OkCupid偷传300万张用户照片给AI公司

2014年，OkCupid把300万张用户照片塞给一家叫Clarifai的AI公司时，没人想到这笔账要拖到2025年才算完。联邦贸易委员会（FTC）刚宣布和解，条件是Match Group以后不许再撒谎——但一分钱罚款都没有。

用户以为的隐私承诺，和实际发生的，完全是两码事。

当时的隐私政策白纸黑字写着：个人信息不会外流，除非是给"服务提供商、商业伙伴或关联企业"。Clarifai？一家做人脸识别和内容审核的AI公司，跟约会软件八竿子打不着。FTC咬定这就是"无关第三方"，OkCupid既没告知用户，也没给退出选项。

更讽刺的是，Clarifai拿这些照片干什么，OkCupid似乎并不关心。人脸识别训练？内容审核模型？用户连知情权都被剥夺了。

11年拉锯，零罚款收场

Match Group的回应堪称经典公关话术：「我们不承认任何不当行为，但选择和解以解决2014年的遗留问题，且无任何金钱处罚。」

翻译一下：我们没错，但我们认栽；我们认栽，但不用赔钱。 spokesperon还补了一句，说现在的隐私实践"已大幅加强"，当年的操作不代表今日。

这种时间差策略在科技行业太常见了。拖够久，当事人换几茬，技术迭代几轮，公众的愤怒就会稀释成"历史问题"。FTC的和解条款倒是留了后手：永久禁止Match Group和OkCupid运营方Humor Rainbow在数据收集目的、用户选择权上做任何虚假陈述。

但"永久禁止撒谎"本身就是个荒诞的底线——难道之前是允许撒谎的？

2020年还被抓到过漏洞

和解文件里埋了一个容易被忽略的细节：2014年照片门之后，OkCupid在2020年又被发现安全漏洞，可能导致用户账户信息泄露。虽然官方称"迅速修复"，但时间线串起来看，这家公司的数据治理像打地鼠，曝光一个补一个。

Match Group旗下不只有OkCupid。Tinder、Hinge、Plenty of Fish都是它的盘子，月活用户以亿计。一家母公司的隐私文化，很难相信会在不同产品间割裂存在。

Clarifai那边倒是一直活跃。这家AI公司后来拿到过美国国防部的合同，做人脸识别用于边境监控。那些2014年的约会照片有没有进过它的训练集？FTC的和解文件没提，OkCupid更不会说。

和解之后，用户能得到什么？

答案是：几乎什么都没有。没有赔偿，没有数据删除承诺，没有技术审计公开。唯一的"胜利"是未来的禁止性条款——而这类条款的执行，取决于FTC的监察能力和企业的自觉。

OkCupid spokesperon的声明里有个微妙措辞："满足用户期望"。不是"符合法律要求"，不是"超越行业标准"，是"期望"。这个词把责任悄悄转移到了用户身上：是你们期望太高了，我们在努力追赶。

但2014年的用户签隐私协议时，期望很明确：照片留在约会软件里，不会流去搞人脸识别的AI公司。这算高期望吗？

Match Group 2024年营收超过30亿美元，这笔零罚款的和解连蚊子腿都算不上。FTC的选择也很现实：打官司可能拖更久，和解至少能锁定未来的约束条款。只是这种妥协，对当年那300万用户来说，连迟到的正义都算不上。

现在打开OkCupid，隐私政策已经更新了好几版，Clarifai的名字当然不会出现。但一个约会软件为什么需要收集精确位置、面部生物特征、甚至性取向数据来"优化匹配"，依然没人能讲清楚。当AI训练数据成为地下经济里的硬通货，用户照片的价值早就超出了"帮你找对象"的范畴。

那300万张照片后来去了哪，训练出了什么模型，有没有被转手——这些问题，和解文件里一个字都没提。也许答案藏在某个AI系统的黑箱里，也许早就随着技术迭代被覆盖了。唯一确定的是，当年上传自拍想找约会对象的人，不会收到任何通知。

如果你的旧照片还在某个AI训练集里工作，而你永远无从得知，这算隐私侵权的终点，还是起点？