本文重新审视了人脸识别系统（FRS）中的 MasterFace 冒充攻击。在现实的对抗能力约束下（例如仅有限的基于决策结果的认证尝试次数、且攻击者不了解系统内部结构），大多数已知攻击技术难以实施，因此零努力冒充者（即仅依赖误匹配率 FMR 的随机冒充）通常被当作独立的安全基线。此前研究曾提出 MasterFace 攻击能在上述约束下突破 FMR 基线，但后续多项研究认为在现代 FRS 中此类攻击难以超过标准 FMR。然而，本文发现，攻击者只需合法访问公开的商业 API，即可通过 MasterFace 显著放大下游应用的冒充成功率，形成超越 FMR 基线且不可忽视的威胁。作者观察到多个真实世界的 FRS 部署基于商业 API 实现，且后端服务商可被公开确认或轻易推断；攻击者无需获得超出目标 FRS 本身的特殊权限，只需按需付费购买这些 API 服务即可发起攻击。基于这一观察，作者将 MasterFace 攻击形式化为生物特征表示空间上的最大覆盖问题，并将其命名为 NET；通过利用表示空间的几何结构，攻击者可构建针对特定 API 定制的 NET。实验表明，在最多 30 次认证尝试内，该攻击能将多个开源及商业 API 类 FRS 的冒充率相对于标准 FMR 预期值放大至多 9.5 倍。该研究揭示了商业 API 复用带来的新型安全风险，对依赖第三方人脸识别服务的系统设计与评估具有重要参考价值。