Как распознать дипфейк: не по картинке, а по процедуре

Короткий ответ: дипфейк — это видео, голос или снимок конкретного человека, синтезированные моделью, и надёжно узнать его на глаз уже нельзя. Работает не разглядывание картинки, а проверка канала: положить трубку и перезвонить по номеру, который вы нашли сами, спросить кодовое слово, договорённое заранее, подтвердить просьбу вторым каналом связи. ФБР в своих предупреждениях о подделках, сделанных генеративными моделями, рекомендует именно это и там же пишет, что синтезированное содержимое дошло до уровня, когда опознать его часто затруднительно.

Признаки на глаз в предупреждении о финансовом мошенничестве тоже перечислены: искажённые кисти и ступни, неестественные зубы и глаза. Это самая недолговечная часть совета. Любой список артефактов описывает то поколение моделей, на котором он составлен, и перестаёт работать вместе с ним.

Что называют дипфейком

Слово покрывает три разных вещи, и защищаются от них по-разному.

Подменённое лицо в существующей записи: снят один человек, лицо взято от другого. Синтез голоса по образцу — речь сегодня синтезируется так, что на служебных текстах разница с диктором почти не слышна, а образца нужно немного. И полностью сгенерированный кадр, где человека вообще не снимали: та же генерация изображений, только наведённая на узнаваемое лицо.

Опасен не файл сам по себе, а связка: подделка плюс просьба, которую без подделки вы бы не выполнили. Запись, которая ничего от вас не требует, — вопрос репутации и того, проверяете ли вы материал перед пересылкой. Видеозвонок, где ваш руководитель просит перевести деньги, — вопрос процедуры, и дальше речь про него.

Почему признак устаревает быстрее, чем расходится по статьям

Артефакт — это след конкретного способа синтеза. Как только след описан и стал узнаваемым, он попадает в перечень дефектов у тех, кто делает следующее поколение инструмента, и его чинят. Поэтому «моргает не так» и «зубы одинаковые» верны ровно до обновления, а статья с этим списком живёт в поиске годами и учит проверке, которая больше ничего не проверяет.

С автоматическими детекторами то же, только дороже. Детектор учится на данных, а данные — это генераторы, существовавшие на момент обучения; обобщение на неизвестные способы подделки исследователи прямо называют нерешённой задачей для практического применения. Вывод такого детектора — оценка вероятности, и относиться к ней надо так же, как к выводу детектора машинного текста: повод присмотреться, не основание для решения.

Отдельно про очевидный ход — показать запись мультимодальной модели и спросить, подделка ли. Он не работает по устройству: разрешение зрительного кодировщика ограничено, мелкие детали до модели не доходят, а ответ она даст уверенный.

Процедура вместо признака

Процедура надёжнее не потому, что умнее. Она переносит проверку туда, где у нападающего нет управления.

Он управляет тем, что вы видите и слышите: картинкой, голосом, номером в определителе, самой срочностью. Он не управляет номером в вашей адресной книге, словом, о котором вы договорились при встрече, и третьим человеком, которому вы позвоните.

Из этого четыре правила, и они короткие.

Деньги, доступы и смена реквизитов — это признак для проверки, а не тема разговора. Как только просьба касается любого из трёх, дальше идёт проверка, независимо от того, насколько убедителен собеседник и насколько неловко его переспрашивать.

Звонок на известный номер. Не «перезвоните по этому номеру» и не ответ на то же сообщение: и номер в определителе, и обратный адрес выбирает тот, кто обращается. ФБР описывает это как отдельное действие: положить трубку, самостоятельно найти контакт организации и позвонить по нему. Для знакомого, который написал с новой платформы или нового номера, там же сказано подтвердить контакт через канал, подтверждённый раньше.

Кодовое слово. То же ведомство советует договориться со своими о слове или фразе для подтверждения личности. Какое именно слово брать, оно не уточняет, и это, по моему опыту, главная ошибка: в ход идёт название улицы или учебное заведение — то, что находится за минуту поиска.

Второй канал подтверждения в компании. Платёж вне обычного маршрута подтверждает второй человек, и не тем каналом, которым пришла просьба. Правило старое, дипфейк только сделал его обязательным.

Цену отсутствия процедуры показывает случай инженерной компании Arup. Сотрудник гонконгского офиса сделал пятнадцать переводов на пять счетов, около двадцати пяти миллионов долларов, после видеоконференции, где все остальные участники, включая финансового директора, были синтезированы. Обман раскрылся, когда он связался с головным офисом, — тем самым действием, которое стоило сделать до первого перевода.

Что дают метаданные и C2PA

Стандарт C2PA, который разрабатывает отраслевое объединение, описывает манифест: криптографически подписанные метаданные о происхождении файла и истории его правок. Идея хорошая, в моей работе полезная, но доказательством подлинности она не является, и причин три.

Отсутствие манифеста не значит ничего. Метаданные срезаются при обычной публикации и обработке, о чём авторы стандарта пишут сами, а огромная часть съёмок сделана камерами и приложениями без поддержки. Правило «нет подписи — значит подделка» отправит в подделки почти весь существующий архив.

Подпись говорит, кто заявил историю файла, а не правдиво ли его содержание. В материалах стандарта это сказано прямо: проверка не оценивает, правдивы ли сами сведения о происхождении, — она отвечает лишь на то, целы ли они, не подделаны и доверяют ли подписавшему. Там же стандарт назван не лекарством от недостоверности, а дополнением к экспертизе, в том числе к распознаванию подделок. Значит, запись с исправным манифестом может содержать сфабрикованную часть.

Третья причина — уже моё рассуждение. Подписывается файл, а не событие. Камера с поддержкой стандарта, направленная на экран, где проигрывается дипфейк, выдаст честный манифест: снято этой камерой, тогда-то, не редактировалось.

Поэтому метаданные я использую в обратную сторону: не разоблачать чужое, а подтверждать своё. Съёмка с подписью и без лишнего пересжатия даёт то, на что можно опереться, если подлинность моей записи оспорят.

Когда это уже случилось

Если деньги ушли, первыми идут банк и заявление: здесь решает скорость, а не разбор записи.

Если использовали ваше лицо или голос, отдельной статьи про дипфейк в кодексах на сегодня нет, но применимые нормы есть. Обнародование и дальнейшее использование изображения гражданина допускается только с его согласия за прямо установленными исключениями — статья 152.1 Гражданского кодекса; она же даёт право требовать удаления. Порочащие утверждения — статья 152 того же кодекса и статья 128.1 Уголовного. Подделка ради денег — мошенничество, статья 159. В июле 2026 года в Думу внесён законопроект № 1288702-8, который предлагает считать использование таких материалов отягчающим обстоятельством в статье 63 Уголовного кодекса; на день, когда я это пишу, это внесённый законопроект, а не действующая норма. Всё перечисленное — моё прочтение, а не юридическая консультация: под конкретную ситуацию нужен юрист.

Что обычно забывают сделать сразу: сохранить не только ссылку, но и сам файл, адрес страницы, время, снимки экрана. Через сутки запись удалят, а с ней исчезнет то, на что вы собирались ссылаться. Привычка хранить исходники и историю правок пригодится и здесь, и в споре об авторстве.

В компании нужен один адрес, куда пишут о таком случае, и правило, что за сообщение не наказывают. Иначе о первом успешном звонке мошенника вы узнаете из сверки в конце месяца. Это та же часть внутренней политики, что и про ошибку в чате.

Условие несогласия

Всё сказанное про процедуру избыточно там, где ни платёж, ни смена реквизитов не могут быть начаты голосом или сообщением: заявка идёт только через систему, подписей две, и человек на другом конце разговора не имеет полномочий изменить маршрут.

Признак проверяется по журналу платежей за квартал: был ли хоть один, начавшийся со звонка, письма или сообщения в обход обычного маршрута. Если ни одного — узкое место не здесь, и кодовые слова ничего не добавят. Если хотя бы один — процедура нужнее любого детектора, потому что именно этим путём и пойдут.

Чего я делать не стал бы

Не стал бы покупать детектор подделок как средство защиты платежей. Он выдаёт число, число выглядит как заключение, и высокая оценка подлинности становится основанием не звонить. Проверка, которая сама ошибается, в этой роли хуже отсутствия проверки: она снимает тревогу, не снимая риска.

Не стал бы учить сотрудников списку артефактов как основному навыку. Список устареет за год, а привычка останется неправильная: человек будет вглядываться в лицо вместо того, чтобы положить трубку. Тренировать надо действие и проверять его учебным звонком, а не опросом про признаки.

Не стал бы передавать кодовое слово тем же каналом, в котором его потом спросят. Слово, отправленное в переписке, живёт в этой переписке; договариваться о нём нужно голосом при встрече, и менять так же.

Открытый вопрос

Процедура упирается в собственную цену. Каждый звонок на известный номер — это задержка, и там, где срочные платежи действительно бывают, правило начнёт мешать работе, а не мошеннику. Связка «срочность, деньги, новый канал» ловит подделку, но помечает и часть настоящих ситуаций, и как отличить одно от другого заранее, я не знаю.

Второе — кодовое слово. Оно держится на том, что его не произносили при посторонних, и проверить это нельзя: что слово утекло, вы узнаете в момент, когда его назовут вам. Менять по расписанию — значит однажды не вспомнить в нужный звонок. Рабочего компромисса между этими двумя отказами я пока не нашёл.