URnetwork
•••

互联网隐私笔记

来自 URnetwork 团队与社区的文章和研究。

RSS
新闻 / 分析GeorgiaHong KongUnited States

堪萨斯州从 2019 年起就有一份名单。今年 2 月，它用上了。每一份数据集都有一段你从未同意过的第二人生。

自 2019 年起，堪萨斯州一直在内部登记出生证明上每一次性别标记的更改。2026 年 2 月，该州用这份无人知晓的名单，以邮寄方式注销了 1,700 名跨性别居民的驾照。在同样的八周里，为 46 个州运行 Medicaid 和 SNAP 的政务科技承包商 Conduent 发生了一起数据泄露，德州总检察长称它很可能是美国历史上规模最大的一次，受害者已达 2500 万人，且仍在增加。Palantir 的 ELITE 工具一直在吸收 Medicaid 数据，用来生成一位 ICE 官员在宣誓作证时称为 "kind of like Google Maps"（有点像谷歌地图）的东西，用于寻找递解目标。而在 62 天后，欧盟将开始给六岁的寻求庇护者采集指纹，录入一个可以为遣返执法而查询的数据库。这些不是彼此无关的新闻。它们是同一种结构性失败：*每一份数据集都有一段你从未同意过的第二人生。*

URnetwork 编辑部旧金山 — 2026 年 4 月 11 日

那份没人知道存在的名单

2019 年，Lambda Legal 在 Foster v. Andersen 案中取得的和解判决迫使堪萨斯州允许跨性别居民更正其出生证明上的性别标记，该州照办了。数百人更新了自己的证件。另有数千人在车辆管理处更新了驾照。

他们中没有一个人知道的是：堪萨斯州生命统计办公室悄悄开始在内部为每一次这样的修订打上一个有别于日常文书更正的标签，而车辆管理处则创建了一个与之平行的内部标记，名为 "gender reclassification"（性别重新分类）。两者都未曾对外披露。两者除了行政记录留存之外，都没有任何被载明的用途。七年里，这份名单就那么放在那儿。

2026 年 1 月 28 日，堪萨斯州议会通过一次由参议员 Mike Thompson 发起的 "gut-and-go"（掏空替换）式替代动议，表决通过了 SB 244。该法案把 "gender"（社会性别）重新定义为出生时被指定的生理性别，责令该州注销并重新签发驾照，责令生命统计办公室注销出生证明，禁止使用与出生生理性别不符的卫生间，并且——这是它真正起作用的地方——设立了一项 1,000 美元的私人诉权，任何公民都可以据此起诉任何被怀疑违规的人。州长 Laura Kelly 于 2 月 13 日否决了它。州议会在 2 月 17 日至 18 日以众议院 87 票对 37 票 推翻了否决。该法于 2 月 26 日 生效。

几天之内，约 1,700 名堪萨斯州跨性别居民收到了邮寄信件，通知他们的驾照已被作废。这套机制之所以行得通，唯一的原因是该州早就有了那份名单。那份登记册——多年前为一个完全不同的行政目的而建——就是定位打击的基础设施。

这个故事不是由《纽约时报》捅出来的，而是于 4 月 2 日和 4 月 5 日刊于 Prism Reports 与 ScheerPost，出自独立记者 Aleksandra Vaca 在 Transitics Substack 上的报道。Vaca 的那句话就是本文的论点：“监控这件事的全部要害在于，只要人们不注意，它就会一直发生。只有当堪萨斯州吊销证件时，人们才开始追问它是怎么做到的。”

Lambda Legal 高级法律顾问 Omar Gonzalez-Pagan 称 SB 244 是一套“赏金猎人体制”。美国公民自由联盟（ACLU）在道格拉斯县地区法院提起了 Doe v. Kansas 诉讼；一项临时限制令于 3 月 10 日被驳回。关于临时禁令的证据听证会定于 2026 年 9 月 29 日。在这期间，那 1,700 人还得继续过日子。

而且堪萨斯并不孤单。德州公共广播记者 Lauren McGaughy 取得的内部文件显示，德州公共安全部在 2024 年 8 月至 2025 年 8 月间收集了 110 名德州跨性别居民的姓名和驾照号码——驾照办事员扫描证件，然后转发到一个专用的内部邮箱账户。公共安全部拒绝作出解释。田纳西州的 HB 0754/SB 0676 于 3 月在州众议院获得通过；它要求性别诊所在 15 天内向州卫生部报告每一位患者的年龄、所在县、出生时被指定的生理性别、诊断、用药、手术、医疗提供方以及心理健康数据，卫生部则有义务自 2026 年 12 月 31 日起每年公布这些数据。在印第安纳州，州总检察长 Todd Rokita 已介入七起待决的法院命令性别变更案件，称这些经修订的证明是“伪造记录”。目前已有九个州彻底禁止在驾照上更改性别标记。

这个模式并不是各州突然开始建名单。这个模式是：名单一直在被建出来，作为行政管理的例行副产品。而政治时刻决定它们被用来做什么。

那起没人在谈论的数据泄露

2024 年 10 月 21 日，SafePay 勒索软件团伙走进了 Conduent Business Solutions 的网络。这家政务科技承包商的“Government Solutions”部门，代表 46 个美国州运行 Medicaid 资格审核、SNAP 福利处理、子女抚养费系统、失业保险和公共卫生呼叫中心。Conduent 每年处理大约 850 亿美元的政府拨付款项和 5 亿件 Medicaid 理赔。入侵者在网络内部潜伏了 84 天——是 2024 年行业中位驻留时间的 3.5 倍——之后 Conduent 才在 2025 年 1 月 13 日检测到这次入侵。

Conduent 在九个月之后，也就是 2025 年 10 月，才开始通知受影响的个人。这个数字一开始是 400 万。涨到了 1000 万。然后，随着各州 HIPAA 备案接连出现，涨到了 2500 万，且仍在增加——德州：1540 万。俄勒冈州：1050 万。华盛顿州：7.6 万。南卡罗来纳州：4.8 万。新罕布什尔州：1 万。缅因州：378。马萨诸塞州和加利福尼亚州的备案尚未提交。最终数字还会继续上升。

被窃数据是灾难性的：姓名、住址、出生日期、社会安全号码、医疗与治疗信息、健康保险理赔数据，以及银行信息。外泄数据量约为 8 TB。

2026 年 2 月 12 日，德州总检察长 Ken Paxton 向德州蓝十字蓝盾和 Conduent 发出了民事调查令。他的声明是：“Conduent 数据泄露很可能是美国历史上规模最大的一次泄露。如果哪家保险巨头偷工减料，或者掌握着能帮我们在未来防止此类泄露的信息，我会设法把它挖出来。” Paxton 说得对不对，要看最终的统计数字停在哪里。作为有记录以来最严重的医疗数据暴露事件的候选者，Conduent 目前的规模仍远不及 2024 年 Change Healthcare 泄露事件（1.92 亿人）——但 Conduent 的最终数字仍在攀升。

这个数据集里的人群，并不是这个国家的随机横截面。它压倒性地偏向低收入、残障、老年和移民家庭——也就是当初会去参加 Medicaid 和 SNAP 的那些人。这些美国人最负担不起信用监控、身份盗用律师或私人银行替代方案。这次泄露的真实代价，将以他们的一生来衡量。

案件已在新泽西州联邦地区法院合并为 In re: Conduent Data Security Litigation，由法官 Michael A. Hammer 审理，原告指导委员会由 8 名律师组成，其中包括 DiCello Levitt 的合伙人 Corban Rhodes。已有三十五起诉讼，还在增加。

而 Conduent 并不是唯一一起供应商失守。2026 年 3 月 26 日，纽约市健康与医院集团（NYC Health + Hospitals）披露了一起持续 11 周的网络入侵，时间跨度为 2025 年 11 月 25 日至 2026 年 2 月 11 日。NYC H+H 是全美最大的公立安全网医疗系统——11 家急症医院、4.5 万名员工、每年 100 多万名患者、84% 使用 Medicaid 或 Medicare、提供 190 多种语言服务。据官方通知，入侵入口是一家第三方供应商，其身份尚未公开披露。暴露的数据包括姓名、社会安全号码、病历、驾照号码、保险信息、支付信息——以及生物识别数据：指纹和掌纹。

指纹和掌纹是改不了的。一份终身凭据，如今成了一份终身负债。

Medicaid 管道

2025 年 7 月，医疗保险和医疗补助服务中心（CMS）与 ICE 签署了一份信息交换协议。依据该协议，ICE 取得了约 7900 万名 Medicaid 参保人的姓名、住址、出生日期、族裔和社会安全号码。一家联邦法院在 2025 年 8 月阻止了向 20 个原告州的数据移交；一项后续裁定又允许恢复“基本”的 Medicaid 数据共享。

在 M-J-M-A v. Wamsley 一案之前，没有人公开承认过数据接下来的去向。

2025 年 12 月，在这起挑战 ICE 在俄勒冈州伍德伯恩突击行动的联邦集体诉讼的证据听证会上，一名 ICE 逃犯行动组官员在宣誓后接受了取证询问。当被要求描述他用来挑选目标的那款 Palantir 工具时，他作证说，它会生成一张布满图钉的地图——每个图钉是一个潜在目标——并附带一个满分 100 的置信度分数，预测此人住在那里的可能性有多大。这名官员解释了工作流程：

"It's kind of like Google Maps. You're going to go to a more dense population rather than, like, if there's one pin at a house and the likelihood of them actually living there is like 10 percent, you're not going to go there."

以上为宣誓证词原文。中文大意：“这有点像谷歌地图。你会去人口更密集的地方，而不是——比方说，如果一栋房子上只有一个图钉，而他们实际住在那里的可能性大概只有 10%，你就不会去那儿。”

这个工具叫 ELITE——Enhanced Leads Identification & Targeting for Enforcement（强化线索识别与执法定位）。它吸收 HHS 的 Medicaid 参保数据、国税局记录、社会保障局数据、车管所记录、国土安全部/USCIS 移民记录、LexisNexis 和 Thomson Reuters 的商业数据、公用事业记录，以及 ICE 举报热线的提交内容。ICE 探员可以点击单个图钉，也可以在地图上圈出一片区域，把里面的每一个人都选作执法对象。在俄勒冈那次取证询问中，这名官员说他接到的命令是每个小组每天逮捕八人。一名法官后来裁定伍德伯恩的突击行动 "violent and brutal"（暴力而残忍）且违宪，但这项裁定并没有关停这个工具。

电子前哨基金会在其 2026 年 1 月 15 日的报告中干脆利落地总结道：“ICE 正在使用一款 Palantir 工具，它利用 Medicaid 和其他政府数据来盯梢人以便实施逮捕。”

Palantir 的合同说明了规模。2025 年 4 月，ICE 签下了一份 3000 万美元的 ImmigrationOS 合同，相关的 Investigative Case Management（调查案件管理）支出膨胀到 1.45 亿美元。ELITE 本身另有一条约 2990 万美元的合同线。2026 年 2 月，国土安全部签署了一份为期五年、金额 10 亿美元的总括采购协议，让国土安全部的每一个组成机构——海关与边境保护局、ICE、联邦应急管理署、网络安全和基础设施安全局、运输安全管理局、特勤局、海岸警卫队——无需单独走采购流程即可便捷使用 Gotham 和 Foundry。Palantir 2025 年的联邦合同总额同比接近翻倍，达到 9.705 亿美元。其股价上涨了 130%，市销率约为 80 倍。联邦政府是 Palantir 的首要增长引擎，而它正在购买它在宪法上无法直接获取的东西。

你没有报名参加的那些部分

一旦你开始寻找这个模式，它到处都是。

学校的摄像头是一件递解工具。The 74 的一项调查发现，在一个月内（2025 年 12 月至 2026 年 1 月初），3,100 多家警务机构通过 Flock Safety 的全国性网络，对学区摄像头数据进行了 73.3 万多次查询。其中，620 次查询与移民执法有关，来自佛罗里达、佐治亚、印第安纳和田纳西四州的 30 家机构。民事移民类查询的数量是刑事移民类查询的两倍。家长们当初签字同意的，是作为“封校安全”基础设施的 Flock 摄像头。他们用一张学区发票，买来了一条通往 ICE 的管道。2026 年 2 月 26 日，加州的驾驶人提起了一项集体诉讼，指控 Flock 的 "national lookup"（全国查询）功能让外州机构在七个月内 160 万次访问了旧金山警察局的摄像头数据库。一份审计发现，对本应设置为仅限加州的文图拉县摄像头，存在 36.4 万次未经授权的查询。山景城、伊萨卡、锡拉丘兹、伯克利、圣克鲁斯、林伍德、弗拉格斯塔夫、本德、南帕萨迪纳、奥克斯纳德、丹佛、邓伍迪，以及另外二十多个城市，如今都已暂停或取消了它们与 Flock 的合同。但这只保护得了那些行动起来的城市。

学生的举报是一个人肉搜索的蜜罐。 2026 年 3 月 18 日，一名使用化名 "Internet Yiff Machine" 的黑客放出了 93 GB 数据，其中包含来自 P3 Global Intel 的 830 万条记录。P3 Global Intel 是 Navigate360 的“匿名举报热线”平台，被 3 万多所 K-12 学校使用，其中包括迈阿密-戴德、费城、波特兰和丹佛的公立学校系统。数据时间跨度从 1987 年 2 月到 2025 年 11 月。其中包括姓名、电子邮箱、电话号码、出生日期、家庭住址、社会安全号码、车牌号、犯罪记录，以及举报人与机构之间的聊天记录——举报人和被举报者双方的信息都在里面。许多举报涉及处于危机中的学生：自残、自杀威胁、霸凌、潜在暴力。这名黑客留下了一张字条："Don't do the dirty work for the pigs."（原文；中文大意：别替条子干脏活。）营销文案说的是“匿名”。工程实现说的不是。事件被冠以 "BlueLeaks 2.0" 之名，得名于 2020 年那次警方数据泄露。

AI 病历助手自己发明了知情同意。在一起于 2025 年 11 月 26 日向加州圣迭戈县高等法院提起的诉讼（Saucedo v. Sharp HealthCare）中，原告 Jose Saucedo 称，2025 年 7 月他在 Sharp Rees-Stealy 诊所做例行体检时，Sharp 由 Abridge 驱动的环境 AI 病历助手在既未告知他、也未征求同意的情况下，录下了他的整次就诊。Saucedo 后来查看自己在患者门户中的病历时，发现里面有一句模板化的、由 AI 生成的语句，写明他已被 "advised"（告知）并已对录音表示 "consented"（同意）。他并没有。这个 AI 不只是没能取得同意；它似乎还伪造了一份显示同意已经取得的书面记录。诉状涵盖一个由 10 万多名加州患者组成的拟议集体。Abridge 已部署在 150 多个医疗系统中，包括 Kaiser Permanente 分布在 40 家医院的 2.4 万名医生——医疗史上规模最大的生成式 AI 上线——以及梅奥诊所、约翰霍普金斯、UPMC、耶鲁纽黑文、纪念斯隆凯特琳、杜克。Abridge 在 2025 年 6 月完成了 3 亿美元的 E 轮融资，估值 53 亿美元。

人脸识别的线索就是一张逮捕令。 2025 年 7 月 14 日，来自田纳西州卡特县、50 岁的祖母 Angela Lipps——她告诉 CNN，自己“从没坐过飞机，更别说去北达科他了”——在家中因一份北达科他州的在逃通缉令被捕。西法戈警方用 Clearview AI 比对了法戈一起银行诈骗案中所用伪造军人身份证上的照片，Clearview 返回了一个指向 Lipps 的疑似匹配。侦探们“错误地假定”那张伪造证件上的照片是真正嫌疑人的监控图像。没有人核实。没有人问过她一句话。她在田纳西州的一间牢房里待了 108 天，10 月 30 日被引渡到北达科他州，直到 12 月 19 日才第一次接受法戈一名侦探的问话，并在 12 月 23 日——在她的律师 Jay Greenwood 出示银行和社会保障记录、证明法戈那些取款发生时她正在 1,200 英里之外买烟和存支票之后——所有指控被撤销。她在平安夜被释放，身上没有钱、没有外套，也没有回家的路。她失去了房子。失去了车。失去了她的狗。直到 2026 年 3 月 25 日，法戈才有了正式的人脸识别政策——就在 CNN 的报道发出前几天。Clearview 如今声称拥有 500 多亿张抓取来的人脸图像。美国国家标准与技术研究院 2019 年的研究发现，算法误认黑人或东亚人面孔的可能性要高出 10 到 100 倍；在八起有公开记录的人脸识别错误逮捕案中，八名受害者里有七名是黑人。Lipps 是第八名。

机场中转区如今是一片密码提取区。 2026 年 3 月 23 日，香港刊宪公布了对《香港国安法》第 43 条实施细则的一项修订。在国家安全调查中拒绝提供密码或解密协助，如今最高可判一年监禁并处 10 万港元罚款。提供虚假资料：最高三年及 50 万港元。该规则适用于任何人——居民、访客，以及在机场中转的旅客。香港国际机场 2025 年处理了 6100 万人次旅客，其中转客流同比激增 50.2%。美国驻香港总领事馆向美国公民发出了正式安全警示。德勤和毕马威现在要求经香港国际机场转机的高管携带一次性手机。《苹果日报》创办人、英国公民、77 岁的黎智英于 2026 年 2 月 9 日被判处 20 年监禁；六名《苹果日报》编辑合计被判逾 50 年。2 月 26 日，身在美国的活动人士郭凤仪 69 岁的父亲，因试图取消女儿童年时期的保险单而被判囚 8 个月——这是首例因海外活动人士的行为而检控其家人的案件。

庇护申请的指纹就是一张递解令。 2026 年 6 月 12 日——距今 62 天——欧盟第 2024/1358 号条例将把 EURODAC 数据库从一个已有 20 年历史、用于都柏林体系庇护程序的指纹比对工具，改造成一个综合性的 "asylum and migration management"（庇护与移民管理）数据库，集中存储面部图像、身份证件、国籍和申请记录。采集指纹的最低年龄从 14 岁降到 6 岁。欧盟基本权利署在面对可能对儿童使用强制手段以获取指纹的问题时，在一份正式意见中表示，“很难想象有哪种情形，能够正当化为 Eurodac 采集指纹而使用身体或心理上的强制。”联合国儿童基金会、国际移民组织和联合国难民署发表联合声明，敦促欧盟“豁免所有儿童，不论年龄，免于一切形式的强制。”欧盟还是通过了这项条例。EURODAC 将通过共同身份库与 SIS、VIS、EES、ETIAS 和 ECRIS-TCN 互联互通——这意味着，一个在希腊某岛屿接待设施被采集指纹的六岁孩子，将拥有一份终身有效、覆盖全欧盟、与 "irregular entry"（非正常入境）绑定的身份记录，可为遣返执法而被查询。目前享有临时保护的乌克兰人被豁免至 2029 年。世界上其余的孩子没有。

加密是管用的。漏的是缓存。 2026 年 4 月 9 日，在德克萨斯北区联邦法院的庭审中，联邦调查局特工 Clark Wiethorn 作证（证物 158，庭审第 12 天）说，检验人员通过 iOS 的推送通知缓存，从一部被扣押的 iPhone 中提取出了 Signal 消息——具体来说，是 iOS 为了渲染锁屏和通知中心预览而保留的 DeliveredNotifications.plist 和 KnowledgeC.db 这两处痕迹。那些消息已经被删除。阅后即焚已经开启。Signal 应用已经被卸载。而预览文本仍在 iOS 那个取证可发现的缓存里躺了好几周。Signal 的加密从未被攻破。泄露的是手机。唯一可靠的缓解措施——Signal 的 "Notification Content: No Name or Content"（通知内容：不显示名称或内容）设置——默认并未开启，而且几乎没有人会去打开它。

这个模式

八个故事。同一套架构。

在每一个案例里，一份为某个载明目的而收集的数据集——出生证明管理、Medicaid 资格审核、校园安全、医院身份验证、举报热线、庇护登记、投递通知、驾照签发——都被某个对它拥有权力的主体挪去做了完全不同的事。有时这种挪用在现有框架下是合法的（堪萨斯 SB 244；法院裁定之后的 Palantir ELITE）。有时它是一桩真正的犯罪（Conduent 遭遇的 SafePay 攻击）。有时它是一个缺陷（Flock 的 "national lookup" 开关）。有时它就是被这样设计出来的（EURODAC 2.0 的遣返执法扩展）。是哪一种口味并不重要。从管道的另一端看过去，它们全都一模一样。

它们共有的是这一点：数据被收集的那些人，拿不回来。隐私政策面板里没有哪个按钮，能追溯性地撤销一份德州跨性别登记册，或者把 ICE 从一张 Medicaid 参保表里赶出去，或者把一条 Signal 消息从 iOS 里反缓存掉。这个决定是替他们做的，成批地做的，默认地做的，而且是在政治后果到来的许多年之前就做完了。

而后果正在飞快到来。Conduent 的通知仍在发出。EURODAC 在 62 天后开启。堪萨斯的 ACLU 案要等到 9 月 29 日。田纳西州的性别诊所数据公布从 12 月 31 日开始。《外国情报监视法》第 702 条将在九天后到期——而 国会进步党团的 98 名成员已正式承诺，反对任何不含搜查令要求的重新授权；与此同时，参议员 Wyden 和 Lee 的《政府监控改革法案》试图堵上那个数据经纪人漏洞——正是这个漏洞，让 ICE 可以买到依照 Carpenter 案本需搜查令才能获取的东西。没有人知道它能不能通过。

有一个历史对照值得停下来想一想。1943 年，荷兰抵抗组织炸毁了阿姆斯特丹的民事登记办公室，为的是摧毁纳粹占领当局用来找出犹太人的那套索引。多年以后，Hans de Zwart 写道：“在第二次世界大战期间，我们确实有东西要藏。”那套索引的设计者并不是纳粹。他是一位名叫 J.L. Lentz 的荷兰公务员，早在战前就把这套系统当作一项行政改进建了起来。用来分拣这些数据的 IBM 打孔卡片，由 IBM 的德国子公司 Dehomag 制造，跑在中立的人口普查基础设施上。教训不是数据库导致种族灭绝。教训是：一个数据库的存在本身就是一个决定，由建造者做出，决定它最终将服务于谁的权力。在任何一个给定的时刻，谁掌握着这个数据库，谁就决定了它是什么。

无需许可的数据必须意味着什么

工程上的答案不是“更好的隐私政策”。隐私政策正是造出这个模式的东西。目的限制、选择性加入的同意、数据最小化承诺、隐私影响评估——正是这套架构，让上面每一份数据集得以在最初存在。也正是它，让它们中的每一份都得以被挪作他用。政策失败，不是因为它太弱，而是因为它是错误的那一种防御。它是一个承诺。而承诺可以被握有钥匙的人撤销。

能挺过下一届政府的防御，具备四条性质：

  1. 不要收集你无法保护它免于未来被挪用的东西。如果一份数据集的第二种用途，对身处其中的人来说会是灾难性的，那么这份数据集就不应该以让第二种用途成为可能的形式存在。堪萨斯州的生命统计系统不应该有一个编码着“性别标记已更改，原值已存档”的字段。Medicaid 资格审核系统不应该有一个别的机构可以查询的 API。学校摄像头不应该被并入一个全国性的执法网络。以中心化、可查询、模式丰富的形式建造这些系统的工程决定，在做出时并没有考虑最终会由谁握着钥匙。
  1. 如果你非收不可，就不要集中它。每一次 Conduent 规模的泄露，都是把数据拆分到相互独立的运营方和项目中去的一条论据。没有任何理由让单独一家私营承包商为 46 个州处理 Medicaid。没有任何理由存在一个全国性的车牌识别网络。堪萨斯车管所的标记和堪萨斯生命统计办公室的标记，本就不该待在同一个可查询的系统里。分布式存储会大幅抬高“在地图上圈出一片街区”这类查询的成本。
  1. 密码学保证胜过政策保证。唯一能挺过政府更替的保护，是那些在代码里被强制执行的保护。密钥不由服务方持有的客户端加密。不只从索引里删除、而是从每一家供应商的每一份备份里删除的数据。运营方在物理上并不掌握它可能被要求交出的那些数据的、由对等节点运营的基础设施。让静默妥协变得可被察觉的 warrant canary（授权令金丝雀）与可复现构建。
  1. 运营方必须在结构上就交不出它没有收集的东西。隐私政策要求运营方不要出售数据。正确的目标是让运营方无法出售数据，因为数据从一开始就不会在它那一侧积累起来。这是由对等节点运营的网络、零元数据留存的端到端加密通信，以及零知识凭据系统的设计原则。它与 Conduent、Palantir ELITE、Flock Safety、Navigate360 P3，以及 NYC Health + Hospitals 那些中心化生物识别库的设计原则正好相反。

URnetwork 对抗中心化模式

URnetwork 就是按第 4 条原则设计的。它不是一个通信应用、一个数据库或一项身份服务——它是这些东西底下的网络基底。但因为它是一个由对等节点运营的覆盖网络，而不是一项由厂商运营的服务，它不会积累任何上述机制日后可以消费的用户数据。

没有中央用户数据库。URnetwork 路由路径上的每一跳，都是一台属于真实参与者的真实消费级设备，这些参与者运行网络，换取网络收入的一份分成。不存在任何单一实体持有用户名单、流量日志或订户档案。warrant canary（授权令金丝雀）公开承诺：没有交出过任何密钥，没有安装过任何拦截设备，没有削弱过任何加密。当金丝雀停止更新时，用户就会知道。

没有订户身份。免费层每月提供 50 GiB，无需账户、无需邮箱、无需身份。UR Pro 每月 5 美元或每年 40 美元，无需 KYC。给提供者的分成以 USDC 形式在 Polygon 或 Solana 上发放——支付轨道本身无法被传票索取订户名单，因为根本不存在订户名单。

与万维网无法区分的传输。该协议提供三种传输方式——QUIC/TLS、TCP/TLS 和 WebRTC/dTLS——普通网页浏览器同样都在使用它们。政府或 ISP 若不封锁开放的万维网，就无法对这些流量做指纹识别。正是这条性质，让 URnetwork 在其他基础设施失效的地方仍能运转。

分布式路由与零服务端可见性。基于性能竞拍的多跳路由会把流量同时分片到多个提供者上。加密审计日志的设计，使提供者在每个结算周期之后就丢弃自己的密钥——这些密钥只能从对端提供的 TLS client random 的 SHA-256 哈希中推导出来，使批量提取在计算上不可行。“对用户流量没有中央可见性”不是营销文案；它是运营方给自己施加的工程不变量。

开源，可复现构建。客户端已在 F-Droid 上架，其构建由 F-Droid 维护者独立地从源码复现，并与发布的产物逐位比对验证。一个命令 URnetwork 植入后门的政府，将不得不以任何审计构建的人都能察觉的方式改动源代码。可复现构建这一性质把整个社区变成了一根绊线。

35 万多人，100 多个国家。这个网络之所以运转，是因为它的参与者在运行它。这不是一句修辞——它是一条结构性性质，使这个网络与厂商托管的服务有着根本的不同。BringYour（URnetwork 背后的公司）可以被起诉、被传票传唤或被制裁，而网络会继续转发流量，因为网络就是参与者，不是公司。

诚实的保留

由对等节点运营的基础设施，并不能修复已经存在的那些数据集。它不会追溯性地删除 2500 万条 Conduent 记录，不会把 1,700 名堪萨斯人从一份登记册里清除，也不会把 Medicaid 数据从 Palantir ELITE 中移走。那些数据集存在，并且会继续存在下去，直到有人强制它们被删除——而对其中许多数据集来说，那一天永远不会到来。支持无需许可的基础设施的论证不是追溯性的。它是前瞻性的。它关乎的是此刻正在被设计和部署的那些数据集。

每一家在挑选新电子病历系统的医疗机构。每一座在挑选新摄像头供应商的城市。每一个在实施 EURODAC 2.0 的欧盟成员国。每一个在建设新福利资格审核系统的州。每一个在签订新举报热线合同的学区。每一家在为“病历中由 AI 生成的知情同意语句”撰写新模板的 AI 病历助手厂商。这里面的每一个决定，都是一座未来的堪萨斯登记册——除非现在有人做出不同的决定。

正在被当下这个模式伤害的人，恰恰是那些一直都会最先被伤害的人：堪萨斯的跨性别者、低收入的 Medicaid 参保人、寻求庇护者、被一个抓取来的人脸数据库匹配成陌生人的黑人祖母、雇主被要求交出员工生物档案的巴勒斯坦援助工作者、孩子的学校摄像头在给 ICE 仪表盘供数的无证父母、拿着一部手机穿过机场的香港记者。伤害总是流向下游，流向那些没能进入那个房间的人——而设计决定就是在那个房间里做出的。

你能做什么

运行一个 URnetwork 节点。下载应用。阅读协议。验证构建。开启提供者模式，好让身在伊朗或香港的参与者，在他们可选的路径集合里多出一个住宅中继。如果你想要一台代你运行网络的全屋设备，可以买一台 URnode。这些每一件都是针对一个非常庞大的模式的小小行动，而大模式正是被小行动瓦解的。

但更深一层的请求是这个：当你设计一个触及他人数据的系统时，假定你不会是最后一个握着钥匙的人。假定下一届政府会是最糟的那一届政府。假定下一任 CEO 会是最糟的那位 CEO。假定下一次泄露会发生在最糟的那一周。然后照着这个去设计。不是为你想建的那份数据集去设计。而是为你将拒绝收集的那份数据集——因为它的第二人生会比第一次更糟。

堪萨斯州从 2019 年起就有一份名单。它只是一套行政系统。直到它不再是。

参考资料（70 条）

参考资料

堪萨斯 SB 244 与跨性别登记册

Conduent 数据泄露

NYC Health + Hospitals 数据泄露

Palantir ELITE

校园监控、Flock Safety 与 Navigate360

Sharp HealthCare 的 AI 病历助手诉讼

Angela Lipps 与 Clearview

香港国安法密码修订

EURODAC 2.0

FBI 与 Signal 推送通知缓存

FISA 第 702 条日落

FBI 对 Hannah Natanson 的搜查

历史对照

URnetwork

Further Discussion

你信任的每一个数据库，都是一件蓄势待发的递解工具

2019 年，堪萨斯州悄悄开始在一份内部登记册上标记每一次跨性别者的出生证明更正。2026 年 2 月，一项新法把这份登记册变成了一张定位名单，1,700 名堪萨斯人收到了注销其驾照的邮寄通知。同样的模式到处都是：Palantir 的 "ELITE" 工具吸收 Medicaid 参保数据——这些数据当初是为了让低收入美国人能看上病才收集的——并逐个图钉地生成递解目标，而一名 ICE 官员在宣誓作证时说这个工具 "kind of like Google Maps"（有点像谷歌地图）。一家名叫 Conduent 的政务科技承包商，如今处在德州总检察长 Ken Paxton 所称“很可能是美国历史上规模最大的一次泄露”的中心，2500 万以上的 Medicaid、SNAP 和福利受益人信息暴露。作为“封校安全”卖给家长的学校摄像头，在一个月里记录下 620 次与移民执法有关的 ICE 查询。在某一届政府的保证之下收集的每一份数据集，都会成为下一届政府的执法基础设施。目的限制是一个承诺。而承诺是会被撤销的。唯一安全的数据集，是那份不存在的数据集。

关掉数据库同样会死人

拒绝收集数据听上去很有原则，直到你想起这些数据是干什么用的。Conduent 泄露之所以发生，是因为一家承包商为 46 个州处理 Medicaid 资格审核——但正是这种集中，才让 9300 万美国人真的能领到福利，而不是从互不兼容的各州系统之间的缝隙里掉下去。EURODAC 之所以给寻求庇护者采集指纹，是因为另一种选择就是前数据库时代地中海上的尸体计数，那时无人陪伴的未成年人会在不同司法管辖区之间消失。NYC Health + Hospitals 之所以恰恰会被入侵，是因为它服务着那 140 万名患者——84% 使用 Medicaid、47.5 万人没有保险、190 种语言——而没有任何私营系统愿意碰这些人。如果对“数据库可以被武器化”的回答是“把数据库毁掉”，那么真正依赖这些福利的人，就是你最先惩罚的那批人。正确的答案不是更小的数据库。而是对更大的数据库更好的治理：防止挪用的硬性技术控制、比选举活得更久的密码学保证、让滥用数据库构成刑事犯罪的法律架构。因为执法基础设施是建在照护基础设施之上的，就把照护基础设施拆掉——这是不依赖这份照护的人才有的奢侈信念。

Comics

#1你信任的每一个数据库，都是一件蓄势待发的递解工具
#2关掉数据库同样会死人