北京
佐治亞理工網絡安全與隱私學院的助理教授Michael A. Specter點開Yoti，順著一次年齡驗證請求開始跟蹤數據包的走向。屏幕上，面部照片、設備指紋和識別碼并沒有安靜地停留在Yoti聲稱的閉環里，而是飛向一串他完全沒有預料到的外部地址。他猛然意識到，這些本應“看一眼就消失”的敏感信息，正在被分發給第三方甚至第四方公司。
這個發現被寫進論文，由佐治亞理工學院和加州大學歐文分校的研究人員共同完成，并在舊金山IEEE安全與隱私研討會上正式發表。它揭開了一個令人不安的現實：那些以保護未成年人之名迅速鋪開的在線年齡驗證系統，正制造出一套嚴重的隱私風險。
一紙法令催生的“數字酒保”
過去幾年，美國已有25個州通過了數字年齡驗證法律，覆蓋超過40%的人口，要求社交媒體和成人內容網站驗證用戶年齡。支撐這些法律的邏輯很直觀：就像酒吧里的酒保快速查看身份證，核對出生日期就放行，且不留記錄，在線服務也應該能完全私密地做到同樣的事。
正是這套“數字酒保”的比喻說服了立法者。提供年齡驗證服務的公司反復強調，他們只關心“你是否成年”，不需要知道你是誰，也不會保存個人信息。Yoti是其中的典型代表，其客戶包括Meta、OnlyFans、索尼PlayStation和TikTok，總計覆蓋約60%需要年齡驗證的網站。
當多數網站根本不查年齡
研究團隊對受法律管轄的網站進行大規模掃描，卻首先發現一個讓整個前提崩裂的現象：絕大多數網站根本沒有切實執行年齡驗證。很多站點只是在入口彈出一個例行公事的提示，詢問是否成年，或者要求輸入一個生日，任何未成年人點一次“是”或填一個虛假年份就能輕松通過。
而當一些網站選擇合規，引入Yoti這類專業工具時，情況反而更復雜了。用戶面對的已不再是一個簡單的“是或否”判斷，而是一整套需要交出個人數據的驗證程序。而這套程序，正是Specter在實驗室里全程追蹤的那個。
一次驗證，你的信息去了哪里
Yoti提供的一種常見方式是要求用戶上傳自拍照和身份證件照，用面部識別進行比對并估算年齡。公司宣稱整個過程完全私密：信息只用于即時驗證，不會留存和外傳。但Specter的團隊觀測到，驗證完成后，用戶的面部照片和設備指紋并沒有被封存，而是被打包發給了信用卡公司、IP地理位置服務商以及數據經紀人等一連串第三方和第四方實體。
這讓Specter說出了那個關鍵的比喻：“在法律辯論中，有人把這些服務比作酒保檢查身份證。然而，現實中真正發生的事情是，酒保在復印顧客的駕照，并且把復印件寄給了他們的食品供應商。”這個比喻直接點出核心問題：立法所依賴的隱私承諾已經落空，用戶的敏感數據正在毫不知情的狀態下被悄悄流轉和分享。
特別聲明：以上內容(如有圖片或視頻亦包括在內)為自媒體平臺“網易號”用戶上傳并發布，本平臺僅提供信息存儲服務。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.
