2.16次。这是麦当劳认为某个人未来六周会光顾它的次数——准确说不是“某个人”，是 WIRED 的记者 Reece Rogers。他按加州的数据访问权申请了自己在忠诚度计划里的全部数据，拿回来一份515页的报告，里面写着：未来六周预计到店2.16次，平均每单13.49美元，总共29.15美元。还有一个数字更妙——流失风险，0。系统认为他永远不会走。
我盯着这个0看了很久。不是因为它吓人，是因为它太诚实了。诚实到把整个推荐系统行业平时塞在“个性化体验”这个词底下的东西，一次性全倒了出来。
先说清楚为什么值得往回挖这件事。表面上看这是个隐私新闻，学界照例出来各说各的——Cranor 说500页报告是警钟但格式没法读，Calo 说权力不平衡，Waldman 说单条数据不算什么、聚合起来就是侵入性的。这些话都对，但都对得太熟练了，熟练到像在念十年前的稿子。真正让我坐直的是另一件事：这份报告是系统自愿交出来的。没人黑进去，没人传内部文件，就是用户依法要了一份自己的数据，系统就把它平时算的所有东西原样打印了出来。换句话说，515页不是泄露，是账本。它一直都在，只是从来没人看。
这一步是分水岭——不是技术上的，是叙事上的。
往回看这条时间线。忠诚度计划最早真的是 stamps 和 punch card，纸质的那种，咖啡店买十杯送一杯，店员拿打孔器在你卡片上戳一下。那个年代的“数据”是什么？是你口袋里那张卡上的十个孔。店员不知道你是谁，不知道你几点来，不知道你上次点了什么，更不知道你“下次最可能点什么”。然后积分电子化了，然后会员绑定了手机号，然后 App 出现了，然后每一笔交易、每一次扫码、每一次参加大富翁抽奖扫的码和中的奖——报告里连这个都记了——全部进了同一个池子。再然后，RFM 模型（近因、频率、金额，报告里明说了用的就是这个）套上去，行为原型聚类上去——那位记者被归进内部组"CV2"，行为画像两种：“以食物为主的下午零食”和“匆忙中的外带午餐”——最后再叠一层预测：大杯健怡可乐，鸡肉卷饼，旧金山和圣巴巴拉，61次访问。
从打孔卡到“你流失概率为0”，这条路上没有一个环节是偷偷摸摸干的。每一步都有正当理由：积分要电子化才好管理，App 要绑手机号才好发券，RFM 是营销行业用了几十年的标准方法，预测模型是为了“推送相关优惠”——麦当劳发言人的原话，认真对待隐私，个性化体验。每一句单拎出来都挑不出毛病。可是把这些正当理由串起来，你得到的就是一台记录你行踪、推断你习惯、预测你行为、并且判断你永远不会走的机器。
数字民主中心的 Jeff Chester 说了句挺狠的话，说麦当劳的“秘制酱料”其实是商业监控。这话听着像标题党，结构上没说错。我上一篇讲过这类演进——一个系统从“记录交易”长成“刻画个人”，中间不需要任何一次恶意的决策，只需要每一次都往“更了解用户”的方向多走一小步，而每一步在当时都是合理的商业选择。这正是最麻烦的地方：你找不到那个该被骂的人。骂1993年发明电子积分卡的那拨人吗？骂设计 RFM 模型的营销学者吗？还是骂那个决定把大富翁抽奖扫码记录也存下来的产品经理？他们都只是在做当时看起来对的事。
这里得替麦当劳说一句——不是替它辩护，是职业习惯，先放回语境再骂。它把数据交出来了，515页，交得这么全乎，恰恰说明它在合规上没打算藏着掖着。真正交不出数据、或者交出来只有三页“您的积分余额为0”的公司多的是。麦当劳的尴尬在于它太老实了：老实到把系统算的每一件事都打印了出来，于是所有人都看见了系统平时在算什么。这有点黑色幽默——做得最合规的那家，挨了最响的一记耳光。
但我不想让这一段把整件事的分量卸掉。真正的问题不在麦当劳，在结构。
那个0才是核心。流失风险为0，意味着系统对一个人的判断已经收敛到了“你跑不掉”。这不是 bug，这是所有订阅制、会员制、平台型生意的终极梦想——把用户的行为变成可预测的资产。预测准了，库存、定价、推送、选址全都能优化；而预测要准，就得喂足够多的数据；喂得越多，预测越准；越准，越没有理由停。这个飞轮没有一个天然的刹车点，刹车只能从外面加——加州那个数据访问权，就是从外面加的刹车之一。所以这份515页与其说是罪证，不如说是刹车片第一次咬合时溅出来的火花：你终于有机会看一眼，飞轮转了这么多年，到底攒下了什么。
Cranor 教授提的建议是在注册阶段做更详细的披露。说实话我对这条路挺悲观。注册阶段的披露，历史上从来没赢过——隐私政策的平均阅读时间摆在那，没人读，读了也不懂，懂了也没得选。这不是用户懒，是披露这个工具的功率就那么大，你让它去对抗一个 RFM 加聚类加预测模型的系统，等于拿手电筒照太阳。真正有用的从来不是事前知情，是事后可见——你得先让那个记者拿到515页，让公众看见“流失风险0”长什么样，愤怒和立法的素材才算备齐了。透明的事后审计比事前同意有效一个数量级，这个判断我敢下。
那位记者最后做了两件事：申请删除全部数据，然后宣布不再去麦当劳——理由让我笑出声，他说要证明算法的预测是错的。一个被标记为“永不流失”的用户，用退出来证明系统看错了他。这个动作在工程上毫无意义（样本量为一，而且他删了数据，系统再也没机会更新对他的判断），但我莫名觉得它是整件事里唯一有尊严的回应。515页纸、61次访问、两种行为原型、一杯大杯健怡可乐，全部指向一个结论“你不会走”——而他说，我走给你看。
回头看，这件事里没有任何新技术。RFM 是几十年前的老东西，聚类是教科书内容，行为预测是每个推荐团队的日常。新的只是把它们全打印在了一起，装订成册，寄给了数据的主人。技术史上有一种反复出现的时刻：系统运转了很多年，没人觉得有问题，直到某一天它的内部状态被完整地暴露在光下，所有人才第一次看清自己一直在跟什么打交道。1960年代的信用评分经历过这个，浏览器的 third-party cookie 在2010年代经历过这个——每次都是“原来它一直在记这些”的集体惊愕，然后是立法，然后是打补丁，然后系统换个更隐蔽的形态继续。
这次大概也不会例外。补丁会打上，披露会更细一点，报告会短一点、好看一点。但只要“预测用户下一次行为”还是这门生意的核心利润来源，那份515页的账本就只是换了个更难调取的存放方式。
0还是0。