你发的 3 秒语音，够骗子克隆一个你
电话接通，女儿在那头哭。
不是啜泣，是那种出了大事的哭法，节奏是碎的。她说自己开车时看手机，撞了一个孕妇，手机被警察收走了。接着一个男人接过电话，自称是女儿的律师，说保释金要一万五千美元，现金。他还特意叮嘱，取钱时别告诉银行用途，会影响女儿的信用记录。
佛罗里达州的退休老人 Sharon Brightwell 在一个小时内取了钱，交给一个自称法院派来的取件员。之后她才联系上真正的女儿。女儿一上午都在上班，没出过任何事故。电话里那段哭声，是 AI 从一段公开音频里合成出来的。
这是 FOX 13 在 2025 年夏天报道的案子，当时看是条社会新闻。一年后再看，它成了某种标准作业流程。FBI 的互联网犯罪投诉中心今年 4 月发布 2025 年度报告，26 年来第一次把「AI 相关欺诈」单独列成一个类别。2.2 万多起投诉，调整后损失超过 8.93 亿美元，其中 3.52 亿落在 60 岁以上的受害者头上。
统计口径的改动，往往比数字本身更能说明问题。犯罪统计是很保守的东西，一个执法机构不会为了赶时髦去动一张用了 26 年的分类表。动了，等于承认这玩意已经从科幻情节变成了日常犯罪工具。而且 FBI 自己都说这是低估，因为大多数被克隆语音骗过的人，到最后都不知道有机器参与，他们只记得自己跟「女儿」通了电话。
很多朋友的第一反应可能是，克隆一个人的声音，怎么也得要几分钟高质量录音吧。
不用，3 秒就够。
我平时的工作是给大模型搭脚手架，就是让模型真正能干活的那层工程，所以对这类模型的脾气多少有点手感。3 秒够用，不是因为模型在你的录音里剪剪贴贴，而是它压根不需要你的「录音」。现代语音克隆分两步，先用一小段音频把你的音色压成一个几百维的向量，你可以理解成声纹指纹，存的是你声带的质感、共鸣的位置、说话时习惯性的起伏。然后拿这个指纹去驱动一个已经在几十万小时人类语音上练过的通用模型。说什么内容，是通用模型的事，用谁的嗓子说，是指纹的事。你那 3 秒钟，只负责提供指纹。
哭腔也一样。模型在训练数据里听过足够多的人哭，它知道人哭的时候声音会怎么抖。把你的指纹套上去，就是「你」在哭。
3 秒是什么概念，一条微信语音，一段短视频的画外音，视频号里给孩子唱生日歌的片段。素材根本不用偷，是我们每天自愿发到公开互联网上的。
那工具的门槛呢。Consumer Reports 去年评测了六家语音克隆产品，Descript、ElevenLabs、Lovo、PlayHT、Resemble AI、Speechify。六家里有四家，验证你是否有权克隆这个声音的方式，是让你勾一个复选框。不是哥们，一个能冒充任何人的能力，防线是一个「我保证我有授权」的勾选框。好家伙，还有四家，开户只要一个邮箱。
ElevenLabs 会告诉你它有一整套安全方案，禁止冒充的使用政策、能识别自家生成音频的分类器、生成内容可以溯源到账号。这些不是摆设，比不少同行强。但你仔细看会发现，它们几乎全是事后机制，出了事帮调查人员追责用的。真正能挡住克隆发生的那一步，验证被克隆的人本人同意了，全行业只有少数几家部分实现。原因不复杂，验证是摩擦，摩擦掉转化率，而它保护的还不是自家用户，是被冒充的路人。指望市场自愿给自己装这种刹车，两年过去了，没装。
好，那检测呢。AI 生成的东西，总能被 AI 检测出来吧。
今年 6 月《纽约时报》发了篇人物报道，主角是 UC Berkeley 的 Hany Farid，深度伪造取证这个领域公认的全球第一人，二十多年来政府、执法部门、人权组织都排队找他做鉴定。报道里他说了一句让我看完在工位上坐了一会儿的话，我觉得自己正在失明。他已经开始通不过自己设计的测试了。
地球上最会分辨真假声音的人，现在跟抛硬币差不多。
这事在工程上其实是注定的。检测器是个分类器，得拿真样本和假样本去训练，而假样本永远来自昨天的生成模型。生成那边每出一代，检测这边就要重新收数据、重新训练、重新部署，天然慢一拍，追的还是一个按月进化的对手。
更麻烦的是，电话这个场景把所有数字防线都掐了。给 AI 音频打水印的方案不少，Google 有 SynthID，Meta 有 AudioSeal，行业还立了 C2PA 这种内容溯源标准，思路是给真实录音发一张防篡改的出生证明。但骗子是打电话过来的。合成音频对着电话线一播，声音变成空气振动再被重新采样，水印就没了，出生证明更无从谈起。业内管这个叫模拟缺口，任何数字签名都过不了空气和麦克风这一关。
电话网络那头也不是没人管。美国有个叫 STIR/SHAKEN 的主叫认证框架，给每通电话加密签名，防号码伪造。FCC 去年底的评估说它正确应用时有效，但这个但书很大，骗子早就发现绕道老式非 IP 网络就能整体躲开。更根本的是，它验证的是号码，不是人，更不是声音。FCC 在 2024 年就宣布 AI 语音的机器人电话违法，可那条法规管的是群呼，管不着一对一打给你妈的那通「紧急电话」。
所以 FBI 和美国银行家协会翻来覆去宣传的个人防御方案，是一个土到掉渣的东西，家庭暗号。全家约定一个只有自己人知道的词，任何打电话来要钱的「家人」，先对暗号，对不上就挂断，回拨那个你存了很多年的号码。
坦率讲，我第一次看到这个建议时觉得有点好笑，全球最前沿的攻击，防御方案是抗战片里的对口令。后来越想越觉得，这恰恰是对的。暗号的安全性不依赖你的耳朵，不依赖任何检测模型，它是一个共享密钥，只存在于你们家的饭桌上，不在任何公开互联网上，模型再强也训练不到它。做系统的人都懂这个道理，当信道本身不可信时，唯一靠得住的是带外验证，就是换一条攻击者碰不到的通道去核实。挂断，回拨，就是最朴素的带外验证。
但我也得把话说全，暗号不是万能的。语音安全公司 Pindrop 的 Amit Gupta 有句话说得很准，攻击的目标从来不是完美复刻声音，是制造足够的情绪不确定性和紧迫感，让你在核实之前就行动。暗号有效的前提，是你在一个专门设计来摧毁冷静的时刻，还能想起来用它。
费城有个律师叫 Gary Schildhorn，本人被克隆语音的骗局盯上过。事后他说，我到死都会发誓那就是我孩子的声音。一个受过职业训练、靠质疑证词吃饭的辩护律师，和一个惊慌的祖母，被同一种东西击穿。漏洞不在老人身上，也不在轻信的人身上，在人类听觉系统本身。几百万年的演化让我们把熟悉的声音直接当成熟悉的人，这条认知捷径省了无数脑力，也从来没出过错，直到现在，它第一次被系统性地利用了。
顺着这个也把一个流行的误解放一放，老人被盯上，不是因为糊涂。他们储蓄多，骗一次的回报高。他们成长于电话里的声音就是真人的年代，信任式沟通刻在习惯里。再叠上家庭紧急事件这个情感结构，保护孩子的本能会压倒一切慢速的怀疑机制。FTC 去年 12 月给国会的报告里有个数字，60 岁以上人群报告的欺诈损失从 2020 到 2024 年翻了大约四倍，到 24 亿美元，其中 68% 来自单笔十万美元以上的损失。这不是零花钱被骗走的量级，是一代人的积蓄在被抽干。
而对面，早就不是散兵游勇了。国际刑警组织今年 3 月的全球金融欺诈威胁评估估计，2025 年全球金融欺诈损失约 4420 亿美元，差不多是丹麦一年的经济总量。报告里造了个词，欺诈工业化。AI 增强型欺诈的利润是传统欺诈的 4.5 倍，而且 agentic 系统，就是能自主规划、连续执行多步任务的那类 AI，已经可以独立跑完整条诈骗链，踩点、拨号、周旋、要钱，全程无人干预。安全公司 Adaptive Security 的 CEO 把这种不对称讲透了，一个人一个键盘，就能造出无限个进攻者。
真正让我觉得有点希望的，反而是英国的一个监管实验。2024 年 10 月起，英国的支付系统监管机构强制要求，用户被骗后授权转出的损失，收付两端的银行五五分担，五个工作日内赔付，上限 8.5 万英镑。政策生效后的 15 个月里，89% 的被骗资金拿了回来，此前这个数字是 65%。
这个政策妙的地方不在赔钱，在搬激励。损失一旦记在银行的账上，银行就突然有了动力去做那些用户没法给自己做的事，可疑转账先扣住、老年客户大额取现加个冷静期、支行打个人工电话问一句，您为什么突然要把积蓄取给一个快递员。Brightwell 太太没法在惊慌中给自己加一道摩擦，但银行可以加在她的账户上。被迫拥有问题的机构，最终会针对问题做工程。做基础设施的同行看到这句大概会心一笑，跟 oncall 制度一个原理，谁半夜被叫醒，谁就会把告警修好。
所以这篇看完，能带走什么。
检测靠不住了，连 Farid 都承认失明，就别指望自己的耳朵。结构性的防御，克隆工具的同意验证、电话网络的主叫认证、银行的强制赔付，都在路上，但立法和改造系统是以年计的，克隆技术按月进化。中间这段窗口期，只能自己补。
今晚就能做的一件事，跟家里约一个暗号。选一个骗子翻遍你全家社交账号也猜不到的词，告诉爸妈，任何电话里哭着要钱的声音，先对暗号，对不上就挂，回拨存了很多年的那个号码。顺手也检查一下自己发在公开平台上的语音内容，倒不是让你删光，是心里得有个数，你的声纹指纹，大概率早就在外面了。
Brightwell 太太后来在调查人员和银行的帮助下拿回了一部分钱，多数受害者没这个运气。这种犯罪最狠的设计在于，证据本身听起来就是你爱的人，受害者羞于开口，证人自己沉默。技术的问题会被技术解决，制度的问题会被制度解决，但在那之前，先给你家的信任加一把锁，钥匙只留在饭桌上。