面對不斷進化的無人零售 我們的個人信息安全嗎？

每經編輯 王星平    

無人便利貨架資料圖 CFP圖

每經記者 王星平 每經編輯 文 多

“刷臉”安全嗎？2017年央視“3·15晚會”曝出的人臉識別安全隱患，給市場預留了一個大大的問號和感嘆號。

也正是2017年，“無人零售”的異軍突起，讓“刷臉”消費成為新的風向標。不僅如此，在各種無人化消費場景中，消費者所有的消費軌跡都開始被人工智能等科技一一記錄，零售產業鏈的全面數據化已經成為無人零售背后的戰略核心。那么，對消費者而言，無人零售信息安全有保障嗎？

時值又一年“3·15”臨近，《每日經濟新聞》記者特別針對“無人零售”這個零售創新升級探索新風口的信息安全，進行了全面深入的調查采訪。

消費者信息被“全”記錄

早上，你“刷臉”進入一家便利店，店中沒有售賣員，和往常一樣，你挑選了自己最喜歡的面包和咖啡，不需要人工結賬，靠“刷臉”就可以自動結算，即拿即走……如今，這樣的生活已經隨著無人零售的到來變成現實，并逐漸成為人們日常生活的一部分。

“無人零售”這一概念自2016年提出，就掀起了創業熱潮。2017年在資本助推下，作為未來零售的一個重要突圍方向，“無人零售”更加成為市場的“寵兒”。據業界不完全統計，截至去年底，我國已有約138家無人零售企業，其中57家獲得融資，總融資額超48億元。除了無人便利店，無人超市、無人貨架等一系列無人消費場景都相繼涌現。

作為“無人零售”中最重要的場景之一，無人便利店是智能化程度最高的場景——但也正是因其高度的智能化，可以實現對消費者信息的全記錄。

以最早推出無人便利店，廣為人知的Amazon Go為例，消費者從“刷臉”進入店內的那一刻開始，身份、消費記錄、支付記錄等信息即被記錄，甚至在店中或貨架前停留的時間和次數，每次拿起/放回的商品類型、個數等行為軌跡，也會被一一記錄。

無人便利店的“刷臉”安全嗎？

無人零售對消費者信息采集的全面程度已經空前，但《每日經濟新聞》記者注意到，公眾對其中信息安全的關注仍然不夠。在記者的隨機采訪中，消費者對無人零售信息安全所知的，也基本僅限于2017年央視“3·15晚會”所提到的人臉識別安全隱患。

那么，無人便利店的“刷臉”安全嗎？

回顧那場晚會現場，主持人利用兩部手機、一張正面照、一個換臉APP，幾分鐘內便完成了用戶人臉的“復制”。接下來，主持人憑借這個“復刻版”的用戶面部，輕松完成了一名觀眾的人臉識別系統檢測，并成功登陸了該觀眾的賬戶。

2017年央視“3·15晚會”截圖

據人臉識別資深專家、中科院博士李子青公開表示，當時晚會人臉識別復制演示用的是face2face技術，通過人臉關鍵點定位和變形算法，實現對圖片或視頻中人物表情和動作的操縱控制，從而達到“盜臉”的目的。

如此順利的“盜臉登錄”確實不免讓公眾對人臉識別等身份驗證存在顧慮。無人便利店的刷臉和上述刷臉有何不同？又如何避免這種安全隱患的發生？

據《每日經濟新聞》記者了解，國內對標亞馬遜Amazon Go的無人便利店簡24，便是通過“攝像頭+感應器”設備進行人臉識別。簡24創始人兼CEO林捷接受《每日經濟新聞》記者采訪表示，人臉識別在無人便利店中的使用一般只是在出入店門的身份驗證，并且通常只是正臉的采集。相比手機對人臉各個角度的采集數據更簡單。

也就是說，無人店的人臉識別數據只能用于無人店身份識別，放到其他場景，一般會需要更多維度的臉部數據。甚至在林捷看來，“不會構成什么風險”。

同時，有業內人士進一步解釋，盡管人臉比對的精確度可以達到較高水平，但在實際應用過程中，很多企業考慮到成本等因素，使用的人臉識別系統算法相對比較簡單，雖然破解起來并不困難，但也正是為了保證安全性，往往不會單一的被嵌入到消費場景中。所以無人便利店的刷臉也并非想象中“危險”。

除了“刷臉”還有更多新問題

在業內人士眼中，當前無人便利店“刷臉”安全隱患并不如此前央視“3·15晚會”曝光的那么危險。但是，未來無人零售所呈現的智能化應用，遠非一項人臉識別身份驗證，因此無人便利店采集消費者數據的方式與時間點也并非單一，信息安全仍不容忽視。

無人便利店資料圖 據CFP

有無人便利店從業人士就對《每日經濟新聞》記者指出，目前市場上部分無人值守貨柜的智能鎖安全模塊加密程度不高，可能只需要在這種智能鎖上安裝一個硬件，就可以盜取用戶信息，是值得注意的。

同時，北京億達(上海)律師事務所律師董毅智提到，當消費者進入無人店鋪消費，消費者的軌跡信息商家是否就可以使用？如果使用，是否需要提前告知？用在哪些領域、邊界何在？這些問題在之前的法律條款中也并沒有涉及，都是新生的問題。

“無人便利店需要在消費者進入店內或者使用移動APP時，對消費者有非常明顯的獲取消費者相關數據的提示，至少是要在消費者首次進入到這一場景時要有非常明顯的風險提示，不然就不屬于明示同意。”談及風險，董毅智對《每日經濟新聞》記者進一步表示，他認為這實際上在“合同法”里也是有明確的，因為這屬于一種典型的合同條款。

無人技術規范標準正在路上

在記者采訪的多數業內人士看來，智能化與信息安全風險沒有必然的關系。在無人零售領域，要想真正保護用戶信息，最重要的是要有監管協議來規范技術標準。

而可喜的是，當前包括宏觀層面、行業在內，都開始關注和制定一些標準來規范無人零售中運營商、消費者的安全問題。

2017年10月24日，中國百貨商業協會無人店分會公布了《中國無人店業務經營指導規范（意見征詢稿）》，要求無人店經營者應在提交報備的同時提供安全性審核材料。

董毅智同時告訴記者，2018年1月24日，全國信息安全標準化技術委員會制定和歸口管理的國家標準《信息安全技術 個人信息安全規范》(GB/T35273-2017)（下簡稱《規范》）已經正式發布。在個人信息收集方面，《規范》明確，不得隱瞞產品或服務所具有的收集個人信息的功能等；對于個人敏感信息的收集，《規范》指出，應取得個人信息主體的明示同意，應確保個人信息主體的明示同意是其在完全知情的基礎上自愿給出的、具體的、清晰明確的愿望表示。

《信息安全技術 個人信息安全規范》文件截圖

該《規范》將于2018年5月1日實施。這被認為也同樣適用于無人零售的信息采集。

“法律界對于信息安全的重視在逐步提升，但由于無人零售相對還比較新，加上法律相對于商業具有天然的滯后性，所以這塊目前法律界還只是先以一些小型化的規范來嘗試。”董智毅說。如何平衡好由科技所帶來的方便與安全之間的關系，對未來無人零售的長遠發展和消費者權益保護都顯得越來越為重要。