描述 问题类型 其他（内容格式、链接或图像损坏、无法使用的组件问题） 问题描述 这是一种相当严重的隐私侵犯。我从未授权过任何集成或插件来扫描我的秘密并将其发送上游，即使它们是已哈希的或未哈希的。这种机制可能被拥有访问家庭助手 GitHub 存储库的恶意攻击者滥用。 我该如何关闭这个东西？ 建议解决方案 将其设置为可选功能，而不是自动将用户加入到使用他们不知道的系统进行秘密扫描中。 URL https://www.home-assistant.io/more-info/pwned-passwords/ 版本 2026.10.1 你如何知道建议的解决方案是正确的？ 没有回复 附加信息 没有回复 由于此存储库是为了我们的文档，我将其保留为关闭状态，但我想跟进，因为我早期的回复显得比这更不屑。对此我表示歉意。 事实证明，这个检查实际上可以关闭： ha security options --pwned=false 为了透明起见：这个检查并不是新功能，它已经是 Supervisor 的一部分多年。它检查标记为密码的应用选项。最近的版本修正了出现它的警告，这就是你现在看到它的原因。隐私从一开始就是这个功能的设计要求，这就是为什么你的秘密从未离开你的系统。Supervisor 在本地对它们进行哈希处理，只发送前 5 个字符。查看完整评论。 活动 2026年10月16日，frenck 评论 会员 嗨，大家好👋 这并不是隐私侵犯，外面肯定还有其他应用程序这样做（最著名的是 1Password 密码管理器）。你的密码从未发送出去，也从未发布。具体信息请查看这里：https://blog.cloudflare.com/validating-leaked-passwords-with-k-anonymity/ 实际上，它的设计是考虑到隐私来处理这些类型的数据，另请参见：https://en.wikipedia.org/wiki/K-anonymity 如果说有什么，要从输出中学习，因为您正在使用的秘密已列入密码数据库，因此很容易被"破解"。 ../Frenck 在 frenck.dev 撰写我的个人杂记 2026年10月16日，Viss 评论 作者 我运营 Phobos Group，周游世界进行安全主题演讲。我非常熟悉 HIBP，并且曾经见过 Troy。 2011年，我作为他们唯一的红队工作人员在 Twitter 部署了 1password。我仍然不高兴的是，家庭助手未经我的选择和许可，扫描了我的 HA 安装并将信息发送到 HIBP。这应该是可选择的功能，而不是会“自动发生”的事情。作为红队成员，我可以列出长长的清单，讲述如何滥用这个功能从全球每个 HA 安装中窃取凭据。 2026年10月16日，Viss 评论 作者 直到我满意 HA 没有在未经我权限的情况下从我的系统中获取信息并将其发送给第三方，这个问题都不会关闭。 2026年10月16日，frenck 评论 会员 该问题被关闭，无需修复。抱歉。 ../Frenck 2026年10月16日，0x00string 评论 嗨，我是老用户了。请重新打开此问题并解决如何禁用这个问题。如果当前没有实现禁用的方法，请考虑实施这一功能，而不是坚持让用户群接受这一点，并对你们的说法深信不疑。这个回复让人感觉非常不屑，作为这个平台的用户，我对此深感不快，因为我和 OP 有着完全相同的担忧，并且不相信这里的回复充分解决了这些问题。如果对合理解决此事没有兴趣，请让我们知道，以便我们可以卸载并分叉。 2026年10月16日，frenck 评论 会员 请告诉我们，以便我们可以卸载和分叉 抱歉，这些不是我们可以解决的声明。做出这样的威胁和试图威吓不会带你走向任何地方。如果你想提出功能请求，可以，但我们有相应的地方。此报告是关于我们的文档的。我无法调整任何文档来处理此事。因此关闭为无需修复。如果这让你决定卸载和分叉… 🤷 那就这样吧，反正这是开源的。../Frenck 在 frenck.dev 撰写我的个人杂记 2026年10月16日，troed 评论 这不是隐私侵犯 是的，确实是。 /whitehat 黑客因过于激烈而锁定，将对话限制在协作者之间，日期为 2026年10月16日。 2026年10月16日，frenck 评论 会员 由于此存储库是为了我们的文档，我将其保留为关闭状态，但我想跟进，因为我早期的回复显得比这更不屑。对此我表示歉意。事实证明，这个检查实际上可以关闭。