Шахід Ханіф, генеральний директор і співзасновник Shufti – Інтерв’ю серії

Шахід Ханіф, генеральний директор і співзасновник Shufti, є технологічним підприємцем з великим досвідом створення платформ ідентифікації особи, фінтех, блокчейна та децентралізованого програмного забезпечення. Він співзаснував Shufti у 2017 році і понад сім років працював технічним директором, очолюючи внутрішнє розроблення штучно-інтелектуальної технології верифікації документів та біометричної ідентифікації перед тим, як стати генеральним директором у грудні 2024 року. Ханіф також є засновником компанії розробки блокчейна Developers Studio, яка нараховує понад 100 фахівців, і раніше обіймав посаду технічного директора компанії Quickbit, де допомагав розробляти технологію криптовалютних платежів перед первинним публічним розміщенням компанії.

Shufti є штучно-інтелектуальною платформою ідентифікації особи, яка допомагає організаціям встановити довіру, запобігти шахрайству та виконувати вимоги законодавства про ідентифікацію клієнта, бізнесу та протидію відмиванню грошей. Її платформа об’єднує верифікацію документів та біометричної ідентифікації, електронну ідентифікацію особи, перевірки на основі NFC, верифікацію бізнесу, підтвердження віку, виявлення шахрайства, постійний моніторинг та управління справами через єдину інфраструктуру. Компанія підтримує тисячі типів документів та понад 150 мов у понад 240 країнах та територіях, дозволяючи підприємствам верифікувати клієнтів та організації через єдину глобальну інтеграцію. Її технологія аналізує автентичність документів, біометричну активність, інтелект пристрою та інші сигнали ризику для виявлення підроблених документів, глибоких підробок, маніпуляцій з рахунками та координованих атак на ідентифікацію.

Коли ви співзаснували Shufti у 2017 році, ви спочатку очолювали розвиток технологій компанії як технічний директор перед тим, як стати генеральним директором у 2024 році. Які недоліки цифрової ідентифікації особи спочатку мотивували вас створити платформу, і як ваше розуміння проблеми змінилося з появою генерації штучного інтелекту?

Коли ми співзаснували Shufti у 2017 році, найбільшими проблемами були повільна верифікація, надмірна ручна робота та системи, які не працювали добре в різних країнах. Багато рішень ідентифікації особи були нестійкими, особливо в галузях високого ризику. Вони також мали труднощі з верифікацією документів у нелатинських мовах та не могли надійно верифікувати особи з усього світу.

Сьогодні генерація штучного інтелекту змінила проблему. Тепер це не тільки питання читання документа про ідентифікацію особи. Це питання того, чи дійсно документ і особа, яка його пред’являє, справжні. Штучний інтелект зробив шахрайство з ідентифікацією особи швидшим, дешевшим та легшим для масштабування. Ми дізналися, що верифікація особи лише під час реєстрації більше не достатня. Підприємства тепер потребують штучного інтелекту, який може виявити навіть найскладніші підроблені документи та особи.

Бельгійські органи влади недавно попередили, що понад 10 000 осіб стали жертвами шахрайства з ідентифікацією особи, яке використовує штучний інтелект, за останні рік. Що це свідчить про швидкість розвитку злочинів, пов’язаних з ідентифікацією особи, і чому штучно створені копії законних документів особливо важко виявити?

Попередження бельгійських органів влади щодо 10 000 жертв є лише верхівкою айсберга. Це свідчить про те, що злочинці перейшли від базової редакції документів до повномасштабної синтезу ідентифікації особи.

Штучно створені копії важко виявити, оскільки вони можуть імітувати урядові шаблони з точністю до пікселя. Традиційний оптичний розпізнавач символів (OCR) зосереджується на витяганні тексту, але ігнорує візуальну цілісність зображення. Штучний інтелект тепер може відтворювати засоби безпеки, які раніше вимагали фізичної присутності для верифікації, роблячи плоске зображення документа відповідальністю, а не доказом ідентифікації особи.

Як штучно створена копія вкраденого документа про ідентифікацію особи відрізняється від традиційної підробки, зміненого документа та повністю синтетичної ідентифікації особи?

Важливо розрізняти ці методи:

Традиційна підробка: фізична підробка документа.

Змінений документ: законний документ про ідентифікацію особи, у якого певні поля (наприклад, ім’я чи дата народження) були змінені.

Синтетична ідентифікація особи: “Франкенштейнська” персона, створена шляхом поєднання вкрадених реальних даних (наприклад, номера соціального страхування) з вигаданими деталями.

Штучно створена копія: глибока підробка документа, створена з нуля або вкраденого шаблону за допомогою генеративних суперницьких мереж (GAN). Ці часто не мають цифрової історії та містять артефакти, які людське око не може побачити.

Shufti прогнозує, що кількість підробок документів може збільшитися майже на 3900% цього року. Яка діяльність стимулює цей прогноз, і які припущення чи обмеження повинні організації розуміти при інтерпретації цього прогнозу?

Ми очікуємо збільшення кількості підробок документів на 3900%, оскільки штучний інтелект зробив шахрайство значно легшим для створення та масштабування. Злочинці тепер не тільки міняють обличчя на фотографіях. Вони можуть створювати повністю підроблені документи про ідентифікацію особи, які часто проходять повз старих систем верифікації.

Важливо зрозуміти, що цей прогноз відображає швидкість зростання штучно створеного шахрайства, а не кількість підроблених документів, які існують. Найбільшим викликом є те, що багато систем ідентифікації особи були розроблені роки тому і не можуть виявити складні штучно створені підробки, такі як реалістичні голограми чи морфінг обличчя. В результаті підроблені особи можуть пройти перевірку та залишитися приховані в базах даних підприємств.

Багато підприємств досі вважають достатнім фотографію або скан документів про ідентифікацію особи як підтвердження особи. Які сигнали повинна аналізувати сучасна система верифікації крім видимої інформації на документі?

Найбільша зміна полягає в тому, що підприємства більше не можуть покладатися на традиційні перевірки документів. їм потрібен підхід “Цифрового ока”. Замість простого читання інформації на документі система повинна перевіряти, чи сам документ є справжнім.

Це означає пошук тонких ознак, які люди не можуть легко помітити, таких як те, чи зображення було зроблено з екрана, незвичайні закономірності пікселів, несумісне освітлення чи сліди, залишені генераторами штучного інтелекту. Ми також перевіряємо ознаки того, що частини документа були скопійовані, переміщені чи цифровально змінені, а також несумісності у метаданих та якості зображення. Коли ви поєднуєте всі ці сигнали, ви значно підвищуєте ймовірність виявлення складних штучно створених документів, які старіші системи верифікації просто приймуть за справжні.

Ви стверджували, що забезпечення ідентифікації особи повинно бути безперервним, а не обмежуватися лише реєстрацією клієнта. Як виглядатиме безперервна верифікація на практиці, і як компанії можуть її реалізувати без введення надмірного нагляду, ризиків для приватності чи неприйнятної клієнтської фрустрації?

Ера “одноразової перевірки” закінчилася. Безперервне забезпечення ідентифікації особи означає оновлення ризику користувача проти понад 1700 списків спостереження кожні 15 хвилин для запобігання “ретроспективній недотриманності”.

Для реалізації цього без фрустрації чи ризиків для приватності ми використовуємо повторно використовувані біометричні ідентифікації (FastID). Як тільки користувач пройшов верифікацію, він може повторно верифікувати для високоризикових дій (наприклад, великих виводів коштів) менш ніж за дві секунди, використовуючи лише скан обличчя. Це ліквідує потребу у повторних завантаженнях документів, зберігаючи при цьому високий рівень безпеки.

Шахрайсти тепер можуть поєднувати синтетичні документи з заміною облич, глибокими підробками відео, атаками ін’єкції та вкраденою особистою інформацією. Як платформи ідентифікації особи повинні поєднувати цілісність документів, біометричну активність, інтелект пристрою та поведінковий аналіз для виявлення цих координованих атак?

Шахрайсти стають значно складнішими. Замість використання лише одного методу вони тепер поєднують штучно створені документи, заміну облич та атаки ін’єкції для обходу перевірок ідентифікації особи. Тому підприємства повинні дивитися на всю картину, а не покладатися на один крок верифікації.

У Shufti ми робимо це шляхом контекстно-чутливого оцінювання ризику. Ми аналізуємо пристрій, який використовується для виявлення емуляторів чи безголових браузерів, перевіряємо, чи користувач фізично присутній за допомогою пасивної перевірки біометричної активності, сертифікованої на рівні 2 за стандартом iBeta, та шукаємо підозрілі закономірності серед облікових записів шляхом аналізу даних ідентифікації особи, відбитків пристрою та поведінки користувача. Поєднання цих сигналів робить значно легшим виявлення шахрайства до того, як воно завдасть шкоди.

Генеративні моделі продовжуватимуть покращуватися, тоді як шахрайсти можуть свідомо стискати, повторно сканувати або змінювати синтетичні медіа для приховування ознак маніпуляції. Як провайдери верифікації перевіряють, чи їхні системи виявлення залишаються ефективними проти нових та раніше невідомих методів атак?

Викликом є те, що штучно створене шахрайство розвивається значно швидше, ніж традиційні цикли тестування безпеки. Провайдери верифікації повинні постійно оцінювати свої системи проти нових методів атак, а не покладатися на історичні набори даних. Це означає тестування з синтетичними документами, рекомпресованими зображеннями, захопленням екрана, маніпульованими медіа та іншими зміненими медіа, призначеними для приховування очевидних ознак. Все частіше фокус зміщується від виявлення певного типу глибокої підробки до ідентифікації несумісностей серед декількох сигналів, оскільки вони tendють залишатися складнішими для атакувальників для реплікації, коли генерація штучного інтелекту покращується.

Системи ідентифікації особи можуть створити серйозні наслідки, коли вони неправильно відхиляють законних користувачів. Як розробники повинні вимірювати помилкові позитиви, демографічні показники та доступність поряд з точністю виявлення шахрайства?

Точність не повинна полягати лише у виявленні “поганих хлопців”; це також про забезпечення безперешкодного шляху для “хороших хлопців”. У нашій галузі ми зосереджуємося на коефіцієнті невдач витягування (FTXR), який вимірює, як часто система просто не може “прочитати” обличчя чи документ, та коефіцієнті помилкової невідповідності (FNMR), коли справжні користувачі неправильно відхиляються. За даними джерел, результати Shufti у бенчмарку DHS RIVR 2025 продемонстрували 0% відмов у витягуванні даних на різних пристроях та найгірший коефіцієнт помилкової невідповідності нижче 0,68%.

Розробники повинні рухатися далі “середніх показників лабораторій” та вимірювати продуктивність проти “найгірших” демографічних результатів. Це означає тестування конкретно для послідовності серед різноманітних тонів шкіри, структур обличчя та культурних одягу. Ми досягаємо цього шляхом навчання нашого штучного інтелекту на глобально різноманітних наборах даних, які містять мільйони кадрів. Надійна оцінка не є повною, поки ви не доведете, що ваша система є такою ж точною для користувача в сільській місцевості з поганим освітленням, як і в контрольованому офісному середовищі. Метою є Уніфікований шар ідентифікації, який залишається справедливим, інклюзивним та доступним для всіх.

Оглядаючи майбутнє, технології, такі як урядові цифрові гаманці ідентифікації особи, криптографічно верифіковані посвідчення та біометрично зв’язані ідентифікації особи, врешті-решт зроблять зображення завантажених документів про ідентифікацію особи застарілими, чи вони просто створять новий набір поверхонь атак?

Ми рухаємося до майбутнього, де людям не доведеться завантажувати фотографії своїх документів про ідентифікацію особи так часто. Урядові цифрові гаманці ідентифікації особи та довірені цифрові ідентифікації особи роблять підтвердження ідентифікації особи значно швидшим та безпечнішим, оскільки вони дозволяють верифікувати інформацію безпосередньо, а не покладатися на зображення документа. Вони також створюють більш зручного користувача досвід шляхом скорочення часу, необхідного для завершення верифікації.

Тим не менше, кожна нова технологія створює нові можливості для злочинців. Замість підробки документів атакувальники можуть спробувати вкрадені цифрові посвідчення, захопити облікові записи чи викрасти довірені ідентифікації особи. Тому цифрові посвідчення самі по собі недостатні. Все ще важливо підтвердити, що особа, яка використовує ідентифікацію особи, є законним власником, наприклад, через біометричну верифікацію та перевірки активності. Майбутнє ідентифікації особи, ймовірно, буде поєднувати довірені цифрові посвідчення з біометрією, створюючи кілька шарів захисту замість покладання на один метод. Дякую за велике інтерв’ю, читачам, які бажають дізнатися більше, слід відвідати Shufti.