一场所有人都是假的会议
二〇二四年一月，香港。一家跨国工程公司分公司的财务人员收到一封邮件，发件人是远在英国的集团首席财务官，说有一笔保密交易需要他分几笔汇出，强调保密。他起了疑心——这种邮件他受过培训，知道是钓鱼的常见套路。于是他做了培训教的事：要求开视频会议核实。
会议开了。屏幕上是首席财务官本人，还有几位他认得的同事，声音、神态、口头禅都对。会上首席财务官重申了指示。他放下疑心，按指示分十五笔向五个账户汇出了两亿港元，约两千五百六十万美元。一周后他向英国总部例行确认，总部说没有这回事。警方事后查明：那场会议里，除了他自己，所有人都是合成的——脸和声音都是。这是香港首例此类案件，也是金额最大的一起。
这个案子被无数培训课引用，结论多半是"要加强核验流程"。这本书从这个案子里读出的是另一件事：他做的正是核验。核验这个动作本身，就是骗子等他做的那一步。当看见脸、听见声音不再能证明任何事，陌生人之间的合作靠什么继续？
五十年的账：靠什么把假货挡在外面
经济学对"信不过怎么办"有一篇奠基之作。阿克洛夫一九七〇年在《经济学季刊》上那篇《"柠檬"市场》，用二手车讲了一件事：买家分不清好车和坏车，只肯按平均质量出价，于是好车主不肯卖，只剩坏车，市场萎缩到只剩柠檬。这是信息不对称造成的市场失灵。它常被引到这里为止。但那篇论文有第四节，标题就叫"对策制度"：担保、品牌、连锁、执照、认证。阿克洛夫的解法不是让买家学会验车，是把后果绑到某个可以追的主体身上——出了问题，有人赔，有人砸招牌，有人吊照。
五十年来，这一套运转得很好。银行的核验、平台的实名、机构的审计，都是它的日常形态。它背后有一个假设：可信度是信息或说话人自带的属性，验一验就知道。验身份、验签名、验视频，验过就可以信。
香港那场会议把这个假设撕开了。阿克洛夫的对策依附于一个前提：担保人、品牌、执照的持有者本身是真的。深度伪造攻击的恰恰是这个前提——它伪造的不是商品，是担保人。
那一层已经被占了
先看能核的数据，不止一个案子。
上面的案子有几个细节要紧：邮件可疑，他没有上当；他要求核验，对方给了核验；核验的内容是"看见和听见"；十五笔汇款没有触发任何一道系统告警；发现是在一周之后，靠的是他自己的例行确认。也就是说，整套"验真"的流程从头到尾正常运转，每一步都做对了，钱还是没了。
与此同时，另一条路线在补地基。二〇二一年二月，几家科技公司、芯片厂商、媒体机构与一家真实性验证公司发起了内容来源与真实性联盟，制定了一套开放标准：每一张照片、每一段视频在生成或拍摄时，附上一份用数字证书签名的清单，记录谁、用什么设备、什么时候、经过哪些编辑；清单与内容用哈希硬绑定，改一个像素签名就作废；即使清单被剥离，也可以通过不可见水印找回。二〇二三年十月，第一款内建这套标准的相机上市；二〇二五年五月，标准更新到二点二版；主要的生成系统厂商陆续加入。欧盟的人工智能法案要求对生成内容做透明标识，这套标准是最现成的合规工具。
这条路线是认真的，进展是真的。本书不与它争。但它解决的是这段内容从哪来、被谁改过；它不解决这件事出了错谁赔、谁认。香港那场会议里的每一帧即便都带着来源凭证，也不会有人因此认下那两亿港元。来源与认账是两层。
为什么是现在
信任不是第一次遇到伪造。假币、假印章、假证件，每一次都催生一轮新的验真技术，每一次验真都赢了，然后稳定下来。这一次为什么不一样？
第一，见面不再稀缺，也不再可信。从前"当面确认"是最贵、最可靠的核验，所以它是最后一道防线；现在合成一张脸、一个声音的成本趋近于零，最后一道防线成了最容易被攻破的一道。
第二，价值结算的地方挪了。从前一个机构的信用在"它的话验得过"这一格结算——签名、印章、审计报告。现在这一格谁都能伪造，信用只能往别处走——往"它出了错多久有人认、认了改不改"那一格走。风控还在按验真打分，客户已经在按谁出事时站出来选银行。
第三，工具从条件变成了变量。印章是条件，验章的技术几十年不变；合成工具是变量，每半年换一代，攻守两边都在换。当工具本身成了核验里最不稳定的一项，"验过了"就不再能说明什么。
把三条放在一起：不是伪造更高明了，是它把"验真"这件事整个从人手里拿走了——你验得出的，它就造得出——而风控还在为验真投入。
死的是什么，没死的是什么
死的不是信任，不是合作，是一个位置："我验过了"这个位置。
它死得有道理。合成那场会议时，骗子做的不是从某处把首席财务官"取"来，是当场造了一个：用公开视频里的脸、公开演讲里的声音、邮件里的口吻，生成一个在那一刻说那些话的人。这件事暴露了一个事实：我们从来没有"验"过一个人，我们一直是在把一堆信号——脸、声音、口头禅、邮件签名——组合成"这是他"的判断。骗子只是把这个组合做得比我们快。验真从来是构造，不是核对。
那么没死的是什么？是骗子没做、也做不了的那一件：这笔钱出了事，谁认。那场会议里没有一个人会为那两亿港元负责，因为没有一个人存在。而一个真实的首席财务官之所以可信，从来不是因为他的脸验得过，是因为他签了字之后跑不掉——他有名字、有职位、有会被追问的下一次董事会。信任从来靠的是这个，只是从前"验得过"和"跑不掉"是同一个人，所以没人分得开。
最强的反方
本书必须正面回答一个反方，它有一整套国家标准撑着。
零信任架构说：既然验真不可靠，那就不要信任任何人、任何设备、任何一次登录——永不信任，始终验证；每一次请求都重新核验，把"信任"这个概念从系统设计里彻底删掉。二〇二〇年美国国家标准与技术研究院把它写成了正式标准。在机器与机器之间，这条路已经跑通了。
这个反方对本书的一半是对的：对身份的信任确实可以被持续验证取代，而且应该。它错在另一半：能被取消的是对身份的信任，取消不了对后果的承担。系统可以每一次都重新验证登录者，被骗走的两亿港元仍然要有人认。人与人之间没有"重新验证"这个动作，只有"谁接住"。本书的赌注在这里：如果在人与机构的场景里，持续验证机制能把事后追责的需求降到接近零，本书作废。
往上走的四级台阶
本书把风险控制的工作分成四层。
第零层：验真。验身份、验签名、验视频。这一层已经被合成技术占了——不是机器帮你验得更好，是它造得比你验得快。谁把安全放在这一层，谁就在等下一场会议。
第一层：多因素核验。再加一道电话、一道短信、一道动态口令。这一层撑不了多久：每加一道，攻击面只是后移一格，香港那位财务人员加的那一道叫"视频会议"。
第二层：事前指定这笔钱出了事谁认。一笔超过阈值的汇款，在汇出之前，必须有一个具体的人以自己的名字认下"这笔款若为诈骗，由我承担"——不是走审批流程，是认账。这一层的活是粗粒度的：不再管每一道核验怎么做，管的是这一整套流程里，后果落在谁名下。系统给风险评分、给异常提示、给核验清单，但"这笔我认"由人定——不是系统能力不够，是它不在这个位置上：它不需要在事后被问"你当时怎么想的"。
第三层：把认账记录公开，绑定赔付与改正。这一层的人不再回答"这笔可不可信"，而是回答"在我们机构，什么级别的款由谁认、认了出事怎么赔、赔了改什么，这条规则由我签，出了事改规则的人是我"。这是风控能站的最高一层，也是系统绝对到不了的一层，因为它需要一个有奖金可以扣、有执照可以吊、有下一次汇款可以拒签的人。
在第二、三层上，系统是必要的：没有它把第零层穷尽，第二层不存在——正因为一切能验的都验过了，剩下的才显出来是验不出的。人也是必要的：没有人认账，风险评分就是一个分数。谁也替不了谁。本书把机构与系统在第二、三层上的搭配叫作人机协同的认账单元——在第零层系统只是工具，到第二层它是这个单元不可拆的一半。
回到那家公司。事后他们改的规则不是加一道核验，是这样一条：凡超过阈值的对外汇款，除审批之外，必须由一位签字人以个人名义在系统里写下"若此笔为诈骗，由本人承担一线责任"，且这条记录事后可查。半年后一位区域总监在一笔"总部急件"前停住了——不是因为他验出了什么，是因为他不愿以自己的名字认那笔款。他打了一个从前不会打的电话，给一个他确定是本人的人。那笔款是假的。这就是第二层：认账这个动作，事前就在改变人怎样用系统。
一把尺：出了事，多久有人认
主张说完了，得给一把尺。
本书提出的尺叫认账时距：一件事出错之后，到有一个具体的、可以被公开追问的主体认账之间，经过了多长时间。它是事件响应里"平均确认时间"的机构版，区别在于本书只计"有名字的人认下"，不计"系统已告警"。辅助的量是：公开纠错记录的存续率——机构承认过的错误，一年后还能不能在公开渠道查到。取值材料是公开的事故通报、监管处罚记录、机构自己的纠错公告，一次取值约两周。
有了尺，就能写下这本书什么时候算错。如果在一个可以取值的样本里，认账时距短的机构与长的机构，在后续受骗率与客户留存上没有差别，那么本书第三卷作废。
还有一个更硬的检验，本书没做，但把设计写出来了：一笔可疑交易的处置规程，三个组各自制定——第一组只有系统，第二组只有合规人员且不给系统，第三组是认账单元——由第三方审"这笔出了错谁认"是否在汇出之前就可查。本书的主张成立，当且仅当前两组都不如第三组。这个实验没有人做过，本书作者也没有。书里所有的尺都停在取法上，一个值也没取过。
举一个数法。两家规模相近的机构，各发生一起客户被冒充高管诈骗的事件。甲机构：事发当日风控系统告警，第三日内部通报，第十一日一位副总裁署名向客户致歉并公布改正措施，第二十日改正措施进入公开的合规报告。认账时距记十一天，认账主体记"个人"，纠错记录一年后可查，记"存续"。乙机构：事发当日告警，第五日发布不署名的声明"系统已升级"，此后无公开记录。认账时距记"未发生"，主体记"机构"，纠错记录记"不存续"。本书要问的是：把一批机构排开，认账时距与后续受骗率、客户留存是不是一起动。这个问题此前没有人这样问过，因为此前"认账"从来没有被当成一件与"验真"分开计数的事。
这把尺会怎样被做假
认账时距一旦成了排名，机构会做什么，不难预见：设一个"专职认账岗"，什么事都由这个人在二十四小时内出面认下，时距降到一天，改正一件不做。本书事先写了升级条款：认账必须绑定赔付记录或公开的改正记录，空认不计；若认账时距短的机构受骗率不低于长的，这把尺已被驯化，尺子那一节须重写。
一本主张"信任靠认账不靠验真"的书，若自己立的尺被人用一个专职认账岗验过去了，它就在自己身上犯了它要批评的错。
本书不做什么
本书不讲一个组织内部能力与责任怎样失去可观测性，不讲判断力怎样停止被生产——本社此前各有专书。本书不讲裁判：本丛书另有一本《司法》，管裁判席；本书管跨机构、对陌生人的公共信任。本书也不讲团队内部的交接，那是《组织》的题目。本书与《历史》共用"可追问"这个词，两本书各在第一卷写死自己的定义，互不借用。本书更不讲合成技术本身，它只需要一个已核的案件与一套已核的标准。
各卷概览
第一卷 列一张表：签名、印章、证件、视频、当面确认——风险控制里历代被当作"验得过"的东西，逐条写明它是被谁、在什么时候、用什么方式当场造出来过一次。
第二卷 是实证：香港那场会议的每一个细节，内容凭证标准四年的进展，柠檬市场那篇论文的第四节，零信任标准的适用边界；分新闻、交易、身份三类场景。
第三卷 写四级台阶与认账单元：认账这个动作怎样事前改变人对系统的用法。
第四卷 写制度：新闻、平台、金融机构的信任重建不靠验真技术，靠认账结构——每条发布物有署名的认账人、有公开的纠错记录、有异议入口；验真交给系统，认账留给人。
第五卷 写尺与判据：认账时距的取法、三组对照的设计、作废条件。
第六卷 写这本书自己的死法。
给读者的话
三种人，是这本书的读者。第一种是那位财务人员，他需要知道他没有做错任何一步——错的是"验过就可以信"这个假设，它不是他的。第二种是风控与合规的负责人，他们手里握着"投入放在哪一层"的开关，第四卷为他们而写。第三种是正在做验真技术的人，他们需要知道自己的产品在第零层是必需的，在第一层是有用的，而在第二、三层什么也不是——那两层没有技术，只有名字。
作者对本书的态度写在第五卷：它可能是错的，错的条件已经写明。若有一天有人拿着一批机构的事故通报告诉我，认账时距与受骗率无关，那一天本书便可以退场了——它被一次可追问的事故推翻了，而那正是它主张信任该有的样子。