ハクソク

世界を動かす技術を、日本語で。

OpenAI、アメリカ政府、そして「Persona」がアイデンティティ監視システムを構築した

2026年2月25日原文(vmfunc.re)

概要

  • Persona と OpenAI の間で進行中のID認証・ウォッチリスト運用に関する調査報告
  • 政府機関 や 大手AI企業 による顔認証・監視インフラの実態を公開
  • 取得した情報は 公開ソース ・未認証ファイルのみで構成、不正アクセスなし
  • 法的根拠と 調査の正当性 を複数法域で明示
  • 主要発見や 今後の対応方針、関係者へのメッセージを含む

2026年2月18日付 追記・法的声明・調査経緯

  • PersonaのCEO、 Rick Song との直接書面やりとりを実施
  • Rick氏は 0x14の18項目質問 への文書回答を約束
  • すべてのやりとりは シリーズ第2部 として完全公開予定
  • openai-watchlistdb.withpersona.com の27ヶ月に及ぶ証明書履歴等の核心的指摘は未解決
  • 法的観点から 違法行為なし を明言
    • すべて公開情報（Shodan, CTログ, DNS, HTTPヘッダ, 未認証ファイル）による受動的調査
    • システム侵入・認証情報使用・データ改変等一切なし
    • 公開ファイル取得は 不正アクセスに該当せず （Van Buren v. US, hiQ Labs v. LinkedIn判例）
  • 調査は 報道・セキュリティ研究 として複数法域（米国憲法、ECHR、CFAA、GDPR等）で保護
  • 著者は 政府・情報機関・競合他社無関係、金銭的利害・報酬一切なし
  • 公益目的 で調査・公開、複数法域・第三者アーカイブ等に事前分散済み
  • 抑圧・報復行為 （法的脅迫、DMCA悪用、雇用妨害、物理的脅迫等）は本調査の正しさの証拠と見なされ、更なる公開を招く旨を警告
  • 著者の健康・安全に関する 遺言的宣言 も明記
    • 何か起きれば全証拠・名前リストが第三者から自動公開

ウォッチリスト監視基盤の概要

  • Persona（withpersona.com）は サンフランシスコ拠点のID認証企業
  • 通常インフラは Cloudflare 配下で運用
    • 例：withpersona.com, inquiry.withpersona.com, app.withpersona.com, api.withpersona.com
  • ただしOpenAIのウォッチリストサービスは 専用GCPインスタンス で運用
    • openai-watchlistdb.withpersona.com → 34.49.93.177（GCP/Kansas City）、Cloudflare経由でなく独立
    • データ分離・機密性重視の専用構成
  • 証明書透明性（CT）ログから サービス開始時期・運用履歴 を特定
    • 2023年11月サービス稼働開始、2026年2月時点で27ヶ月稼働
    • OpenAIによるID認証義務化より 18ヶ月前 からウォッチリスト基盤稼働
    • 公開顧客事例・プライバシーポリシー改訂時期も記録

Persona APIと収集データ内容

  • Persona公式APIドキュメント（docs.withpersona.com）は 公開
  • OpenAIのような顧客が政府ID認証を実施すると 完全な個人情報レポート がAPIで返却
    • 本人情報： 氏名（現地表記含む）、生年月日、出生地、国籍、性別、身長
    • 住所： 番地、都市、州、郵便番号、国
    • 政府発行書類： 種別・番号・発行機関・有効期限・ビザ・車両区分等
    • メディア： ID表裏写真（URL）、セルフィー写真（URL/バイト数）、ビデオ
    • メタデータ： 信頼スコア、各種認証チェック、取得方法、タイムスタンプ
  • Persona事例によればOpenAIは 毎月数百万人 を自動スクリーニング
    • 99%以上が数秒で裏方処理
    • 顔認証アルゴリズム・カスタムフィルタ で多面的な監視
  • これらは 公開情報 として存在、隠蔽ではなく「見えにくい」形で運用

政府向けインフラ withpersona-gov.com の発見

  • ウォッチリストDB調査中に 政府向け別基盤 を発見
    • IP: 34.27.15.233（GCP/Iowaデータセンター）
    • 技術構成： Caddyサーバ、Go、Google Cloud CDN
    • サブドメイン例：
      • withpersona-gov.com（マーケティング）
      • app.withpersona-gov.com（ダッシュボード）
      • inquiry.withpersona-gov.com（認証フロー）
      • admin.withpersona-gov.com（管理画面）

調査の意義・今後への提言

  • PersonaおよびOpenAIの 法令遵守（FedRAMP等）実態監査 と 質問への回答 を要求
  • 調査結果を否定・抑圧する行為 はさらなる公開と社会的検証を招く
  • 「 メッセンジャーを殺してもメッセージは消えない」という原則の再確認
  • 公益目的の調査・報道 であり、今後も透明性と責任を追及

本記事は、AI・ID認証・監視社会の現実と、企業・政府の透明性の重要性を訴える調査報告の要約です。

Hackerたちの意見

残念ながら、Persona（私の場合はLinkedIn）で身分確認をされた別の国の人たちは、何ができるんだろう。

└

最近読んだブログ記事からの情報だよ； https://thelocalstack.eu/posts/linkedin-identity-verificatio... 1. データをリクエストする。idv-privacy@withpersona.com または privacy@withpersona.com にメールを送ってね。GDPRに基づいて、30日以内に返事が来るはず。 2. 削除をリクエストする。確認は終わってるし、LinkedInには結果がもうあるから。Personaがパスポートのスキャンや顔のデータをサーバーに保存しておく理由はないよ。削除してもらうように頼んでみて。 3. DPOに連絡する。dpo@withpersona.com — これが彼らのデータ保護責任者。もし「正当な利益」のもとで、彼らがあなたの書類をAIのトレーニングデータとして使うことに異議を唱えたいなら、ここでやってね。 4. 確認する前に二度考えて。あの青いバッジが、あなたがそれと引き換えにしているものの価値に見合うかどうか。チェックマークは見た目だけだし、生体データは永遠に残るから。

└

自分の国で組織を作って、データ削除の運動を推進したり、アメリカのデジタルサービスに対する新しい税金を提唱したり、アメリカの技術よりも自国の解決策を支持するために活動しよう。積極的に組織を作らないと、何も達成できないよ。人の力が金の力を上回ることを忘れないで。ただし、人の力が機能するためには、コミットする必要がある。

今日の別のスレッドからコメントをコピペするね[3]。ここにはPersonaのセキュリティチームからの直接の返答もあるよ[1]、リックとのTwitterでのやり取りもたくさんあるし[2]。 [1]: https://withpersona.com/blog/post-incident-review-source-map... [2]: https://x.com/Persona_IDV/status/2025048195773198385?s=20 [3]: https://news.ycombinator.com/item?id=47136036

└

withpersona.comのURLは404エラーが返ってくるみたい。

└

あの投稿でうまくダメージコントロールしてたね。

技術の進歩のたびに、夢を売られ、ミームを受け取っている気がする。いつも最悪のプレイヤー、アイデア、結果の組み合わせになってしまって、言われた技術が追加の自由や自由な時間を提供する約束は実現しない。社会はどれだけ多くの壊れた社会契約に耐えられるんだろう、崩壊する前に。

└

私の理解では、特定のグループのエリートたちが協力して「スーパーレヴィアタン」を運営するディストピア的な世界にかなり近づいていると思う。5〜10年後には、そういうレヴィアタン同士がぶつかり合うとき、私たちが選べる選択肢はなくなっているかもしれないね。

└

1984年を読んだことある？最後は誰が勝つの？

└

これらのミームは、私たちの自然資源をどんどん消費しているから、パンの生産地が崩壊したら、結局は崩れるよ。

└

これは「損失を社会化し、利益を私有化する」ってことだけど、今は金融の領域を超えて、個人の身体的自律や自由に関わる基本的な問題にまで驚くほど強化されてるね。

かなり前に言ったことを繰り返すけど：便利さは人間にとって、夜に光る電球が虫にとってのようなものだ。

Hacker Newsで議論の続きを見る