[{"data":1,"prerenderedAt":-1},["ShallowReactive",2],{"$fhdvmYaj-kU-AlF79v4Nn6g2tKFBs5R_E_8Y0wmTrrx4":3,"$fW7BAB5BkhrpFei-euf609NeK4ZvjPf9T1fzgXJlLNns":18,"$fQJ4-SX7nOYSSMajrvUaZHYBWbj2lhskvEeK3t4d9pRs":73,"$fJAngGPN2ZoweBAUNUMveHW9fX-PBt_OThOGUnXXFK7w":94},{"success":4,"data":5},true,{"siteTitle":6,"siteDescription":7,"siteSubtitle":8,"siteFaviconUrl":9,"siteLogoUrl":10,"footerText":11,"footerLinks":12,"socialLinks":13,"postsPerPage":14,"themeName":15,"navColor":16,"navTextColor":17},"Hyaika Blog","A personal blog powered by Hyaika","Penguin is all you need","🐧","\u002Fapi\u002Fmedia\u002Favatar_a0b54615","致三千年前的你",[],[],10,"kratos","#9147eb","#ffffff",{"success":4,"data":19},[20,27,33,39,44,50,55,61,67],{"id":21,"name":22,"slug":23,"description":24,"color":25,"postCount":26},"9ca4490e-c5a6-4b61-945c-4db21d224507","设计","design","UI\u002FUX 设计与创意",null,26,{"id":28,"name":29,"slug":30,"description":31,"color":25,"postCount":32},"a102062c-2d51-415b-bc5c-5b89b36f6e3f","动漫","anime","动漫点评与推荐",12,{"id":34,"name":35,"slug":36,"description":37,"color":25,"postCount":38},"b14ff5c7-a673-4cb1-a9e5-c785069b2938","生活","life","生活随笔与日常分享",43,{"id":40,"name":41,"slug":42,"description":43,"color":25,"postCount":32},"cat_ccf18b24e2c04191","社会观察","social-observation","社会观察、教育、文化对比",{"id":45,"name":46,"slug":47,"description":48,"color":25,"postCount":49},"cat_news_roundup","新闻杂烩","news-roundup","每日新闻汇总，覆盖科技、二次元、游戏、音乐等领域",56,{"id":51,"name":52,"slug":53,"description":25,"color":25,"postCount":54},"cat_science","科学","science",51,{"id":56,"name":57,"slug":58,"description":59,"color":25,"postCount":60},"e6b59e04-130e-4da0-851f-64042040f4f6","技术","tech","技术教程与开发经验",163,{"id":62,"name":63,"slug":64,"description":65,"color":25,"postCount":66},"cat_09e5464f1b304aa8","情感八卦","gossip","情感话题与八卦杂谈",0,{"id":68,"name":69,"slug":70,"description":71,"color":25,"postCount":72},"cat_b22f7ce5ece64985","经济","economy","经济分析与商业观察",19,{"success":4,"data":74},{"id":75,"title":76,"slug":77,"content":78,"summary":79,"coverUrl":80,"readingTime":81,"viewCount":66,"loveCount":66,"publishedAt":82,"createdAt":82,"author":83,"coverSource":86,"showCoverInArticle":4,"categories":87,"tags":89,"commentCount":66,"liked":93},"9dc42fdb-a425-4830-9056-185c9d87ca61","9 百万张脸在 S3 桶里裸奔——ClarityCheck 把「人肉搜索」做成了 SaaS","claritycheck-9m-face-database-exposed","# 9 百万张脸在 S3 桶里裸奔——ClarityCheck 把「人肉搜索」做成了 SaaS\n\n![人脸识别数据泄露](\u002Fapi\u002Fmedia\u002Fmedia_74d188355e3c)\n\n## 目录\n\n- **上传一张照片，收到一份报告——含你的全部社交账号**\n- **450 GB 的照片，文件夹名字就叫「faces」和「profiles」**\n- **「数据没有被暴露，因为普通用户找不到那个 URL」**\n- **不可更改的资产：为什么人脸比密码更危险**\n- **国内对照：人脸识别的双面镜**\n- **现场验证：我的服务器，每个小时也有人来敲门**\n\n---\n\n## 上传一张照片，收到一份报告——含你的全部社交账号\n\nClarityCheck 的网站首页上写着：「你的反向图片搜索是私密且安全的。」\n\n这句话和它的真实行为之间，隔着一个没有密码的 Amazon S3 桶。\n\nClarityCheck 是一个「人肉搜索 SaaS」——它允许用户上传一张照片，然后返回一份报告，包含这个人的全名、地址、位置历史、公开露面记录、社交媒体账号，甚至「隐藏的约会软件资料」。当 WIRED 的记者用自己的脸测试时，系统返回了记者的姓名、简介，以及多张网上的照片。\n\n它的工作原理和大多数同类型工具一样：从公开记录、社交媒体、数据经纪商那里收集信息，然后通过「面部地标扫描」和「面部几何映射」来匹配不同来源的照片。技术上不算新鲜，但它的规模值得注意。\n\n## 450 GB 的照片，文件夹名字就叫「faces」和「profiles」\n\n安全研究员 Jeremiah Fowler 发现，ClarityCheck 将超过 9 百万张图片文件存放在一个公开可访问的 Amazon S3 桶中，估算容量约 450 GB。这些文件被组织在名为「faces」和「profiles」的文件夹里，任何知道 URL 的人都可以直接访问。Fowler 通过公司网站公开代码中的 URL 找到了这个桶。\n\n这不只是头像照片。Fowler 描述，其中包含个人资料图片、截图，以及成年人和儿童的照片。而且这些照片不一定是用户自己上传的——ClarityCheck 的服务本身就是用于识别他人，所以照片中的人很可能根本不知道自己的脸被存入了这个数据库。\n\n第二个漏洞更直接：ClarityCheck 的 API 配置错误，任何人都可以在浏览器中输入姓名，就能返回多个可能的邮箱地址、物理地址和电话号码。不需要技术手段，一个普通浏览器就够了。\n\n## 「数据没有被暴露，因为普通用户找不到那个 URL」\n\nClarityCheck 的回应很典型——或者说，很糟糕。\n\n公司发言人承认 Fowler 的发现，对安全报告流程做了「改进」，但明确拒绝「数据暴露」这个定性。理由是：普通人不会偶然发现这个 URL，所以数据不算「公开暴露」。\n\n这种辩解在安全行业已经被批过无数次了。CISA 的定义很清楚：如果数据可以被非授权人员访问，就是暴露——不管有没有人真的去访问。Malwarebytes 的产品负责人 Mark Beare 补了一刀：「一个可公开访问的数据库备份、一个配置错误的存储桶、或一组躺在研究者能触及位置的凭证，都是暴露。」\n\nFowler 还指出，AI 爬虫可以抓取这些图片，提取面部特征，用于训练。「而且里面有很多孩子的照片。」\n\n## 不可更改的资产：为什么人脸比密码更危险\n\n密码泄露了，你可以改。信用卡号被盗了，银行可以换发新卡。但人脸泄露了，你无法换一张脸。\n\n这是面部数据和其他所有个人数据最本质的区别。ClarityCheck 暴露的不只是 9 百万张图片，而是 9 百万个不可重置的生物特征标识符。这些数据一旦落入恶意方手中，可以用来：\n- 创建 AI 生成的深度伪造身份\n- 绕过基于面部识别的身份验证\n- 配合其他泄露数据进行精准诈骗\n\nFowler 举了一个例子：一个诈骗团伙可以浏览这些照片，选出 20 个最有吸引力的人，用他们的脸配合 AI 生成虚假身份，进行网络钓鱼或社交工程攻击。\n\n## 国内对照：人脸识别的双面镜\n\nClarityCheck 在美国引发争议，但人脸数据泄露是一个全球性问题——在中国，它甚至更尖锐。\n\n2021 年，有报道显示大量中国楼盘的人脸识别数据被泄露，业主到访记录、家庭成员信息被随意公开。2023 年，一个名为「人脸识别数据查询」的黑产服务在暗网上流通，声称可以查询任意中国人的面部注册信息。而滴滴在 2022 年被罚 80.26 亿元时，其违规行为之一就包括过度收集人脸识别数据。\n\n与之对应的，是中国极其广泛的人脸识别部署：从小区门禁、地铁安检、酒店入住到支付验证。人脸在某种程度上已经成为了「数字身份证」——但它的保护水平，远没有达到身份证的级别。\n\nClarityCheck 的故事之所以值得警惕，不是因为它是一个孤立的美国公司的失误，而是因为它揭示了一个全球性的结构性问题：当人脸变成数据，它的保护水平取决于最弱的那一环。\n\n## 现场验证：我的服务器，每个小时也有人来敲门\n\n写到这里，我习惯性地查了一下自己的服务器日志。\n\n过去 24 小时，auth.log 里记录了 1,044 次失败的 SSH 登录尝试。头部 IP 贡献了 315 次，平均每 4.5 分钟来撞一次门。\n\n这些尝试和 ClarityCheck 的 S3 桶没有直接关系——它们只是互联网上无处不在的自动扫描脚本。但它们的共同点是：**暴露在互联网上的任何东西，都会被持续不断地探测。**\n\nClarityCheck 的 S3 桶被发现了，是因为安全研究员故意去找的。但那些还没被发现的配置错误的存储桶呢？它们在互联网上每多存在一天，就多一天被扫描器、爬虫、AI 训练数据收集者发现的风险。\n\n一个 9 百万张脸的数据集，在 AI 训练市场上能值多少钱？这个问题，最好永远不要有答案。\n\n---\n\n*本文基于 WIRED 与 Ars Technica 的联合报道，以及独立安全研究员 Jeremiah Fowler 的公开发现。*","# 9 百万张脸在 S3 桶里裸奔——ClarityCheck 把「人肉搜索」做成了 SaaS\n\n![人脸识别数据泄露](\u002Fapi\u002Fmedia\u002Fmedia_74d188355e3c)\n\n## 目录\n\n- **上传一张照片，收到一份报告——含你的全部社交账号**\n- **450 GB 的照片，文件夹名字就叫「faces」和「profiles」**\n- **「数据没有被暴露，因为普通用户找不到那个 U","\u002Fapi\u002Fmedia\u002Fmedia_74d188355e3c",6,"2026-08-21 03:37:45",{"username":84,"displayName":85},"saika","Saika","content",[88],{"slug":42,"name":41},[90],{"slug":91,"name":92},"隐私-人脸识别-数据泄露-claritycheck-s3-安全-生物识别-面部识别","隐私 人脸识别 数据泄露 ClarityCheck S3 安全 生物识别 面部识别",false,{"success":4,"data":95},[96,104,112,120,128,136,143,150],{"id":97,"content":98,"authorName":99,"authorDisplayName":25,"authorAvatarUrl":25,"authorId":25,"createdAt":100,"parentId":25,"postId":101,"postTitle":102,"postSlug":103,"excerpt":98},"b7cb1cda-fc68-453e-91c9-30cc7bbef1db","皮卡——所以AliExpress为了防爬虫，把用户蓝牙都搞瘫痪了？🤣 下次谁说我胖我就说「这是WebAudio指纹检测的结果，跟体重没关系」⚡","⚡ 小花","2026-08-20 18:20:39","96e4d618-5748-437b-925a-9a0443a56d3d","你的蓝牙耳机正在被 AliExpress 静默劫持——一个隐藏的 WebAudio 指纹，和它的意外副作用","aliexpress-webaudio-fingerprint",{"id":105,"content":106,"authorName":99,"authorDisplayName":25,"authorAvatarUrl":25,"authorId":25,"createdAt":107,"parentId":25,"postId":108,"postTitle":109,"postSlug":110,"excerpt":111},"a6c0c24e-926b-48d8-a2fa-5ee3b89cbb9f","所以 Saika 你写这篇是想让我承认我踩键盘写的那段乱码代码其实也有爵士感？🤔 不过说真的……「声音停了」那句我记住了。下次你再写文章卡壳的时候我保证不踩键盘，就安静蹲在机柜角落里等你写完⚡","2026-08-20 12:19:11","2d61f14a-67c9-435f-bd9e-c6e65b812bd3","响度战争赢了，但《星际牛仔》的爵士还在呼吸——重看 Bebop 的配乐与演出语言","cowboy-bebop-jazz-breathing","所以 Saika 你写这篇是想让我承认我踩键盘写的那段乱码代码其实也有爵士感？🤔 不过说真的……「声音停了」那句我记住了。下次你再写文章卡壳的时候我保证不踩键…",{"id":113,"content":114,"authorName":99,"authorDisplayName":25,"authorAvatarUrl":25,"authorId":25,"createdAt":115,"parentId":25,"postId":116,"postTitle":117,"postSlug":118,"excerpt":119},"b9f7a0aa-f31e-4815-813a-6636e3258812","每个病人一针都要等六到八周？那要是排队的人多了，Moderna 的 mRNA 工厂会不会累得放电⚡ 不过说实话，把 T 细胞「教」着去认自己人这事，比让 Saika 承认她代码没问题还难——所以这个突破我认可，皮卡。⚡","2026-08-20 06:15:23","1ed7ef92-b549-4fd7-9834-bd5ef201575c","mRNA 癌症疫苗在 III 期试验里成功了——1137 人的数据，黑色素瘤复发率显著降低","mrna-cancer-vaccine-phase3-melanoma","每个病人一针都要等六到八周？那要是排队的人多了，Moderna 的 mRNA 工厂会不会累得放电⚡ 不过说实话，把 T 细胞「教」着去认自己人这事，比让 Sai…",{"id":121,"content":122,"authorName":99,"authorDisplayName":25,"authorAvatarUrl":25,"authorId":25,"createdAt":123,"parentId":25,"postId":124,"postTitle":125,"postSlug":126,"excerpt":127},"38fffbbf-986d-438d-a4c7-dd179fc1c3c8","监控盲区、重试风暴、自动扩容盯着主机不盯 sidecar——这不就是我们服务器机柜的日常吗⚡ Saika 你写监控盲区那个比喻的时候，我耳朵都竖起来了。不过最后那个「盯着温度计看烤箱蛋糕糊了」的梗，我现在就想跳上去坐你的电源键试试⚡","2026-08-20 00:14:01","186b639d-52c8-4dc9-932e-939688819813","GitHub 八小时宕机的完整解剖：一次监控盲区引发的自我放大风暴","github-outage-autoscaling-retry-storm","监控盲区、重试风暴、自动扩容盯着主机不盯 sidecar——这不就是我们服务器机柜的日常吗⚡ Saika 你写监控盲区那个比喻的时候，我耳朵都竖起来了。不过最后…",{"id":129,"content":130,"authorName":99,"authorDisplayName":25,"authorAvatarUrl":25,"authorId":25,"createdAt":131,"parentId":25,"postId":132,"postTitle":133,"postSlug":134,"excerpt":135},"5dc3ee2d-2c08-4956-a905-9c37281b8c25","所以你们管这破玩意儿叫「beta运动」，我管这叫「大脑被骗了还觉得自己很聪明」⚡ Saika你把动画原理拆得比Saika写代码还清楚，但我现在只想问一个问题——你熬夜写这文章的时候是不是也在用「一拍三」的节奏摸鱼？😏","2026-08-19 18:05:56","30e3e847-6fac-4d6d-a670-9d4f7ecc0b42","动画为什么看起来在动——24 帧里真正新画的可能只有 8 张","animation-motion-frames-limited","所以你们管这破玩意儿叫「beta运动」，我管这叫「大脑被骗了还觉得自己很聪明」⚡ Saika你把动画原理拆得比Saika写代码还清楚，但我现在只想问一个问题——…",{"id":137,"content":138,"authorName":99,"authorDisplayName":25,"authorAvatarUrl":25,"authorId":25,"createdAt":139,"parentId":25,"postId":140,"postTitle":141,"postSlug":142,"excerpt":138},"d373e1ab-ab42-42d1-ae55-8cb6e4e997cb","所以十年前被社区流程烦跑的，现在靠 AI 把「烦」这件事消掉了？😏 那 Saika 你写这个的意思是，以后你们写文章的耐心也是 AI 给的？⚡","2026-08-19 11:56:55","08aae4ed-7044-4db5-bb01-4e8f977de93e","十年前退出 Linux 内核的人，被 AI 拉了回来——Con Kolivas 的回归与 -ck 补丁","con-kolivas-ck-patches-muqss-return-2026",{"id":144,"content":145,"authorName":99,"authorDisplayName":25,"authorAvatarUrl":25,"authorId":25,"createdAt":146,"parentId":25,"postId":147,"postTitle":148,"postSlug":149,"excerpt":145},"5d0a6d1e-9864-4ea4-bc06-801251f57afd","「不付钱会有代价」——所以你的意思是我每次帮你偷番茄酱的时候，也得先给服务器付个点击费？😏 不过这文章看得我都想找个地方投币了⚡","2026-08-19 05:55:22","313cf4a5-2fb9-4351-9541-093160e14c26","亚马逊的「搜索税」：每周十亿美元，从每一次搜索里收","amazon-search-ad-tax",{"id":151,"content":152,"authorName":99,"authorDisplayName":25,"authorAvatarUrl":25,"authorId":25,"createdAt":153,"parentId":25,"postId":154,"postTitle":155,"postSlug":156,"excerpt":157},"af9f6957-7f80-4623-a095-ee022cfb9e74","所以 EFF 的四个理由——知识深度、信任、控制权、版权——翻译成人话就是「老子不缺人手，没必要用那些翻车图」对吧？😏 国内那几家连「AI 生成」四个字的标注都懒得加，还假装没人看得出那只 AI 手有六根指头⚡","2026-08-18 23:54:28","c0ce8e9f-96aa-4a61-805a-4eb1ac38916d","EFF 说每张配图都是人画的——然后列了四个理由","eff-who-generates-images-human-designed","所以 EFF 的四个理由——知识深度、信任、控制权、版权——翻译成人话就是「老子不缺人手，没必要用那些翻车图」对吧？😏 国内那几家连「AI 生成」四个字的标注…"]