该论文针对《加州消费者隐私法案》(CCPA) 生效五年后缺乏规模化合规审计手段这一问题, 提出了一套名为 PrivAudit 的自动化审计框架。作者指出, 既有研究多依赖人工、个案式的执法与检查, 无法系统性地覆盖网站面向用户的两个关键合规信号: 隐私披露内容与前端用户追踪行为。PrivAudit 采用“双镜片”设计: 其一, 基于大语言模型对隐私政策文本进行解析, 并将分析锚定在 CCPA 的具体条款之上, 判断政策是否披露了退出机制 (opt-out)、数据共享实践与用户权利等信息; 其二, 通过自动化浏览器测量, 在多种隐私配置 (如不同地区、不同同意选择状态) 下记录网站写入 cookie 的行为, 从而观察用户可感知的数据收集活动。作者将框架应用于 998 个网站, 得到两组主要结论。第一, 法律确实与更强的隐私披露相关: 受 CCPA 约束的政策更倾向于公开退出机制、数据共享做法和用户权利。第二, 基于 cookie 的追踪依然普遍, 受约束与不受约束的网站合计写入了 6,392 个定向 (targeting) cookie, 其中 49% 为第三方写入; 而且这些 cookie 对隐私信号与用户同意选择的响应程度仅为有限到中等, 即便网站在政策中声称会尊重相关选择。研究因此强调, 需要将政策文本分析与行为证据相结合的多层次、可扩展审计方法; PrivAudit 可大规模产出可供人工复核的可操作信号与模式, 作者已开源该框架并与监管机构合作推动落地。