1.4k 景观
Pinterest LinkedIn LINE

什么是英国网络安全法？

英国《网络安全法》于2023年10月26日获得御准正式颁布成为法律，并将于2025年3月17日全面生效（具体实施日期将根据具体条款确定）。该法案要求在线服务提供商评估和管理非法或危害儿童内容的风险。英国通信监管机构 Ofcom 已开始执行该法规。该法规适用于各种规模的企业，包括社交网站和搜索服务，Ofcom 负责监管这些企业，并对违规行为处以罚款。在特别强调保护儿童和加强年龄验证的同时，言论自由和小企业负担的问题也被提出。

其中一些附加条款于7月25日生效，其中包括强制年龄验证等一些核心条款。

7月25日生效的《若干核心规定》对未成年人保护规定了补充义务和规定，主要内容如下：

  • 平台运营商现在必须保护 18 岁以下的用户免受非法或有害内容的侵害。。
  • 新的犯罪行为包括分享人工智能生成的“深度伪造色情内容”和“网络闪现”。
  • 年龄验证要求得到加强，要求平台实施复杂的年龄验证方法，以防止未成年人接触成人内容。。
  • 现在要求公司从设计阶段就采取保护未成年人权利和安全的做法，例如默认将未成年人的账户和个人信息设为私密，添加防止网络欺凌和不当接触的功能，实施人工智能聊天机器人的安全措施，并消除令人上瘾的设计元素。。

该规定要求平台逐步加强其系统和运营，以“保护未成年人免受有害或非法内容的侵害”。然而，对于规模较小的企业，也有一些例外和豁免。表1对这些情况进行了总结。

案例不受 OSA 法规约束（特殊例外）补充
用于内部业务目的（内联网等）○用户处于“封闭”环境中，例如在公司内部
功能有限（仅限评论和评论部分）○仅发布和评分，无其他互动功能
公共/公益服务、小博客、志愿工作○在二级立法或操作排除的情况下
新闻出版商和广播公司○媒体条款下的明确排除
规模虽小但高风险的有害内容网站×政府和 Ofcom 根据具体情况做出判断
（表 1）OSA 法规的例外和豁免

Ofcom 批准的年龄验证方法

自 2025 年 7 月起，Ofcom 允许采用以下“强大且高效”的年龄验证方法：。

  1. 通过面部识别估计年龄（AI根据自拍照估计年龄）
  2. 照片身份验证（上传并验证驾照和护照等官方文件的图像）
  3. 数字身份服务（使用已在 Yoti 等数字身份钱包中注册的信息）
  4. 开放银行账户的银行身份验证（通过银行的安全登录系统提供年龄信息）
  5. 移动线路合同信息（使用电话号码和运营商合同信息验证年龄）
  6. 验证您的信用卡信息（您必须年满 18 岁才能使用此卡）
  7. 分析与电子邮件账户相关的使用历史记录（利用特定服务的基于年龄的使用历史记录）

Ofcom 通常不允许“自我声明（仅复选框）”或无法提供足够身份验证的方法（例如仅输入出生日期）。此外，由于每种方法的隐私保护和信息泄露风险不同，企业需要根据风险评估来选择技术。

尽管存在多种可能性，但自7月25日该法生效以来，各种漏洞已经开始被利用。

漏洞一：VPN

正如法国颁布类似法律时一样，VPN 注册量猛增，在法律颁布后的几分钟内就增长了 1400%（而法国为 1000%）。

昨晚《网络安全法》生效仅几分钟后，来自英国的 Proton VPN 注册量激增了 1,400% 以上。

与以往的激增不同，这次激增是持续的，并且比法国无法访问成人内容时的激增要高得多。 pic.twitter.com/W9R5FQBWKa

英国的OSA政策导致VPN使用量激增。
— Proton VPN （@ProtonVPN） 2025 年 7 月 25 日

Ofcom 禁止平台和网站运营商发布“宣传、广告或鼓励未成年人使用 VPN”的内容，以规避《网络安全法》要求的年龄验证程序，但它无法禁止 VPN 本身，因此看来这是在迫使他们采取强硬手段。

漏洞二：利用面部图像进行年龄推断存在缺陷

如上所述，Ofcom也批准了AI面部年龄估计。具体机制如下：

  1. 人脸检测和特征提取
    • 系统首先从摄像头或图像中自动检测人脸。
    • 识别眼睛、鼻子、嘴巴和轮廓等面部特征，并提取年龄特征模式，例如面部表情、皱纹、皮肤纹理和轮廓变化。。
  2. 基于人工智能的年龄估计
    • 机器学习模型（主要是深度学习、CNN等）都是用数百万到数千万张人脸图像和真实年龄数据进行预训练的。。
    • 将输入的人脸图像的特征值与训练模型过去见过的海量人脸模式进行比较，统计计算出“与这张脸具有相似特征模式的人的平均年龄是多少？”。
    • 很多情况下，年龄并不是以绝对值来估算，而是以“○岁到○岁”为一个范围，而且退出时面部图像本身就会被立即删除，从而确保隐私。。
  3. 处理流程（示例）
    1. 上传人脸图像/从摄像头获取视频
    2. 人脸检测→特征点提取→输入年龄估计模型
    3. 输出最接近的年龄组和平均估计年龄
    4. 返回结果并删除图片

其优点包括：

  • 无需个人信息，注重隐私
    • 由于无需输入姓名、出生日期、身份证号码等，仅凭“人脸图像”即可暂时推断年龄，因此信息泄露的风险大大降低。。
  • 高度准确且快速的判断
    • 人工智能的估计通常比人类的目视检查或工作人员的判断更准确，并且不容易出现错误识别或主观偏见。。
    • 只需几秒即可确定结果，并可在大型服务、无人收银机和自动售票机上立即使用。
  • 包容性（方便每个人使用）
    • 即使没有护照或驾照等实体身份证件，也能使用该系统。该系统对年轻人和老年人非常友好，因为他们越来越需要验证自己的年龄。。
  • 反欺骗措施和安全
    • 活体检查（使用真实照片而不是静止图像进行身份验证）解决了使用照片和视频“冒充”的风险。。
  • 提高业务效率并预防故障
    • 它不依赖于店员的判断，准确、快速，大大提高了工作效率，也减少了身份伪造等麻烦（与顾客的纠纷）。。
  • 抵御证书借贷攻击
    • 借用老年人证件将更难通过年龄验证。

在 ISO/IEC 27566-1 年龄保证系统第 1 部分：框架中，这对应于称为年龄估计的部分。

它在 Discord、Reddit、BlueSky 和 Xbox 等在线服务以及英国零售商店和连锁餐厅的自助结账系统中的应用日益广泛，但一些实现在缺乏演示攻击防御的情况下遭到入侵，引发了轩然大波。具体而言，据报道，利用索尼互动娱乐 (Sony Interactive Entertainment) 发行的动作游戏《死亡搁浅》(Desuto) 中的照片模式即可入侵 Discord。1。

《死亡搁浅》的照片模式是一个多功能系统，允许玩家在游戏中拍摄风景和角色。按下触控板左侧即可激活该模式，玩家可以暂停游戏并自由更改相机位置和角度，微调各种设置，以及微调主角萨姆的姿势、表情和目光。使用此功能，玩家似乎可以通过执行“向右看”等命令来绕过Discord的年龄估算。该系统似乎未能满足ISO/IEC 30107《生物识别演示攻击检测》或ISO/IEC 19989《生物识别系统安全评估标准和方法》的要求，或者这些标准存在漏洞。我们将密切关注未来的发展。

脚注

  1. 佐见。2025年08月03日。利用游戏画面自拍来验证18岁以上网站的年龄，从而利用安全漏洞。Gizmode。 https://www.gizmodo.jp/2025/08/k-id.html （于 2025-08-06 获取）