互联网隐私笔记

来自 URnetwork 团队与社区的文章和研究。

RSS

只差一个编号

今年 7 月的九天之内,美国移民及海关执法局驻达拉斯的一个办公室签下了它整个夏天三份独立新签合同中的两份。那份 9,470 万美元的单一来源合同公开发布了采购公告,公告在签约的第二天就已上网。编号只差一位的那份 1,300 万美元合同——签给一家出售社交媒体威胁监测服务的公司——从未在任何地方发布公告,而法规要求的理由说明本周日到期。如果它始终不出现,规则的写法决定了:外界任何人都无法证明任何事。

7 月 1 日,美国移民及海关执法局(ICE,US Immigration and Customs Enforcement)驻达拉斯的一个合同采购办公室,与区块链追踪公司 TRM Labs 签下一份 94,655,840 美元 的合同。这是一笔单一来源采购——ICE 只找了一家公司,也只收到一份报价。在美国联邦采购中,公开竞争是默认规则,只有少数法定例外才允许限制竞争,而这类例外采购必须向公众交代理由:联邦信息公开规则针对的正是这种采购。这个办公室完全照章办事——这笔采购公开发布了公告,上网日期是 7 月 2 日,也就是签约的第二天。

7 月 10 日,同一个办公室——调查与行动支援处,达拉斯(Investigations and Operations Support, Dallas)——签下了序列里编号只差一位的那份合同:13,000,000 美元,给 ZeroFox,一家出售社交媒体威胁监测服务的美国网络安全公司。这一次有三家公司投标。然而这笔采购没有在任何地方发布公告,法规要求公开的那份书面理由说明(justification)也一直没有被找到。发布它的三十天期限在8 月 9 日周日走完。今晚是第 28 天。

把两份记录并排放在一起,方向是反的:巨额的、毫无竞争的那笔在光天化日之下办完;小额的、经过竞争的那笔悄无声息。这种倒置值得你花几分钟,原因只有一个。无论周日结果如何,这一对合同都说明:这条信息公开规则从外部根本无法核查——查不出它迟了,查不出它被守住了,什么都查不出。

吵闹的那笔采购和安静的那笔

这两笔采购在联邦编号序列里只差一位,70CMSD26C00000005…006,而每一个字段都与直觉相反。单一来源的那份反而是公开的:只向一家公司询价,收到一份报价,第二天就公开发布了采购公告。经过竞争的那份反而是隐形的:走谈判式提案程序、收到三份报价,却没有任何公开公告——数据库里记录有无公告的那个字段写着 NO(否)。

周日这个期限来自紧急情况例外,即《联邦采购条例》(FAR,Federal Acquisition Regulation,美国联邦政府采购的统一规则)6.302-2 条:当延误会造成严重的财务或运营损害时,机关可以限制竞争;而该条也给了它授标后三十天的时间来公布书面理由说明。但政府自己的数据库把 ZeroFox 这笔采购编码为 "full and open competition after exclusion of sources"(排除部分供应商后的完全公开竞争)——而一场有三家投标人的谈判式竞争,不像是紧急状况的样子。要么是编码用得松,要么这笔采购比“紧急”二字暗示的更普通。它越普通,那份缺失的公告就越难解释。

同一个达拉斯办公室相隔九天签下的两份 ICE 合同:70CMSD26C00000005,TRM Labs,94,655,840 美元,一份报价,单一来源,次日公开发布了公告——以及 70CMSD26C00000006,ZeroFox,13,000,000 美元,三份报价,谈判式提案,未发布公告,理由说明未找到、8 月 9 日周日到期,即 FAR 6.305(b) 三十天期限的第 28 天。
同一个达拉斯办公室相隔九天签下的两份 ICE 合同:70CMSD26C00000005,TRM Labs,94,655,840 美元,一份报价,单一来源,次日公开发布了公告——以及 70CMSD26C00000006,ZeroFox,13,000,000 美元,三份报价,谈判式提案,未发布公告,理由说明未找到、8 月 9 日周日到期,即 FAR 6.305(b) 三十天期限的第 28 天。

规模也指向同一个方向。按 ICE 的标准,1,300 万美元是小钱,而这个量级的采购正是只有文书才会让它露面的那一类:隔壁那笔 9,470 万美元,记录怎么写都会引来注意。一笔 1,300 万美元的支出则会无声无息地过去——除非信息公开规则真的起作用。

一共有三份,其中两份在暗处

最自然的反驳是挑樱桃,所以这里把全部记录一条不落地摊开。6 月 15 日到 8 月 7 日之间,这个办公室签下了 82 笔采购;把 ICE 的记录逐页翻到底(七页共 633 条,而不是默认拉取只返回的那两页),从中查出的“确定性合同”(definitive contract)恰好是三份——所谓确定性合同,指的是全新独立签订的合同,而不是在此前已竞争过的框架采购合同(contract vehicle)下发出的订单。

第三份小到会从任何按金额排序的拉取里掉出去:70CMSD26C00000004486,749.68 美元,签给 Guardian Centers of Georgia,7 月 20 日签署,依据 FAR 6.302-1 以单一来源方式授标。它的 fed_biz_opps 字段写着 NO。所以总数是三份,而其中两份从未发布过公告。那份 9,470 万美元的采购,是这个办公室整个夏天唯一摆到公众面前的独立新签合同——这让这里的格局比单纯的一对更糟,而不是更好。

ZeroFox 卖的是什么

ZeroFox 出售品牌保护和社交媒体威胁监测服务,其母公司是 LookingGlass Cyber Solutions。它的新客户,是那个名字已经说明了自己在做什么的 ICE 办公室:调查与行动支援。

ICE 究竟买了什么,记录里没有。这笔采购没有描述任何交付内容,而本编辑部不会从一家供应商的产品线去推断它卖出了什么能力。但这个未知,恰恰是那份缺失文件本该解决的:所谓理由说明,就是政府以书面形式交代自己在买什么、以及为什么限制了竞争的地方。对于一份从未公告过的、由一个移民执法机关与一家社交媒体监测公司签下的 1,300 万美元合同来说,那份文件是唯一可能存在的公开说明。

无辜的那种解释

先站在这个办公室一边,因为它的理由是真实存在的。三家公司投了标——不管这是什么,它都不是送给一家无人能与之竞争的供应商的礼物。文书迟交是联邦采购中最普通的失败:公布期限在整个政府里都在滑点,而一个滑掉的日期不是掩盖。期限甚至还没到——只要周日之前把理由说明贴出来,那就是完全合规,这篇报道也就变成一个关于规则运转正常的故事。最有力的一点是:正是这个办公室,在它那份金额大得多的采购上,第二天就发布了公告。存心藏东西的办公室不会这么干。

这些全都站得住。它们都没能挽回的,是“不知情”这个借口。在 9,470 万美元上一天之内就发布了公告的那个办公室,就是在 1,300 万美元上二十八天里什么都没公布的那个办公室——同一个买方,同一个编号序列,同一个月。这证明不了任何不当行为。它的意思是:如果周日在沉默中过去,那个办公室里没有人能说自己不知道这条规则。

一条抓不住任何人的规则

下面是本编辑部真正的看法,而它不是“达拉斯有个采购官在藏东西”。它是:那栋楼外面的任何人,都无法判断是否真有人在藏东西。

《联邦采购条例》在最后一步之前把每件事都做对了。限制竞争的机关必须写一份理由说明,必须在随金额上升的层级上获得批准,并且必须公开——紧急情况采购是在授标后三十天内。它甚至预先料到了那个最明显的取巧办法。FAR 6.305 的 (e) 款要求采购官删去企业的专有信息,以及任何依据《信息自由法》(FOIA,Freedom of Information Act,规定美国联邦政府信息公开义务的法律)可以豁免公开的内容,随后就把门关上:"This process must not prevent or delay the posting of the justification …"(这一过程不得妨碍或延迟理由说明的公布。)内容敏感是少公布一些的理由,不是什么都不公布的理由。

留给机关的出路是 (f) 款,而它很窄:只有在公布理由说明 "would disclose the executive agency's needs and disclosure of such needs would compromise national security or create other security risks"(会泄露该行政机关的需求,而泄露这些需求会危害国家安全或造成其他安全风险)的情况下,这项义务才被解除。这很合理——只不过,没有任何规定要求机关说明自己用了 (f) 款。没有存根,没有标记,没有一条“已扣留”(withheld)的提示。而理由说明本该出现的那个公开窗口,无法向外人显示“什么都没贴”和“什么都看不到”之间的区别。从外部看,一次合法的扣留和一次逾期未发,产生的记录完全相同:什么都没有。

一条无法把“遵守”与“违反”区分开的信息公开规则,已经不再是规则。它是一种惯例——机关想被人看见自己在做的时候才会做的事。达拉斯这一对合同看上去正是如此:大的那笔被看见了,小的那笔没被看见,而且无法说清是哪一种“没被看见”。

修补它只需要一行字。只要援引 (f) 款,就要求公开一条占位说明——理由说明存在,它被扣留,依据在此。合法的保密照旧合法。沉默变得可读。

周日

ZeroFox 这笔采购的记录是公开的,不需要登录;确切地址在参考资料里。到周日、也就是第 30 天,SAM.gov(美国联邦采购公告与合同文件的官方公开平台)上要么出现一份理由说明,要么仍然什么都没有。如果它出现了,规则就起作用了,这篇文章就是一套制度正常运转的记录。如果它没出现,你依然没有抓住任何人——(f) 款保证了这一点——而这个保证本身就是结论。

周日不会告诉我们有没有人做错了事。它会告诉我们的是:这条规则究竟还有没有能力告诉我们任何事。


参考资料(1 条)

参考资料

  • 70CMSD26C00000006 —— ZeroFox Inc,13,000,000 美元,date_signed 2026-07-10,履约期 2026-07-13 →

2027-07-12;授标办公室 Investigations and Operations Support Dallas(调查与行动支援处,达拉斯); number_of_offers_received 3,extent_competed D("full and open competition after exclusion of sources",排除部分供应商后的完全公开竞争),solicitation_procedures NP(谈判式提案),fed_biz_opps N ("NO",即未公开发布公告),type_set_aside NONE;受款方 UEI TQDAJ722E397,母公司 LookingGlass Cyber Solutions, Inc.(UEI LTGWWC211763)。取自 api.usaspending.gov/api/v2/awards/CONT_AWD_70CMSD26C00000006_7012_-NONE-_-NONE-/,2026 年 8 月 7 日 21:49 UTC。FAR 6.305(b) 的三十天从 date_signed(7 月 10 日)起算,而不是从履约期开始日(7 月 13 日) 起算;后者会把期限错误地推到 8 月 12 日周三。

  • 70CMSD26C00000005 —— TRM Labs, Inc.,94,655,840 美元,date_signed 2026-07-01,同一授标办公室;

number_of_offers_received 1,extent_competed C,solicitation_procedures SSS,fed_biz_opps Y ("YES")。同一接口,...00000005...

  • 分母,本编辑部自行统计。 api.usaspending.gov/api/v2/search/spending_by_award/,采购类型代码 A–D,

授标下级机构 "U.S. Immigration and Customs Enforcement",行动日期 2026-06-15 → 2026-08-07,以 limit: 100 逐页拉取直到 hasNext 变为 false——七页共 633 条记录,其中 82 条带 70CMSD26 前缀, 而这 82 条里有三条是 C 序列的确定性合同:...C00000005(TRM Labs,94,655,840 美元)、...C00000006 (ZeroFox,13,000,000 美元)和 ...C00000004(Guardian Centers of Georgia,486,749.68 美元)。更正, 8 月 10 日:本文最初报告的是“两页共 200 条记录”和两份确定性合同。200 正好是分页上限的 2 倍——那次拉取 停在了分页边界上,而结果按金额降序排列,在 2,093,074.55 美元处被截断,把排在它下面的那笔 486,749.68 美 元采购挡在了外面。真实数量是三份,而第三份同样没有发布公告。

  • FAR 6.302-2(unusual and compelling urgency,异常且迫切的紧急情况)、6.303(justification,理由

说明)、6.304(approval levels,批准层级)、6.305(a)–(b)(public availability,公开可得性;6.302-2 适用 授标后 30 天)、6.305(e)(删去企业专有信息和依 FOIA 豁免公开的材料,但 "this process must not prevent or delay the posting",即这一过程不得妨碍或延迟公布)、6.305(f)(当公布会泄露机关的需求、而泄露 这些需求会危害国家安全或造成其他安全风险时,公开义务解除;并且不要求披露曾使用 (f) 款)。更正,8 月 10 日:本文最初把 (f) 款描述为“在理由说明含有涉密内容或依法豁免公开的信息时,可以全部或部分不予公开”。 那是把 (f) 款与 (e) 款混为一谈,而 (e) 款恰恰是完全禁止用删节来延迟公布的那一款。更窄的读法反而加强了本 文这里的论证,而不是削弱它:FAR 确实堵上了这个取巧办法,正因如此,(f) 款没有任何标记这一点才要紧。

  • 被点名的缺口。 api.sam.gov/opportunities/v2/search 对两个 PIID 的未认证请求都返回 HTTP 404

这无法区分“没有公告”和“无权访问”;SAM.gov 的网页界面渲染出一个空壳,与“零结果”无从分辨,通过纯文本 代理访问也是如此。未找到 ...006 的任何 FAR 6.302-2 理由说明。此处报告的是一次检索失败,而不是 “不存在此类文件”的证据。

Further Discussion

大额的单一来源合同发布了公告。小额的竞争性合同反而没有。

**今年 7 月的九天之内,美国移民及海关执法局(ICE,US Immigration and Customs Enforcement)驻达拉斯的一个办公 室签下了它整个夏天三份独立新签合同中的两份——而它们的方向是反的。**7 月 1 日,调查与行动支援处,达拉斯 (Investigations and Operations Support, Dallas)把 **94,655,840 美元** 给了区块链追踪公司 TRM Labs。一家投标 人,单一来源:这正是信息公开规则为之而写的那类采购,而这个办公室也正是这么办的——公开发布了采购公告,第二天 就上网。 **7 月 10 日,它签下了序列里编号只差一位的那份合同:13,000,000 美元**,给 ZeroFox,一家出售社交媒体威胁监测服 务的公司。这一次有三家公司投标。而这笔采购没有在任何地方发布公告,法规要求公开的那份理由说明也一直没有被找 到。发布它的三十天期限在**8 月 9 日周日**走完。今晚是第 28 天。 **挑樱桃是不可能的,因为全部记录都摆在这里。**6 月 15 日到 8 月 7 日之间,这个办公室一共签了 82 笔采购,除三 笔以外全都是在框架采购合同(contract vehicle)下发出的订单,那部分竞争发生在框架合同订立之时。存在三份独立新 签合同,其中两份从未发布过公告。上面这两份里,一份发了公告。一份没有。 **这份记录甚至自相矛盾。**政府自己的数据库把 ZeroFox 这笔采购编码为 *"full and open competition after exclusion of sources"*(排除部分供应商后的完全公开竞争)——三家投标人、谈判式报价——这不像是紧急采购的样子,而 周日这个期限恰恰属于紧急情况例外。要么是编码用得松,要么这笔采购本来就很普通。它越普通,围绕它的沉默就越奇 怪。 **而那份缺失的文件不是文书上的小事。**所谓理由说明,就是政府以书面形式交代自己在买什么、以及为什么限制了竞争 的地方。对于一份从未公告过的、由一个移民执法机关与一家社交媒体监测公司签下的合同来说,它是唯一可能存在的公开 说明。 **最有力的反驳是日历:**期限还没有走完,而只要周日之前把理由说明贴出来,那就是完全合规。这一点成立。但在 9,470 万美元上第二天就发布了公告的那个办公室,就是在 1,300 万美元上二十八天里什么都没公布的那个办公室——同一 个买方,同一个编号序列,同一个月。无论周日带来什么,那个办公室里没有人能说自己不知道这条规则。

三家公司投了标。这里没有任何东西显示有人藏了什么。

**三家公司为这份合同投了标。**就从这里开始,因为它一碰就化解了那种阴谋式的读法:无论文书留下的痕迹是什么样 子,这 1,300 万美元是在三家公司之间竞争出来的,而任何以“隐瞒”为前提的说法,都得先解释一笔据称被藏起来的交易 为什么还会有投标人。 **文书迟交是联邦采购中最普通的失败。**公布期限在每一个机关、每一个月都会滑点。合同采购办公室人手紧张,而一份 没人贴出来的公告是积压,不是阴谋。30 天里的第 28 天不是违规。那只是一个星期五。 **这个办公室自己的记录反而说明它勤勉。**同一个达拉斯买方在签下那笔金额大得多的采购之后,第二天就发布了公告。 一个以埋东西为业的办公室,不会主动把自己最大、最没有竞争的那笔采购拿去次日公布,然后再在小的那笔上做手脚。 **而法律仍然可能让这种沉默变得正当**——只不过不是靠人们最先想到的那条路。内容敏感换不来沉默:《联邦采购条例》 (FAR,Federal Acquisition Regulation,美国联邦政府采购的统一规则)6.305(e) 要求采购官删去企业的专有信息,以 及依《信息自由法》(FOIA,Freedom of Information Act,规定美国联邦政府信息公开义务的法律)豁免公开的材料,随 后就堵掉了这个取巧办法:"This process must not prevent or delay the posting of the justification …"(这一过程 不得妨碍或延迟理由说明的公布。)真正能解除这项公开义务的是 6.305(f),它针对的是这样一种情形:公布 "would disclose the executive agency's needs"(会泄露该行政机关的需求),而这种泄露 "would compromise national security or create other security risks"(会危害国家安全或造成其他安全风险)。买方是一个调查类办公室;供应商 出售威胁监测服务。**这正是另一边无法回答的那条腿,而文章本身也这么写了:**周日出现一份空白的记录,仍然与一次 依 (f) 款作出的合法、无声的扣留完全相容,而外界任何人都无法证伪它。 **就连“缺失”这个词都是软的。**本编辑部检索过,什么也没找到——但存放这些文件的那个公开系统,无法向外人显示“什 么都没贴”和“什么都不许你看”之间的区别。“未找到”就是全部可以被证明的说法,而文章也没有多说一个字。 **这一观点自己回答不了的部分:**它之所以无法被证伪,正是因为 6.305(f) 不要求任何宣告——没有存根,没有标记,没 有“已扣留”(withheld)的提示。一次合法的扣留和一次逾期未发,留下的公开记录完全相同:什么都没有。这是一种以规 则本身为代价换来的、对这个办公室的辩护。如果沉默永远站得住,那么这条信息公开要求就对任何人都不产生约束力—— 而无论这份具体合同最后结果如何,这一点都成立。

Comics

#1大额的单一来源合同发布了公告。小额的竞争性合同反而没有。
#2三家公司投了标。这里没有任何东西显示有人藏了什么。