州医保网站向广告商泄露公民种族数据
推荐指数 55.0 NO. 009 · 2026.05.05
发布2026/05/04Score209Comments66
为什么值得看
彭博调查发现美国20个州政府运营的医保交易平台通过追踪像素向Google、Meta等广告商发送用户申请信息，包括公民身份和种族等敏感字段。对AI工程师而言，这是企业合规系统的反面教材——任何处理受保护健康信息(PHI)的产品都必须把第三方脚本列入威胁模型。
编辑判断
这件事的深层教训是：大多数公司的隐私合规停留在"有没有签DPA"，而不是"第三方脚本实际发了什么"。美国医保平台用的是普通商业网站那套MarTech栈，但加载的是HIPAA管辖的PHI环境。
做企业SaaS尤其是医疗、金融垂直的AI团队，应该立刻审计自己的产品：前端有没有加载Intercom、FullStory、Google Analytics？用户输入的敏感字段有没有被这些脚本自动抓取？这不是法务问题，是工程问题——需要用subresource integrity、CSP和字段级加密来兜底。
国内做医保、社保数字化项目的厂商同样该警惕，等保和个保法的执法颗粒度正在变细。