识别率近100%！德国科学家发出警告：WiFi已成隐形监控

今年八月，《科学日报》把这项研究又翻了出来，《纽约邮报》紧跟着转载，欧美舆论一下就热了。

先把原理讲明白，别被＂穿墙雷达＂这种词唬住。我们家里的路由器为了让信号更聪明地找到每台设备，用了一种叫波束成形的技术。

设备得不停向路由器汇报，告诉它信号哪里强、哪里弱、谁挡了道。这些反馈数据，业内叫BFI。

麻烦就出在这里——数据在空气里裸奔，没加密。谁想读，弄一块普通WiFi网卡切到监听模式，配上对应软件，就能捞下来。

实验找了197名志愿者。研究者让他们在屋里走动、换姿势、换角度，机器学习模型几秒钟就能对上号。准确率高达99.5%，几乎满分。

托特原话我们读了好几遍：每一台路由器，都有可能变成一台隐形监控。这句话背后的分量比字面重得多。

我们过去以为＂没带手机就等于隐身＂，这个默认前提，现在被推翻了。对普通人来说，最难受的是根本察觉不到。

街边咖啡馆、机场候机厅、商场休息区、健身房、写字楼大堂……这些地方几乎全铺着WiFi。

我们走进去、坐下、经过、拐弯，无线电波在身上折出的独特＂影子＂，就已经被反馈数据悄悄记了下来。哪怕根本没连它家的网，只要在信号覆盖范围内，都跑不掉。

第二次再来，系统一比对，就知道＂这个人又来了＂。有人可能要问，这跟摄像头有啥两样？差别关键在两点。

摄像头看得见，装哪儿一目了然，法律上也有告示要求。WiFi探测这种玩法，无声无形，甚至不用我们走进它的视线。

隔着一堵墙，照样能＂看到＂。斯特鲁夫教授说过一句挺沉的话，这种能力对人的基本权利，尤其是隐私权，是实打实的威胁。

要看懂这项技术的分量，得放回近几年的大背景里。WiFi感知这条路走了十来年，从早期用信道状态信息CSI认手势，到后来能测心跳呼吸，再到判断人在不在屋。

学界原本以为BFI这种＂简化版＂数据不够用来认人，因为它被压缩过、精度也一般。这回德国团队证明了，靠深度学习硬啃，精度能追上专业感知硬件，门槛却低到吓人。

更棘手的是时间点。IEEE去年把新一代无线标准802.11bf推到了台前，这个标准打算把＂WiFi感知＂正式写进协议里。

初衷是好的，比如帮独居老人监测跌倒、辅助智能家居判断有没有人、提升安防效率。但隐私护栏没跟上，同一套技术转手就能用来跟踪、画像、认人。

团队正在呼吁标准委员会赶紧补上加密和权限控制，等设备铺开了想回头就晚了。跟这条线并行的，还有一场围绕WiFi路由器的国际角力。

今年三月二十三日，美国联邦通信委员会正式把外国制造的消费级路由器列入＂覆盖名单＂，实际上禁掉了新品的进口和销售，理由用的还是那套＂国家安全＂说辞。

四月，TP-Link一款Wi-Fi 7旗舰产品Archer BE230被曝出十一个漏洞，其中最严重的一个CVSS评分高达8.6，可以远程被利用。硬件、协议、算法，三个方向同时压过来。

站在国际时政的角度看，我们更愿意把这三件事串起来。BFId的曝光、802.11bf的推进、各国路由器产业链上的博弈，本质上是同一个问题——谁掌控日常电磁空间。

过去大国角力盯的是卫星、光缆、5G基站，现在这场较量正沉到每家客厅的那盏小灯上。每一台路由器都可能是数据采集点，每一段BFI都是潜在情报。

这不是危言耸听，是研究报告白纸黑字写着的可能性。回到普通人的处境。有读者在留言里问，那把WiFi关掉行不行？

实话说，个人能做的挺有限。我们可以在自己家关，可没法要求整条街的邻居、整座商场、整个候机楼一起关。

这两件事都不是一个用户能推动的，得靠标准组织和监管机构合力。好在业界已经开始动了。

研究团队本身就是最积极的推手，他们把攻击方法公开，就是为了倒逼产业界打补丁。802.11bf草案里已经加进了一些关于访问控制的讨论，波束成形反馈信息的加密方案也上了工程师的议程。

设备厂商这边，部分Wi-Fi 7新款开始尝试对管理帧做加密处理，走的是IEEE 802.11w那条老路的延伸。但一位做协议开发的老朋友跟我们说过大实话，从提案到落地，最快也得两三年。

这两三年，就是隐私最脆弱的窗口期。数以亿计的路由器已经卖出去了，大部分不会立刻被换掉，也不会主动升到新协议。

哪怕新标准明天就冻结，存量设备的替换周期至少要跨过一个消费电子换代。对某些企业和机构来说，这段真空期恰好是最值钱的搜集期。

能想象一家零售商用我们走进店里的WiFi步态，比对上次来店的数据，再精准推广告的场景吗？技术已经就位，就差一个动机。

再往深了想，这事的政治分量更重。跨境的公共场所大量部署WiFi，境外情报机构如果拿到这套技术，能不能在他国机场、领事馆周边、外交场合悄悄识别特定目标？

这已经不只是科技新闻，而是国家安全议题。我们国内的信息安全部门这几年一直在推关键基础设施国产化和可信身份体系，从这个角度看，早一步意识到WiFi层面的风险，就能早一步在采购、部署、检测环节堵住漏洞。

国内主流路由器厂商这几年在自研芯片和固件上投入不小，Wi-Fi 6普及、Wi-Fi 7铺开的节奏几乎跟国际同步。

这既是机会也是责任。机会是可以在自己产品上第一时间加装隐私保护，责任是不能把国外那种＂先卖后补＂的老路子照抄一遍。

买路由器的时候可以留意，厂商有没有明确的BFI加密方案说明。企业级、公共场所部署的设备，更该被严格盯着。

有意思的观察是，这回德国团队的呼吁路数，跟前些年隐私专家反对无遮挡人脸识别几乎一样——先把风险摆到桌面上，再逼监管跟上。欧盟今年推进《人工智能法案》配套细则的时候，已经把＂生物特征远程识别＂划入高风险类别。

WiFi身份识别虽然不算传统意义上的生物特征，但效果上做的就是同一件事。欧洲监管界迟早要面对这个问题，中国和其他主要国家也很难置身事外。

给普通读者几条务实的建议。家用路由器尽量选品牌靠谱、固件更新勤的产品，管理界面里能开的加密选项都开上，尤其是WPA3。

别把路由器直接摆在朝街的窗边，物理上多一堵墙、少一段暴露，对这类电磁探测都是有效的削弱。手机WiFi不用的时候关掉，减少主动发探测帧的机会。

这些做法治不了根，但能让我们在这场不对称的博弈里，至少不做那个最容易被认出来的人。做国际科技军事报道这么多年，我们越来越觉得，真正决定未来安全格局的，往往不是那些高调的武器展示，而是这种藏在日常生活缝隙里的技术裂缝。

一个咖啡馆的路由器，几百行未加密的反馈数据，就能把人的身份剥得干干净净。隐私从来不是一劳永逸的默认权利，它得靠制度、靠协议、靠一次次公开的警告和及时的修补去反复守住。

德国科学家这一嗓子喊得及时，接下来要看的，是全球标准组织和各国监管者，愿不愿意听、来不来得及听。