Wat I-XRAY was
In september 2024 bouwden Harvard-studenten in het derde jaar AnhPhu Nguyen en Caine Ardayfio een systeem genaamd I-XRAY dat consumentensmart glasses, een reverse face-search engine en openbare data-broker-sites aan elkaar koppelde om vreemden in realtime te identificeren. Ze demonstreerden het in het openbaar vervoer van Boston — naar iemand kijken, en binnen ongeveer 90 seconden de naam, het thuisadres, het telefoonnummer en de werkgever van die persoon op een telefoonscherm zien.
Ze plaatsten op 30 september 2024 een demovideo op X met de slogan: "Are we ready for a world where our data is exposed at a glance?" Tegen half oktober was de video meer dan 20 miljoen keer bekeken. 404 Media, The Verge, Ars Technica, Forbes en de Harvard Crimson besteedden allemaal aandacht aan het verhaal.
De studenten verklaarden expliciet dat ze de code nooit zouden vrijgeven. Dit was een demonstratieproject bedoeld om te tonen wat al mogelijk was met publiek beschikbare tools — en om mensen aan te zetten zich af te melden bij de databases die het mogelijk maken.
Hoe het technisch werkte
I-XRAY was geen enkel stuk software. Het was een pijplijn van bestaande diensten, waarvan geen enkele voor dit doel was gebouwd:
Stap 1 — Vastleggen. Ray-Ban Meta-brillen (Gen 2) streamden video live naar Instagram Live. Een laptopprogramma bewaakte de livestream en extraheerde gezichtsafbeeldingen uit de videofeed.
Stap 2 — Reverse face search. Gezichtsafbeeldingen werden geüpload naar PimEyes, een reverse face-search engine gevestigd in Tbilisi, Georgië. PimEyes gaf URL's terug van publiek geïndexeerde foto's die bij het gezicht pasten — geen naam, maar links naar webpagina's waar dat gezicht verscheen.
Stap 3 — Identiteitsextractie. Een groot taalmodel scraapte tekst van die URL's om een naam, beroep, school en andere details af te leiden uit ongestructureerde webpagina's.
Stap 4 — Data-broker-lookup. Met een geïdentificeerde naam bevroeg het systeem openbare people-search-sites — FastPeopleSearch, CheckThem, Instant Checkmate — om een thuisadres, telefoonnummer, leeftijd en familieleden op te halen.
Stap 5 — Optioneel dieper onderzoek. Met een telefoonnummer kon het systeem diensten zoals Cloaked.com bevragen om gedeeltelijke Social Security Number-cijfers op te halen.
Alle verwerking vond plaats op een externe computer, niet op de brillen. De brillen waren slechts een camera die eruitzag als gewone brillen — en dat was precies het punt. Nguyen vertelde Business Insider dat dezelfde pijplijn met elke camera zou werken, inclusief een smartphone. De brillen maakten het heimelijk.
Wat de brillen centraal maakte
De studenten koos specifiek Ray-Ban Meta Gen 2 omdat ze "bijna niet te onderscheiden zijn van gewone brillen." Een telefooncamera die op iemand op een trein is gericht, valt op. Brillen die eruitzien als brillen, niet.
Ze bedekten ook de opname-indicator-LED om de scan volledig onzichtbaar te maken — een detail dat het LED-manipulatieonderzoek door Joanna Stern 20 maanden later voorspelde.
Hoe Meta reageerde
Meta's verklaring, herhaald in meerdere media:
"To be clear, Ray-Ban Meta glasses do not have facial recognition technology. From what we can see, these students are simply using publicly available facial recognition software on a computer that would work with photos taken on any camera, phone, or recording device."
Meta benadrukte drie punten: de brillen voeren geen gezichtsherkenning on-device uit; er bestaat een opname-LED die niet door de gebruiker kan worden uitgeschakeld; en de servicevoorwaarden verbieden LED-manipulatie. De studenten hadden de LED natuurlijk simpelweg bedekt.
Hoe PimEyes reageerde
In januari 2025 vertelde PimEyes-CEO Giorgi Gobronidze aan Snopes dat het bedrijf "niet betrokken" was bij I-XRAY en "dergelijke experimenten niet ondersteunt." PimEyes verklaarde dat acht accounts mogelijk gekoppeld aan het project werden gesloten en dat de studenten persoonlijke accounts hadden gebruikt — het bedrijf had geen API-toegang verleend.
PimEyes hield ook vol dat de dienst mensen niet "identificeert." Het geeft links terug naar webpagina's waar een overeenkomend gezicht verschijnt. Het onderscheid is technisch accuraat en praktisch irrelevant — de links leiden naar pagina's die namen bevatten.
Wat daarna gebeurde
Geen code vrijgegeven. De studenten weigerden alle verzoeken. Snopes bevestigde in januari 2025 dat de tool niet actief werd onderhouden en voor het laatst volledig functioneel was in november 2024.
Geen gedocumenteerde copycats. Ondanks de virale aandacht werd in geen enkel verslag tot juli 2026 een publieke herimplementatie van I-XRAY gevonden.
Academische betrokkenheid. Harvard Law School's Library Innovation Lab organiseerde in januari 2025 een lunch met professor Jonathan Zittrain om het project en opt-out-richtlijnen te bespreken.
Wetgevende momentum. Geen enkele Amerikaanse wet noemt I-XRAY expliciet, maar de demonstratie werd een referentiepunt voor smart-glasses-privacywetgeving in 2026. California's SB 1130 (ingediend februari 2026) criminaliseert heimelijk draagbaar opnemen in bedrijven en richt zich op hardware die opnamelampjes uitschakelt. Pennsylvania's HB 2603 (ingediend juni 2026) vereist zichtbare opname-indicatoren op smart glasses.
De NameTag-connectie
In juni 2026 — 20 maanden na I-XRAY — ontdekte WIRED slapende gezichtsherkenningscode genaamd "NameTag" in de Meta AI-app, die 50 miljoen downloads heeft. De code omvatte gezichtsdetectie, faceprint-generatie en een matchingsysteem dat eerder ontmoete mensen kon herkennen.
I-XRAY en NameTag zijn technisch verschillende systemen. I-XRAY gebruikte third-party reverse face search om vreemden te identificeren. NameTag gebruikte on-device biometrische faceprints om mensen te herkennen die de drager eerder had ontmoet. Maar de boog is dezelfde: de vormfactor die smart glasses nuttig maakt voor fotografie en AI-assistentie is dezelfde vormfactor die surveillance zonder toestemming mogelijk maakt.
Meta verwijderde vrijwel alle NameTag-code uit de app binnen 24 uur na het WIRED-rapport, na publieke verontwaardiging en een door ACLU geleide coalitiebrief ondertekend door 75 organisaties.
Waarom I-XRAY relevant is voor detectie
De I-XRAY-pijplijn vereiste dat de brillen live streamden naar Instagram — wat betekent dat de brillen actief via Wi-Fi en Bluetooth verzonden. De hele pijplijn hing af van draadloze communicatie tussen de brillen en de gekoppelde telefoon.
Dit is precies het signaal dat detectie op basis van radio leest. Glasses Radar probeert niet te bepalen of gezichtsherkenning aan de andere kant draait. Het detecteert dat camera-uitgeruste brillen in de buurt zijn en communiceren — de voorwaarde voor elke I-XRAY-stijl aanval.
De eigen opt-out-aanbeveling van de studenten was om jezelf te verwijderen uit PimEyes en data-broker-sites. Dat is goed advies en de moeite waard. Maar het is verdediging achteraf — het vermindert de schade van een identificatiepoging maar vertelt je niet dat er een plaatsvindt. Bewustzijn dat camerabrillen aanwezig zijn is de eerste verdedigingslinie.
Hoe je je afmeldt bij de databases die I-XRAY gebruikte
De studenten publiceerden een Google Doc met opt-out-instructies. De kernstappen:
- PimEyes — Vraag verwijdering van je gezicht uit hun index aan op pimeyes.com/en/opt-out-request-form
- FaceCheck.ID — Dien een takedown-verzoek in
- FastPeopleSearch — Bezoek fastpeoplesearch.com/removal en volg het formulier
- CheckThem — Vraag verwijdering aan op checkthem.com/optout
- Instant Checkmate — Gebruik instantcheckmate.com/opt-out
Deze verwijderingen verminderen je blootstelling maar zijn niet permanent. Data brokers indexeren openbare records opnieuw. Afmelden is een terugkerende taak, geen eenmalige oplossing.
De kern
I-XRAY demonstreerde in 2024 wat veel privacyonderzoekers jarenlang hadden gewaarschuwd: consumentensmart glasses die eruitzien als gewone brillen, gecombineerd met vrij beschikbare gezichtsherkenningstools en ongereguleerde data brokers, maken realtime identificatie van vreemden mogelijk voor iedereen die gemotiveerd genoeg is om de tools aan elkaar te koppelen.
De code is nooit vrijgegeven. De pijplijn wordt niet meer onderhouden. Maar elk onderdeel bestaat nog steeds en is nog steeds publiek toegankelijk. PimEyes is nog steeds actief. Data brokers verkopen nog steeds records. En de brillen worden nu in groter volume verkocht dan toen de demo viraal ging.
Het dreigingsmodel dat I-XRAY vestigde is niet hypothetisch. Het werd gedemonstreerd in een trein, op camera, en bekeken door tientallen miljoenen mensen.
