# 亮出你的脸 **Deck:** 2026 年 6 月 30 日，三大洲的三个政府在同一天冲着同一样东西下手——不是你的加密，而是你的匿名。在布鲁塞尔，欧盟围绕 Chat Control 打了三年的仗迎来了最后一场按计划举行的三方会谈，而加密这一方赢下了最要紧的那个论点：到 6 月中旬，各机构已暂时达成一致，把端到端加密的内容排除在适用范围之外，承认了它的捍卫者重复了十年的那套数学——你无法在不为所有人破坏加密的前提下扫描一条加密消息。但在强制扫描被拿下桌之后，年龄验证成了退路——一项由理事会与委员会推动、被议会抵制的要求：用户必须先用身份证件或人脸扫描证明自己的年龄，才可以使用加密通讯账号，Patrick Breyer 称之为“匿名通信权的终结”。同一周，墨西哥的期限到来，要求把这个国家的每一条移动线路——超过 1.44 亿条——与持有人的政府身份证件和全国人口编号绑定，终结了匿名 SIM 卡；与此同时，国家正在建立一套并行的生物识别国民身份，采集面部、全部十枚指纹和双眼虹膜。而在英国，一项针对 16 岁以下人群的社交媒体新禁令，将要求平台验证每一位用户的年龄，也就意味着每一位成年人都要证明自己不是儿童。三个身份期限，一周之内，同一个形状：隐私运动花了十年时间加固机密性——你说了什么——并且大体上赢了。它对匿名性投入不足——即你可以在不先证明自己是谁的前提下发言、阅读和连接——而在 6 月 30 日，这项属性在三大洲同时倒下。端到端加密从来就不是为保护它而建的。本期论证那件令人不适的事：机密性赢了，匿名性输了，而匿名性正是我们口袋里的密码学无法独自赢回来的那一半。 **By:** URnetwork 编辑部 **Dateline:** 旧金山 — 2026年6月30日 **Category:** 新闻 / 分析 --- ## 亮出你的脸 先从胜利说起，因为它是真实的，而隐私界有理由认领它。 三年来，欧盟一直在推进一项被互联网称作 Chat Control 的法规：一项要求通讯服务商扫描私人通信内容以查找虐待材料的提案。在它最激进的版本里，它要求客户端扫描——在你自己的设备上运行软件，在消息被加密之前检查它们。而在最要紧的那个问题上，加密这一方赢了。在其 2025 年 11 月的谈判立场中，理事会取消了强制检测，并为加密通信增加了保护；内部文件显示，到 2026 年 6 月中旬，三家机构已暂时达成一致，把端到端加密的内容完全排除在该法规的适用范围之外。第五轮也是最后一轮按计划举行的三方会谈在 6 月 29 日召开，处理剩下的问题。就目前而言，对你的加密消息进行强制扫描，已经被拿下了桌。 它之所以被拿下桌，是因为密码学家们反复陈述、直到被听进去的一个事实。领导马克斯·普朗克安全与隐私研究所的 Carmela Troncoso 在 11 月直白地说过：“一旦内容对发送者或接收者之外的第三方可及，加密所提供的保护就消失了。”不存在既能保住加密又能扫描的做法；只存在在设备上切出的一道门，而给扫描器开的门就是给所有人开的门。八百多位科学家联署了一封公开信，称人口规模的检测“并不适宜”。Signal 的总裁 Meredith Whittaker 表示公司宁可退出欧盟也不会去建它：“如果让我们在把一台监控机器装进 Signal 和退出这个市场之间做选择，我们会退出这个市场。”Apple 早在 2022 年就已放弃了自己的扫描系统，并警告说它“会制造出新的威胁向量”。架构说了不，而一整块大陆——在三年之后——听进去了。 那是隐私运动懂得怎么打的那场仗。它在 Apple 与 FBI 的对峙、EARN IT 法案、英国《在线安全法》里那条间谍条款，以及五轮欧盟三方会谈中打过这场仗，而在架构层面它大体上赢了。加密在世界上最大的那些通讯软件里成了默认，数学没得谈，而在 2026 年，这一点被承认了。 所以本期以这场胜利开场。然后提出这场胜利所掩盖的那个问题：如果他们没能打破加密，那他们转而去够了什么？ 答案就在同一份文本里。强制扫描没了之后，年龄验证成了理事会与委员会的退路——一项要求用户在使用“高风险”服务之前先验证年龄的规定，意味着要发一条私人消息、发一封电子邮件或下载一个应用，就得做一次人脸扫描或出示一份政府身份证件。欧洲议会的授权立场拒绝强制年龄验证，恰恰是为了保住匿名通信；理事会的授权立场保留了它；而现在，这一点——而不是扫描——才是一份仍在谈判中的协议里悬而未决的核心，最后一轮三方会谈的结果尚不确定，可能达成的协议正滑向 7 月。有一份关于此刻的记述精确点出了利害所在：在那套框架下，匿名的加密通信就此终结。加密活了下来。匿名没有。 记住这句话，因为它就是整期的内容。然后把镜头拉开，因为 6 月 30 日不是一个数据点。它是三个。 ## 一场自由对话的两项属性 一场私密对话有两项属性，而隐私运动把大部分精力都花在了捍卫其中一项上。 第一项是**机密性**：你说的话保持秘密。消息的内容只有你和你正在交谈的那个人能读懂——平台不能，运营商不能，国家也不能。这就是端到端加密被建出来所要保护的属性，也是今年赢下来的那项属性。当人们说“加密了”的时候，他们指的就是这个，而它确实在数学上站得住：一条正确实现的端到端加密通道，任何持有密文的人都读不了，而任何法规都改变不了这套数学，除非强行植入一个后门——而架构及其捍卫者可以拒绝这个后门。 第二项是**匿名性**：你根本无需先证明自己是谁，就能进行这场对话。你可以买下这张 SIM 卡、开这个账号、读这个页面、加入这个频道、并且说话——而不必把你的法律身份、你的脸、你的指纹或你的政府凭证绑到这个行为上。这不是加密的属性。端到端加密保护的是信封里的内容；它从来就不是为了保护你能不亮脸就买到信封而设计的。你可以同时拥有完美的机密性和零匿名性：一款把每个字节都加密得无懈可击、却要求人脸扫描才能开户的通讯软件，交付的正是这个——你的话是秘密的，而说这些话的是*你*、是一个已注册的身份，这一点不是秘密。加密服务仍然知道你的账号、你的号码、你的设备、你的地址，以及你的社交图谱——你和谁说话、什么时候、多频繁。加密藏住的是信。它从来就不是为了藏住信封、邮戳，或是你出示证件才能寄信的那个柜台前的队列。 这就是当下核心的那个范畴错误。十年来，“它加密了吗？”成了公众判断一个工具是否安全的检验标准，而答案越来越多地是肯定的。但加密向来是对*内容*监控的回答，而 2026 年到来的这些身份强制令攻击的是*匿名性*——一项不同的属性，靠不同的手段捍卫，而眼下捍卫得弱得多。吹哨人、拨打庇护所热线的受虐幸存者、查询性健康问题的青少年、身处威权 SIM 卡制度下的异见者、以及那些只是不接受“阅读需要出示身份证件”的普通人——如果他们必须证明自己是谁才能进门，那么通道是加密的这一事实，一个也保护不了。 匿名性是基底。机密性是我们学会往上浇的那一层。6 月 30 日就是基底在三个地方同时开裂的那一天。 ## 退路就是攻击 回到布鲁塞尔，因为欧盟与其说是软化，不如说是转向，而这个转向正是教训所在。 诚实地陈述这场胜利，连同它的局限，免得被高估。理事会在最难的那项要求——强制客户端扫描——上让了步，因为它无法与加密调和，也因为成员国不愿下令把本国公民的设备变成扫描器。这一让步是真实的。但有两样东西随之而来，而且都朝相反方向切。第一，理事会的文本仍然使一套“自愿”扫描制度合法化并永久化——为选择进行监控的服务商提供一个常设的法律依据，无需法院令状，而 Breyer 把这解读为一次撤退的反面，是“对无差别大规模监控的绿灯”。强制令倒了；许可被写进了法里。而且这场仗甚至还没干净地结束：6 月的最后一周，欧盟各国大使动用一种前所未有的理事会操作，试图让已经失效的临时扫描框架复活，尽管议会在 3 月已经以一票之差把它否掉。 第二，也是更大的一项，是年龄验证这条退路。把扫描器抽走之后，你仍然可以通过核查每一个加入者的身份，来管控谁在使用加密服务。这就是为什么在扫描消失之后，年龄验证成了正在进行的那场仗，也是为什么议会把线画在了那里。这个直接代表欧盟公民的机构明白那个布尔值的代价：在一款加密通讯软件的门口设一道强制年龄检查，就把大多数人所拥有的最私密的通道，变成了一条你必须先声明自己是谁、或至少多大年纪才能进入的通道——而你无法向一个陌生人的软件证明自己的年龄，同时又不在这条链条的某个环节上向某个人证明自己的身份。 这就是现在到处都值得留意的那一招，因为它可以推广。当你读不了那条消息，就要求出示身份证件才能发。当你打不开那把锁，就在门口放一个记下每个进出者的守卫。机密性与匿名性不是同一项属性，而一个系统可以在授予前者的同时，有条不紊地拆掉后者——这正是那次转向所做的事。加密活了下来。摆在桌上的是匿名。 ## 匿名 SIM 卡已死 在布鲁塞尔争论的同时，墨西哥定下了一个期限，而墨西哥的版本跳过了消息，直接冲着线路本身去了。 自 2026 年 6 月 30 日起，墨西哥的每一条移动线路——预付费、后付费、实体 SIM、eSIM，超过 1.44 亿条——都必须与持有人的身份绑定：一份政府身份证件加上 CURP，即全国人口编码。匿名预付费 SIM 卡——那张家庭暴力幸存者、调查记者，以及只是不想被录进数据库的普通人一直依赖的卡——就此终结。硬性执行、也就是切断未登记线路，原定于 7 月 1 日；6 月 25 日，监管机构把预付费线路的时点放宽为一个延续到 12 月的分批日程，但架构已经建成，方向已经固定。在延期之时，仅有约 43% 的线路完成登记；数千万条线路面临停机。 到这里，故事变得比头条更有意思，也更能说明问题。按监管机构自己的规则，这套线路登记*不是*生物识别式的：运营商被禁止保留你的指纹、你的照片，甚至不得保留你身份证件的副本——他们把号码与你的 CURP 关联并核验证件，仅此而已。而这份克制不是慷慨；它是一道疤。墨西哥此前已经做过两次。RENAUT，2009 年的那套登记，最终以其数据库在特皮托的街头市场上卖几百比索告终，并在 2012 年被实体销毁。PANAUT，2021 年的版本，要求采集生物特征——而最高法院以 9 票对 2 票，基于隐私与比例原则将其全部推翻。2026 年的这项线路强制令之所以不含生物识别，恰恰是因为法院杀掉了那个生物识别的版本；6 月，一家联邦法庭甚至禁止运营商要求提供生物特征来登记线路。法律层面的反制起了作用。 但看看与之并行的东西，以及天平另一侧被拿走了什么。在与身份证件绑定的 SIM 卡之外，国家正在建设 CURP Biométrica——一套*确实*采集面部、全部十枚指纹和双眼虹膜的国民身份，去年 7 月由法令创设，如今已是这个国家的官方身份证件，已有约 2,500 万人登记。就目前而言，它被表述为自愿的；它同时也被定位为其他一切最终都要接进去的验证层。而在 2022 年击败 PANAUT 的那个监督机构——INAI，即自治的数据保护当局——已经不存在了；它在 2025 年被并入行政部门。让 SIM 卡去生物识别化的那条法院先例仍然有效。而会去打下一场这类官司的那个机构，没了。这就是一套曾被法院杀掉的登记制度长回来的方式：不是推翻判决，而是拆掉赢下判决的那个机构。 而正是在这里，用户侧的那套栈——本刊所推崇的协议、加密、加固设备——撞上了它最硬的一堵墙，而诚实要求把它点出来。面对一个被强制的身份登记，无论是生物识别的还是仅与证件绑定的，都不存在任何客户端原语，能让一个人既遵从又保留。加密保护那通电话；它没法把 SIM 卡与你的名字解绑。你可以绕开一次封锁，因为封锁是一种你能隧穿过去的网络状况；你没法绕开一部把你的法律身份变成电话号码前提条件的法律，因为登记不在网络里——它在销售点，在签发方的数据库里，在成文法里。针对这项线路强制令唯一的技术变通，是一张来自外国运营商、在漫游状态下使用的纯数据 eSIM，它确实存在，监管机构也公开承认了这一点——但它给不了匿名的本地号码，会留下支付痕迹，是流动性强的少数人才有的奢侈品，而且监管机构已表示它会在世界杯之后被关掉。对强制登记的反制是政治的和法律的，不是密码学的。墨西哥在两个方向上都是证明：法院迫使这套登记脱掉了生物识别，而法院那些伙伴机构的被掏空，正是它重新长回来的方式。 ## 验证每一个人 英国从另一扇门拐了同样的弯，并且让年龄验证那种普遍适用的逻辑变得不可能被忽视。 2026 年 6 月 15 日，英国政府宣布对 16 岁以下人群禁用社交媒体——Snapchat、TikTok、YouTube、Instagram、Facebook、X——承诺在年底前立法，相关保护措施预计在 2027 年春季到位。要把 16 岁以下的人挡在平台之外，你就必须知道谁在 16 岁以下，这意味着你必须核查*每一个人*的年龄。正如倡导团体 Defend Digital Me 所说的，“要验证一位用户已满 16 岁，每一位成年人也都必须证明自己不是儿童。”EFF 说得更直白：在这样一套制度下，“所有年龄段的用户都背上了证明自己年龄的负担”，而且“仍然不存在任何可靠的、保护隐私的方法去验证每一位互联网用户的年龄”。一项以保护儿童为框架的措施，在其机制上变成了覆盖全民的身份基础设施——人脸年龄估计、证件上传、开放银行核查、移动网络证明，Ofcom 认可过的整套工具箱，被施加到全体成年公众身上，作为继续留在网上的代价。 英国不是异类；它是跟随者。澳大利亚全球首创的 16 岁以下禁令在 2025 年 12 月 10 日生效，而在 6 月 27 日——就在三天前——澳大利亚政府在有证据显示未成年人正在绕过它之后，宣布将把最高罚款*翻倍*，至约 9,900 万澳元，目前有五家平台正在被调查。美国在 *Free Speech Coalition v. Paxton* 之后（2025 年 6 月 27 日以 6–3 判决，依中度审查标准维持了得克萨斯州的年龄验证法），如今已有大约二十多个州强制对成人内容做年龄核查，另有十来个州把手伸向未成年人的社交媒体。欧盟委员会 2026 年 4 月 29 日的建议敦促每个成员国在年底前提供年龄验证能力，跑在 eIDAS 2.0 数字身份钱包的轨道上。自由之家在其最近一期《网络自由》报告中——在互联网自由连续下滑的第十五个年头——点出了这个模式：“在线匿名，作为表达自由的一项关键使能条件，正在进入一个危机期，因为自由国家与威权国家的政策制定者都在强制要求使用身份验证技术。”民主国家与威权国家正从相反的两端汇聚到同一套架构上。威权者要用登记去找出异见者。民主国家要用闸门去保护儿童。他们建起来的基础设施是同一道闸门，而闸门一旦立在那里，它就核查每一个人。 ## 会记日志的签发方 对这一切确实有一个真正的技术回答，而智识上的诚实要求既以其最强形态把它陈述出来，也解释为什么它目前还不够。 这个回答是零知识年龄证明。原则上，密码学让你可以向一个网站证明单独一个比特——“已满 18 岁”——而不必交出你的出生日期、你的姓名或你的证件。证明在你的设备上计算；依赖方网站学到的只有那个布尔值，别的什么也学不到。欧盟的年龄验证应用正是以这个承诺来推销的：证明你已满 18 岁，“而不分享任何其他个人信息”。如果这项技术真能兑现那句口号所声称的，匿名性问题多半就会消解——你可以通过年龄闸门，同时对闸门之后的服务来说仍然谁也不是。这个最强版本的论证很有力，值得被认真对待而不是挥手打发：保护隐私的年龄验证是真实的密码学，不是画饼，而且它确实比向一个色情网站上传护照要好。 但它并不交付匿名性，而“保护隐私”与“保护匿名”之间的这道缝，就是整个故事。有六件事同时为真。**登记环节要求完整的身份识别：**要拿到这份凭据，你必须向签发方证明你的真实身份——一份政府电子身份、一家银行、一次护照核验——所以在任何证明被计算出来之前，你的匿名性在签发那一刻就已经没了；它是对网站保留的，从来不是对签发方保留的。**欧盟标准化的恰恰是可关联的方案：**数字身份钱包的规则手册强制规定的凭据格式（ISO mdoc、SD-JWT）在密码学上*不是*不可关联的，而那些确实不可关联的方案（BBS+、zk-SNARKs）未获批准用于欧盟公共部门——于是这款已经发货的应用，其隐私性来自一批批由护照或电子身份引导出来的一次性令牌，而正如 EFF 所指出的，这“把国民身份证件直接绑到了一种年龄验证方法上”。**签发方可以回拨：**吊销状态检查可能在每次使用时联系签发方，从而记录下这份凭据在何处、以多高的频率被出示。**元数据击败那个布尔值：**IP、设备指纹和时间戳可以把那个“匿名”的证明关联回一个人。**重复的证明会泄露：**今天证明“已满 21 岁”、去年证明“已满 18 岁”，出生日期的窗口就收窄了。以及**签发方成为一个咽喉点：**谁主导了凭据签发——一套国家电子身份、一个平台钱包——谁就成了谁可以发言的事实上的守门人，一个独立于任何单次证明之数学的单点控制。这个领域自己的密码学家给出的判断值得记住：匿名性是朝依赖方那一侧成立的，从来不是朝签发方成立的。这份证明把你的出生日期对网站藏了起来。它没有让你对整个系统匿名，而且它做不到，因为这个系统被建出来就是要在门口认识你的，哪怕它同意在餐桌旁把你忘掉。 所以，针对这场匿名性攻击的那唯一一个技术反制是必要的、值得去建的，而且——就其 2026 年的部署形态而言——还不充分。正确的回应不是否定零知识证明，而是要求不可关联的版本、去中心化的签发，以及不回拨的吊销机制，并且在此期间诚实地承认：今天正在发货的大多数年龄验证，连这个都算不上。它就是一次人脸扫描加一次证件上传。也就是说：身份，被收走了。 ## 每一项强制令都是一个蜜罐 大规模制造身份还有第二项代价，而 6 月批量提供了证据：每一个你被迫创建的身份，都会变成一个别人早晚会偷走的数据库。 这不是理论上的，而年龄验证这一波已经产出了自己的数据泄露。6 月里洗劫企业云租户的那个团伙，正是在 2025 年 10 月从 Discord 所用的年龄验证供应商那里窃走约 7 万张政府证件照片的同一批人。而在 2026 年 6 月中旬，安全研究人员发现接近 100 万份护照与身份证件扫描件——由欧洲的年龄与会员验证系统收集——毫无认证地暴露在公开互联网上。这正是批评者事先点名过的那种失效模式：你无法泄露一份你从未被要求创建的凭据，而一套验证系统在构造上就是一堆攻击者最想要的那类文件。用 EFF 的话说，“年龄验证系统就是监控系统”，而面对它们，防守方的问题是永久性的，攻击者则“只需要走运一次”。 更广的这一个月强化了这条规律。世界粮食计划署披露，巴勒斯坦人在加沙申请援助所用的自助登记系统遭到未经授权的访问，暴露了约 60 万户家庭的记录——姓名、国民身份证号、电话号码、街区位置——对一个流离失所的人口来说，这不是不便，而是一份目标清单。研究人员浮现出一份 240 亿量级凭据记录的汇编库——不是某一次新的泄露，而是信息窃取木马日志与旧泄露的聚合，未经去重，这本身就是一课，讲的是身份数据一旦被创建，就既不会衰减，也不会回家。得克萨斯州一家州野生动物管理机构通过一家供应商丢失了 300 多万名执照持有人的驾照与护照号码。贯穿其中的那条线，是本系列一再回到的保管者失效模式：一个持有者，一次泄露，所有人暴露，而那个从未掌控过这些数据、也无法把它们收回来的个人，没有任何补救路径。 现在把这些和那些强制令并排放。墨西哥正在把 1.44 亿多条电话线路与公民身份绑定，同时把面部、指纹和虹膜录入一套国家生物识别身份证——而它自己的历史记录，从被拿到街头市场上卖的 RENAUT 登记，一直到新系统上线当天的一次电信数据暴露。欧盟和英国正在把年龄与身份验证立起来，作为日常网络生活的条件。用安全的话说，每一个都是一个正在施工中的蜜罐——一个集中存放攻击者最想要的那类数据的仓库，由一项真实的收益来正当化，而其风险被当成别人的问题。数据泄露不是身份强制令里的一个 bug。它是这项强制令的成熟形态。你无法既承诺验证每一个人，又承诺那个验证数据库永远不会泄露，因为每一个这样的数据库的历史都是它会泄露，而它越是强制，它就越是必定泄露。生物特征是无法重置的。你只有一张脸。 ## 法条失效了；监控没有 往上走一层，从那道询问你是谁的闸门，走到那个已经知道你是谁的国家，因为 6 月在那里也产出了一个标志性事件，而且它押着同一个韵。 2026 年 6 月 12 日午夜，《外国情报监视法》第 702 条——NSA 无令状收集通信的法律依据——自 2008 年设立以来首次失效。参议院在 6 月 5 日以 47–52 未通过程序终结表决；众议院在 6 月 11 日以 198–218 未通过一项短期延期；直接触发因素是一场治理危机——一位没有情报背景的住房金融官员被擢升为代理国家情报总监——这瓦解了重新授权所需的联盟。然而监控并没有停下。因为外国情报监视法院早在 2026 年 3 月就批准了适用的认证文件，收集依据这些文件继续进行，直到它们到期——据多方说法，大约到 2027 年 3 月 17 日。失效的是那部法条。项目仍在运行，靠着上一年的文书取得合法性，还能再跑九个月。 这底下压着一份公众至今读不到的文件。那份涉密的 2026 年 3 月 17 日 FISC 意见书——据《纽约时报》的报道，它认定政府声称已经修好的那个“过滤工具”查询问题实际上贯穿整个情报界，FBI 只是把它 2024 年的那款工具退役、转而使用另一款功能相同的工具——仍然保密。参议员们把在 15 天内解密它的两党承诺，作为 4 月那次延期的代价争取到手；期限过去了，而参议院在 6 月 5 日投票时仍然没有看到它。这就是那项属性在国家一侧的面孔，而身份强制令是从消费者一侧攻击同一项属性的：对政府的匿名，即在不被国家编目这一行为的前提下进行通信的能力。而这几栏必须诚实地分开算，因为美国不是墨西哥的登记制度，也不是伊朗的断网：它有令状法，有一个写下了争议中那份意见书的对抗制法院，有为其解密进行谈判的国会监督，还有一个在报道涉密文件的自由媒体。共享的那条线索是狭窄的，也值得就按这么狭窄说出来——在这每一件事里，公众都被要求接受一个自己看不见的事实，以及一种自己未曾同意的可见性，并且要相信那道闸门、那套登记和那次查询只指向它们该指的地方。 ## 这张地图 退回来看整个世界，这种趋同不容错认，因为同一个季节也承载了身份强制令的威权版本。 俄罗斯在 2026 年 2 月彻底封禁了 WhatsApp——约 1 亿用户——并把他们赶往国家通讯软件 MAX，同时施压平台去封锁通过 VPN 接入的用户；身份与控制在网络层融为一体。伊朗才刚刚爬出有记录以来最长的一次全国性断网，在 2 月底的空袭之后黑了数千小时，恢复只是部分的，外国平台仍被封锁——这是最赤裸的提醒：最彻底的身份控制，就是直接决定谁有资格上网。中国继续运行着世界上最成熟的实名制，并已开始把执行推进到物理基础设施层面。越南与印度尼西亚已经立法通过了各自的发帖实名强制令。而墨西哥刚刚执行的 SIM 卡强制令如今是全球默认，不是地区性的怪癖：按 GSMA 的统计，大约有 157 个国家要求提供身份证明才能开通移动线路，其中 30 多个国家要求提供生物特征——高于 2020 年的 17 个——尽管 GSMA 自己的研究人员并未发现证据表明这项要求能降低犯罪。要点不是伦敦和布鲁塞尔就是莫斯科和北京——它们不是，而那些差别（法院、选举、一家自由的媒体）正是全部要害所在。要点是那套架构。一个民主国家和一个威权国家如果建了同一道闸门，那他们就是建了同一道闸门，而闸门不会记得自己当初为什么被装上。以敲诈勒索为由的实名 SIM 卡，与以异见为由的实名 SIM 卡，是同一个数据库。以儿童安全为由的年龄核查，与以“社会稳定”为由的实名法，调用的是同一个身份 API。匿名性正在被政治光谱的两端同时废除，被那些在几乎任何其他事情上都不会一致的政府废除，因为哪怕意图不趋同，能力是趋同的。 ## 逐层反制 那么究竟什么守得住？逐层的诚实清点是本系列欠读者的纪律，而它恰好沿着机密性／匿名性这条线裂开。 **用户侧的栈赢在哪里——机密性。**内容层是守得住的，而且今年确实守住了。Signal 的后量子棘轮持续加固通道，以对抗明天的解密；世界上最大的那些通讯软件默认发货端到端加密；Tor Browser（15.0.17，6 月 28 日发布）和那些加固的移动基线（GrapheneOS，在几天之内跟上新的 Android 发布）让设备与传输保持稳固；URnetwork 的点对点覆盖网络把流量带过一条抗审查、抗深度包检测的路径，把路由从任何单一运营商中抽象出来。面对一个想要*读*你的消息或*封*你的路由的对手，这些确实管用，而欧盟在扫描问题上的退却，正是“数学一旦被捍卫、连一整块大陆也顶得住”的证明。 **它在哪里用尽——匿名性。**面对一个想在让你说话之前先*认出*你的对手，同一套栈稀薄到几乎什么都不剩。不存在任何客户端原语能击败一个被强制的身份登记；加密没法把你的 SIM 卡与你的名字解绑；一个翻墙工具能隧穿过一次封锁，却隧穿不过一部把你的法律身份定为电话号码之代价的法律。零知识年龄证明是那唯一一个真正的技术反制，而在它 2026 年的形态里，它保住了该属性的机密性，却把匿名性让给了签发方。真正做到保留的去中心化身份——不可关联的凭据、分布式签发、不回拨——是可以建的，而且基本上没被建，其阻碍与其说来自密码学的任何限制，不如说来自那些偏爱可关联方案的采购标准。这就是前沿，而它基本上是空的。 因此这张地图以一种隐私运动尚未正视的方式失衡了：我们恰恰强在我们组织起来的地方，恰恰弱在我们没有组织的地方。保护你说什么的工具是成熟的、已发货的、正在取胜的。保护*你可以不被识别地行动*的工具是不成熟的、稀少的、正在失守的——不是因为这个问题无解，而是因为我们把这十年花在了另一半上。 ## 我们遗忘的那场战争 两个教训为这一周收尾，而它们是同一次纠正的两半。 第一个是：机密性是必要的但不充分的，而把“加密了”当成“安全”的同义词，是一次战略失误，其账单如今到期了。加密回答了上一个时代所提的那个问题——他们能读我的消息吗？——而且回答得太好，好到公众学会了不再问另一个问题：我能不能在不先被识别的前提下行动？2026 年的这些身份强制令，就是对手的适应。它们让出消息，拿走信使。它们让信件保持封缄，然后在邮局门口放一名守卫。而面对这一招，十年苦练出来的密码学肌肉对准的是错误的目标。 第二个是操作层面的，也是本系列一直坚持的那条主线：在管控落下之前，把原语预先部署好。那些能保住匿名的安排——在登记期限之前拿到的外国 eSIM、在年龄闸门之前开好的账号、不可关联的凭据、不把传输绑定到已注册身份的覆盖网络——与一切规避手段一样，住在管控的另一侧。在 6 月 30 日之后仍然能够不被识别地行动的人，绝大多数是在此之前就做了安排的人。但预先部署对个人来说是权宜之计，对一个社会来说不是政策，而更大的那次纠正是运动必须刻意去做的：以当年投给加密的那份认真，去资助、去建造、去标准化、去索要匿名层——用不可关联的年龄证明取代可关联的，用去中心化签发取代国家咽喉点，用数据最小化的访问取代验证每一个人，并且划出一条法律界线，把不被识别的权利当作一项公民自由，而不是一个待堵上的漏洞。 机密性我们知道怎么赢；我们今年刚刚又证明了一次。匿名性我们一直在输，因为我们根本没有在为它而战。 三个政府，三大洲，一周之内，同一个要求：亮出你的脸。 答案不是交出加密上的那场胜利——它是真实的，而且是我们的。答案是意识到那是更容易的那场战争，而更难的那场如今才是要紧的那场，并且去建那一层：在那里，你不必亮脸就能说话。 机密性赢了。匿名性输了。下一个十年，是把它赢回来的那场仗。 --- *URnetwork 是一个用于抗审查传输的点对点覆盖网络，设计上用于抵抗网络层的深度包检测；它 2026 年 2 月 19 日发布的 MCP 服务器让智能体客户端可以在这张点对点覆盖网络上建立 VPN 会话，把传输从运营商层抽象出来。URnetwork 的代码是开放且可审计的。它是一个关乎机密性与路由的工具，并且对自己的局限诚实：它保护你说什么、以及你如何连接，而且——与所有这类工具一样——它无法独自击败一部在门口索要你身份的法律，这正是本期主张匿名之战必须同时在标准与成文法中、而不只是在代码中打响的原因。* *https://ur.io*