Z2.04.2Misidentification as a data-leak path设计研究
误认会导致他人数据暴露
别名: 误识别 · 跨账号串显 · misidentification
概念解释
身份识别错误的后果不是「体验降级」，是数据事故：把 A 认成 B，B 的数据就流向了 A——日程、消息、偏好、健康记录；把陌生人认成主人，主人的权限就交了出去。误认（misidentification）是一条数据泄露路径，与传统安全里的越权访问同类，只是入口从漏洞变成了识别错误。
它还有个让事故扩散的属性：对被暴露者不可见。B 不知道自己的日程刚才被播报给了客人，无从察觉、无从投诉、无从纠正——暴露在沉默中反复发生，直到偶然撞见。
机制
共享空间的识别天然多主体：家人之间体貌声纹相近（尤其亲子、兄弟）、访客临时进入、识别条件（光照、角度、距离）持续波动——误认不是尾部风险而是日常事件。误认转化为暴露的三条路径：
- 跨账号数据串显：识别为谁，就呈现谁的个性化内容——把儿子的日程播给客厅客人、把妻子的私密提醒投到误认者的屏幕。
- 权限继承：认成主人=继承主人的权限——开门、解除布防、查看录像。识别错误被直接翻译成安全边界失守。
- 日志污染：误认者的行为被记进被认者的档案——健康与行为档案长期错位，且无人发现。第三条最隐蔽：数据分析在错误档案上得出错误结论（「母亲夜间活动异常」其实是女儿）。
怎么研究
- 智能家居多用户研究：Zeng、Mare 与 Roesner 2017 年对智能家电用户的调查发现，多用户场景下的数据隔离与访问控制是用户的核心担忧——谁的数据给谁看，是用户视角的一级问题而非边缘功能。
- 误触发与误识别的现象记录：语音助手被电视声、他人声、广告录音触发并执行操作的案例在公开报道与测量研究中反复出现（可泛写为「公开报道与独立测量都记录过」），证明非注册者的声音确实能通过识别。
- 跨人群错误率差异：人脸识别文献大量记录了识别错误率在人群间的不均衡（泛写现象）；将此结构迁移到家庭场景——被认错的概率在家内并不均匀。
方法论注意点：误认导致暴露的事故在自然使用中几乎不被上报（被暴露者不知情）；研究靠主动构造——剧本化场景（家人互换位置、访客进入）加事后审计日志，统计误认率与串显率。
边界
- 暴露量 = 识别错误率 × 数据敏感度。 低敏感数据（灯光偏好）的误认后果轻；判断要不要修，先算这个乘积，不是所有误认都值得投入。
- 「同住家人」不是安全边界。 家内有真实的隐私边界——青少年对父母、室友之间、保姆对雇主；把家庭当单一信任域的设计，误认即跨域。
- 访客场景的误认最危险。 陌生人被认成主人直接继承权限；反向（主人被当访客）只是体验问题——两个方向的代价完全不对称。
怎么落地
- 识别置信不足时，禁用敏感数据呈现与权限继承：降级为通用行为（通用问候、无个人内容的界面），宁可平淡不可串显。
- 多用户设备的默认播报与展示不含个人信息：谁在场时说什么，按内容敏感度分级，最敏感的只给本人确认过的通道（手机而非音箱）。
- 权限类动作（开锁、解除布防）要求独立认证或限定白名单——识别作为充分条件只用于低敏感动作。
- 按识别置信给日志打标：低置信的记录不进个人档案，进待归档池。
- 验证办法：用家人 A 的声纹/面孔尝试触发家人 B 的通知、播报与权限动作，逐项记录成功与否。任何一条成功，就是一条可复现的串显路径。