一副 89 澳元的相机眼镜，上架一周售罄。两个多月后，它成了澳大利亚公开披露的首例智能眼镜隐私调查，也让五个国家和地区的监管动作挤进了同一个季度。
一、事情是怎么起来的
2026 年 7 月底，某澳大利亚零售商上架了一款 89 澳元的相机眼镜。镜框里塞进摄像头，能拍照能录像，价格压到过去同类产品的零头。上架不到一周，全澳售罄。
8 月 12 日起，澳大利亚隐私监管机构向五家主体发出初步问询：两家国际科技巨头、一家本地零售商、一家硬件方案商，以及一家为这些低价眼镜提供配套应用的软件公司。问题只有三个：设备怎么记录、谁能访问、信息存在哪里。
10 月 7 日，问询升级。监管机构对那家软件公司启动正式调查，理由是它没有回复。隐私专员说，没有回应，就无法确信它按《隐私法》保护了澳大利亚人的个人数据；不回应本身，也构成对其流程与系统的疑问。
同时，监管机构致函相关零售商，请"负责任的零售商"考虑是否还应继续供货。调查公布后第二天，那款眼镜下架。
二、真正的问题不是偷拍
公众讨论智能眼镜，习惯停在"戴的人会不会偷拍"。这次测试的答案更麻烦：问题在设备本身可以被别人接管。
9 月公布的测试结果显示，在眼镜、配套应用和关联网站里共发现十余处安全弱点。最严重的一类不需要密码——附近的人通过蓝牙连上眼镜，就能接管设备、复制里面的照片和视频；部分型号上，还能截取眼镜与手机之间传输的图像和音频。
还有一条更隐蔽：眼镜通过蓝牙广播的设备标识符，配合网站另一个漏洞，足以推出用户的邮箱和出生日期。不用碰设备，也不用知道账号，两处不大的缺陷就能把一个人对上号。
测试还发现，部分提交给内置 AI 功能的信息会离开设备、进入厂商侧服务器处理，研究者无法确认后续用途。
厂商对部分结论有异议，称已修复。但安全分析人士称，截至 10 月初，一些修复并不完整。
关键不在漏洞数量，而在结构：这些眼镜有多个品牌、不同硬件，背后的应用却是同一套。买的人以为在挑品牌，实际上"录下什么、传到哪里"，走的都是同一条链路。
三、谁该负责，正在被重新划线
过去的认知是：硬件是谁卖的，责任就是谁的。这次调查把它拆开了。
对硬件品牌，出货不再是终点。功能依赖第三方应用，数据由第三方收集，品牌方对自己卖出去的东西看到了什么，往往说不清。
对软件服务商，它成了第一顺位被问责的对象。隐私法管的是"持有个人信息的主体"，谁收集、谁存储，谁就在射程内。硬件可以换供应商，应用换不了。
对渠道，风向变得最快。荷兰一家大型眼镜连锁 10 月初暂停了两个国家的销售，涉及四百多家门店；澳大利亚零售商在调查公布后直接下架。没有法规要求它们这么做，是风险判断先动了。
对旁观者，处境最难。法律约束企业和机构，不约束以个人身份拍摄的佩戴者。而真正受影响的人，从来没买过设备，也没同意过任何服务。
四、标准视角：可穿戴设备的三条底线
把这次的技术弱点对回标准，会发现并不新，只是又被重复了一遍。
第一，身份鉴别与绑定。 GB/T 41789-2022 第 6.2 条要求设备有唯一标识、具备单向身份鉴别能力，并与整机绑定；第 7.9 条要求远程操作必须经过登录验证，明确要防"空凭据绕过认证直接进控制逻辑"。蓝牙免密接管，正是这条最典型的失守——能连上，不等于有资格操作。
第二，接口最小化与默认关闭。 同标准第 6.4 条要求出厂前关闭不必要的硬件端口、默认关闭特权能力与未公开接口，确需开放必须有鉴权，并按最小权限分配。可穿戴设备的调试口、配对通道、云端接口都属于这一类，最容易被当成便利，而不是入口。
第三，通信链路保护。 GB/T 40349-2021 第 6.4.2.3 条要求外部通信具备保密性与完整性、防重放，会话前完成密钥协商、密钥不得明文保存。物联网安全通信模块规范 PP-0110 更进一步：即使所有端口都暴露、没有防火墙遮挡，通信模块也要维持最低安全基线。 蓝牙是一个没有防火墙的邻域网络，隔着一米就能发起连接。
再加一条数据侧的：GB/T 41789-2022 第 6.11、6.13 条要求数据分类存储、关键安全参数用毕即清，落实个人信息保护。眼镜录下的不只是佩戴者，还有路人的脸、声音、工牌和位置——一台设备采集，多方权益在场。
五、趋势预判
第一，"默认设置"会变成准入条件。 欧盟数据保护委员会 10 月 13 日通过智能眼镜声明，建议录制指示默认开启、难以被关闭、旁人容易察觉，并建议端侧处理、对旁观者面部模糊、在敏感场所设置地理围栏。这不是强制法规，但会成为成员国执法的参照。欧盟《网络弹性法案》2027 年 12 月 11 日全面适用后，"安全的默认配置"本身就是 CE 标志的一部分。
第二，场所准入会先于销售限制落地。 挪威政府 10 月 5 日宣布，将向议会提交临时禁令提案，覆盖公园、海滩、博物馆、商场、学校、幼儿园、医疗机构和健身房更衣室；英国保障大臣 11 月 4 日在议会表示，正在研究销售与场所使用规则。先管"能在哪用"，比管"能不能卖"更容易推进。
第三，责任会沿数据链向软件层集中。 硬件、应用、云服务、模型可以分属不同主体，但监管只能找到持有数据的那一个。对出海厂商，应用不再是附件，而是合规主体。
第四，渠道会先于法规行动。 停售、下架、要求供应商整改，都不需要等立法。采购合同里的数据条款，会比法规更早到达工厂。
一副眼镜卖 89 澳元，靠的是把成本压到极致。但默认设置这件事，压不掉。
**