美国国土安全部审计指出：TSA 人脸核验系统存在旅客敏感数据保护漏洞

据电子前沿基金会（EFF）2026 年 10 月 15 日发布的文章，美国国土安全部监察长办公室（DHS OIG）公布了对美国运输安全管理局（TSA）人脸识别技术的审计摘要。摘要指出，相关技术在保护旅客数据隐私方面存在重大薄弱环节。其中，设备供应商能够在 TSA 不知情的情况下，访问并提取包括驾照和护照图像在内的敏感信息。审计详细结果属于保密内容，目前公开材料不足以确认涉及哪些旅客及具体数据规模。

问题出在供应商访问与数据提取管理

TSA 使用人脸比对技术核验航空旅客身份：摄像头采集现场照片，再与旅客出示的身份证件进行比对。对于未选择退出这一生物识别核验流程的旅客，现场照片和证件资料如何被处理，是隐私保护的关键。

据审计摘要，第二代证件认证技术系统（CAT-2）的供应商，在排查系统故障和进行功能改进时，可以访问并提取敏感旅客信息，而 TSA 并不知情。问题因此不只是系统能否在正常工作时保护数据，更涉及维护环节是否具备明确授权、操作记录与监督机制。

• 政策不清晰：TSA 缺少明确的数据处理规则。
• 提取缺乏追踪：机构没有记录相关信息何时被提取。
• 删除无法核验：无法确认已提取的数据是否得到妥善删除。
• 旅客未获通知：当生物识别信息和身份资料可能被存储时，相关旅客未被告知。

监察长办公室同时指出，旅客信息在日常运行中总体受到保护，但供应商监督不足，使敏感个人信息面临被保留或暴露的风险。这一区分很重要：审计揭示了数据管控缺口，并不等于已经证实发生公开泄露。现有摘要也没有给出足以判断影响范围的细节。

隐私解读：安全承诺不能替代可验证的控制

从隐私保护角度看，人脸核验的风险不止于拍照那一刻。数据交给谁、维护人员能否复制、复制后保留多久，以及删除是否可验证，都属于同一条责任链。即使常规核验流程有保护措施，故障排查和系统升级也不应成为监督盲区。

这次审计尤其提示，判断一项服务是否保护隐私，不能只看机构的承诺，还应关注供应商权限是否受限、访问是否留痕、异常处理是否需要审批，以及用户能否获知信息被另行存储。对于难以轻易更换的生物特征信息，这些要求更为重要。

VPN 用户需要分清网络保护与现场采集的边界

对经常出行的 VPN 用户而言，机场公共网络安全和安检身份核验是两个不同问题。VPN 可用于保护适用场景下的网络传输，但无法阻止安检摄像头采集人脸，也无法约束后台供应商提取证件资料。网络加密不能替代数据持有机构的访问控制与问责。

旅客可在出行前了解适用的身份核验流程，并向现场人员确认是否能够退出生物识别核验、替代程序如何进行，不应假设所有机场安排一致。后续值得关注的是 TSA 如何修补供应商监督、数据提取追踪和删除核验机制，以及是否提供更清晰的旅客告知。由于公开审计信息有限，目前仍无法判断这些问题是否已得到解决。