Home Assistant 扫描秘密引争议

I never authorized an integration that scans my secrets

作为一名安全专家，我从未授权任何集成扫描我的 secrets，但 Home Assistant 却在未经我许可的情况下，自动将数据发送给 HIBP。尽管官方声称这并非隐私侵犯，并引用 Cloudflare 的 k-anonymity 技术作为依据，强调密码从未被直接发送，但我认为这种默认开启的机制存在巨大风险。作为曾为 Twitter 部署 1Password 的 Red Team 成员，我深知此类功能若被恶意利用，可能导致全球 Home Assistant 用户的凭证被窃取。我强烈要求将其改为 opt-in 模式，而非强制开启。然而，官方最终将此问题标记为 won't fix，并拒绝讨论关闭该功能的可能性，甚至对用户的卸载威胁表示冷漠。这场关于隐私控制权的争论，最终以社区分裂和议题被锁定告终。