做刷脸类项目的人，迟早会在某次演示里被一张A4纸打脸。我印象很深的一次是在内部代号为模拟项目X的远程实名认证系统上，人脸识别模型在公开测试集上评分很漂亮，可有人拿着一张打印出来的证件照在镜头前晃了两下，就直接通过了。问题根本不在识别模型，而在系统没有判断“镜头前是不是一个真实活人”。
这就要靠活体检测。而“静默活体检测”是其中体验最好、难点也最集中的一类方案：不需要用户眨眼、摇头、张嘴，用户只需要正常看着摄像头，系统根据一帧或最多一两秒画面，自动判断眼前是真脸、照片、屏幕还是面具。本文把我自己在这个方向上的完整实践讲透，包括算法原理、数据工程、PyTorch代码实现、评测指标、上线踩坑和部署量化，适合正在做人脸识别/实名认证/门禁安防的工程师参考，也适合想入门反欺诈方向的算法新人通读一遍。
1. 为什么防了密码还不够：呈现攻击到底长什么样
1.1 三类最常见的攻击方式
活体检测防的不是黑客在后台篡改数据，而是“呈现攻击”，也就是攻击者把目标的照片、视频或者面具直接呈现在摄像头前。按我实际见过的攻击样本，基本可以分成三类：
| 攻击方式 | 攻击者怎么做 | 最容易露馅的点 |
|---|---|---|
| 打印照片攻击 | 用A4纸或相纸打印目标照片，直接举在镜头前 | 整张脸是平面，没有真实脸部的三维起伏；印刷网点在高频纹理上留下痕迹 |
| 屏幕翻拍攻击 | 用手机、平板、显示器播放目标照片或视频，再把屏幕对准摄像头 | 屏幕像素栅格、摩尔纹、屏幕自身的镜面反光，翻拍视频还缺少真实皮肤脉动 |
| 3D面具攻击 | 戴硅胶面具、乳胶面具或3D打印脸部模型 | 成本高，制作周期长，更多出现在高价值系统里；但单帧下确实很难纯靠纹理识别 |
除了这三种，还有一种被经常混淆的情况是深度伪造，也就是在数字层面替换人脸。那是人脸伪造检测的范畴，和活体检测处理的“物理呈现攻击”不是一回事。我在项目里一般会把这两道防线分开：活体检测管镜头前端，伪造检测管图像源头。
1.2 静默检测和动作检测的分水岭
早期很多系统用的是动作活体：系统随机要求用户“眨眨眼”“向左转头”“张嘴”，然后通过关键点轨迹判断是不是真人。这种方案实现简单、抗照片攻击能力强，但用户体验一言难尽。我做灰度测试时观察过，用户平均要在“眨眼、张嘴、转头”上折腾三四轮，部分年长用户直接卡在“把头往左转”这个指令上，注册流失率肉眼可见地上升。
更麻烦的是，动作活体不是绝对安全的。攻击者只要提前录一段目标做各种动作的视频，在屏幕上重放，配合系统随机指令对口型或切换片段，就能把一部分动作校验骗过去。随机挑战序列可以增强安全性，但也没法根治。
静默活体检测把“让用户配合”这件事完全去掉。它在用户进行人脸识别的同时，在后台默默完成判断，体验上用户几乎感知不到。这也是现在主流App都倾向把活体检测做成“静默”或“半静默”的原因。代价也很明确：没有任何用户配合信号，模型必须从单帧图像本身挖掘出“真实活人”和“呈现介质”的区别，这就要回到最核心的问题——真脸与攻击图像在成像上到底差在哪。
2. 静默活体检测的核心信号：模型凭什么区分真假脸
2.1 纹理与频域：打印照片和屏幕的残留指纹
真实皮肤有成色、半透明、次表面散射，而一张打印照片的表面是油墨和纸基。打印机的墨点是周期性排列的，扫描或翻拍下来会在图像的高频分量里留下规则纹理；相纸还有反光，在侧光下会看到亮斑和纸纹。屏幕翻拍更明显：屏幕自身是像素矩阵，摄像头传感器网格和屏幕像素网格叠加，会产生摩尔纹，画面的刷新率还可能在亮度通道引入低频波纹。
这些“残留指纹”在空间域里看是纹理，在频域里看则是特定频段上的能量峰。我在早期版本里尝试过直接把灰度图的傅里叶频谱取幅度，做对数变换归一化后，和人脸RGB图一起作为双分支输入。实验结果证实，在打印照片和普通手机屏幕翻拍这两类攻击上，引入频域分支确实能把误接受率压下去，因为真实人脸皮肤在频域上是平滑衰减的，而打印网点/屏幕栅格一定会带周期性尖峰。
不过要提醒一句：现代高端显示器分辨率越来越高，屏幕栅格带来的摩尔纹正在变弱，纯频域分支在超高清屏幕上会明显退化。这也是为什么我把频域只当作辅助信号，而不是主力。
2.2 深度图回归：让模型学会“人脸是立体的”
目前单帧静默活体检测里最稳的主力信号，是“让模型回归人脸区域的深度图”。核心逻辑很朴素：真实人脸是立体的，鼻梁高、眼窝凹、脸颊有弧度；而打印照片、屏幕影像的成像表面都是平面的。深度图可以理解为一张和输入同分辨率的浮点图，像素值表示该点离摄像头的相对远近，真实脸会得到一张有高低起伏的“人脸碗形曲面”，攻击介质大概率得到一张接近常数的平面。
关键问题来了：单张RGB图里并没有现成的深度，深度标签从哪来？实践中不需要毫米级精度，只需要一个“空间相对形状”的软标签。我用的方案是用人脸关键点估计脸的中心、宽度和大致方向，然后生成一个椭圆抛物面作为真实样本的深度伪标签，攻击样本的深度标签全部给0。模型在学习时，相当于被强迫去理解“图像中的阴影、高光、轮廓变化对应怎样的一张立体曲面”，而不仅仅是记住“哪张图像假”。
这个设计有个很实际的收益：弯曲的打印照片攻击，深度图会呈现拱形或柱面状，仍然不是人脸抛物面，模型依然能拒绝。如果只做二分类，模型很容易通过背景或颜色捷径糊弄过去，深度监督相当于给模型加了一把空间几何的约束卡尺。
2.3 皮肤微弱脉搏：多帧方案里的rPPG补充
单帧能做的事有上限。随着面具工艺提升，纹理和单帧深度逐渐不够用，我开始在部分高安全场景引入远程光电容积描记法，简称rPPG。它的原理是：心脏每搏动一次，面部皮肤下的毛细血管血量会周期性变化，导致皮肤反射率发生极微小波动。这个波动幅值很小，但在2到5秒的视频里，把脸部皮肤区域的RGB均值做成时间序列，去掉基线漂移后做带通滤波，再找0.75到4Hz这个心率区间内的周期峰值，就能把真实皮肤和平面翻拍区分开。
打印照片和静止屏幕图像没有血液脉动，频谱上基本是平坦的；视频翻拍虽然有动态，但没有这种生理节律，且屏幕本身的光强波动通常被带通滤波滤掉。rPPG最大的限制是必须多帧，等待时间至少两秒，和“纯单帧静默”是冲突的。所以我的结论是：能用一秒以内单帧的产品，老老实实做“纹理+深度”融合；能容忍两三秒延迟的高安全场景，再加入rPPG做二次裁决，能把硅胶面具攻击的漏网率再降一个量级。
3. 数据工程：攻击样本的采集、清洗与增强禁区
3.1 攻防样本怎么凑：打印机、屏幕和面具
算法原理讲得再漂亮，数据一塌糊涂模型也白搭。静默活体检测的数据工程里，真实人脸样本相对好解决，难的是攻击样本的覆盖面。我整理了一份最少覆盖清单，每一条都会影响线上表现：
- 打印攻击：至少两种打印机（喷墨和激光）、两种纸张（光面相纸和哑光纸）、照片缩放比例三种以上、拍摄距离和角度各五个档位；有条件的话加入物理弯曲和边缘卷起的照片。
- 屏幕攻击：至少三部不同品牌手机、一部平板、一台显示器；分辨率和亮度各调若干档；照片翻拍和视频翻拍都要有，视频里再分“目标原视频”和“目标在通话场景里的截图视频”。
- 面具攻击：真实感面具价格高，至少准备一到两个不同肤色的面具；如果预算有限，宁可先不加入面具样本，也不要硬凑劣质面具，那反而会教坏模型。
- 背景干扰：真脸样本和攻击样本都要在对应业务环境下拍，白墙办公室、室外逆光、室内暖光灯等场景分开建目录，方便后面做分层评估。
采集完必须清洗。漏检、错检、过曝、严重模糊的样本直接删掉；同一个物理场景连续拍出来的大量近似图，先做相似度去重。漏检很常见，很多攻击者会把照片举在镜头斜前方，人脸检测器可能抓不到，这种失败属于“检测到就赢一半”的范畴，但也说明检测器需要兼容攻击姿态。
3.2 预处理管线：检测框不稳会毁掉整个模型
活体检测的输入是人脸区域，所以前面必须有一个人脸检测和对齐环节。我这里用开源轻量级人脸检测器（内部代号：轻量检测器D）输出关键点，然后按关键点做相似变换对齐到112x112。有两个细节是项目里反复验证过的：
第一，裁剪框必须保留一定外扩边距。我一开始习惯按检测框紧贴面部裁剪，结果模型很容易学到“检测框边缘正好切到背景里的某个色块”这种伪特征。后来统一改成以两眼连线中点为中心，外扩1.3倍边长，让背景参与裁剪但占比稳定，模型注意力才回到脸本身。
第二，推理时的对齐参数必须和训练时完全一致。如果训练时用两眼和鼻尖三点做仿射变换，推理时也必须是同样三点；甚至同一张脸，检测器在视频不同帧输出的关键点会有两三像素抖动，改小对齐误差的方法是直接对关键点序列做时间平滑，而不是每帧独立对齐。
3.3 哪些数据增强不能用：一次翻车事故的复盘
数据增强这一节，我必须先讲一个翻车案例。当时为了提升鲁棒性，我给训练管线加了比较强的随机色相抖动（色调随机偏移±0.1），模型在验证集上表现稳定，上线后却被同型号手机在暖黄灯光下拍的照片疯狂误杀。复盘时发现，色相增强把皮肤的真实颜色分布搅乱了，模型为了强行适应这些“假颜色”，只能把判断依据迁移到纯亮度纹理上，而真实用户场景中暖光灯造成的颜色偏移虽然明显，模型却不敢认了。
之后我定了一套增强纪律：
- 可用：水平翻转、小角度旋转、轻微透视、亮度/对比度小幅扰动、随机JPEG压缩质量（0.7到0.95）、随机高斯噪声。
- 慎用：色调和饱和度扰动，只允许极小幅度；一旦发现验证集ACER抖动的区间变大，立刻回退。
- 禁用：强高斯模糊（会破坏印刷网点/摩尔纹细节，等于帮攻击者隐藏指纹）、全局Mixup（把真脸和攻击图混合会生成既不像真也不像假的中间体，深度监督直接失效）。
另外，对抗性挖掘必须进入数据迭代闭环。第一版模型训练完，专门跑一遍全部攻击验证集，把被模型误判为活体的攻击图挑出来，加入训练集重训。这个“打一枪补一枪”的过程，比单纯堆数据量效率高得多，我几乎每轮迭代都会用。
4. 建模与代码实战：一个可运行的静默活体检测Demo
4.1 网络结构选型：为什么是“小模型+双头输出”
模型结构我推荐从轻量主干网络出发，而不是一上来就搬一个视觉Transformer。原因有三个：活体检测的可判别信息是局部纹理和粗粒度空间形状，不需要全局语义建模；攻击样本数量通常不大，大模型在有限数据下过拟合得更快；产品侧对延迟有硬要求，一个百兆级模型很难塞进端侧或高并发服务里。
结构上我用了“单主干、双头”的经典做法：主干输出特征图后，一个头做深度图回归，输出112x112的单通道深度图；另一个头做全局二分类，判断真脸/攻击。这样做的好处是深度监督帮主干学到了几何感知能力，分类头相对更稳；推理时如果只要分数，可以只跑分类头，深度图留作风控特征。下面给的是基于轻量主干版本，换了主干网络就能直接迁移到自己的工程里。
4.2 数据管线代码：生成深度标签与加载样本
深度伪标签不需要精确到毫米，下面这份代码用一个椭圆抛物面近似真实人脸的空间形状，鼻尖位置再做一个局部隆起，让标签更接近真实脸型。对于攻击样本，深度标签直接全置为0。
# depth_label.py import numpy as np def make_depth_label(landmarks, image_size=(112, 112)): """根据人脸关键点生成深度伪标签。 landmarks: 包含 left_eye, right_eye, nose_tip 的坐标 返回: float32 的二维数组，值域 [0, 1] """ h, w = image_size (lx, ly), (rx, ry), (nx, ny) = ( landmarks["left_eye"], landmarks["right_eye"], landmarks["nose_tip"] ) # 以两眼中心为脸中心，用瞳距估计脸部尺寸 face_cx = (lx + rx) / 2.0 face_cy = (ly + ry) / 2.0 face_w = max(abs(rx - lx), 1e-3) * 1.7 face_h = face_w * 1.2 x = (np.arange(w) - face_cx) / face_w y = (np.arange(h) - face_cy) / face_h mesh_x, mesh_y = np.meshgrid(x, y) # 椭圆抛物面：中心最近，向四周平滑衰减到0 depth = 1.0 - mesh_x ** 2 - mesh_y ** 2 depth[depth < 0] = 0.0 depth = depth / (depth.max() + 1e-6) # 鼻尖附近加局部隆起，增强真实脸的空间起伏感 nose_x = (nx - face_cx) / face_w nose_y = (ny - face_cy) / face_h nose_mask = ((mesh_x - nose_x) ** 2 + (mesh_y - nose_y) ** 2) < 0.04 depth[nose_mask] = np.maximum(depth[nose_mask], 0.92) return depth.astype(np.float32)样本加载部分，我的Dataset类里会返回四个东西：对齐后的112x112人脸图、深度标签、二分类标签（1为真脸）、样本来源ID。来源ID用来在训练时做分组采样，避免同一个物理攻击样本的近似帧同时进了训练和验证而虚高成绩。
4.3 模型定义与训练代码：深度回归+二分类
下面这份模型定义把轻量主干网络的分类层去掉，只保留特征提取部分，再接深度回归头和分类头。输入是112x112的三通道图，深度输出是112x112单通道，分类输出是2维logits。
# liveness_model.py import torch import torch.nn as nn import torchvision class SilentLivenessNet(nn.Module): def __init__(self, pretrained=True): super().__init__() backbone = torchvision.models.mobilenet_v3_small(pretrained=pretrained) self.features = backbone.features # 输出特征图 [B, 576, 7, 7] self.depth_head = nn.Sequential( nn.Conv2d(576, 128, 1), nn.BatchNorm2d(128), nn.ReLU(inplace=True), nn.ConvTranspose2d(128, 64, 4, stride=2, padding=1), # 14x14 nn.ReLU(inplace=True), nn.ConvTranspose2d(64, 32, 4, stride=2, padding=1), # 28x28 nn.ReLU(inplace=True), nn.Conv2d(32, 1, 3, padding=1), # 单通道深度 ) self.cls_head = nn.Sequential( nn.AdaptiveAvgPool2d(1), nn.Flatten(), nn.Linear(576, 128), nn.ReLU(inplace=True), nn.Linear(128, 2), ) self.upsample = nn.Upsample(size=(112, 112), mode="bilinear", align_corners=False) def forward(self, x): feat = self.features(x) depth = self.upsample(self.depth_head(feat)) logits = self.cls_head(feat) return depth, logits训练时损失函数由两项组成。深度损失用L1，直接惩罚真脸预测深度和椭圆抛物面的差异，也惩罚攻击样本预测深度和0平面的差异；分类损失用标准交叉熵。我试过给深度损失加权重到2.0，深度图会更“立体”，但分类指标并没有显著变好，最终定在1.0，分类头权重0.5。
# train_step.py import torch import torch.nn.functional as F def train_one_batch(model, face, depth_gt, label, opt): opt.zero_grad() depth_pred, logits = model(face) depth_loss = F.l1_loss(depth_pred.squeeze(1), depth_gt[:, 0], reduction="mean") cls_loss = F.cross_entropy(logits, label) loss = depth_loss * 1.0 + cls_loss * 0.5 loss.backward() opt.step() return loss.item(), depth_loss.item(), cls_loss.item()训练配置上也说几句：批量大小64，输入分辨率112x112，优化器用AdamW，初始学习率1e-3，配合余弦退火；主干预训练参数微调，深度头和分类头随机初始化。单张显卡训练到验证集不再下降，大概需要8到10个小时。
4.4 评测指标与阈值选择：APCER/BPCER/ACER怎么算
活体检测的评测不能只看准确率，因为真脸和攻击样本的误分代价完全不对等。行业通行的呈现攻击检测评估规范里定义了两组核心指标：APCER是攻击样本被误判为活体的比例，衡量安全漏网；BPCER是真脸被误判为攻击的比例，衡量用户伤害；ACER是两者的平均。工程上选阈值时，一般先定一个业务可接受的BPCER上限，再去最小化APCER。
# metrics.py import numpy as np def compute_pad_metrics(scores, labels, threshold=0.5): """labels: 1为真脸, 0为攻击；scores越大越像真脸""" pred_live = scores >= threshold attack_total = max((labels == 0).sum(), 1) live_total = max((labels == 1).sum(), 1) apcer = 1.0 - ((pred_live & (labels == 0)).sum() / attack_total) bpcer = 1.0 - ((~pred_live & (labels == 1)).sum() / live_total) acer = (apcer + bpcer) / 2.0 return apcer, bpcer, acer def select_threshold(scores, labels, target_bpcer=0.005): best_thr, best_apcer = 0.5, 1.0 for thr in np.arange(0.05, 0.96, 0.01): apcer, bpcer, _ = compute_pad_metrics(scores, labels, thr) if bpcer <= target_bpcer and apcer < best_apcer: best_apcer, best_thr = apcer, thr return best_thr注意一定要按“人物身份”切分验证集，同一个人的真脸和攻击图不能同时出现在训练和验证里，否则模型记住的是人，而不是活体特征，指标会虚高到失真。我在项目里用重采样修正线评估，ACER通常能稳定到0.5%以内才算合格。
5. 从实验到上线：跨设备翻车与三种真实踩坑
5.1 训练集表现和线上表现的差距来自哪里
实验室里ACER做到0.3%，一上线就被用户手机疯狂攻击，这种落差几乎每个做活体检测的人都遇到过。究其根源，训练集和线上数据的分布差异主要来自三处：摄像头传感器不同（不同CMOS的噪声模式、白平衡倾向完全不同）、图像处理链路不同（各家手机的锐化、降噪、HDR策略差异很大）、压缩标准不同（多轮转发后JPEG质量损失）。我做过一次专门的跨设备实验：同一批攻击图，用手机A拍摄训练，用手机B拍摄测试，ACER从0.3%直接飙到12%以上，这个数字相当触目惊心。
应对办法没有捷径，只能扩大设备覆盖。一是采集阶段就要安排不同品牌手机分头拍摄；二是训练阶段加上随机JPEG压缩、随机超分再降采样这类模拟传输损失的增强；三是对模型在每个设备子集上单独统计指标，而不是混在一起看整体数字，否则就会被高基数设备把低基数设备的失效掩盖掉。
5.2 三个坑：色彩失真、背景泄漏、误杀正常用户
第一个坑是色彩白平衡依赖。第一版模型在户外自然光下很稳，到了室内暖光灯场景误杀率暴增。排查后定位到白平衡：暖光下皮肤明显偏橘，模型因为训练集里大量冷光样本，把“偏冷的皮肤色”当成活体特征。修复方法是给训练数据加随机白平衡偏移模拟，并在输入端做一次颜色归一化，让模型对绝对色温不敏感，只关注色温内的相对差异。
第二个坑是背景泄漏。有段时间模型对坐在固定工位前的用户误判率特别低，但换个纯白背景环境就崩盘。原因是我早期裁剪框外扩过大，模型学会了“出现工位隔断=活体”这种荒唐捷径。解决手段是统一裁剪外扩比例，并对背景区域做随机高斯模糊和随机替换干扰，强迫模型只能依赖人脸区域内的信号。
第三个坑是误杀正常用户，尤其是有反光镜片的人。镜片会产生强烈的高光，高频纹理完全被打乱，深度头也被镜片反光欺骗。这个问题的解法不在模型端，而在产品流程层：当活体分数落在模糊区时，自动提示用户摘掉眼镜或调整角度，而不是直接判死。活体检测的最终目标不是把分数做到二值完美，而是把能处理的情况处理好，处理不了的交给用户交互兜底。
5.3 验证模型稳定性的三个小工具
吃了这么多亏，我后来给项目配了三件套，每次模型改版必须过一遍。
第一件是失败样本画廊。把所有线上误判样本按“真脸误杀”“攻击漏网”分类截图存档，每周人工过一遍，很多模型问题一眼就能看出来，比如某个批次全是对焦模糊的远距离用户。
第二件是分数分布直方图。把真脸和攻击样本的模型分数分别画直方图，两张分布的重叠区越大，说明模型在这个数据段上越摇摆。我会直接看重叠区是否越变越厚，一旦变厚就停下改模型，而不是盲目调阈值去掩盖问题。
第三件是固定回归集。把历史上所有踩过的坑聚合成一套几千张的回归测试集，模型改版后先跑回归集，任何指标劣化都会被拦在上线前。这个回归集要持续纳入线上新发现的失败样本，否则它很快会和训练集一起过时。
6. 部署落地与后续演进：模型只是流程里的一个环节
6.1 导出与量化：ONNX + int8的精度衰减控制
训练阶段的模型要上线，第一步是导出成通用推理格式。下面这段是我常用的导出脚本，输出深度和分类两个分支，并把batch维度设为动态。
# export_onnx.py import torch model = SilentLivenessNet(pretrained=False) model.load_state_dict(torch.load("liveness.pt", map_location="cpu")) model.eval() dummy = torch.randn(1, 3, 112, 112) torch.onnx.export( model, dummy, "liveness.onnx", input_names=["face"], output_names=["depth", "logits"], dynamic_axes={"face": {0: "batch"}, "depth": {0: "batch"}, "logits": {0: "batch"}}, opset_version=11, )导出后用onnxruntime跑一遍输出比对，浮点最大误差在1e-5量级。接着做int8量化时有个容易被忽略的点：校准集必须同时包含真脸和攻击样本，而且攻击样本要占相当比例。我之前只用真脸做校准，结果量化后攻击样本的分数偏移远大于真脸，APCER直接劣化到接近不可用。量化完一定要重新在回归集上算一遍APCER/BPCER/ACER，而不是只对比总体准确率。int8后模型参数从几MB降到约四分之一，推理速度在CPU上能提升两到三倍，代价通常是BPCER小幅上升，这个代价在大多数场景下可以接受。
6.2 级联流程：活体、人脸识别和风控怎么配合
上线后我搭的完整链路是：人脸检测与对齐 → 静默活体检测 → 人脸识别 → 风控策略引擎。活体检测分数不达标，直接拦住，人连识别都不用跑，节省算力；活体过了，识别分数再决定是不是本人。
活体分数不能只当一个硬阈值用。深度图本身还有额外的风控价值：我计算深度图的标准差、中央隆起占比、最大梯度位置三个特征，把它们和分类分数一起打包给风控引擎。真脸深度图有清晰的中央高四周低的结构，标准差落在一个合理区间；攻击图哪怕骗过了分类头，深度图也是平的，标准差要么过低，要么因为亮斑产生异常的高频梯度。多层信号交叉验证，单点被伪造的概率会低很多。
日志也要完整保留分数、设备和拍摄时间。我后来做风险回溯时，靠的就是这些日志：某个渠道攻击量突增，反查分数分布立刻能发现攻击者换了一种新的屏幕翻拍设备，数据收集又有了新来源。
6.3 短期迭代方向：多帧融合与硬件深度相机
做完第一版单帧静默活体后，我觉得后续值得投入的迭代方向有三个。
多帧融合是投入产出比最高的。取用户自然注视镜头的一秒视频，抽三帧分别做深度回归，把三张深度图求中位数后判断，能显著降低单帧检测器性能波动。再把rPPG接进来，就形成我之前说的“静默为主、生理信号为辅”的混合方案。
硬件深度相机（ToF或结构光）是另一个方向。RGB方案再怎么学习，本质是在猜深度；真正的深度相机直接给出距离场，打印照片和屏幕翻拍的深度几乎为常数，一票否决，安全性是质的提升。代价是成本和适配范围，适合门禁、柜员机这种受控设备，不适合通用的用户自带手机摄像头。
还有一个方向是持续的红队测试。上线不是终点，而是对抗的开始。每季度让测试人员尝试新的攻击手段，比如不同材质纸张、不同高刷新率屏幕、分体面具，把新攻击样本迭代进训练集。这个动作听起来不那么“算法”，但在防攻击领域，它比调参更重要。
最后分享一个我一直保留的工作习惯：在线上系统里建一个“存疑样本回收桶”。凡是活体分数落在阈值附近、被人工复核过的样本，每周自动拉出来重新标注入库。这个闭环看起来慢，但三个月后回看，它贡献的难样本数量比任何公开数据集都多，也是模型能抗住现实世界各种奇奇怪怪光线的根本原因。静默活体检测不会有一个“彻底做完”的时刻，能持续吸收新攻击、稳定迭代的流程，才是这个项目最值钱的部分。
