Reed's News
← 返回精选

AI语音诈骗：三秒即可克隆，防御为何失败

AI 81 dxs 2026/7/15 4914 字 原文 ↗

莎伦·布赖特韦尔听到电话那头女儿的哭声，所有心理防线瞬间崩塌。直觉告诉她，那就是女儿埃普丽尔的声音——熟悉的音色，年轻女孩陷入困境时语无伦次的哭腔。电话里的"埃普丽尔"说自己开车时发短信，撞到了一名孕妇，手机被警察没收了。随后一名男子接过电话，自称是埃普丽尔的律师，解释保释金需要1.5万美元现金，还警告布赖特韦尔别跟银行说这笔钱的用途，否则会影响女儿的信用。不到一小时，这位佛罗里达州多佛市的退休老人就取了钱，交给了她以为是法院派来的快递员。直到她联系上真正的埃普丽尔——对方一早上都在上班，根本没出过车祸——她才恍然大悟：打电话的不是女儿，甚至根本不是人。那哭声是用一段音频片段合成的，她拼命想救的"女儿"，不过是别人机器里的一串数字代码。

2025年夏，美国多家地方媒体报道了布赖特韦尔的遭遇。如今这类案件已是美国最常见的犯罪类型之一，同时也是技术含量最高的犯罪之一。一边是需要前沿机器学习技术支撑的诈骗，一边是普通老人在自家厨房就能成为目标，且诈骗成本近乎为零——这两个事实的碰撞，正是执法部门、银行、电信公司和监管机构两年来始终无法遏制的核心问题所在。如今的问题早已不是"这项技术行不行"，而是它的效果好得可怕。真正的问题是：当攻击手段的复杂度与受害者的认知差距以"年"而非"月"计算时，我们需要什么样的有效保护？

26年纪录中的新条目

2026年4月，美国联邦调查局（FBI）网络犯罪投诉中心发布了上一年度的网络犯罪年度报告。在这份报告26年的历史中，首次将人工智能（AI）驱动的欺诈列为独立类别。数据触目惊心：该局记录了超过2.2万起与AI相关的投诉，调整后的损失超过8.93亿美元。其中60岁及以上受害者的损失达3.52亿美元，成为AI金融诈骗的首要目标群体。AI诈骗的数字只是冰山一角：美国全年网络犯罪损失同比飙升26%，达到209亿美元，其中60岁及以上群体损失77亿美元，较上一年增长约60%。

FBI坦言，这些数字仍低估了问题的严重性。报告中统计的AI诈骗仅涵盖受害者意识到并主动报案的案例，而大多数遭遇克隆语音诈骗的受害者，根本不知道自己面对的是机器。他们和布赖特韦尔最初一样，坚信电话那头是自己的孩子。因此，8.93亿美元更像是"下限"而非"上限"——这只是这类犯罪浮出水面的部分，而这类犯罪的本质，就是要对受害者保持隐身。FBI专门增设这一类别本身就释放了信号：犯罪统计向来保守，执法机构不会为一时的潮流修改沿用26年的分类体系。这份记录中的新条目，等于承认了一项三年前几乎还未面向消费者的技术，如今已成为主流的盗窃工具。

放眼全球，形势更为严峻且持续恶化。2026年3月，国际刑警组织（INTERPOL）发布第二版《全球金融欺诈威胁评估报告》，估计2025年全球金融欺诈损失达4420亿美元，相当于丹麦全年的经济总量。该组织将威胁等级定为"持续升级"，并提出了"欺诈工业化"的概念：诈骗从个人 opportunistic 行为，转变为有组织的跨国犯罪活动，还与人口贩卖、网络犯罪相互交织。尤为关键的是，国际刑警组织发现，AI辅助诈骗的利润约为传统诈骗的4.5倍；所谓的"自主AI系统"如今能独立策划并执行完整的诈骗流程，从前期侦察到最终勒索，全程无需人工干预。换句话说，诈骗的经济逻辑彻底反转了：首次实现了工业化规模的欺诈，其成本近乎为零，回报却高得惊人。

只需三秒

这类"隔代诈骗"的核心技术原理其实非常简单。现代AI语音克隆系统只需短短三秒的音频素材，就能生成足以乱真的合成语音。三秒，可能是一段语音信箱问候、播客里的片段，或是Instagram公开生日视频中的背景音。这些素材并非来自被攻破的安全数据库，而是人们在日常生活中主动分享的——只要在TikTok上露过脸、发过声，就等于给了诈骗分子制造"绑架骗局"所需的全部材料。

这种威胁之所以如此尖锐，不仅因为克隆技术有效，更在于相关工具廉价、易得且几乎不受监管。2025年3月，《消费者报告》对六家公司的语音克隆产品进行评估，包括Descript、ElevenLabs、Lovo、PlayHT、Resemble AI和Speechify，结论是大多数产品缺乏防范欺诈或滥用的有效措施。其中四款产品仅要求用户勾选一个方框，确认自己拥有克隆相关语音的合法权利，却没有任何技术手段验证说话人是否真的同意，也没有限制用户只能克隆自己的声音。六家公司中有四家只需提供姓名或邮箱就能注册账号。这项调查的结论直白而尖锐，经NBC新闻和《The Register》报道后引发关注：行业造出了能模仿任何人的工具，却只给它加了个"自我声明"的勾选框。

行业内最知名的供应商之一ElevenLabs，提到了其多层安全方案：禁止冒充他人的使用政策、可识别本系统生成音频的公开AI语音分类器、能将生成内容追溯至对应账号的溯源机制，以及在选举周期内禁止克隆特定受保护人物的"禁声"防护措施。这些措施并非无关紧要，甚至比不少竞争对手做得更多，但它们存在一个结构性缺陷：几乎所有措施都是事后补救。只有当诈骗已经发生、受害者的积蓄已经损失后，这些措施才能帮助调查人员确定音频来源，却无法从一开始就阻止三秒语音克隆的生成——而真正能阻止它的措施，是对被克隆人的同意进行严格的强制验证，但这恰恰是竞争激烈、快速发展的市场不愿给自己增加的"摩擦"。当一项安全措施会让公司流失用户，却只保护竞争对手的客户时，市场绝不会主动提供这样的措施，事实也确实如此。

"失明"的鉴识权威

2026年6月《纽约时报》的一篇报道，精准揭示了为何基于检测的防御手段正在失效。报道的主角是加州大学伯克利分校教授汉尼·法里德，他被公认为全球顶尖的深度伪造鉴识专家。二十多年来，法里德凭借区分真实与合成内容的能力，为各国政府、人权组织、记者和执法部门提供支持。但据《纽约时报》报道，最近他连自己的测试都通不过了。"我感觉自己正在失明。"他说。这位地球上最擅长辨别真实录音与AI生成音频的专家，如今已无法可靠地完成这项工作。

这番话应该终结一种论调：多年来，应对合成媒体的隐含思路是"检测技术能跟上生成技术的步伐"——即每出现更逼真的伪造品，就会有更灵敏的检测工具，这场军备竞赛虽然棘手，但至少有胜算。法里德的坦白证明，至少在音频领域，这场竞赛已经输了。当该领域最顶尖的检测专家都只能靠碰运气时，"在伪造品生成并传播后再去识别"根本算不上策略，只是一种奢望。而这类诈骗靠的就是20分钟的恐慌，根本不会给受害者或银行留出20分钟时间，去做连汉尼·法里德都不再信任的鉴识分析。

要实现有效保护，首先也是最重要的一点，就是接受：检测不能作为核心防御手段。不能指望一位听到哭声的老人，去完成连该领域顶尖专家都已放弃的鉴识分析。任何最终依赖人们辨别真实语音与克隆语音的方案，都已经过时了。这一结论的影响远不止电话诈骗：如果全球最权威的合成音频检测专家都无法相信自己的判断，那么所有默认"人可以作为最终验证者"的下游系统——比如被要求"自行判断"的银行柜员、被叮嘱"仔细听破绽"的亲属——都失去了根基。

脆弱的架构

将老年人列为主要攻击目标，归咎于他们"天真"是一种常见但错误的看法。本文的研究揭示了一个更令人不安的真相：老年人更容易受害，并非因为智力不足，而是"美满人生"带来的特质。他们通常有更高的储蓄余额——这是数十年工作积累的成果，因此成为高效的目标：一次成功的诈骗就能比针对年轻人的诈骗获得更多收益。他们成长并生活在基于信任的沟通模式中，接到遇险亲属的电话时，第一反应是应对紧急情况，而非怀疑这是一场攻击。他们并非自身有错，只是对AI语音合成相对陌生——在他们大半辈子的生活里，电话那头的声音就等同于真实的人。此外，和所有父母、祖父母一样，他们面对"家庭紧急情况"时，本能的保护欲会压倒一切理性与怀疑。

学术研究已开始系统地论证这一点。2026年6月发布在arXiv平台的一篇论文明确指出："老年人依然是AI增强型诈骗的主要受害者。"2026年初，邹一心团队的另一项研究针对AI诈骗日益复杂的情况，设计了专门针对老年人的防骗干预措施，开发出名为ROLESafe的角色扮演模拟工具。研究发现，当老年人以受害者或帮助者的身份参与模拟，而非被动旁观时，识别诈骗的能力会显著提升。还有一篇来自Charm Security公司研究者的论文，提出了"人类脆弱性与利用框架"——仿照软件安全领域的漏洞数据库，对诈骗系统利用的认知与社会机制进行分类。该框架的前提本身就是一种无声的控诉：数十年来，安全行业一直在记录和修复机器的漏洞，却对人类的脆弱性视而不见、不加管理。隔代诈骗之所以得逞，正是因为它攻击了系统中唯一从未被"打补丁"的部分。

这也解释了为什么针对老年人的宣传活动虽有必要，但远远不够。诈骗利用的情感机制，不是一张传单就能填补的知识空白，而是被武器化的祖孙亲情。你可以反复提醒人们"声音可以伪造"，但当克隆的声音在电话里呼救时，这些知识根本来不及发挥作用。2026年6月，法新社的报道被《海峡时报》和《马尼拉时报》转载，其中引用语音安全公司Pindrop的阿米特·古普塔的话，精准概括了这一点："诈骗的目标不是完美复制声音，而是制造足够的情绪混乱与紧迫感，让受害者来不及核实就行动。"如果防御措施的前提是"受害者会先核实"，那等于完全无视了攻击专门设计来绕过的弱点。

那篇报道中最令人不寒而栗的证词，并非来自老年受害者，而是一位律师。费城律师加里·希尔德霍恩自己也曾遭遇克隆语音诈骗，他说即便事后回想，且凭借职业性的怀疑，他仍无法动摇当时的判断："我到死都会坚信，那就是你的声音。"任何认为"保持警惕就能解决问题"的人，都应该好好看看这句话。希尔德霍恩是受过训练的律师，本职工作就是质疑证据、不轻信看似合理的说辞，但克隆语音还是彻底骗过了他，就像骗过那位惊慌失措的老人一样。诈骗利用的脆弱性，并不只存在于老年人、轻信者或技术文盲身上，而是植根于人类的听觉系统本身——经过数千年进化，我们默认熟悉的声音就是熟悉的人的证明，但在漫长的进化史上，这一认知首次被系统性地、可被利用地颠覆了。

针对老年人的数据进一步印证了这一观点，而非与之矛盾。美国联邦贸易委员会（FTC）2025年12月提交国会的报告显示，2020年至2024年间，60岁及以上人群报告的诈骗损失总额增长了约三倍，达到24亿美元，其中68%的损失来自单笔金额10万美元及以上的诈骗。考虑到羞耻感导致的漏报问题，该机构估计实际年度损失可能高达815亿美元。这些数字绝非少数轻信者损失零花钱那么简单，而是一代人积累的储蓄，被一套专门针对他们的信任模式、财务状况和家庭情感核心地位设计的机制逐渐掏空。

量化的不对称性

安全公司Adaptive Security首席执行官布莱恩·朗在接受法新社采访时，用一句话概括了这种新的经济逻辑："一个人在房间里敲敲键盘，就能造出无数个诈骗者。"这正是不对称性的最纯粹体现。一边是自动化系统：几秒钟就能生成逼真的克隆语音，拨打数千个电话，还能带着合成的情绪完成每一次对话，边际成本几乎为零。另一边是单个普通人，往往是老年人，独自面对一通充满恐慌的电话，要完成连全球顶尖鉴识专家都做不到的防御。

国际刑警组织发现AI辅助诈骗的利润是传统诈骗的4.5倍，正是这种不平衡的经济体现。当攻击的成本更低、收益更高时，攻击数量不会线性增长，而是呈爆炸式增长。美国网络犯罪损失同比飙升26%，60岁以上群体损失近乎翻倍，就是这种爆炸式增长在国家账本上的体现。法新社的报道还提到了一个加剧危害的因素：羞耻感。布法罗市的莉兹·本茨曾遭遇克隆语音诈骗，对方声称她16岁的儿子被绑架，她经历了"整整20分钟的恐惧"。她公开经历后收到了大量其他受害者的消息，但许多人选择匿名，因为被欺骗的耻辱感让他们不愿发声。漏报在这里不是统计上的小误差，而是这类犯罪的结构性特征——它故意让受害者觉得自己愚蠢，不敢站出来，进而导致数据、起诉和政策制定都缺乏必要的证据。一种能让证人沉默的犯罪，会像复利一样不断恶化。

为何不能让家庭承担防御责任

2026年，FBI、美国银行家协会和消费者权益倡导者反复强调的一条建议是：全家约定一个"安全暗号"——只有亲属知道的秘密短语，遇到紧急电话时要求对方说出暗号。如果对方说不出，就挂断电话，用已知号码回拨。这条建议本身没错，但作为系统性防御手段，完全不够，我们需要明确原因。

安全暗号生效的前提是：每个家庭成员都采用、记得，并且在被设计好的"失智时刻"还能保持清醒，主动要求对方说出暗号。这等于把对抗一套工业化、自动化、价值数十亿美元的犯罪体系的全部责任，压在了一个在人生最糟糕时刻陷入恐惧的人的认知自制力上。它假设一位80岁的老人——根据FTC2025年底的数据，这类受害者的平均损失超过1600美元——在听到孙辈的哭喊声时，能冷静地想起并执行这个流程。有些人能做到，但更多人会在设计好的情境下失败。一种只有在受害者承受最大压力时完美表现才能生效的防御，根本算不上防御，只是事后将责任归咎于受害者的借口。

这正是反对将保护责任交给家庭和个人的深层原因：它把技术和金融系统的失败，转嫁给了最无力承担的人群，然后在他们失败时，将其视为个人失误。语音克隆工具是由公司开发和销售的，诈骗电话通过电信网络传输，资金通过银行流转。这些环节都是可以大规模拦截诈骗的关键节点，但厨房里的老人不是。有效保护需要将责任从当前的链条末端，转移到中间那些理应承担责任的节点上。一个面对工业化威胁，却只给最脆弱群体提供"更好建议"的社会，混淆了"发布指导意见"和"提供保护"的区别。

真正可行的拦截节点

我们依次分析三个关键机构节点，每个节点都能说明结构性防御的潜力与当前的不足。

第一个是电话网络。美国的STIR/SHAKEN框架原本旨在解决来电显示诈骗问题：主叫运营商可以用加密方式标记呼叫的合法性，被叫运营商在呼叫到达手机前验证该标记。2025年12月，美国联邦通信委员会（FCC）有线竞争局在三年一度的效能报告中指出，该框架在正确应用时能有效验证来电显示。但这个"正确应用"的限定至关重要。犯罪分子很早就发现，通过老式非IP网络转接电话可以完全避开该系统，FCC在2025年至2026年间花了大量精力试图填补这一漏洞，并推动"丰富呼叫数据"技术——在手机上显示经过验证的呼叫者姓名和标识。但STIR/SHAKEN验证的是号码，而非使用者，更不是声音。它能告诉你呼叫确实来自某个号码，却无法告诉你电话那头哭泣的女儿是机器。对于来自诈骗号码或陌生号码的克隆语音，该框架几乎毫无用处。同样是FCC，曾在2024年2月宣布，根据《电话消费者保护法》，机器人电话中使用AI生成语音是非法的——这一表态虽有意义，但仅适用于大规模自动拨号，不适用于隔代诈骗那种针对性的一对一紧急呼叫。

第二个是托管克隆工具的平台。这里最有前景的结构性干预措施是溯源，而非检测——比如C2PA标准，它会给媒体附加一个防篡改的加密记录，说明生成该媒体的设备或模型。2025年，该标准被批准为ISO规范，与谷歌的SynthID、Meta的AudioSeal等水印方案一起，成为互联网上默认的溯源标准。逻辑很合理：与其判断一段录音看起来或听起来是否伪造，不如看它是否带有证明其由真实麦克风录制的凭证。但对于这类特定犯罪，溯源存在致命的不对称性：缺少凭证并不等于伪造，因为大量合法音频从未被标记，且社交平台、截图和重新编码过程中经常会剥离元数据。更根本的是，诈骗分子打电话时没有义务传输C2PA记录，而"模拟鸿沟"——将合成音频通过电话线播放——会在传输过程中破坏所有数字水印。溯源有助于事后证明一段 viral 视频是合成的，但对阻止正在进行的实时克隆语音电话几乎无能为力。

第三个节点，也是最具潜力的，是银行。资金在这里真正流转，因此拦截措施能发挥最大的实际作用。英国提供了最清晰的实证。2024年10月，英国支付系统监管局（PSR）强制要求授权推付款（APP）诈骗的赔付：当受害者被骗授权向诈骗分子转账时，汇出银行和接收银行必须在五个工作日内按50:50的比例赔付受害者，最高赔付金额为8.5万英镑，且明确禁止以"消费者疏忽"为由拒绝赔付弱势群体。账户名验证服务"收款人确认"如今已应用于数十亿笔交易。PSR自己的数据显示，截至2025年12月底的15个月里，这类诈骗损失的89%（约2.43亿英镑）得到了赔付，而规则生效前的赔付率仅为65%。

强制赔付的意义不仅在于弥补受害者的损失（尽管这很重要），更在于重新分配经济激励。一旦银行要为损失负责，它们就有了强大动力去构建真正能在诈骗转账完成前阻止交易的机制：增加转账摩擦、异常检测、干预流程，比如暂停付款、对老年客户的大额取款设置冷静期、分行主动致电询问退休老人为何突然清空储蓄给快递员等。老人无法给自己设置的转账限制，银行可以给她的账户设置，而责任制度给了银行这样做的理由。包括《电子支付国际》评论员在内的批评者警告，如果不配合预防措施，单纯的赔付可能会变成对诈骗分子的补贴，策略必须超越"赔付受害者"。这种批评是正确的，它指向了正确的方向：责任是推动预防的杠杆，而非预防的替代品。英国的实验告诉我们的不是"赔付能解决诈骗"——它确实不能——而是"赔付能改变谁来承担诈骗的问题"，当一个机构必须为问题负责时，最终会主动设计解决方案。

有效保护的真正要求

梳理这些线索，我们就能清晰看到真正有效的保护措施，而非那些听起来让人安心的方案。

首先，必须放弃将检测作为主要防御手段。汉尼·法里德的"失明"不是可以通过更好的分类器解决的暂时挫折，而是生成技术超越识别技术的永久性结构性现实。任何最终依赖某人辨别真伪的方案，从一开始就注定失败。

其次，必须对"武器"的供应进行监管。《消费者报告》发现语音克隆工具仅靠"自我声明勾选框"就能使用，这是政策选择的结果，而非自然规律。在克隆语音前进行强制、可验证的同意——就像Descript和Resemble AI已部分实施、其他公司尚未做到的那样——在技术上是可行的，且不会影响该技术的合法用途。欧盟《AI法案》（其对通用模型的要求在2025年至2026年间开始生效），以及美国田纳西州的《ELVIS法案》（要求克隆语音需获得书面同意），都是将语音合成作为受监管技术的初步尝试。但这些措施的执行力度远远不够，也跟不上威胁的发展速度。

第三，必须将拦截责任交给占据关键节点的机构——如果它们不愿主动行动，就通过责任强制其履行。英国的赔付制度虽不完美、不全面，但展示了机制的作用：当银行承担损失时，就会主动增加转账摩擦。从通话中获利的电信运营商，应承担相应的验证责任，并在可能的情况下标记可疑呼叫。销售克隆工具的平台，应承担验证同意的责任。共同的原则是：责任应由既有能力预防伤害，又能从导致伤害的活动中获利的主体承担——在所有情况下，这个主体都是机构，而不是接电话的80岁老人。

第四，必须将人类的脆弱性视为需要管理的问题，而非指责的对象。Charm Security框架的洞见——诈骗利用的认知与情感机制，应像软件漏洞一样被系统地记录——应该指导银行设计干预措施、运营商设计预警机制，以及公共机构设计教育方案：超越传单，采用ROLESafe研究发现的、真正能改变行为的角色扮演演练。宣传活动和家庭安全暗号并非毫无用处，但它们只是最后、最薄弱的防线，只有在结构性防御措施发挥主要作用时，才能作为补充。

防御差距以"年"而非"月"计算的深层原因在于：攻击是技术问题，而防御是制度问题。克隆语音只需三秒，且每月都在改进；但通过赔付法规、重构银行的诈骗防控系统、强制全行业进行同意验证、填补全国电话网络的非IP漏洞，这些都需要数年时间，因为它们需要立法、协调、资金，还要克服所有从现状中获利的商业利益。这种不对称不仅是技术上的，更是机器的构建速度与社会的响应速度之间的不对称。

莎伦·布赖特韦尔最终在调查人员和银行的努力下追回了部分钱款，但很多受害者没有。FBI统计的3.52亿美元老年AI诈骗受害者损失，以及更多未被统计的金额，代表着财富从最输不起的人群，转移到了有史以来最高效的犯罪组织手中。缩小差距，不能靠教老人怀疑孙辈的声音，而要通过法律和技术手段，决定那些站在克隆语音与钱款之间的机构，必须对经手的事务负责。在做出这个决定之前，这种"三秒盗窃"仍将是世界上最容易实施的严重犯罪，也是受害者最难被相信的犯罪——因为精心设计的证据，听起来和他们深爱的人一模一样。

参考文献

蒂姆·格林

蒂姆·格林 英国系统理论家、独立科技作家

蒂姆研究人工智能、去中心化认知与后人类伦理的交叉领域。他的作品发布于smarterarticles.co.uk，挑战技术进步的主流叙事，同时提出集体智能与数字管理的跨学科框架。

他的文章曾被Ground News收录，并在学术和科技社区的独立研究者中传播。

ORCID： 0009-0002-0156-9795 邮箱： tim@smarterarticles.co.uk

收听免费每周播客SmarterArticles Podcast