O que foi o I-XRAY
Em setembro de 2024, os estudantes de Harvard AnhPhu Nguyen e Caine Ardayfio construíram um sistema chamado I-XRAY que encadeou óculos inteligentes de consumo, um mecanismo de busca reversa por rosto e sites públicos de data brokers para identificar estranhos em tempo real. Eles demonstraram no transporte público de Boston — olhando para alguém e, em cerca de 90 segundos, vendo o nome, endereço residencial, número de telefone e empregador dessa pessoa na tela de um celular.
Publicaram um vídeo de demonstração no X em 30 de setembro de 2024, com a frase: "Estamos prontos para um mundo em que nossos dados são expostos com um olhar?" Em meados de outubro, o vídeo havia sido visualizado mais de 20 milhões de vezes. 404 Media, The Verge, Ars Technica, Forbes e o Harvard Crimson cobriram a história.
Os estudantes declararam explicitamente que nunca liberariam o código. Era um projeto de demonstração destinado a mostrar o que já era possível com ferramentas publicamente disponíveis — e a incentivar as pessoas a optar por sair dos bancos de dados que tornam isso possível.
Como funcionou tecnicamente
O I-XRAY não era um único software. Era um pipeline de serviços existentes, nenhum dos quais foi construído para esse propósito:
Passo 1 — Captura. Os óculos Ray-Ban Meta (Gen 2) transmitiam vídeo ao vivo para o Instagram Live. Um programa em laptop monitorava a transmissão ao vivo e extraía imagens de rosto do feed de vídeo.
Passo 2 — Busca reversa por rosto. As imagens de rosto eram enviadas ao PimEyes, um mecanismo de busca reversa por rosto sediado em Tbilisi, Geórgia. O PimEyes retornava URLs de fotos indexadas publicamente que correspondiam ao rosto — não um nome, mas links para páginas da web onde aquele rosto aparecia.
Passo 3 — Extração de identidade. Um modelo de linguagem grande extraía texto dessas URLs para inferir nome, ocupação, escola e outros detalhes de páginas web não estruturadas.
Passo 4 — Consulta a data brokers. Com um nome identificado, o sistema consultava sites públicos de busca de pessoas — FastPeopleSearch, CheckThem, Instant Checkmate — para recuperar endereço residencial, número de telefone, idade e parentes.
Passo 5 — Consulta mais profunda opcional. Com um número de telefone, o sistema podia consultar serviços como Cloaked.com para recuperar dígitos parciais do Social Security Number.
Todo o processamento acontecia em um computador externo, não nos óculos. Os óculos eram apenas uma câmera que parecia óculos comuns — que era todo o ponto. Nguyen disse ao Business Insider que o mesmo pipeline funcionaria com qualquer câmera, incluindo um smartphone. Os óculos tornavam isso oculto.
O que tornou os óculos centrais
Os estudantes escolheram os Ray-Ban Meta Gen 2 especificamente porque "parecem quase indistinguíveis de óculos comuns". Uma câmera de celular apontada para alguém em um trem é conspícua. Óculos que parecem óculos não são.
Eles também cobriram o LED indicador de gravação para tornar a varredura totalmente invisível — um detalhe que antecipou a investigação de adulteração de LED de Joanna Stern 20 meses depois.
Como a Meta respondeu
A declaração da Meta, repetida em vários veículos:
"Para deixar claro, os óculos Ray-Ban Meta não têm tecnologia de reconhecimento facial. Pelo que podemos ver, esses estudantes estão simplesmente usando software de reconhecimento facial publicamente disponível em um computador que funcionaria com fotos tiradas por qualquer câmera, celular ou dispositivo de gravação."
A Meta enfatizou três pontos: os óculos não executam reconhecimento facial no dispositivo; existe um LED de captura que o usuário não pode desabilitar; e os termos de serviço proíbem adulteração do LED. Os estudantes, é claro, simplesmente cobriram o LED.
Como o PimEyes respondeu
Em janeiro de 2025, o CEO do PimEyes Giorgi Gobronidze disse ao Snopes que a empresa "não estava envolvida" no I-XRAY e "não apoia tais experimentos". O PimEyes declarou que oito contas potencialmente ligadas ao projeto foram encerradas e que os estudantes usaram contas pessoais — a empresa não havia concedido acesso à API.
O PimEyes também manteve que seu serviço não "identifica" pessoas. Ele retorna links para páginas da web onde um rosto correspondente aparece. A distinção é tecnicamente precisa e praticamente irrelevante — os links levam a páginas que contêm nomes.
O que aconteceu depois
Nenhum código foi liberado. Os estudantes recusaram todos os pedidos. O Snopes confirmou em janeiro de 2025 que a ferramenta não estava ativamente mantida e estava totalmente funcional pela última vez em novembro de 2024.
Nenhum copycat documentado. Apesar da atenção viral, nenhuma reimplementação pública do I-XRAY foi encontrada em nenhuma reportagem até julho de 2026.
Engajamento acadêmico. O Library Innovation Lab da Harvard Law School hospedou um almoço com o Professor Jonathan Zittrain em janeiro de 2025 para discutir o projeto e orientações de opt-out.
Momentum legislativo. Nenhum projeto de lei dos EUA nomeia explicitamente o I-XRAY, mas a demonstração tornou-se um ponto de referência para legislação de privacidade de óculos inteligentes em 2026. O SB 1130 da Califórnia (apresentado em fevereiro de 2026) criminaliza gravação secreta por wearables em estabelecimentos comerciais e visa hardware que desabilita luzes de gravação. O HB 2603 da Pensilvânia (apresentado em junho de 2026) exige indicadores de gravação visíveis em óculos inteligentes.
A conexão com NameTag
Em junho de 2026 — 20 meses após o I-XRAY — a WIRED descobriu código dormente de reconhecimento facial chamado "NameTag" no app Meta AI, que tem 50 milhões de downloads. O código incluía detecção facial, geração de faceprint e um sistema de correspondência que podia reconhecer pessoas previamente encontradas pelo usuário.
I-XRAY e NameTag são sistemas tecnicamente diferentes. O I-XRAY usava busca reversa por rosto de terceiros para identificar estranhos. O NameTag usava faceprints biométricos no dispositivo para reconhecer pessoas que o usuário já havia conhecido. Mas o arco é o mesmo: o formato que torna os óculos inteligentes úteis para fotografia e assistência por IA é o mesmo formato que permite vigilância sem consentimento.
A Meta removeu quase todo o código do NameTag do app em 24 horas após o relatório da WIRED, após protesto público e uma carta de coalizão liderada pela ACLU assinada por 75 organizações.
Por que o I-XRAY importa para detecção
O pipeline do I-XRAY exigia que os óculos transmitissem ao vivo para o Instagram — o que significa que os óculos estavam transmitindo ativamente por Wi-Fi e Bluetooth. Todo o pipeline dependia de comunicação sem fio entre os óculos e o celular pareado.
Esse é exatamente o sinal que a detecção por rádio lê. O Glasses Radar não tenta determinar se reconhecimento facial está rodando do outro lado. Ele detecta que óculos equipados com câmera estão nas proximidades e se comunicando — a pré-condição para todo ataque no estilo I-XRAY.
A própria recomendação de opt-out dos estudantes era remover-se do PimEyes e dos sites de data brokers. É um bom conselho e vale a pena fazer. Mas é defesa depois do fato — reduz o dano de uma tentativa de identificação, mas não informa que uma está acontecendo. Consciência de que óculos com câmera estão presentes é a primeira linha de defesa.
Como optar por sair dos bancos de dados que o I-XRAY usou
Os estudantes publicaram um Google Doc com instruções de opt-out. Os passos principais:
- PimEyes — Solicite a remoção do seu rosto do índice em pimeyes.com/en/opt-out-request-form
- FaceCheck.ID — Envie uma solicitação de remoção
- FastPeopleSearch — Acesse fastpeoplesearch.com/removal e siga o formulário
- CheckThem — Solicite remoção em checkthem.com/optout
- Instant Checkmate — Use instantcheckmate.com/opt-out
Essas remoções reduzem sua exposição, mas não são permanentes. Data brokers reindexam registros públicos. Optar por sair é uma tarefa recorrente, não uma correção única.
A conclusão
O I-XRAY demonstrou em 2024 o que muitos pesquisadores de privacidade alertavam há anos: óculos inteligentes de consumo que parecem óculos comuns, combinados com ferramentas de reconhecimento facial livremente disponíveis e data brokers não regulados, tornam a identificação de estranhos em tempo real possível para qualquer pessoa motivada o suficiente para encadear as ferramentas.
O código nunca foi liberado. O pipeline não é mais mantido. Mas cada componente ainda existe e ainda é publicamente acessível. O PimEyes ainda está operando. Data brokers ainda vendem registros. E os óculos agora vendem em volume maior do que quando a demonstração viralizou.
O modelo de ameaça que o I-XRAY estabeleceu não é hipotético. Foi demonstrado em um trem, em câmera, e assistido por dezenas de milhões de pessoas.
