Discord用于年龄验证的Persona前端源代码意外泄露。分析显示，虽然它本意是“年龄验证”，但其中也包含将人脸图像与监控名单和政治公众人物（PEP）进行比对的模块，并直接向政府报告，引发轩然大波。
“发现”了什么？
据报道，研究人员和黑客行动主义者在一台获得美国政府（联邦机构）授权的服务器上发现了 Persona 前端（2,456 个文件），从中可以读取以下内容：
- 实施了 269 项验证检查。
- 能够将面部图像与监视名单和 PEP 名单进行匹配。
- 针对包括恐怖主义和间谍活动在内的 14 个类别的“负面媒体”进行筛选。
- 它旨在存储 IP 地址、浏览器/设备指纹、政府身份证号码、电话号码、姓名、面部图像和自拍分析（包括年龄不匹配检测），最长可达三年。
此外，据报道，在同一代码库中还发现了以下模块：
- FinCEN 可疑活动报告 (SAR) 提交模块（根据 FinCEN 网站上的 XML 架构实施）。
- 加拿大FINTRAC可疑交易报告（STR）提交模块。
换句话说，曝光的并非仅仅是一个“用于年龄验证的单一功能库”，而是一个功能齐全的KYC/AML平台的整个前端。这引发了人们对Discord的“年龄验证”是否真正有效进行年龄验证的质疑和愤怒。
Discord的年龄验证究竟做了什么
然而，目前从公开信息中尚不清楚哪些功能实际已启用。
- Discord 最初声称面部照片是在设备上处理的，但后来据报道解释说，在使用 Persona 的实现中，照片会被发送到服务器并存储最多七天。
- 泄露的代码表明，这是一个“通用 KYC/AML 引擎”，其中包括 PEP、制裁、负面媒体报道和 FinCEN/FINTRAC 报告。
Persona 的代码库中包含此类模块并不令人惊讶，甚至在意料之中，因为 Persona 的客户包括加密货币交易所和金融机构。然而，以下内容仅仅是从代码的存在中推断出来的。
- 是否每次年龄验证交易都进行了 PEP/制裁筛查。
- 根据年龄验证结果和用户行为，是否自动向 FinCEN/FINTRAC 等机构发送 SAR/STR。
根据目前的报道，尚不清楚这些功能是否已在 Discord 设置中启用。
因此，
- “年龄验证在同一平台上进行，政治公众人物 (PEP)、制裁和金融犯罪执法网络 (FinCEN) 合规功能也已实施并可用。”
- 然而，没有证据表明“对每一笔年龄验证交易都进行了 PEP 验证和 FinCEN 报告”（关注或怀疑程度）。
这种理解很可能是正确的。
然而，究竟什么才算是问题呢？
技术和法律事实仍在调查中，但此案已因以下原因受到批评：
- 设计过度，似乎超出了其目的。
原本只是想“检查某人是否年满 18 岁”，但其背后的系统却是一个庞大的 KYC/AML 套件，能够进行 PEP 检测、制裁检查、负面新闻核查，甚至还能向监管机构报告。 - 缺乏透明度
虽然该公司向用户解释说这只是一个“年龄验证”过程，但它并没有事先披露该过程实际上是在一个完整的财务监控系统上运行的。 - 数据保留和“共享”问题
Discord 的承诺（短期留存/最低限度使用）与 Persona 代码库中所示的设计和政府机构协作模块之间存在差距，该模块可以保留长达三年。
尤其是随着 SAR/STR 与监管机构协调准则的出现，人们开始怀疑报告被发送给了 FinCEN 和其他组织。
在这种情况下，Discord/Persona 如何消除疑虑？
几乎不可能证明某事没有发生，但要以某种程度的说服力表明某事没有发生，
- 由于其配置（设置/架构）的原因，该设计使得无法访问或使用该功能。
- 实际操作日志（KYC 事件日志、外部链接日志、SAR 管理日志）中没有发现使用此功能的痕迹。
- 数据不会长期存储，也不会用于其他用途（保留和删除日志）。
- 第三方出具的审计报告证实了这些内容。
只有当这四个层面都到位时，我们才能达到这样的水平：从专家的角度来看，“他们竟然会这样做，简直不可思议”。
目前，根据公开信息，唯一可以明确确认Discord使用Persona的国家是英国。各方关注的焦点在于英国信息专员办公室（ICO）将如何采取行动。
Discord已经终止了与Persona的合同。
事实上，由于怀疑数据处理比解释的更加严格，以及对供应商的性质和政治背景的不信任，Discord 已经终止了与 Persona 的合同。
争议的焦点大致可以归纳为三点：
- 服务器端处理和存储周期因情况而异
- Discord 最初告诉用户，面部扫描将在设备上进行，但英国常见问题解答现在指出，在其 Persona 实验中，“提交的信息将在我们的服务器上存储最多七天”。
- 该常见问题解答通知发布后，很快就被 Discord 删除，这让人怀疑这是 Discord 试图掩盖该通知的行为。
- 供应商与监控和政府有关联
- Persona 获得了 Peter Thiel 的 Founders Fund 的资助，而 Thiel 是 Palantir 的联合创始人，并且一直深度参与政府监控基础设施建设，因此有人批评该公司不愿将生物识别信息交给与监控国家参与者有联系的供应商。
- 缺乏透明度和对“实验”的处理方式
- Persona 最初并未列入 Discord 的“官方合作伙伴名单”，并且仅在英国用户中进行秘密测试。
- 关于影响范围、具体处理细节以及谁可以访问数据的解释出现延迟且零散，导致有人批评“用户被当作小白鼠”和“同意的质量不足”。
据 Redact 的一篇调查文章称，“在全球年龄验证公告引发强烈反对后的‘几天’，英国用户就开始观察到 Persona 实验。”2026年2月初至2月中旬进行了一次非常短暂的测试。这表明情况确实如此。
你用Discord做什么？
Discord目前计划使用新加坡的k-ID和英国的Yoti（部分地区，包括欧洲）进行年龄验证。这两个系统都通过摄像头捕捉面部图像来估算年龄，如有任何疑问，则将其与其他证据进行比对，类似于ISO/IEC 27566-1年龄保证系统——第1部分：框架（免费）。然而，每个系统都有其独特的特点。
通过面部扫描进行年龄估计
- 孩子： 人脸扫描仅在设备上进行处理，并且可以实现人脸信息不离开设备的实现方式（也提供了服务器端验证功能）。
- 约蒂： 面部图像被发送到服务器，服务器会估算年龄，然后立即删除图像。
其他年龄验证方法
- 孩子： 家长同意/监护人验证（使用电子邮件验证、信用卡支付、国民身份证等），与可信的第三方数据源进行匹配。
- 约蒂： 数字身份钱包和身份+自拍验证
k-ID 似乎将在全球范围内使用，但仅凭 k-ID 这个名称无法判断它是在设备端还是服务器端。Discord 声称它是在设备端使用的，因此他们最好公布第三方认证验证结果来证实这一点，以确保透明度。
（参考）
- 已编辑。（2026）。 Discord 测试年龄验证供应商角色：用户须知。 2026-02 - 16。 https://redact.dev/blog/discord-persona-age-verification-experiment
- 伯尼尔，罗尼。（2026）。 Discord 结束了 Persona 年龄验证测试活动。 LinkedIn。2026年02月16日。 https://www.linkedin.com/posts/rorybernier_discord-ends-persona-age-verification-test-activity-7428905652959358977-CTB2/
- 克雷斯，劳拉。（2026）。 “我不信任他们”——顶级主播对Discord的年龄验证表示担忧。 BBC。2026年02月17日。 https://www.bbc.com/news/articles/cn4g8ynpwl8o
- 纳普里斯，埃内斯塔斯。（2026）。 为 ChatGPT 和 Roblox 验证嫌犯照片的公司向美国监控系统提供 269 项不同的检查。 网络新闻。2026年02月19日。 https://cybernews.com/privacy/persona-leak-exposes-global-surveillance-capabilities/
- Alajaji，R 和 S.鲍德温。 （2026）。 尽管近期发生数据泄露事件，Discord 仍主动推进强制性年龄验证。。 2026-02 - 12。 https://www.eff.org/deeplinks/2026/02/discord-voluntarily-pushes-mandatory-age-verification-despite-recent-data-breach
- L0la L33tz。（2026）。 黑客曝光监控网站使用的年龄验证软件。 2026-02 19。 https://www.therage.co/persona-age-verification/
- ISO/IEC 27566-1. (2025). 信息安全、网络安全和隐私保护——年龄保障体系——第1部分：框架。2025-12。 https://www.iso.org/standard/88143.html