, ponieważ tendencja do replikacji tych nieścisłości jest trudniejsza do osiągnięcia dla atakujących, gdy generatywne AI się poprawia.

Systemy weryfikacji tożsamości mogą powodować poważne konsekwencje, gdy nieprawidłowo odrzucają prawdziwych użytkowników. Jak deweloperzy powinni mierzyć fałszywe pozytywy, wyniki demograficzne i dostępność obok dokładności wykrywania oszustw?

Dokładność nie powinna dotyczyć tylko “łapania złych ludzi”; chodzi o zapewnienie bezproblemowej ścieżki dla “dobrych ludzi”. W naszej branży koncentrujemy się na współczynniku niepowodzenia ekstrakcji (FTXR), który mierzy, jak często system po prostu nie może “przeczytać” twarzy lub dokumentu, oraz na współczynniku fałszywych niezgodności (FNMR), gdzie prawdziwi użytkownicy są nieprawidłowo odrzuceni. Według źródeł, wyniki Shufti w benchmarku DHS RIVR 2025 wykazały 0% awarii ekstrakcji na różnych urządzeniach i FNMR poniżej 0,68% w najgorszym przypadku.

Deweloperzy muszą wyjść poza “średnie laboratoryjne” i mierzyć wyniki w oparciu o “najgorsze” demograficzne wyniki. Oznacza to testowanie konkretnie pod kątem spójności wśród różnorodnych odcieni skóry, struktur twarzy i strojów kulturowych. Osiągamy to, szkoląc nasze AI na globalnie zróżnicowanych zestawach danych zawierających miliony klatek. Pełna ocena nie jest kompletna, dopóki nie udowodnisz, że Twój system jest tak samo dokładny dla użytkownika w wiejskim regionie z słabym oświetleniem, jak w kontrolowanym środowisku biurowym. Celem jest Zjednoczona Warstwa Tożsamości, która pozostaje sprawiedliwa, inkluzywna i dostępna dla wszystkich.

Patrząc w przyszłość, czy technologie takie jak rządowe portfele tożsamości cyfrowych, kryptograficznie weryfikowalne poświadczenia i tożsamości związane z biometrią w końcu uczynią obrazy dokumentów przesłanych nieaktualnymi, czy po prostu utworzą nowy zestaw powierzchni ataku?

Zdecydowanie zmierzamy w kierunku przyszłości, w której ludzie nie będą musieli tak często przesyłać zdjęć swoich dokumentów tożsamości. Rządowe portfele tożsamości cyfrowych i zaufane identyfikatory cyfrowe sprawiają, że potwierdzenie tożsamości jest znacznie szybsze i bezpieczniejsze, ponieważ umożliwiają weryfikację informacji bezpośrednio, zamiast polegać na obrazie dokumentu. Tworzą również bardziej płynne doświadczenie użytkownika, redukując czas potrzebny do ukończenia weryfikacji.

Powiedzmy, że każda nowa technologia tworzy nowe możliwości dla przestępców. Zamiast fałszować dokumenty, atakujący mogą próbować ukraść poświadczenia cyfrowe, przejąć konta lub przejąć zaufane tożsamości. Dlatego poświadczenia cyfrowe same w sobie nie są wystarczające. Nadal ważne jest potwierdzenie, że osoba używająca tożsamości jest prawowitym właścicielem, na przykład za pomocą weryfikacji biometrycznej i kontroli żywotności. Przyszłość weryfikacji tożsamości będzie prawdopodobnie łączyć zaufane poświadczenia cyfrowe z biometrią, tworząc wiele warstw ochrony zamiast polegać na jednej metodzie.

Dziękujemy za wspaniały wywiad, czytelnicy, którzy chcą dowiedzieć się więcej, powinni odwiedzić Shufti.