中國人大學生信息大規模泄露 嫌疑人來自本校人工智能專業

全網關(guan) 注的“人大學生信息泄露事件”終於(yu) 有了第一階段的情況通報。

根據多家媒體(ti) 此前的報道，中國人民大學畢業(ye) 生馬某某通過非法途徑搜集了本校2014-2020級所有學生的個(ge) 人信息，並製作了一個(ge) 網站供人任意查看，瀏覽者甚至還可以對網頁上的女生顏值打分。

7月3號，海澱區警方在微博上對案情作出了初步通報。

 

7月1號，一個(ge) 名為(wei) RUC IR FACE 的網站突然進入公眾(zhong) 視野。一位匿名用戶在中國人大校內(nei) 學生論壇“小喇叭”裏發帖，帖子附帶的網頁截圖顯示，網頁上包含了人大學生的照片、姓名、生日、籍貫等個(ge) 人信息。

信息的檢索範圍涵蓋了中國人大2014-2020級所有的本科、碩士和博士生。更離譜的是，網頁瀏覽者還可以對網頁上的女生“顏值打分”。

該帖子發出不久就有網友認出 RUC IR FACE 網站的開發者係人大高瓴人工智能學院2019級研究生馬某某，其本科、碩士均就讀於(yu) 中國人民大學。

隨後網友們(men) 進一步扒出，意思為(wei) 馬某某的微博賬號在2020年10月曾發帖稱：“今天和誌同道合之士完成了這件我大二就想做的壞事，本想發朋友圈但人多眼雜怕被打拳還是發微博吧”，並配上了 RUC IR FACE 的網頁截圖。同年11月該賬號又再度發帖：“想補充一波RUC IR FACE的新數據”。

據悉，馬某某在校期間還曾獲評校三好學生、優(you) 秀團幹部、並曾作為(wei) 高瓴畢業(ye) 生代表進行求職分享，目前就職於(yu) 騰訊背景微信團隊搜索算法部門。

該消息一經爆出，網友們(men) 紛紛表示了極大的憤慨，紛紛要求馬某某公開道歉並承擔一切法律責任。

不得不說，相較於(yu) 絕大部分人，馬某某稱得上是個(ge) 學霸，發表過一區論文，得到過國家獎學金，即便在人大這樣的頂尖學府也表現優(you) 異。

畢業(ye) 之後的工作履曆，從(cong) 華為(wei) 到字節跳動，再到現在的騰訊，無一例外都是很多計算機專(zhuan) 業(ye) 同學夢寐以求的高薪大廠。

然而，他在學識上走向行業(ye) 前端的同時，卻在品德層麵滑向穀底。除了這次爆出的竊取同學個(ge) 人信息外，馬某某2019年就曾在 Github 上發布過“一鍵脫衣”的程序代碼，可以對女性照片進行換裝，同樣也是在法律和道德的邊緣瘋狂試探。

作為(wei) 這兩(liang) 年最火的專(zhuan) 業(ye) 方向，越來越多的同學加入了AI算法方向的專(zhuan) 業(ye) 。互聯網從(cong) 業(ye) 者們(men) 有著出色的學識，也理應更清楚個(ge) 人隱私信息安全的重要性和嚴(yan) 肅性，但馬某某的事件正在給我們(men) 敲響個(ge) 人信息安全的警鍾。

個(ge) 人隱私泄露已經成為(wei) 互聯網時代所有人都能感同身受的問題，那些時不時收到的詐騙短信或郵件、指名道姓的廣告推銷電話都意味著個(ge) 人隱私信息被盜用。

LSE 政治學教授帕特裏克·鄧利維（Patrick Dunleavy）在《數字時代治理》 (Digital Era Governance: IT Corporations, the State, and e-Government) 中提出過“數字治理”的概念。信息時代的數字治理常常圍繞個(ge) 人行為(wei) 和伴生的個(ge) 人信息展開，於(yu) 是個(ge) 人信息和隱私就成為(wei) 了數字治理的核心矛盾。

但在互聯網時代，個(ge) 人信息的性質正在發生急速的變化。

一方麵，個(ge) 人隱私在網絡時代最典型的表現形式就是數字信息，即存在一個(ge) 隱私信息化的過程；

另一方麵，網絡時代的隱私不同於(yu) 過去，很多以往不屬於(yu) 隱私的的信息在新的語境下成為(wei) 了隱私，普通人對於(yu) 個(ge) 人隱私的具體(ti) 理解偏差極大，即存在一個(ge) 信息隱私化的過程。

舉(ju) 例來說，以往隻有個(ge) 人私密部位才算隱私，而臉則是可以公開示人的。但如今隨著人臉識別技術的發展、隨著 deepfake 技術被濫用，越來越多的語境下麵部信息也成為(wei) 了隱私，傳(chuan) 統隱私的邊界因為(wei) 信息隱私化而得以拓展。

麵部信息僅(jin) 僅(jin) 是這種拓展中的一個(ge) 案例，除此之外，像出行過程中的位置信息、網絡訪問的IP地址、甚至連同常用移動設備的型號等等，在特定的情況下都可以是重要的個(ge) 人隱私。

網絡時代信息化社會(hui) 裏，如何保護普通人的個(ge) 人信息是全世界都一直在努力解決(jue) 的問題。

2018年和2019年，歐盟就連續出台了《通用數據保護法案》和《麵部識別技術：執法中的基本權利考慮》報告；美國加州則在2020年製定了《加利福尼亞(ya) 州消費者隱私法案》。

但是，由於(yu) 人臉識別技術用用場景的多樣化和複雜性，詳細而又清晰的法律製定是一件非常困難的事情。這一過程往往需要來自網絡、計算機、法律、社會(hui) 學等眾(zhong) 多學科領域深入的研究和理解，幾乎不可能一蹴而就。

僅(jin) 就目前而言，信息化、智能化的社會(hui) 裏，針對數據治理和隱私保護的問題，所有的方案都需要遵循一些基本原則。它們(men) 包括：

最低限度原則，能不收集就不收集；高門檻準入原則，涉及信息收集的業(ye) 務嚴(yan) 格審查；相關(guan) 利益者知情原則，信息收集過程公布並通知；社會(hui) 許可原則，民眾(zhong) 知情且多數成員同意；事後補救原則，設定風險管控和補救措施；目的和結果一致原則，不得隨意更改；明確責任承擔原則，無法承擔責任不可實施；時限原則，使用保存有時限，過時銷毀。

最後，回到這次信息泄露事件本身，技術的發展永遠都是中立的，但運用技術的方式把人分成了不同的樣子。如果隻想用自己的學識牟利而枉顧甚至侵害他人的權益，他們(men) 最終隻能像馬某某這樣自討苦吃。

今日網絡安全科研