加载失败
Hack Club 是面向青少年的非营利编程社群，评论指其用于管理本地社团的 'neighbourhood' 服务在 2025 年 7 月存在未认证 API，能通过 Slack ID 暴露数千名用户的法定姓名与可能的敏感信息。作者向官方发出正式通知却未收到实质回应，部分员工据称以 ChatGPT 给出的建议回应并表示不受 GDPR 约束，另有让实习生处理法律问题的说法。讨论围绕儿童数据的敏感性、COPPA 与 GDPR 的适用性、组织的合规和安全实践缺失，以及 LLMs 在攻防与错误决策中的双刃剑作用展开。评论同时指出原帖站点的可读性与性能问题可能妨碍公众理解与维权行动的推进。
评论指出 OP 于 2025 年 7 月发现 Hack Club 的 "neighbourhood" 服务存在未认证的 API，任何人只要有 Slack ID 就能通过 URL 参数获取数千名用户的法定全名和其它敏感字段。作者向官方发送了正式漏洞/泄露通知却未得到实质回复，部分员工据称将暴露物理地址等敏感信息称作“只是漏洞”而非数据泄露并表现出轻率态度。更令人担忧的是，有评论指出组织内部依赖 ChatGPT 给出法律意见并让未成年实习生处理合规问题，这被多数人视为对未成年成员数据的严重失职和潜在剥削。该组观点将事实性漏洞与组织回应方式并列为主要问题，强调这是需要外部审查或法律介入的严重事件。
多位评论强调该事件可能触及 COPPA（美国儿童在线隐私保护法）与 GDPR（欧盟通用数据保护条例）的适用性，尤其是当被处理者为未成年人或欧盟居民时。有人指出若构成 COPPA 违规，罚款可能按每位受影响儿童计数且金额巨大，数千条记录的暴露将带来巨额责任。也有评论反驳组织以总部在美国为由否认 GDPR 责任的说法，强调法律适用取决于数据主体所在地与处理方式，不能简单以总部所在地来规避监管。因此评论者把法律风险和潜在罚款视为推动追责的关键证据。
有人警告 LLM（大型语言模型）与 ChatGPT 不仅被组织内部误用作法律顾问，也可能被低技能攻击者或所谓的“黑客汗工厂”用于快速生成漏洞利用策略，从而放大裸露 API 的风险。评论提出，鉴于生成式模型能降低攻击门槛，账号登录、PII 与支付等敏感功能应集中到成熟的身份提供者或可靠的 SSO 方案，甚至建议由政府或开源项目提供可信的中央服务。对用 ChatGPT 替代专业法律或安全判断的批评集中且强烈，认为这导致合规误判并助长组织轻率处理未成年数据的态度。
多位网友抱怨原帖站点的可读性与性能：全小写风格、背景动画和大量 JS 导致页面卡顿，有人报告 RTX Pro 6000 被占用约 40% 的 GPU 资源并影响滚动流畅度。多条回复建议使用 reader mode 或屏蔽 JS 来绕过动画与追踪，以便专注内容；还指出浮夸的视觉设计会降低事实被关注的概率。这些反馈被视为信息传播的实际障碍，可能妨碍证据获取、舆论压力与后续合规行动的效果。
评论对是否持续追责存在明显分歧：一派认为作者应学会择战，把经历当作现实教育，不必把每件事都上升为法律斗争；另一派坚持这是对未成年人的数据剥削，组织应承担法律与道德责任并接受外部追究。也有人指出沟通策略很重要：若最初通报以指责或直接宣判违法开始，受访方可能更防御性而不配合修复，从而影响实质性改进。总体上，社区在如何平衡实际效果、维护未成年权益与成本之间并未达成一致意见。
GDPR: GDPR（欧盟通用数据保护条例）——适用于处理或针对欧盟居民个人数据的法律，规定数据主体权利、透明度与高额行政罚款，并对跨境传输有严格限制。
COPPA: COPPA（Children's Online Privacy Protection Act，美国儿童在线隐私保护法）——美国联邦法规，限制针对 13 岁以下儿童的数据收集与使用，要求家长同意并允许监管机构按受影响儿童计罚。
PII: PII（Personally Identifiable Information，个人识别信息）——可单独或组合用于识别某个个体的数据，如全名、地址、Slack ID 等，处理与暴露需遵循最小化与访问控制原则。
SSO: SSO（Single Sign-On，单点登录）——通过集中式身份提供者为多个服务提供一次认证，能把凭证管理与敏感操作交给成熟系统以降低各站点自行处理风险。
WebGL: WebGL（Web Graphics Library）——浏览器中用于 GPU 加速渲染的 API，复杂或不当实现的动画会大量占用 GPU/CPU，影响页面性能与可读性。
LLM: LLM（Large Language Model，大型语言模型）——如 ChatGPT 的生成式模型，可自动生成文本或辅助发现漏洞，但并非法律或安全专家，其输出可能误导决策。