二十八个词
英国 1978 年《国家豁免法》（State Immunity Act 1978）第 5 条全文如下：
"A State is not immune as respects proceedings in respect of— (a) death or personal injury; or (b) damage to or loss of tangible property, caused by an act or omission in the United Kingdom."
（中文大意：一国就下列事项的诉讼不享有豁免——（a）死亡或人身伤害；或（b）有形财产的损害或灭失，由在联 合王国境内的作为或不作为所致。）
议会当年写下这一条时，心里想的是一辆使馆汽车和一名行人。2026年7月27日，在 The Kingdom of Bahrain v Shehabi and another [2026] UKSC 25 一案中，五位大法官要判定的是：它是否也够得着一段从巴林一台服务器推送 到伦敦两台笔记本电脑上的间谍软件植入程序。三位说够得着。两位说，这个答案让英国违反了国际法。
少了一个条件
这部法之所以存在，部分原因是为了让英国能够批准《欧洲国家豁免公约》（European Convention on State Immunity，巴塞尔，1972 年），而该公约在同一项例外中多加了一个条件：第 11 条要求相关事实发生在法院地国， "and that the author of the injury or damage was present in that territory at the time"（并且该伤 害或损害的作出者当时身处该领土之内）。第 5 条保留了第一个连接因素，去掉了第二个。
多数意见方——Lord Lloyd-Jones、Lord Hamblen 和 Lady Simler——认定这处省略是有意为之。关于制定法应与 其所依条约相符的推定，"has no application here because the departure from the treaty scheme is deliberate. In our view, this is determinative of the appeal"（在此不适用，因为对条约框架的偏离是有意 的。在我们看来，这一点对本上诉具有决定性）（第 74 段）。接着是那句改变了法律的话："an act includes an act done using mechanical, electrical or other automated or remote means… even if the person responsible… is not physically present at the location where the act takes place"（作为包括以机械、电子 或其他自动化或远程手段实施的作为……即使责任人……并未亲身处于该作为发生的地点）（第 131 段）。法院通常对 这类制定法作狭义解读，好让国家不惹麻烦。这一次却是有意读得更宽，随后又拒绝判定习惯国际法是否允许这一 结果，只依托于存在 "a reasonable basis"（一个合理基础）（第 79 段）。一条硬规则，立在一个软地基上。
指控了什么，以及人们是怎么知道的
Saeed Shehabi 博士是巴林自由运动的领导人；Moosa Mohammed 是一名摄影师，其巴林国籍于 2012 年被剥 夺。两人都住在伦敦。他们指称，自 2011年9月前后起，为巴林行事的人把 Gamma Group 出售的 FinSpy 装 到了他们的电脑上，操作者身在国外，控制服务器在巴林。7月31日，Shehabi 对 Index on Censorship 表示， 这个案子关乎的是“那种哪里都不安全的感觉”；Mohammed 说他是在“追讨问责”。
被主张为发生在英格兰的行为包括：覆写硬盘、开启麦克风与摄像头，以及——很难忘的一项——使用设备的电池电 力。巴林方面需要让这一切都仅仅成为在麦纳麦所作行为的效果，而上诉法院早已把这种区分称为 "artificial and unprincipled"（人为且缺乏原则）。
这一切对它所发生于其身的那两个人来说都是不可见的。2012 年 5 月，可疑邮件送到了多伦多 Citizen Lab 的 Bill Marczak 手中——初审法官称这名证人 "plainly well-qualified"（显然具备充分资格），不过就巴林而言 带有 parti pris（预设立场）。2012年7月25日，Citizen Lab 点出了那台控制服务器，77.69.140.194， 位于 Batelco 的地址段内；八年后，这个地址又出现在诉状里，而这正是不依赖 Marczak 的那份佐证。2014 年公布 的一份 Gamma 泄露档案中有一份目标名单，原告称他们的笔记本电脑就在上面。他们就是这样发现的——而他们据以 起诉的伤害，是这次发现，不是那场监控，依据的是一部 1997 年为对付跟踪骚扰者而写的法律。
巴林方面的回应狭窄而真实：原告 "provided no evidence as to how their computers were alleged to have been infected"（没有就其电脑据称是如何被感染的提供任何证据），而且那两台计算机从未被检查过——Marczak 没有 检查过，任何人都没有。感染在 2011年9月，发现在 2014年8月，起诉在 2020 年，判决在 2026年7月：十四年零 十个月，其中六年只用来确立一件事——法院可以受理来看一看。
对方最强论证，不打折扣
Lord Leggatt 的反对意见是语法层面的：人 "can only act (or omit to act) where they are spatially located"（只能在其空间所在之处作为或不作为）（第 198 段），因此操作者的行为 "all take place in Bahrain" （全都发生在巴林），而在伦敦发生的是这些行为的效果。第 5 条也并不要求伤害发生在英国境内（第 219 段）， 因此唯一的英国因素可以只是一台机器。
接着是判决书中最难对付的一句，讲的是有没有哪个国家曾经因不在场的代理人所实施的侵权行为而否定豁免： "there is a complete absence of any such practice. There is not even a single instance of it"（完全不 存在任何此类实践。连一个实例都没有）（第 315 段）。多数意见方在第 89 段承认了这一点，而双方都拿不出 任何地方任何一个判定相反的已决案例。
Lord Burrows 论证了这一条可以被解读为与第 11 条相一致，随后作出了那个让这份异议意见显得诚实而非机 巧的让步（第 339 段）：如果把这部法 "divorced from its public international law context"（脱离其国际公法 语境）来读，那么你确实会避免去区分一个身在伦敦的代理人和同一场从境外键盘上进行的监控。"But… it is impermissible for this court, and would constitute an undermining of the rule of law, to adopt a statutory interpretation that contradicts public international law unless Parliament has enacted legislation that clearly requires that."（但……除非议会已制定明确要求如此的立法，否则本院采纳一种与国际 公法相抵触的制定法解释是不被允许的，并将构成对法治的削弱。）他开出的药方是一部法案，而不是豁免。
Leggatt 也把那个令人不适的部分摆到了纸面上：在第 175 段，"target computer equipment abroad"（针对境外计 算机设备）的权力，是由 Investigatory Powers Act 2016 第 2 部分和第 5 部分授予英国自己的情报机构的。如果 行为发生在机器所在之处，那么 GCHQ 的令状落到哪里，它就在哪里实施了行为。但在把这称作对称之前，先算一 算：就已颁布的各国法律而言——日本 2009 年、西班牙 2015 年、俄罗斯 2015 年、中国 2023 年——没有一部能在 不修改本国法律的情况下照搬英国的规则。风险敞口是朝着有利于英国的方向倾斜的：这对一项原则来说，是个令人 不适的属性。
针对以上，只有一个狭窄的回答。这种偏离是一种习惯，不是一次失手——第 68 段列出了这部法在五处偏离其公 约对应条款。本文并不主张多数意见方在习惯国际法问题上是对的；法院拒绝就此作出判定。它只主张这一点：在场 要求并不是让远程侵入难以起诉，而是让它因构造而豁免——每一次植入，永远如此，在每一个采纳该要求的司法 辖区。Kidane v Ethiopia（2017）——本院在第 287–290 段作了摘述，并称其与本案事实 "particularly close" （尤为接近）——就是这件事从受害者一侧看过去的样子：埃塞俄比亚把 FinSpy 用电子邮件送上一位马里兰州居民的 电脑，而“整个侵权行为”必须发生在美国领土上这一要求，让他什么也没得到。另外请注意，Burrows 自己的反对 意见针对的是由谁来更新这条规则，而且它是说给议会听的，不是说给这两个人听的。
它打开了什么，以及天花板在哪里
英国已经在另一个案子里把这条路走到了尽头。Ghanem Al-Masarir，一位身在伦敦的沙特讽刺作家，指称沙特阿 拉伯把 Pegasus 装到了两部 iPhone 上。他在 2019 年依同一条第 5 条提起诉讼——原告、国家和工具都不 同——豁免在 2022 年被驳回，随后该国退出了诉讼，对三项费用命令置之不理。2026年1月26日，Saini 法官判 给 £3,025,662.83，并指出沙特 "has made a deliberate decision not to participate"（作出了不参与诉讼的 刻意决定），以及在别处强制执行 "will be necessary"（将是必要的）。因为同一部法的第 13 条把出口闩死 了：一国的财产 "shall not be subject to any process for the enforcement of a judgment"（不得成为任何执行 判决程序的对象），除非它以书面形式同意，或该财产用于商业用途。这个数字给这个故事封了顶，而不是把它打 开：管辖权不等于追回。你可以赢，可以被相信，可以被标出价钱——然后手里拿着一张纸。
这个天花板是一项设计决定，而一家美国法院已经把话挑明了。Phyllis J. Hamilton 法官在 WhatsApp v. NSO Group 一案中的禁令于 2026年1月28日取得可执行力，当天第九巡回法院合议庭拒绝中止它。看第 1 段： "notwithstanding anything herein, neither Defendants' foreign sovereign customers nor Defendants' outside counsel are Prohibited Parties."（尽管本文另有任何规定，被告的外国主权客户及被告的外部律师均 不属于被禁止方。）法院指示原告把他们排除在外，因为他们 "are not before the court … of course an injunction in this case cannot apply to them"（不在本院面前……本案的禁令当然不能适用于他们）——而他们从 来都不是当事方，因为按 NSO 书状的说法，他们 "cannot be sued due to their sovereign immunity"（因其主权豁 免而不能被起诉）。美国最具影响力的这项间谍软件裁判，禁的是卖方的代码，而按其构造，够不到那些购买并瞄准 了它的政府。7月27日是这上面的第一道裂缝。
我们知道什么，不知道什么
已经落定的：自 2026年7月27日起，在英国，第 5 条不含在场要求。尚未落定的：巴林是否做过其中任何一 件——这是一项基于假定事实的管辖权裁定，涉案设备从未被检查，也没有排定实体审理。未经检验的：第 5 条要 求死亡、人身伤害或有形财产的损害，而 Al-Masarir 一案有一部分是以侵害动产（trespass to goods）胜诉 的，所以，一个被监控但并未因此患病的人能否凭此提出有效的诉讼请求，从未在一个到庭抗辩的国家面前被论辩 过。作为我们自己检索的一项零结果：截至 2026年8月5日，Find Case Law 上未出现任何强制执行裁定，而且 我们无法确证那笔 £3.03 million 中已有任何部分被追回。也请注意这里的脆弱性——三起英格兰诉讼，一家事务所， 出庭律师班底大体上也是同一套。我们未找到巴林方面的任何回应。
你实际上能做什么
保留可疑设备，不要把它抹掉，并把可疑消息连同其邮件头完整保存。尽早请临床医生把任何伤害记录在案——伤害正 是管辖权的挂钩点，也是衰减最快的那个要件。把样本送给 Citizen Lab 或国际特赦组织的 Security Lab，法院已经 接受过它们的分析；并在你需要它们之前就打开 Android 的高级保护模式或 iOS 的锁定模式。可用的杠杆很窄： Burrows 说这件事应当由议会来决定，而英国没有任何法案，第 13 条在有人修改它之前一直有效——这就使得执行上 的这道缺口成为一项立法选择，而不是一条自然法则。
你不必付出的那份信任
救济跟着归因走，而归因是一种基础设施：沙箱、样本档案库、公开发布的指标，以及无需政府许可即可行动、也没法 被勒令停手的研究者。这也正是它在法庭上奏效的原因——一份没有任何单一一方能被命令撤回的证据。那场被指控的 监控没有产生任何症状。伤害只有在别人的取证工作告诉这两个人、他们的笔记本电脑上自 2011 年起装着什么东西 时，才开始。没有检察官发现它。没有平台告诉他们。
界限也讲明白：这些东西在 2011 年一样挡不住 FinSpy，而一份判决值多少钱，只等于一个主权国家愿意付多少钱。 但这个先后顺序是有据可查的。独立取证让伤害变得可读；可读性让侵权主张变得可论辩；而这项论辩，在十四年零 十个月之后，拿掉了那份豁免。
参考资料（5 条）
参考资料
- The Kingdom of Bahrain (Appellant) v Shehabi and another (Respondents) [2026] UKSC 25 —— 判决书与新
闻摘要，2026年7月27日；案号 UKSC/2024/0152，2025年11月26–27日开庭（supremecourt.uk）。多数意见 Lord Lloyd-Jones、Lord Hamblen、Lady Simler；异议意见 Lord Leggatt 与 Lord Burrows。引文见第 68、74、79、 89、131、175、198、219、287–290、315、339 段。代理律师：Tom Hickman KC（Volterra Fietta）代表巴林； Timothy Otty KC、Ben Silverstone 与 Philippa Webb（Leigh Day）代表被上诉人。
- State Immunity Act 1978，第 1、5、13、16(2) 条（legislation.gov.uk）；European Convention on State
Immunity 第 11 条；UN Convention on Jurisdictional Immunities 2004 第 12 条——引自 [2026] UKSC 25 第 22–25 段。
- 下级法院：[2023] EWHC 89 (KB)（Julian Knowles J，2023年2月8日）与 [2024] EWCA Civ 1158；[2025] KB
490（Carr LCJ、Males LJ 与 Warby LJ，2024年10月4日）——caselaw.nationalarchives.gov.uk。
- El-Khouri v Government of the United States of America [2025] UKSC 3。
- Al-Masarir v Kingdom of Saudi Arabia [2022] EWHC 2199 (QB)；[2023] QB 475；以及 [2026] EWHC 119
(KB)（Saini J，2026年1月26日；£3,025,662.83；"deliberate decision not to participate"）。
- Rukundo and Uwamahoro v Republic of Rwanda [2025] EWHC 1675 (KB)（Master Dagnall，2025年4月16
日）。
- Kidane v Federal Democratic Republic of Ethiopia, 851 F 3d 7（D.C. Cir.，2017年3月14日），依 [2026]
UKSC 25 第 287–290 段的摘述。
- WhatsApp Inc. v. NSO Group Technologies Ltd.，N.D. Cal. 4:19-cv-07123-PJH（Phyllis J. Hamilton 法
官）：Dkt. 802（2025年10月17日，第 14 页 "cannot apply to them"）；Dkt. 809 ¶ 1（外国主权客户的除外条 款）；第九巡回法院第 25-7380 号，中止申请于 2026年1月28日被驳回。
- Citizen Lab，"From Bahrain With Love: FinFisher's Spy Kit Exposed?"，Marquis-Boire 与 Marczak，2012年
7月25日（控制服务器 77.69.140.194，位于 Batelco 地址段）。
- Investigatory Powers Act 2016，第 2 部分与第 5 部分（legislation.gov.uk）。
- 原告陈述：Index on Censorship，"No more hiding behind borders, Bahrain told"，Jemimah Steinfeld，
2026年7月31日。代理律师一行经 Blackstone Chambers 案件说明（2026年7月28日）确认。