谷歌XR负责人阐释AI眼镜隐私设计：保护佩戴者，也保护镜头前的人

当一副眼镜能看见你看见的一切，它就必须对镜片两侧的人负责。谷歌XR副总裁兼总经理Shahram Izadi在2026年11月12日的官方博客中，系统阐述了智能眼镜的隐私设计思路。他提到团队在多年研究中听取了佩戴者、旁观者和隐私专家的意见，发现佩戴者在外使用眼镜时不断在计算社交成本，而旁观者则担心被不知情地拍摄。这促使他们形成了一个核心判断：隐私保护必须同时覆盖镜片后面的人和前面的人。

在保护佩戴者数据方面，谷歌的设计选择是：摄像头画面不存入Gemini历史记录，不用于AI模型训练，也不用于广告定向。存储在眼镜上的数据加密，离开眼镜传输到手机或云端的数据同样加密。用户可以为每个应用单独授予或撤销摄像头权限，可以删除任意一条对话历史，也可以关闭个性化。眼镜框上还有一个物理电源开关，随时可以完全关闭设备。

对旁观者的保护则更多依赖硬件和软件的协同设计。每副眼镜外侧有一个LED指示灯，在拍照或录像时亮起，告知周围人正在录制。如果指示灯被遮挡或篡改，传感器会检测到并阻止拍摄。当用户向Gemini提问时，眼镜的设计是在Gemini处理画面之前自动脱敏旁观者的人脸。麦克风采用定向设计，默认聚焦佩戴者的声音而非周围人的声音。

这些设计选择背后有一个值得注意的立场：谷歌把旁观者保护做成了硬件层面的默认行为，而不是留给用户去设置。指示灯是物理的、不可关闭的；人脸脱敏发生在数据离开设备之前；定向麦克风是默认模式而非可选项。这种设计即保护的思路试图降低用户犯错的空间。

不过，所有这些机制目前都是厂商的自述。产品尚未大规模上市，外界无法独立验证人脸脱敏在各种光照和角度下的可靠性，无法测试指示灯防篡改机制是否存在软件层面的绕过路径，也无法确认定向麦克风在嘈杂环境中的实际分离效果。Izadi在文中使用的措辞是designed to（旨在），而非will（将会），这本身也反映了功能尚未经过独立检验的状态。

在平台层面，谷歌还设置了配套约束：用户必须同意不在未经许可的情况下录制他人、不在敏感场所录制、不遮挡指示灯，违反者可能被禁用设备；Google Play禁止应用利用眼镜摄像头进行社交直播或实时人脸识别；智能眼镜仅允许18岁以上账户设置。这些限制试图从生态层面堵住单点防护可能被绕过的缺口。

对AI可穿戴设备而言，旁观者隐私是品类能否被广泛接受的核心障碍之一。谷歌的回应展示了一种多层防御的设计哲学：硬件不可绕过的指示、软件默认脱敏、数据不保留、账户年龄门槛和平台政策约束。这套架构是否有效，最终取决于实际部署后的独立验证。