P4.04.5Detection-privacy paradox设计
判断脆弱本身需要收集额外的敏感信息
别名: 检测悖论 · vulnerability inference paradox · sensitivity of protective inference
概念解释
检测悖论：要识别谁需要保护，就必须先知道谁脆弱；而「脆弱」恰恰由最敏感的信息构成——认知状态、财务困境、健康状况、年龄、情绪低谷。为保护而建的识别系统，本身制造了一座新的敏感数据集中地，并创造了新的伤害面：这些数据一旦泄露或挪用，被标签为「认知受损」「财务脆弱」的人群面对的将是定向收割而非保护。保护的意图不改变数据的性质。
机制
推断精度与侵入性同步上升：要可靠区分「需要更慢流程的用户」与「不需要的用户」，系统必须采集或推断执行功能、收入波动、健康标记——推断用的输入（打字节奏、错误模式、消费序列）越丰富，标签越准，画像也越完整。这座画像库的风险有三层：泄露（集中存储的高价值敏感数据是首要攻击目标）、挪用（保护标签在同一产品内被转化优化复用，「脆弱」直接变成投放分组）、外流（数据经第三方 SDK 或商业转手离开原语境）。即便什么都不发生，标签本身也在改变对待：被系统标记的用户可能被降权、限功能，经历一条更差的产品——识别先于歧视。
边界
悖论不否定一切识别：高风险场景（大额金融、医疗）里，适度识别加严格数据隔离的净收益可以为正，关键在比例性。用户主动声明的模式（「我需要更简单的界面」开关）绕开了推断环节，不产生隐蔽画像，是悖论之外的路径——代价是覆盖率低。法规也划定了边界：健康、财务困境类推断在多数法域属特殊类别数据，未获明确授权的处理本身违法，「为了保护」不构成豁免理由。
怎么落地
- 优先级排序固定为：先上非识别方案（对全体降低复杂度、默认安全的流程），识别只作为最后手段并需说明非识别方案为何不足。
- 识别数据与业务数据物理隔离：单独存储、最小保留期、禁止任何转化或投放系统读取，隔离边界写入架构文档并审计。
- 提供用户主动声明通道（偏好更慢、更简单、更明确的确认），把识别从「暗中推断」改为「按需开启」。
- 验证：审计保护系统的数据流，确认推断标签无任何下游除保护流程外的读取方；发现一处复用即视为事故处理。