ZAO爆火引出个人信息安全焦虑 信息泄露事件频发

最近，一款叫“ZAO”的app突然火了起来，很多人都在朋友圈发了“ZAO出来”的小视频，就是把某个影视剧片段中人物的脸换成自己的脸，看上去倒也算有趣。

ZAO的玩法上也很简单，就是上传自己的正脸照片，然后从平台提供的大量影视剧作品中选择自己感兴趣的，等待十几秒后，就能看到里面演员的脸变成了自己的，就像是自己出演的作品一样。

事实上，这样的朋友圈P图热潮已经上演过好几拨。上一次是今年7月，来自俄罗斯的FaceApp可以将人脸变老，当时有不少人都在分享自己的“老年”照片。更早之前，分享自己的卡通照片、古装照片、军旅照片、民国照片……类似的风潮实在是太多了，互相之间也没有本质上的区别。

那么ZAO这次引发的热潮和讨论似乎要更广泛，原因不止于变脸本身，而在于其背后的个人数据安全问题。因为有网友发现，其用户协议内容看上去有难以理解的部分：

如果您把用户内容中的人脸换成您或其他人的脸，您同意或确保肖像权利人同意授予“ZAO”及其关联公司全球范围内完全免费、不可撤销、永久、可转授权和可再许可的权利，包括但不限于人脸照片、图片、视频资料等肖像资料中所含的您或肖像权利人的肖像权，以及利用技术对您或肖像权利人的肖像进行形式改动。

其中的“可转授权”和“可再许可”的权利就很值得商榷。在前两天举行的世界人工智能大会上，也有专家提到这份用户隐私协议非常值得商榷。

应该是受舆论影响，到了9月1日，ZAO已对用户协议的部分条款作了修改，修改后的内容看上去就顺眼了许多。不过它的爆红和争议还是让已经积累多年的个人信息安全问题得到了一次大爆发。

过去数年，中国的互联网产业虽然经历了飞跃式的发展，却也付出了一些代价，其中争议最大的或许可以算是个人隐私的受损。

去年三月，Facebook公司被曝出了严重的用户数据泄露丑闻，据美国《纽约时报》和英国《卫报》等媒体报道，剑桥分析（Cambridge Analytica）这家与Facebook有合作关系的数据分析公司未经许可收集了数万Facebook用户的信息资料，对这些用户的行为模式、性格特征、价值观取向等各种数据进行分析，然后有针对性地推送信息和竞选广告，以影响美国选民在总统大选中的投票。

但在我们当时的采访中，在国内的互联网安全圈看来，类似Facebook的信息泄露事件在国内早已司空见惯。“这样的事情在国内其实是经常发生的，只是国内不像国外透明度这么高，全都被披露出来了。”360企业安全研究院院长裴智勇如此说道。中关村大数据产业联盟秘书长赵国栋则直言：“中国的问题相比Facebook这样的情况来讲，有过之而无不及。”

根据《2017政企机构信息泄露形势分析报告》显示，从2015到2017年，我国每年因网站漏洞导致的信息泄露数量超过50亿条，而这还只是360这一家互联网安全公司的统计数据，其中泄露的信息85%以上都是用户的个人信息。

去年1月，四川省公安厅召开“向人民报告”网安专场新闻通气会，会上透露，2017年仅四川省就有250余亿条公民个人信息被泄露，这意味着我们每个人平均至少有几十条个人信息在网络上流传。

因为缺乏足够的重视，很多类似的信息泄露事件只在媒体上停留少许就被略过，大部分用户根本无从知晓自己的个人数据信息的泄露状况。

一个简单的例子很有说服力。《中华人民共和国网络安全法》（简称《网络安全法》）规定必须要实名制，但实名制又会让公民的个人信息暴露在危机四伏的网络环境中。赵国栋就向我们抱怨道：之前共享单车特别火的时候，各种单车公司都莫名其妙地成立了，但活下来的可能就一两家，其他公司都倒闭破产了，但他们一样搜集了你的大量数据，包括你的身份证号、你的手机号、你的银行信息，这些都被他们拿走了，而他们破产之后还谈得上对这些信息的保护吗？

《请输入搜索词：WWW》剧照

这种状况不仅发生在创业小公司，几千人的大公司也绝谈不上足够安全。2017年4月，黑客“CosmicDark”在网上售卖从优酷窃取的1亿用户账号，售价约2000元人民币。CosmicDark称，该数据库于2016年被泄，2017年才在互联网上公开暴露，而直到现在都不清楚这些数据库是如何被窃取的。

更早的2015年10月，网易邮箱被曝出过亿数据泄露，泄露信息包括用户名、密码、密码保护信息、登录IP以及用户生日等多个原始信息，影响数量共近5亿条。虽然网易方面拒绝承认，但业界基本公认这种情况就是被拖库了。

“非常糟糕。”这是国内某知名网络安全公司研发总监阿吉用来形容国内网络数据安全状况的词。而普通用户对此几乎毫无还手之力。

当然，这些公司收集这么多用户数据肯定不是为了被盗，商业利益驱动的行业内数据交易才是用户避无可避、逃脱不掉的隐私之殇。从数据采集，到数据交易，再到对数据的挖掘，这一环环串起了一个完整的生态系统，而广告则是其中的核心。

2016年，雅虎承认上亿用户数据被盗

“整个互联网行业的大半部分收入是来自于广告，大概要到七成到八成左右。”《计算广告》作者、大数据专家刘鹏告诉本刊。事实上，如果你了解互联网行业，你会知道谷歌与Facebook这样的世界级互联网巨头一年超过80%的收入来自在线广告业务。而广告则是大数据的最典型的应用。

阿吉告诉本刊，目前很多中小开发商开发的APP一直在后台不停地收集用户各式各样的信息。拿到这些数据之后，他们会有两种处理方式：一种是直接分析这些数据，然后把这些分析报告拿出去做一个价值转换；另一种则是直接把它收集到的原始数据提供给有这种数据需求的公司。而这些数据信息甚至已经成了这些APP能免费供给用户使用的价值来源。

赵国栋告诉本刊，像BAT这样的互联网公司，虽然他们自己已经有很多很多的数据了，但他们依然是采买数据的大户。“这些大公司深刻地理解‘数据霸权’的意义和重要性，他们是如饥似渴地获取更多的数据。”通过不同数据之间的互联与映射，这些互联网公司都具有了描绘出用户个人画像的能力，下一步，他们就能针对每个用户的具体情况做出更有针对性的商业措施，最终形成具有马太效应的数据霸权。

那么ZAO这样的app用你的人脸照片做什么呢？有可能是用于训练自己的AI换脸模型更加精确快速，毕竟这可是免费、高质量且完全真实的人脸数据集。这倒也不奇怪，美国公司事实上也这么干，美国NBC新闻今年5月就报道过，美国一个叫“Ever”的照片存储应用程序承诺“免费且无限制地备份你所有的生活记忆”，结果却是使用这些照片来训练自己的面部识别技术。

这当然是比较积极的想法，至于会不会有不那么积极的情况，也没人能说得准。但我们都希望相关的开发者能向它的用户公开说清楚，如果他们要将用户数据存储到自己的服务器或云端，他们是为了什么？

就像前一阵子FaceApp在欧美地区特别火的时候，欧美群众可比我们更担心自己的信息安全问题，尤其考虑到这可是一个俄罗斯人开发的app。Forbes杂志就去联系了FaceApp的创始人Yaroslav Goncahrov。

Goncahrov回应说，FaceApp的用户数据不会转移到俄罗斯，大部分照片都会在云服务器上处理。但他同时做了更详尽的补充，“我们可能会将上传的照片存储在云端，主要原因是性能和流量：我们希望确保用户不会为编辑同一张照片重复上传。而大多数图像都会从上传开始后48小时内被从服务器里删除。“

当然，这种解释也无法完全说服美国人打消疑虑，毕竟那可是个俄罗斯人开发的产品。但总之，与我们最近对ZAO的担忧如出一辙，这已经是一个世界性的难题了。

就像美国专栏作家Kate O'Neill写道的那样：“我们都知道人脸识别技术的使用场景大体上是合理的，而且这也是大势所趋；但值得我们思考的是，我们需要在这个过程中让渡出来的个人数据，它深度和广度的边界在哪里？”