Shahid Hanif, CEO và Đồng sáng lập của Shufti – Loạt phỏng vấn

Shahid Hanif, CEO và Đồng sáng lập của Shufti, là một doanh nhân công nghệ với kinh nghiệm sâu rộng trong việc xây dựng các nền tảng xác thực danh tính, fintech, blockchain và phần mềm phân tán. Ông đồng sáng lập Shufti vào năm 2017 và đã dành hơn 7 năm làm Giám đốc Công nghệ, dẫn đầu việc phát triển công nghệ xác thực sinh trắc học và tài liệu dựa trên trí tuệ nhân tạo trước khi trở thành CEO vào tháng 12 năm 2024. Hanif cũng là người sáng lập của Developers Studio, một công ty phát triển blockchain với hơn 100 chuyên gia, và trước đây từng là CTO của Quickbit, nơi ông đã giúp phát triển công nghệ thanh toán tiền điện tử trước khi công ty này niêm yết công khai. Trước đó, ông đã đồng sáng lập Programmers Force và giúp mở rộng công ty phần mềm và khoa học dữ liệu này lên hơn 500 nhân viên trên 10 văn phòng tại 3 lục địa.

Shufti là một nền tảng xác thực danh tính dựa trên trí tuệ nhân tạo giúp các tổ chức thiết lập niềm tin, ngăn chặn gian lận và đáp ứng các yêu cầu về Biết khách hàng của bạn, Biết doanh nghiệp của bạn và Chống rửa tiền. Nền tảng của công ty này kết hợp xác thực tài liệu và sinh trắc học, xác thực danh tính điện tử, kiểm tra dựa trên NFC, xác thực doanh nghiệp, đảm bảo tuổi, phát hiện gian lận, giám sát liên tục và quản lý trường hợp thông qua một cơ sở hạ tầng thống nhất. Công ty này hỗ trợ hàng nghìn loại tài liệu và hơn 150 ngôn ngữ trên hơn 240 quốc gia và vùng lãnh thổ, cho phép các doanh nghiệp xác thực khách hàng và tổ chức thông qua một tích hợp toàn cầu. Công nghệ của công ty này kiểm tra tính xác thực của tài liệu, sự sống của sinh trắc học, thông tin thiết bị và các tín hiệu rủi ro khác để phát hiện tài liệu giả, deepfake, thao túng tài khoản và các cuộc tấn công danh tính phối hợp.

Khi bạn đồng sáng lập Shufti vào năm 2017, bạn ban đầu dẫn đầu việc phát triển công nghệ của công ty với tư cách là Giám đốc Công nghệ trước khi trở thành CEO vào năm 2024. Những điểm yếu trong xác thực danh tính số nào đã thúc đẩy bạn xây dựng nền tảng này, và cách hiểu của bạn về vấn đề này đã thay đổi như thế nào với sự xuất hiện của trí tuệ nhân tạo sinh?

Khi chúng tôi đồng sáng lập Shufti vào năm 2017, những thách thức lớn nhất là xác thực chậm, công việc thủ công quá nhiều và các hệ thống không hoạt động tốt trên các quốc gia khác nhau. Nhiều giải pháp xác thực danh tính không nhất quán, đặc biệt là trong các ngành công nghiệp rủi ro cao. Họ cũng gặp khó khăn trong việc xác thực tài liệu trong các ngôn ngữ không phải Latin và không thể xác thực đáng tin cậy danh tính từ khắp thế giới.

Ngày nay, trí tuệ nhân tạo sinh đã thay đổi vấn đề. Nó không chỉ là về việc đọc một tài liệu danh tính. Nó là về việc biết liệu tài liệu và người trình bày nó có thực sự là người thật không. Trí tuệ nhân tạo đã làm cho gian lận danh tính trở nên nhanh chóng, rẻ hơn và dễ dàng hơn để mở rộng quy mô. Chúng tôi đã học được rằng việc xác thực một lần trong quá trình đăng ký không còn đủ nữa. Các doanh nghiệp hiện nay cần trí tuệ nhân tạo có thể phát hiện cả tài liệu giả và danh tính giả tinh vi.

Cơ quan chức năng Bỉ gần đây đã cảnh báo rằng hơn 10.000 người đã trở thành nạn nhân của gian lận danh tính được kích hoạt bởi trí tuệ nhân tạo trong năm qua. Vụ việc này tiết lộ điều gì về tốc độ mà tội phạm danh tính đang phát triển, và tại sao các bản sao trí tuệ nhân tạo của tài liệu hợp pháp lại đặc biệt khó phát hiện?

Cảnh báo từ cơ quan chức năng Bỉ về 10.000 nạn nhân chỉ là phần nổi của tảng băng. Nó tiết lộ rằng tội phạm đã chuyển từ việc chỉnh sửa tài liệu cơ bản sang tổng hợp danh tính toàn diện.

Các bản sao trí tuệ nhân tạo khó phát hiện vì chúng có thể bắt chước các mẫu của chính phủ với độ chính xác về pixel. OCR truyền thống (Nhận dạng Ký tự Quang học) tập trung vào việc trích xuất văn bản, nhưng nó bỏ qua tính toàn vẹn trực quan của hình ảnh. Trí tuệ nhân tạo hiện nay có thể sao chép các tính năng bảo mật mà trước đây yêu cầu sự hiện diện vật lý để xác thực, làm cho hình ảnh phẳng của một tài liệu trở thành một trách nhiệm pháp lý thay vì bằng chứng về danh tính.

Làm thế nào một bản sao trí tuệ nhân tạo của một tài liệu danh tính bị đánh cắp khác với một tài liệu giả thông thường, một tài liệu bị thao túng và một danh tính tổng hợp?

Nó rất quan trọng để phân biệt giữa các phương pháp này:

Tài liệu giả thông thường: Một tài liệu danh tính giả mạo vật lý.

Tài liệu bị thao túng: Một tài liệu danh tính hợp pháp trong đó các trường cụ thể (như tên hoặc ngày sinh) đã được thay đổi.

Danh tính tổng hợp: Một “người Frankenstein” được xây dựng bằng cách kết hợp dữ liệu thực bị đánh cắp (như số an sinh xã hội) với chi tiết bịa đặt.

Bản sao trí tuệ nhân tạo: Một tài liệu deepfake được tạo từ đầu hoặc một mẫu bị đánh cắp sử dụng Mạng đối lập sinh (GAN). Những tài liệu này thường thiếu lịch sử số và chứa các dấu vết pháp y như sự không nhất quán của nhiễu cảm biến mà mắt người không thể nhìn thấy.

Shufti dự đoán rằng các tài liệu deepfake có thể tăng gần 3.900% trong năm nay. Hoạt động nào đang thúc đẩy dự đoán này, và những giả định hoặc hạn chế nào mà các tổ chức nên hiểu khi giải thích nó?

Chúng tôi dự đoán sẽ có sự tăng 3.900% trong các tài liệu deepfake vì trí tuệ nhân tạo đã làm cho gian lận trở nên dễ dàng hơn để tạo ra và mở rộng quy mô. Tội phạm không còn chỉ thay thế khuôn mặt trong ảnh. Họ có thể tạo ra toàn bộ tài liệu danh tính giả mà thường vượt qua các hệ thống xác thực cũ.

Điều quan trọng là phải hiểu rằng dự đoán này phản ánh tốc độ mà gian lận được kích hoạt bởi trí tuệ nhân tạo đang phát triển, không chỉ là số lượng tài liệu giả tồn tại. Thách thức lớn nhất là nhiều hệ thống xác thực danh tính được thiết kế cách đây nhiều năm và không thể phát hiện các giả mạo tinh vi được tạo ra bởi trí tuệ nhân tạo, chẳng hạn như các hình ảnh hologram thực tế hoặc mặt nạ khuôn mặt. Kết quả là, các danh tính giả có thể vượt qua các kiểm tra và vẫn ẩn trong cơ sở dữ liệu của công ty.

Nhiều doanh nghiệp vẫn coi một bức ảnh hoặc bản quét của một tài liệu danh tính là đủ để chứng minh danh tính. Những tín hiệu nào mà một hệ thống xác thực hiện đại nên kiểm tra ngoài thông tin có thể nhìn thấy trên tài liệu?

Sự thay đổi lớn nhất là các doanh nghiệp không thể dựa vào các kiểm tra tài liệu truyền thống nữa. Họ cần một cách tiếp cận mà chúng tôi gọi là “Mắt Kỹ thuật số”. Thay vì chỉ đọc thông tin trên một tài liệu, hệ thống phải kiểm tra xem tài liệu đó có thực sự là giả hay không.

Điều đó có nghĩa là tìm kiếm các dấu hiệu tinh vi mà con người không thể dễ dàng phát hiện, như liệu hình ảnh có được chụp từ màn hình, các mẫu pixel không đều, ánh sáng không nhất quán hoặc các dấu vết còn lại bởi các công cụ tạo hình ảnh trí tuệ nhân tạo. Chúng tôi cũng kiểm tra các dấu hiệu cho thấy các phần của tài liệu đã được sao chép, di chuyển hoặc thay đổi kỹ thuật số, cùng với sự không nhất quán trong siêu dữ liệu và chất lượng hình ảnh. Khi bạn kết hợp tất cả các tín hiệu này, bạn có nhiều khả năng phát hiện các tài liệu giả tinh vi được tạo ra bởi trí tuệ nhân tạo mà các hệ thống xác thực cũ sẽ đơn giản chấp nhận là thực.

Bạn đã lập luận rằng đảm bảo danh tính nên là liên tục chứ không chỉ giới hạn ở việc đăng ký khách hàng. Điều gì sẽ xảy ra trong việc xác thực liên tục trong thực tế, và làm thế nào các công ty có thể thực hiện nó mà không giới thiệu quá nhiều giám sát, rủi ro về quyền riêng tư hoặc ma sát khách hàng?

Thời đại của “kiểm tra một lần” đã kết thúc. Xác thực Danh tính Liên tục có nghĩa là làm mới rủi ro người dùng đối với hơn 1.700 danh sách theo dõi càng thường xuyên như mọi 15 phút để ngăn chặn “không tuân thủ hồi tố”.

Để thực hiện điều này mà không gây ra ma sát hoặc rủi ro về quyền riêng tư, chúng tôi sử dụng các danh tính có thể tái sử dụng được gắn với sinh trắc học (FastID). Một khi người dùng được xác thực, họ có thể xác thực lại cho các hành động rủi ro cao (như rút tiền lớn) trong dưới 2 giây bằng cách sử dụng chỉ một quét khuôn mặt. Điều này loại bỏ nhu cầu tải lên tài liệu lặp đi lặp lại trong khi vẫn duy trì một tư thế an ninh cao.

Những kẻ gian lận có thể kết hợp các tài liệu tổng hợp với thay thế khuôn mặt, video deepfake, tấn công tiêm và thông tin cá nhân bị đánh cắp. Làm thế nào các nền tảng danh tính nên kết nối tính toàn vẹn của tài liệu, sự sống của sinh trắc học, thông tin thiết bị và phân tích hành vi để xác định các cuộc tấn công phối hợp này?

Những kẻ gian lận đang trở nên tinh vi hơn. Thay vì sử dụng chỉ một kỹ thuật, họ hiện kết hợp các tài liệu được tạo ra bởi trí tuệ nhân tạo, thay thế khuôn mặt và tấn công tiêm để vượt qua các kiểm tra danh tính. Đó là lý do tại sao các doanh nghiệp cần xem xét toàn bộ bức tranh thay vì dựa vào một bước xác thực duy nhất.

Tại Shufti, chúng tôi thực hiện việc này thông qua việc đánh giá rủi ro dựa trên ngữ cảnh. Chúng tôi phân tích thiết bị được sử dụng để phát hiện các trình giả lập hoặc trình duyệt không đầu, xác thực rằng người dùng có mặt vật lý với sự phát hiện thụ động được chứng nhận iBeta Level 2 và tìm kiếm các mẫu đáng ngờ trên các tài khoản bằng cách phân tích dữ liệu danh tính, dấu vân tay thiết bị và hành vi người dùng. Việc kết hợp các tín hiệu này làm cho nó dễ dàng hơn để xác định gian lận trước khi nó gây ra thiệt hại.

Mô hình sinh có thể tiếp tục cải thiện, trong khi những kẻ gian lận có thể nén, quét lại hoặc thay đổi phương tiện truyền thông tổng hợp để che giấu các dấu vết thao túng. Làm thế nào các nhà cung cấp xác thực kiểm tra xem các hệ thống phát hiện của họ vẫn hiệu quả chống lại các phương pháp tấn công mới và chưa từng thấy?

Thách thức là gian lận được tạo ra bởi trí tuệ nhân tạo đang phát triển nhanh hơn so với các chu kỳ kiểm tra bảo mật truyền thống. Các nhà cung cấp xác thực cần liên tục đánh giá hệ thống của họ chống lại các kỹ thuật tấn công mới thay vì dựa vào các tập dữ liệu lịch sử. Điều đó có nghĩa là kiểm tra với các tài liệu tổng hợp, hình ảnh được nén lại, bản quét màn hình, tấn công tiêm và các phương tiện truyền thông bị thao túng khác được thiết kế để che giấu các dấu vết rõ ràng. Sự tập trung ngày càng tăng đang chuyển từ việc phát hiện một loại deepfake cụ thể sang việc xác định sự không nhất quán trên nhiều tín hiệu, vì những tín hiệu đó thường khó bị kẻ tấn công sao chép khi trí tuệ nhân tạo sinh cải thiện.

Các hệ thống xác thực danh tính có thể tạo ra hậu quả nghiêm trọng khi chúng từ chối sai các người dùng hợp pháp. Làm thế nào các nhà phát triển nên đo lường các kết quả dương tính giả, hiệu suất dân số và khả năng tiếp cận cùng với độ chính xác phát hiện gian lận?

Độ chính xác không chỉ là về việc bắt được “những kẻ xấu”; nó là về việc đảm bảo một con đường không ma sát cho “những người tốt”. Trong ngành của chúng tôi, chúng tôi tập trung vào Tỷ lệ thất bại khi trích xuất (FTXR) – đo lường xem hệ thống thường thất bại khi “đọc” một khuôn mặt hoặc tài liệu – và Tỷ lệ không trùng khớp sai (FNMR), nơi người dùng thực sự bị từ chối sai. Theo nguồn, hiệu suất của Shufti trong Benchmark RIVR 2025 của DHS đã chứng minh tỷ lệ thất bại khi trích xuất 0% trên nhiều thiết bị và FNMR tồi tệ nhất dưới 0,68%.

Các nhà phát triển phải vượt ra ngoài “trung bình phòng thí nghiệm” và đo lường hiệu suất chống lại “kết quả dân số tồi tệ nhất”. Điều này có nghĩa là kiểm tra cụ thể về tính nhất quán trên các màu da, cấu trúc khuôn mặt và trang phục văn hóa đa dạng. Chúng tôi đạt được điều này bằng cách đào tạo trí tuệ nhân tạo của mình trên các tập dữ liệu đa dạng toàn cầu chứa hàng triệu khung. Một đánh giá mạnh mẽ không được hoàn thành cho đến khi bạn đã chứng minh rằng hệ thống của mình là chính xác cho một người dùng ở một khu vực nông thôn với ánh sáng kém như nó có trong một môi trường văn phòng được kiểm soát. Mục tiêu là một Lớp danh tính thống nhất vẫn công bằng, bao gồm và có thể tiếp cận được với mọi người.

Nhìn về tương lai, liệu các công nghệ như ví danh tính số được chính phủ hỗ trợ, chứng chỉ có thể xác minh bằng mật mã và danh tính gắn với sinh trắc học cuối cùng sẽ làm cho hình ảnh tài liệu được tải lên trở nên lỗi thời, hoặc chúng sẽ chỉ tạo ra một tập hợp mới các bề mặt tấn công?

Chúng tôi chắc chắn đang tiến tới một tương lai nơi mọi người sẽ không cần phải tải lên ảnh của tài liệu danh tính của họ quá thường. Ví danh tính số được chính phủ hỗ trợ và danh tính số đáng tin cậy làm cho việc chứng minh danh tính trở nên nhanh chóng và an toàn hơn vì chúng cho phép thông tin được xác minh trực tiếp, thay vì dựa vào hình ảnh của một tài liệu. Chúng cũng tạo ra một trải nghiệm người dùng mượt mà hơn bằng cách giảm thời gian cần thiết để hoàn thành xác thực.

Đó nói rằng, mọi công nghệ mới đều tạo ra các cơ hội mới cho tội phạm. Thay vì tạo ra tài liệu giả, kẻ tấn công có thể cố gắng đánh cắp thông tin đăng nhập, chiếm tài khoản hoặc đánh cắp danh tính đáng tin cậy. Đó là lý do tại sao thông tin đăng nhập số alone không đủ. Vẫn cần xác nhận rằng người sử dụng danh tính là chủ sở hữu hợp pháp, ví dụ thông qua xác thực sinh trắc học và kiểm tra sự sống. Tương lai của xác thực danh tính có khả năng sẽ kết hợp thông tin đăng nhập số đáng tin cậy với sinh trắc học, tạo ra nhiều lớp bảo vệ thay vì dựa vào một phương pháp duy nhất. Thank bạn cho cuộc phỏng vấn tuyệt vời, những người đọc muốn tìm hiểu thêm nên truy cập Shufti.