2026年11月5日，美国纽约南区联邦检察官办公室公布的一份起诉书显示，三名男子被控用AI“克隆CEO”，再冒充国际律所律师，两年多陆续从全球多家公司骗走了1.29亿美元（约8.61亿元人民币）。

两年前，中国香港有一名财务职员参加了一场多人视频会议，会上的“英国总部CFO”和“其他同事”都在，但只有他是真人。最终该财务按指示分15次把2亿港元转到5个本地账户，而这桩案子至今没有公开的拘捕、起诉或追赃通报。

在中国内地，黑灰产正在把“过人脸核验”等做成一件可批量采购的商品。今年3月福州的一桩法院判例显示，两名被告借助AI把用户身份信息和照片做成眨眼、点头、张嘴、摇头等一系列视频，进行账户认证后再用于上家转移网赌电诈等资金。

随着技术的不断进步，从国内到海外，类似的AI欺诈事件也越来越多，也早已不是“换脸骗老年人”那么简单，证件、人脸、行为这些过去用来确认“你是你”的东西如今都能被深度合成。

这也是Sumsub中国区业务负责人李劼近日在接受移动支付网采访中反复提到的重点，“以前的身份欺诈更多是盗用真实身份信息、伪造证件或盗用账户。但随着AI的发展，欺诈者可以更低成本地生成逼真的伪造证件、合成面部影像，甚至模拟真人的行为特征。”

简单来理解，身份欺诈这门黑灰产生意过去靠“偷”，现在可以靠“造”。

AI时代来临，光KYC完全“不够用”

李劼把企业真正需要判断的信息拆成四层，分别是提交的信息是否真实；这些身份信息是否属于当前这个用户；用户是否真实参与了验证；整个操作是否存在欺诈风险。传统思路下，只有第一层是传统KYC的主场，而剩下的三层，靠一张证件、一段视频都已无法过关。

Sumsub的做法是把证件验证、活体检测、深度伪造检测，和设备情报、机器人检测、行为风险分析放在一起进行交叉判断。李劼认为，设备和行为信号提供的是额外的风险依据，避免了仅凭单一材料作出判断，对于结合伪造证件、AI生成影像和类人交互的复杂攻击，多维度交叉判断尤为重要。

更关键变化在时间维度上，根据Sumsub的研究，约70%的欺诈行为发生在用户注册或开户后，这直接推翻了“开户审核”的行业操作惯例。如果七成的风险发生在门开之后，那原本在门岗的资源投入是否错配了呢？无论如何，信任都不能只是一个开户时的反馈结果，而应该是贯穿整个业务生命周期的能力。

随着AI的进场，上述这些问题和挑战又往上推了一层。当注册、支付、信息提交这些动作不再由人直接完成，企业需要确认的不只是“谁在操作”，还有“AI代表谁、获得了什么授权、是否在授权范围内行动”。Sumsub为此提出KYA（Know Your Agent）框架，把AI与真实、可验证的人类身份关联起来，识别自动化活动，并在高风险场景下加一道针对性的活体检测。

今年四月，Sumsub升级了自适应深度伪造检测方案，从依赖相对固定的检测模型，转向具备实时学习和自我适应能力的机制，可以基于多来源信号动态调整风险参数与判定标准，减少对频繁人工重训的依赖；自研活体检测则通过AI与神经网络构建3D人脸模型，在数秒内完成真实用户验证并识别伪造攻击。当然，这些升级的目标不只是提高检测能力，也是在安全性与用户体验之间取得平衡，避免让正常用户承担不必要的验证负担。

许多观点认为AI给攻防两侧都带来了挑战和机会，但关于未来的趋势，李劼并没有简单地概括成“AI验证AI”。企业确实需要借助AI识别和防范AI带来的风险，但最终目的仍然是建立清晰的授权关系和责任链条。

在李劼看来，“匿名执行”的风险比“自动执行”更大，如果无法确认背后由谁发出指令、由谁承担责任，再强大的自动化技术也难以建立信任。技术可以辅助判断，但人类必须是最终的把关者。

出海企业要算的“合规账”

当谈到中国市场时，李劼认为中国企业出海阶段已从早期的“市场拓展”进入“全球化运营”。前者主要是把货卖出去，看的是增长；后者是要在新的监管框架里长期经营，同时还要看合规、效率、风险。

合规方面，跨市场的身份体系和监管要求差异较大；效率方面，多套工具和人工流程推高运营成本；风险方面，AI驱动的精密型欺诈正在增加管理难度。

第一类是结构性的存在，比如一家跨境支付企业进入多个市场，可能要同时支持不同国家的身份证件、企业注册信息和本地化验证流程。“如果每进入一个市场就需要重新搭建一套合规系统，企业的运营成本和技术复杂度都会显着增加。”

第二类是最实际的需求，Sumsub的解法是打造统一、可配置的平台。既不为每个市场从零搭建，也不搞一套规则覆盖所有市场，而是按当地要求和业务场景组合证件验证、企业验证、反洗钱筛查、交易监测与反欺诈能力，并随监管和风险变化调整流程。合规团队则在单一控制台里配置工作流、集中管理案件，以减少在多个系统之间切换。同时，动态风险评分让低风险用户走得顺畅，把更严格的检查留给高风险行为和异常场景。

第三类最直观，本文开头的案例都在此范畴。很多这类案例显示，不法分子并不寻求攻击系统漏洞，而是让自己“看起来正常”。因此，建立信任链才显得至关重要。

在这三重挑战之上，一些特定市场还可能意味着额外的考题。比如在中东、拉美及部分新兴市场，难点往往不是证件种类少，而是格式复杂、信息来源分散、流程难以标准化。而Sumsub目前覆盖220多个国家和地区、超过14000种证件类型、50多种语言。

谈到竞争对手时，李劼认为Sumsub的优势有两处，一是高度可定制、模块化的平台架构，通过API与SDK让企业按市场和业务阶段自由组合模块；二是超过10年服务全球市场沉淀下来的监管认知，平台并非只提供技术工具，而是将对不同司法辖区监管重点、欺诈演进路径和合规实践的认知，内嵌到验证与风控逻辑之中。

合规不止是“成本”也是“能力”

在很多企业眼里，合规可能只是一张门票。但李劼认为，合规不应只是进入市场时的一项成本，而应成为支撑长期经营的能力。所谓“成本”是花出去就没了，而“能力”则是规模越大越值钱。按此标准，合规能力在多个方面皆有体现。

首先合理分配人力。比如在企业验证（KYB）领域，公司注册信息、受益所有人、董事资料散在不同国家、不同语言、不同数据源里，传统做法靠大量人工收集比对。在案件管理环节，Sumsub的Summy AI Copilot则可以基于客户管理后台中已有的案件信息和风险信号，进行整合与分析，自动生成结构化的案件摘要和风险洞察，帮助合规团队更快掌握案件情况，并辅助后续调查与决策。

在跨国反洗钱及交易监测场景中，Summy AI Copilot同样可以帮助团队梳理相关用户行为和风险信号，形成更清晰的案件分析结果。

这意味着当业务规模扩大时，企业不必再以过去的节奏来增加人力和运营成本，珍贵的人力资源可以投在更关键的领域。

其次是提升转化与运营效率。通过Sumsub ID，用户可在授权后，在新的KYC流程中复用此前已通过Sumsub验证的身份信息，减少重复提交资料的负担，让开户更顺畅，并有助于提升转化率、降低成本。同时，各接入企业仍须履行各自适用的KYC及反洗钱合规义务。

第三是随时可控。在Sumsub的大中华区消费者调研中，77%的受访者倾向于在AI执行支付、处理敏感数据这类操作前，必须引入人工确认，技术自主性与人类控制之间需要建立清晰边界。

三者合一，是“合规即能力”的完整体现。当然合规能力要长期有效，还是要回到那条可以被追问的责任链。李劼表示：“持续验证、清晰的人类责任和多方协作，肯定是下一阶段数字信任体系的重要基础。”

最后

作为一家以成为“AI驱动的信任基础设施”为愿景的技术企业，自2023年正式拓展亚太市场以来，Sumsub在中国的目标很明确，通过证件核验、活体检测、企业验证、反洗钱筛查、交易监测等等一系列产品和方案，服务那些正在往海外走的中国企业。

具体可分为三个阶段，首先是帮助企业从一次性KYC转向全生命周期风险管理；其次推动工具从碎片化堆叠转向统一、可治理的风险决策体系；从长远看则是推动单纯的合规成本思维，转向合规支持的可持续增长战略。