周五，法官给的四天期限届满的那一天，国土安全部提交了它的解释：一份在 "Main Justice"——司法部的华盛顿总部——签署的 25 页答辩状，外加批准该行动的特工的一份 8 页宣誓声明。两份文件合起来说：国土安全调查处（Homeland Security Investigations，HSI）——该部的刑事调查部门——于 5 月 28 日晚间派一名卧底特工进入明尼苏达州明尼阿波利斯大学浸信会教堂（University Baptist Church）的地下室体育馆，携带 "a concealed body-worn audio recorder"（一台隐蔽的随身音频录音器），她在里面待了约两个小时，而一位主管在讨论过法院的禁令、并认定禁令不适用之后，为此签了字。

这份声明第一次把行动的代号以宣誓形式写进了本案法院的案卷：Project Whipple Shield（“惠普尔盾牌”计划），2026 年 2 月 11 日立案。（这个名字此前已经在明尼阿波利斯一宗刑事案件的文件中公开。）而在声明的第二十段，被要求就法院名单上的每一处礼拜场所作出说明时，这位特工只答了一个项目，就停住了。"To my knowledge, HSI has not investigated any other location on the current protected areas list as part of Project Whipple Shield."（据我所知，HSI 没有把现行受保护区域名单上的任何其他地点作为 Project Whipple Shield 的一部分进行调查。）接着是："I cannot confirm or deny that there are additional investigations at other locations on the protected locations list."（对于受保护地点名单上的其他地点是否存在另外的调查，我不能证实，也不能否认。）

要掂量这句话的，是马萨诸塞州联邦地区法院法官 F·丹尼斯·塞勒四世（F. Dennis Saylor IV）。他周一那道命令里要紧的一句是："Defendants shall show cause, in writing filed on the docket, on or before August 28, 2026, why they should not be held in contempt for violating the preliminary injunction."（被告应在 2026 年 8 月 28 日或之前，以提交至案卷的书面形式说明理由：为何不应因违反初步禁令而被裁定藐视法庭。）听证会将于下周五，即 9 月 4 日，以视频方式举行。

体育馆里的人

这道禁令正是塞勒本人于 2 月 13 日在 New England Synod v. Department of Homeland Security（“新英格兰教区会诉国土安全部”案）中签发的——那是八个教会团体在本届政府废止了曾把移民执法挡在礼拜场所之外的政策后提起的诉讼。禁令禁止国土安全部与移民及海关执法局（Immigration and Customs Enforcement，ICE）在受保护的礼拜场所内实施任何 "Immigration Enforcement Action"（“移民执法行动”），紧急情况除外；也禁止在未经总部批准的情况下在其入口一百英尺范围内实施。该命令对这个术语的定义很宽："any action … planned, conducted, undertaken, or executed, in whole or in part, to enforce the immigration laws of the United States, including any arrest, seizure, search, interrogation, questioning, interview, or investigation."（任何为执行美国移民法而全部或部分地计划、进行、着手或实施的行动，包括任何逮捕、扣押、搜查、讯问、盘问、约谈或调查。）

大学浸信会教堂位于明尼苏达大学旁的丁基敦（Dinkytown）街区，并不是列名的原告。禁令覆盖提起诉讼的八个教会团体 "and all of their member churches, congregations, and meetings"（以及它们所有的成员教会、会众和聚会），而大学浸信会同属其中两个团体。它自 2 月 27 日起就在法院的名单上；教堂的入口处就写着这一点。

政府声明所描述的那些人，从来不知道自己进入了法庭记录。4 月 12 日星期日，特工们从街对面公共图书馆的停车场里监视，拍下三辆车，查了车辆登记，并数出 "five individuals enter the basement of the Church"（五人进入教堂地下室）。5 月 28 日星期四晚上约 7 点 05 分，那名卧底特工走进体育馆，参加由一个名为 Left Jab（“左刺拳”）的团体开办的拳击与综合格斗课，录音器一直开着。

到周六晚间，支撑这一叙述的四份监视报告中已有三份可以公开读到，经过涂黑处理；可读的部分与声明相符。

会众是从新闻里得知这一切的，时间是 8 月 14 日星期五，在那宗明尼阿波利斯刑事案件的一名辩护律师提交了这位特工自己的报告之后。两天后，临时牧师在礼拜开始时把这件事告诉了大家。“我们不应对此习以为常，”科迪·桑德斯牧师（Rev. Cody Sanders）说。“我们不应让它变成那种被视作理所当然、成为现状常态、我们就这么默认接受的东西，因为这是错的。”曾担任教堂理事会主席的成员琼·卢布克（Jean Lubke）在她自己的一份宣誓声明里这样说：“这是对我们神圣空间的彻底侵犯。”

特工宣誓陈述了什么

声明人是约翰·扎波内（John Zappone），HSI 的一名助理主管特工。他说他于 2 月 28 日通过电子邮件收到了禁令和受保护场所名单，"with instructions on how to apply the order"（连同关于如何适用该命令的指示）。

4 月 12 日之前："HSI agents discussed this Court's preliminary injunction and determined the investigative activity would not violate the Court's order as the investigation had no nexus to immigration enforcement … I approved the investigative activity at the Church."（HSI 特工们讨论了本法院的初步禁令，并认定该调查活动不会违反法院命令，因为这项调查与移民执法没有关联……我批准了在该教堂的调查活动。）5 月 28 日之前："I again authorized this operation."（我再次批准了这次行动。）

答辩状说，他们要找的人是卡姆·肯尼迪（Cam Kennedy），Left Jab 的负责人之一，一名 "self-described revolutionary anarchist"（自称的革命无政府主义者），当时在组织 "de-arrest"（解救被捕者）和 "swarm"（蜂拥围聚）训练。

答辩状承认了它无法回避的东西。"University Baptist Church is a Protected Area under the Preliminary Injunction."（大学浸信会教堂是初步禁令下的受保护区域。）图书馆停车场不是——但 "Agents could not confirm whether the parking lot was not Near a Protected Area"（特工们无法确认该停车场是否不属于“邻近受保护区域”），后者即命令中的百英尺地带。而对体育馆那一幕，它没有否认。它为之辩护。

一个条款的三种读法

政府的论点是：这一切都不是移民执法，所以都不在禁令覆盖之内。答辩状说，Project Whipple Shield 调查的是《美国法典》第 18 编（Title 18）——联邦刑法典——而不是第 8 编（Title 8），即移民法；6 月那份起诉书的八项罪名全部属于第 18 编，而且 "none of the indicted suspects are aliens."（被起诉的嫌疑人中没有一个是外国人。）

教会一方早八天提交的回答，用的是禁令自己的措辞："in whole or in part"（全部或部分地）。起诉书的第一段指控一项旨在阻止国土安全部与 ICE 特工的共谋，而它列出的第一项目的就是 "[p]reventing the enforcement of federal immigration law by force, intimidation, and threats."（以武力、恐吓和威胁阻止联邦移民法的执行。）

答辩状主张，"in part" 应当按最高法院在 Bostock——2020 年的那宗就业歧视案——中的读法来读：指的是动机，而不是对象。

那么，如果法院当初的本意就是要覆盖呢？答辩状在最后一节说，那样的话，该命令就 "was not 'clear and unambiguous'"（并非“清晰且无歧义”）——这是第一巡回区（覆盖马萨诸塞州的联邦上诉辖区）认定民事藐视法庭的一项要件——政府不能因为猜错而被裁定藐视法庭。

他们宗教的一部分

关于体育馆，答辩状说："Plaintiffs have failed to explain why the Left Jab classes are part of their religion."（原告未能解释 Left Jab 的课程为何是其宗教的一部分。）它还提醒法官：2 月的禁令听证会上，当他问教会是否想成为 "a sanctuary from law enforcement … 24-7"（一处全天候躲避执法的庇护所）时，教会的律师回答说不。

命令保护的是一座 "regularly used"（经常性用于）礼拜的建筑，而不是一周中的某一个小时；体育馆就在那座建筑之内，正在圣殿的下方；保护 "does not vary from hour to hour"（不随钟点而变化）。命令允许国土安全部 "at any time"（在任何时候）动议把任何地点从名单中剔除。它从未这样做过。

政府选中的判例

为体育馆本身辩护，答辩状回溯了三十六年，援引 Presbyterian Church v. United States（“长老会诉合众国”案）。1984 年，移民归化局（Immigration and Naturalization Service）——ICE 的前身——雇用线人渗透“庇护运动”（Sanctuary movement）的教会——当时收容中美洲难民的会众——并至少一次对一场礼拜仪式录了音。1990 年，亚利桑那州的联邦地区法院维持了政府的手段：所涉利益是迫切的，卧底工作是限制最小的手段，只要调查出于善意、特工不越出所受邀请的范围。

关于那个案子，有两件事在答辩状论及它的章节里未被提及。第一，那是一场移民调查——恰恰是政府坚称 Whipple Shield 所不是的那一种调查。第二，是它的结局：法院部分准许了教会的动议，并宣告了它们的权利——它们 "are protected against governmental intrusion"（受到保护，免遭政府侵入）。

它不肯说的

教会提出的要求里，有一件政府不肯给。8 月 18 日，司法部的一名出庭律师致函教会律师，写道那些监视报告 "are accurate"（是准确的），而且名单和禁令已发 "to all ERO and HSI personnel"（给所有 ERO 和 HSI 人员）——ERO 是 ICE 的递解遣返部门——"along with … instructions on how to apply the order"（连同……关于如何适用该命令的指示）。

教会要求查看这些指示。周五的答辩状说，政府 "affirm[s]"（确认）它分发了名单和命令，但指示本身受律师-当事人特权保护。

于是案卷里如今放着：一份把这座教堂的地址发给了每一名 HSI 特工的名单；一名说自己讨论过命令、却仍然批准了行动的特工；还有一套关于命令含义的法律理论——法院直到此刻才第一次听到它。案卷里还放着一句任何辩护律师都不会选择的话：该机构的一名官员，被问到它在名单上其他场所还在做什么时，以宣誓之身拒绝作答。写下那些定义的法官，周五要听的就是这些。

为了接受法国 24 台（France 24，法国的国际新闻频道）采访，一名被该台称作乌斯曼（Usman）的男子要爬进拉瓦拉科特（Rawalakot）——位于巴基斯坦管辖的克什米尔——上方的群山，直到手机捕捉到几格来自区外的信号。那次攀爬，是任何人对这场断网所做过的最精确的测量：它的边缘，在半山腰上。

阿扎德查谟和克什米尔（Azad Jammu and Kashmir）——简称阿扎德克什米尔，即克什米尔由巴基斯坦管辖的那一部分——自 6 月 5 日起就处于大范围断网之中。那一天，政府宣布举行选举，并暂停了大赦国际（Amnesty International）所称的 "all internet and mobile network signals in the region"（该地区所有互联网和移动网络信号）——一道为期七天的命令，如今已进入第十三周——同一天，该地区内政部依据其《反恐怖主义法》（Anti-Terrorism Act）将抗议运动“联合人民行动委员会”（Joint Awami Action Committee，简称 JAAC）列为被取缔组织。总部设在英国的核查组织“查谟克什米尔人权观察站”（Jammu Kashmir Human Rights Observatory，JKHRO）已核实，自那以后——截至 8 月初——共有 89 名平民死亡。政府为该运动的四名领导人设下 1,000 万卢比的悬赏——按巴基斯坦《黎明报》（Dawn）的报道原文，是 "head money"（人头钱）——征集能导致他们被捕的线索；其中的绍卡特·纳瓦兹·米尔（Shaukat Nawaz Mir）此后已被拘押。而今天下午，就在这场断网之下，新一届议会选出了一位总理。所有报道都没有解释的是：为什么世界其他地方的仪表盘上，看不出任何异常。

停在半旗高度的平线

IODA——佐治亚理工学院（Georgia Tech）的互联网断网观测站——统计的是会应答探测的网络地址块。它的事件检测器至今仍为阿扎德克什米尔保持着一个未关闭的断网事件：始于 6 月 5 日 18:40 UTC，如今已到第 84 天。在三大公共观测系统——IODA、审查测量网络 OONI 和 Cloudflare Radar——里，这场断网只在这一个地方留下记录；而且只有当你去查询一个地区代码 3083、再与春季的基线对比时，它才会显形。

看这张图的最近两周，你看到的是一条平线——平在 42 到 48 个响应地址块之间，而 3 月至 6 月的中位数是 99。断网十二周之后，该地区一半的网络成了新的基线。

其余每一层都显示不出任何异常。在 BGP 层——全球互联网实际看到的那张路由表——这场断网几乎不存在：6 月那道让该地区响应能力腰斩的断崖，只撤回了 290 个已通告地址块中的约 15 个，今天仍有 287 个在通告。在国家层面，阿扎德克什米尔的损失消失在巴基斯坦的日常噪声里。而移动网络——这场关停真正作用于其上的那一层——在阿扎德克什米尔根本无法测量：地理定位到该地区的网络恰好只有三个——军方运营的特别通信组织（Special Communications Organization）、国家运营商 PTCL，以及一家名为 Sky Telecom 的小型 ISP——其中没有一家是移动运营商。在那里，一场移动网络关停从构造上就是不可见的。

OONI 的处境也好不到哪里去：它的志愿者模式需要有探针在被审查的网络内部运行——而对 Sky Telecom——唯一可测量的、只覆盖阿扎德克什米尔的 ISP——来说，它的全部历史数据是 2024 年 8 月两天里的 267 次测量。今年 8 月 7 日，确实有人开始在特别通信组织的网络上运行探针——半岛电视台（Al Jazeera）的网站在全部 98 次尝试中均告失败——但该网络横跨阿扎德克什米尔与吉尔吉特-巴尔蒂斯坦（Gilgit-Baltistan）两地，数据无法说明探针位于山脉的哪一侧。JAAC 的网站、JKHRO 的网站，以及记录这些死亡的乌尔都语报纸 Jeddojehad 的网站，从未从巴基斯坦被测试过。

仍在工作的仪器

取代测量的，是核查——一段视频一段视频地做。法国 24 台的“观察者”（Observers）团队把一段视频——穿深色制服的人走下一辆警车、朝人群方向开枪——比对定位到米尔普尔（Mirpur）米安·穆罕默德路（Mian Muhammad Road）的一个具体路段，方法是“辨认视频中可见的信号塔和广告牌”。JKHRO 的死亡统计也是同样的建法——逐案核实，附有姓名：6 月 5 日至 7 月 26 日核实 44 人死亡，7 月 27 日以来再核实 45 人，另有四例尚未确认。当局则完全没有公布任何数字。

而视频画面承载不了的，是缓慢的伤害。一名 JKHRO 成员告诉法国 24 台，该地区的银行业务自 6 月 5 日起一直中断；一次医院血液化验可能永远等不到结果；学校都关着。

一名阵亡的别动队员，和一份书面答复

暴力并非只来自一方，国家一方的理据应当得到它的全部分量。周三，一名巴基斯坦别动队（Pakistan Rangers，一支准军事部队）成员在一次道路清障行动中，被开枪的武装人员打死。信息部在一份致法国 24 台、日期为 8 月 26 日的书面声明中说，当局已就自动武器、劫持人质与酷刑 "repeatedly placed evidence on record"（多次将证据记录在案），并称其对通信的限制是 "calibrated, limited to areas affected by violence and imposed only for the period considered necessary for public safety"（经过校准的、仅限于受暴力影响的地区、且仅在被认为公共安全所必需的时期内实施）。JAAC 否认使用暴力。

公共安全这套解读解释不了的，恰恰是“校准”本身。关停不是从某个暴力发生日开始的，而是从宣布选举的那天开始的——与恐怖组织认定同一天。它如今已在 8 月 10 日的最后投票日之后延续了十八天，而且是所有地方同时如此。国家的回应确实校准于某种东西；记录表明，那个东西是信息，不是暴力。

一纸许可

另一种传感器是人，而人已经被纳入了发证管理。自 8 月 4 日起，任何为外国媒体工作的人——包括巴基斯坦公民——要在伊斯兰堡、拉合尔和卡拉奇以外地区进行报道，都需要信息部颁发的“无异议证书”（No Objection Certificate）。《外交官》（The Diplomat）杂志报道，这一要求如今已覆盖该地区“任何新闻的报道”。法国 24 台报道，发布抗议视频的公民已被列入恐怖分子观察名单——这会封锁他们的银行账户、SIM 卡和身份证件。Jeddojehad 的主编法鲁克·苏莱赫里亚（Farooq Sulehria）当时人在伦敦，安全机构突袭了他的家，拘押了他的三名家人；他们告诉这家人，他写克什米尔的文章是“反国家的”。他回不去了。信息部在同一份书面声明中，称这些证书是 "regulatory and procedural measures"（监管性与程序性措施）。

第 84 天，仍无命令

从来没有人为这一切公布过任何命令。到第 84 天，巴基斯坦电信管理局（Pakistan Telecommunication Authority）网站的首页上，既没有提到任何暂停，也没有在任何位置提到克什米尔；而阿扎德克什米尔政府自己的网站，对来自此处的每一次请求都报以一堵墙。一场没有文书的断网，跑在没有任何图表能看见的网络上，发生在一个记者需要证书才能进入的地区。

人选定在伊斯兰堡

议会今天选出的这个人，不是在该地区首府穆扎法拉巴德（Muzaffarabad）选定的。周三深夜，在伊斯兰堡的总理府，巴基斯坦总理夏巴兹·谢里夫（Shehbaz Sharif）告诉他所在政党——巴基斯坦穆斯林联盟（谢里夫派）（Pakistan Muslim League-Nawaz）——的四名阿扎德克什米尔资深人士：提名已由他的兄长、党的最高领袖纳瓦兹·谢里夫（Nawaz Sharif）定下——大律师赛义德·伊夫蒂哈尔·阿里·吉拉尼（Barrister Syed Iftikhar Ali Gillani），46 岁，一个该党自己的地区领导层从未要求过的人选。该党的阿扎德克什米尔主席沙阿·古拉姆·卡迪尔（Shah Ghulam Qadir）和该地区的一位前总理拉贾·法鲁克·海德尔（Raja Farooq Haider）表示反对，并说他们将不出席投票。

吉拉尼手中没有任何选区。他在 2021 年丢掉了自己的议会席位，8 月 24 日经由一个保留席位进入新一届议会——那是为技术官僚设置的席位，由议员而不是选民填补。《黎明报》当天的人物特稿这样描述这条轨迹："a return through a reserved seat and, finally, a decision made at the very top of the party"（经由保留席位回归，而最终，由党的最高层拍板）。

下午两点的议事厅

今天下午两点，议会在穆扎法拉巴德开会，以 30 票对 14 票击败巴基斯坦人民党（Pakistan Peoples Party）的萨达尔·穆赫塔尔·艾哈迈德·阿巴西（Sardar Mukhtar Ahmed Abbasi），选出吉拉尼出任总理。是 44 票，不是 46 票：议长不投票，而卡迪尔兑现了他的反对，缺席了——他是获胜政党自己的地区主席。另一位反对者海德尔则进了场，投了票。信息部在投票前两天发布的声明说，"the electoral process in AJK has since been completed"（阿扎德查谟和克什米尔的选举程序至此已经完成），互联网限制正 "being progressively normalized"（逐步恢复正常）。《黎明报》对议席的清点说出了“完成”的含义：议会共设 53 席，现有实力是 46 席，因为有七个议席从未举行过投票。投票的第三阶段——蓬奇专区（Poonch Division）的全部十一个选区——只被允许在其中两个县进行，即巴格（Bagh）和哈韦利（Haveli）；选举委员会援引的理由是治安。蓬奇县本身的五个议席，加上拉瓦拉科特周边抗议地带苏德诺蒂（Sudhnoti）的两个议席，从未投过票。指控存在大范围舞弊的人民党，还是推出了自己的候选人。

同一份声明说，互联网服务 "remained available in the majority of areas"（在大多数地区仍然可用）。那张没人指望会被读到的图表则说：阿扎德克什米尔的应答水平已经连续十二周不到其 3 月水平的一半；在计票进行的那个小时里，读数是 45。他们切断了互联网，取缔了那场运动，给新闻界发了证——然后举行了投票。

拉瓦拉科特没有当选议员，而且就外界所能测量的范围而言，也没有互联网。图表是平的。信息部说正常。而一个男人爬上山，去发一条短信。

死的不是服务器——它们还在运行，你若知道其数字地址，它们仍会应答。死掉的是那个名字。Public Interest Registry——简称PIR，一家在弗吉尼亚州雷斯顿运营.org注册局的美国非营利组织——把这个域名置于serverHold状态，该状态会将它从.org区（zone）中移除。autistici.org之下的每一个网站都从互联网的地址簿里消失了。每一个@autistici.org电子邮箱地址也随之消失——按运营它的集体自己的统计，将近12,000个邮箱；按美国政府的统计，约16,000个。如今发往其中任何一个地址的邮件都会投递失败，因为负责投递的机器再也找不到它们住在哪里。

没有任何新闻媒体报道过此事。截至本文写作时，它只存在于注册局的记录之中——编辑部正是在那里发现它的。

Autistici/Inventati——用户口中的A/I——是一个意大利集体，自2001年起由志愿者运营，为有需要的人提供行动者电子邮件、网站托管、博客和聊天服务，并且不记录使用者是谁。周三，美国财政部海外资产控制办公室（Office of Foreign Assets Control，简称OFAC，负责执行经济制裁的机构）将其列为“特别指定全球恐怖分子”（Specially Designated Global Terrorist）——指称其 "encrypted email accounts, chat and video conferencing"（“加密电子邮件账户、聊天和视频会议”）及托管服务为 "Antifa cells and other violent left-wing extremists"（“安提法团伙及其他暴力左翼极端分子”）——包括库尔德工人党（PKK）——提供了实质性支持。同一批指定还包括“巴勒斯坦行动”（Palestine Action，已在英国本土被取缔的抗议团体）和巴勒斯坦声援网络“Masar Badil”。

在发布指定的同时，OFAC签发了第36号通用许可证（General License 36），批准 "the wind down of any transaction involving Autistici Inventati"（“了结任何涉及Autistici Inventati的交易”），有效期至9月25日凌晨12:01。纸面上，是一个月。集体也是这么理解的：周四下午，它重新发布了一篇题为 "Defend Autistici/Inventati Before September 25"（“在9月25日之前保卫Autistici/Inventati”）的呼吁。

那次重发之后大约十五个小时，注册局撤掉了这个名字。从通用许可证上的签署到serverHold：约37小时。清退期还剩28天没有走完。

读一读那几个状态码

这个域名的公开记录写明了这是谁干的。域名状态分两族：以“client”开头的代码由注册商设定——这里是Gandi，A/I在2000年通过其购入该域名、且注册一直续到2029年的法国公司——而以“server”开头的代码由注册局自己设定。今天凌晨1:57，autistici.org一次得到了三个：serverHold、serverTransferProhibited、serverUpdateProhibited。三个全在注册局一侧。Gandi在这份记录上留下的唯一痕迹，是一个早于这一切的例行转移锁。动手的是弗吉尼亚的PIR——至于是奉OFAC之命，还是出于自身的合规判断，PIR没有说，而无论哪个答案都令人不安。

这次行动是外科手术式的。制裁条目恰好列出一个域名，autistici.org，而变暗的也恰好只有一个域名。集体的兄弟域名——noblogs.org、inventati.org、investici.org——解析一切正常。国家没有碰任何一台服务器。它伸手进地址簿，抹掉了一行，这就够了。

许可证究竟许可了什么

这一切里似乎没有任何违法之处。第36号通用许可证批准 "all transactions… that are ordinarily incident and necessary to the wind down of any transaction involving Autistici Inventati… through 12:01 a.m. eastern daylight time, September 25, 2026."（“所有……通常附随于且必要于了结任何涉及Autistici Inventati之交易的交易……有效期至美国东部夏令时2026年9月25日凌晨12:01。”）是“批准”。这个词从不要求任何人做任何事，而OFAC的处罚实行严格责任——无需故意——所以对任何制裁问题，稳妥的解读永远是快的那一种。

再看那三个状态码，你可以看着这套逻辑执行。其中两个——serverTransferProhibited和serverUpdateProhibited——正是资产冻结在机制上所要求的：这个域名如今是被指定实体的被冻结财产，被冻结财产必须原地锁定，不得转移，不得更改。第三个，serverHold，不是冻结。它是一个开关。它不保全资产；它把资产关掉，连同所有应答这个名字的邮箱和网页一起。一个要自保的注册局需要前两个。邮箱死于第三个。

于是，那一个月的宽限存在于一份政府文件里，而真正的时钟，是由一个全球每一个.org域名都要经过的美国咽喉点，按它的合规反射拨动的。

指控本身就是一份服务目录

财政部的理论值得完整读一遍。其新闻稿称A/I "exclusively provides its services to vetted individuals, collectives, and groups it perceives to be aligned with its ideology, including to sanctioned terrorist organizations such as the Kurdistan Workers' Party (PKK)."（“只向经过审核、其认为与自身意识形态一致的个人、集体和团体提供服务，包括库尔德工人党（PKK）等受制裁恐怖组织。”）如果A/I明知而为PKK运营基础设施，其法律理论并不离奇：美国最高法院2010年在 Holder v. Humanitarian Law Project 一案中裁定，即便是类似言论的支持，只要是与被指定团体协调进行的，也可以作为实质性支持予以惩处。

至于A/I是否确实明知地服务了PKK，政府之外目前没有人能说清；没有任何证据被公布。记录所能支撑的东西更窄、也更奇怪：没有一份已公布的文件指出该集体曾协助过的哪怕一起具体恐怖主义行为。财政部逐项列出的行为—— "website hosting on foreign servers, encrypted email accounts, chat and video conferencing"（“在境外服务器上托管网站、加密电子邮件账户、聊天和视频会议”）——是地球上每一家尊重隐私的服务商的服务目录，外加一道审核工序。用政府自己的话读下来，这份指定像是一纸针对基础设施本身的控告。

“用原子弹去炸一只兔子”

集体用自己撰写的英文否认了一切："We deny all allegations… Antifascism and anticapitalism are not terrorism. Protesting is not terrorism."（“我们否认所有指控……反法西斯主义和反资本主义不是恐怖主义。抗议不是恐怖主义。”）而在意大利媒体Fanpage今天上午——封禁落下数小时后——发表的一篇采访中，集体的一名成员详细回应了“审核”这一指控。这位成员说，博客是A/I运营的服务里最开放的一项：任何在他们的服务器上、或在政策兼容的服务器上拥有账户的人，都可以开一个。“我们不会收到任何通知，也不必事先批准任何人。博客就这么开起来了。”这位成员说，凡经合法渠道送达的法律请求，他们都照办并配合了。而美国这次的做法，用这位成员的话说，“就像用原子弹去炸一只小兔子”。

这位成员自己对“为什么是现在”的解释是：组织起来反对ICE（美国移民及海关执法局）的美国社会运动在用A/I的平台联络，而与华盛顿立场一致的智库已经花了一年时间瞄准这些博客。

他们的工程是为查抄准备的。这次不是查抄。

A/I以前被突袭搜查过，它的整套架构就是对搜查的回答。2004年，意大利警方在其托管公司Aruba的配合下，复制了集体服务器里的每一块硬盘——A/I一年之后才偶然得知。集体的回应是按“R*计划”（R* Plan）重建：服务分散到多个国家的多台服务器上，并加密，让任何一次查抄都拿不走这个社群的邮件。四分之一个世纪里，设计前提始终是：总有一天，会有人来拿机器。

没有人来拿机器。注册局的封禁从高一层的位置击穿了整个设计：随你把服务器散布到任何司法辖区——你的名字仍然住在同一个数据库里，在弗吉尼亚。同样的杠杆此前在国家代码域名层面被扳动过——今年夏天，印度的注册局在没有任何公布依据的情况下封停过抗议运动的域名——但这次是.org，全世界非营利组织安身的命名空间，对一个盟友民主国家的公民社会托管方执行一项恐怖主义指定，无声无息，一条注册局指令了事。

法律保护信件。却没有什么保护地址。

这件事砸到的人，多半不是财政部新闻稿里的那些人。他们是行动者、记者和普通意大利人，他们的通信住在一个不再解析的地址上。制裁法规豁免 "any postal, telegraphic, telephonic, or other personal communication, which does not involve a transfer of anything of value"（“任何不涉及任何有价物转移的邮政、电报、电话或其他个人通信”）；OFAC自己的FAQ补充说，美国人不会 "for engaging in such constitutionally protected activity"（“因从事此类受宪法保护的活动”）而违反制裁。豁免完好无损。它如今保护的，是无法投递的邮件。

PIR完全清楚删除一个地址意味着什么，因为它自己的反滥用政策白纸黑字写着：作为注册局，它 "can't remove individual pieces of content"（“无法移除单独某条内容”）；它 "can only suspend the entire domain name, which renders any and all postings, threads, third-level domains, email, and all other content… inaccessible"（“只能暂停整个域名，这会使任何及所有帖子、讨论串、三级域名、电子邮件及所有其他内容……无法访问”），也正因如此，该政策称DNS层面的处置 "typically a disproportionate remedy that could cause significant collateral damage"（“通常是一种可能造成重大附带损害的、不成比例的处置手段”）。这些话写的是滥用案件，不是制裁。但它们仍然是迄今任何人发表过的、对今天凌晨1:57发生在autistici.org身上的事最精确的描述——提前发表，出自动手的那一方。

到UTC时间上午过半，封禁仍然生效，在注册局的记录中再次得到确认，而集体自己的博客——安然待在制裁条目未曾点名的一个兄弟域名上——尚未告诉它的用户：名字已经没了。

这项指定会被争论上好几个月，在意大利，而且多半会在法庭上。邮箱没有等到几个月。它们等到的是37个小时，在凌晨1:57，来自一个至今一言不发的注册局。

辩方想看到的，是政府如何监视他们。周三，三家很少站在同一边提交文书的组织——卡托研究所（Cato Institute）、个人权利与表达基金会（FIRE）和法治协会（Society for the Rule of Law）——获准提交一份法庭之友意见书，其第二节的标题是 "NSPM-7 Was Used in This Case to Surveil Dissent"（NSPM-7 在本案中被用于监控异见；NSPM-7 是 2025 年的一项总统指令，下文详述）。意见书里，附着一个脚注，写着此前无人从动议公开证据中解读出来的那部分内容：国土安全调查局（Homeland Security Investigations，HSI）秘密获取了服务业雇员国际工会（SEIU）、美国通信工人工会（CWA）、国际专业与技术工程师联合会（IFPTE）、“日出运动”（Sunrise Movement）和“种族正义之声”（Voices for Racial Justice）多年的财务记录——"none of which has been accused of any crime"（这些组织没有一家被指控任何罪行）。

所用的工具，是一张海关传票。

两张传票已作为动议的证据公开。每一张都是 HSI 3115 表格，抬头为 "SUMMONS — To Appear and/or Produce Records — 19 U.S.C. § 1509"（传票——出庭及/或提交记录——《美国法典》第 19 编第 1509 条），并各自载明其授权依据为 "section 509, Tariff Act of 1930"（《1930 年关税法》第 509 条）。3 月 6 日，主管特别探员史蒂文·施兰克（Steven Schrank）向美联储的电汇服务系统 Fedwire 发出一张，索要自 2023 年 1 月 1 日以来涉及四个 SEIU 实体的每一笔转账。3 月 9 日，他又向私营银行间清算系统 The Clearing House 发出另一张，索要 2023 年 1 月 1 日至 2026 年 3 月 9 日期间，关于 CWA、IFPTE——动议指出这是 "a Canadian union"（一家加拿大工会），在多伦多的蒙特利尔银行（Bank of Montreal）设有账户——“日出运动”以及两个名称被涂黑的实体的 "any and all records"（任何及全部记录）。两张表格上印着同一行字："You are requested not to disclose the existence of this summons for an indefinite period of time."（要求你在无限期内不披露本传票的存在。）

传回来的，是一个工会的日常生活。一份于 4 月 30 日获批的 HSI 报告——其案卷立案依据写明 "in accordance with National Security Presidential Memorandum-7"（依据第 7 号国家安全总统备忘录）——记录了 Fedwire 的回传所显示的、SEIU 全国总部与各地方分会之间往来电汇的内容："annuity payments, strike payments, strike supplies, investments, union member dues, retiree dues, medical expenses, and pension fund expenses"（年金给付、罢工津贴、罢工物资、投资、会员会费、退休会员会费、医疗开支和养老基金开支）。报告的最后一行是："This financial investigation involving protest domestic terrorist financing continues."（这起涉及抗议类国内恐怖主义融资的金融调查仍在继续。）

这张表格有段历史

这张海关表格此前就被对准过政府的批评者。2017 年 3 月，美国海关与边境保护局（CBP）向 Twitter 送达一张 §1509 传票，索要 "[a]ll records regarding the twitter account @ALT_USCIS"（关于 twitter 账号 @ALT_USCIS 的全部记录）——那是一个批评当届政府移民政策的匿名账号。Twitter 于 2017 年 4 月 6 日起诉；CBP 次日撤回传票。国土安全部自己的监察长随后认定，CBP 的目的 "was unrelated to the importation of merchandise or the assessment and collection of customs duties"（与商品进口或关税的核定与征收无关），它 "may have exceeded the scope of its authority under Section 1509"（可能已超出其在第 1509 条下的权限范围），而签发该传票的办公室在 2015 年 1 月至 2017 年 5 月间，违反自身政策使用同一表格的频率 "at least 1 out of every 5 times"（至少每 5 次中有 1 次）。

2025 年 9 月 11 日，国土安全部向 Meta 送达两张 §1509 传票，索要一名匿名 Facebook 与 Instagram 创作者的身份；参议员罗恩·怀登（Ron Wyden）11 月致函部长克里斯蒂·诺姆（Kristi Noem），称之为“对这一海关调查权力的明显不当使用”（"a manifestly improper use of this customs investigatory authority"）。就在施兰克签发工会传票的同一周，Reddit 告知一名用户，美国移民与海关执法局（ICE）为查明其身份送达了一张 §1509 传票，缘由是他发帖批评一名卷入致命枪击事件的特工；据《理性》（Reason）杂志报道，他提出撤销传票的动议，ICE 随即撤回。

亚历克斯·普雷蒂死后四天

NSPM-7——第 7 号国家安全总统备忘录，"Countering Domestic Terrorism and Organized Political Violence"（《打击国内恐怖主义与有组织政治暴力》）——签署于 2025 年 9 月 25 日。这份被 HSI 称为 "Operation Puppet Master"（“傀儡师行动”）的案卷——政府对动议的书面回应把它描述为一项 "financial investigation to uncover funding sources"（旨在查明资金来源的金融调查）——据动议所述，于 1 月 28 日立案，"just four days after agents murdered Alex Pretti"（就在特工谋杀亚历克斯·普雷蒂仅仅四天之后）。普雷蒂（Alex Pretti），37 岁，明尼阿波利斯退伍军人事务部（VA）医院的重症监护护士，1 月 24 日在用手机拍摄特工执法时，被两名海关与边境保护局官员开枪打死。回应还说，"Joint Task Force Vanguard was created after the issuance of NSPM-7 and is tasked with 'targeting individuals and organizations engaged in political violence'"（“先锋”联合特遣队是在 NSPM-7 发布之后设立的，其任务是“针对从事政治暴力的个人和组织”），并称其案件 "are neutrally enforced and involve both left- and right-wing violence and threats"（系中立执法，同时涉及左翼与右翼的暴力和威胁）。

这份动议于 8 月 13 日提交，桑特的十三名共同被告加入其中，索要的是监控背后的书面材料：明尼苏达与华盛顿的检察官之间关于立案的往来通信、任何机构中任何暗示政治动机的材料、特工的原始笔记、仍被扣留的调查报告，以及——它的第四项要求——人脸识别档案："all of the Clearview AI reports it generated of protesters and activists during Operation Metro Surge"（政府在“都会激增行动”期间针对抗议者和活动人士生成的全部 Clearview AI 报告）。动议说，关于桑特的那一份，含有 "photos of another man and his family, including the man's pregnant wife and young daughter, pulled from that man's Facebook page and now inextricably linked with Mr. Sant in HSI's internal databases"（另一名男子及其家人的照片——包括这名男子怀孕的妻子和年幼的女儿——取自这名男子的 Facebook 主页，如今在 HSI 的内部数据库中与桑特先生难以分割地关联在一起）。

三十七页，缺了一条法律

那份回应——37 页，8 月 21 日提交——并不否认上述任何内容。它说这些财务记录 "bear minimal, if any, relevance to the current indictment"（与现行起诉书即便有相关性，也微乎其微），说它们是 "in an abundance of caution"（出于高度审慎）才移交的，还说对于封堵行动的资金，这些传票是 "tool used to attempt to discern the source of that funding"（用来试图查明该资金来源的工具）。它援引《美国法典》第 18 编第 3486 条（18 U.S.C. § 3486）和一份国会研究处（Congressional Research Service）的入门文件为传票辩护，后者复述了最高法院针对国税局传票的四要件检验。整整 37 页，它始终没有引用 19 U.S.C. § 1509——印在它正为之辩护的表格上的那条法律。它也从未说出 "Clearview"。没有 "facial"（人脸），没有 "photo"（照片），没有 "Exhibit 30"（第 30 号证据）——那个陌生人一家所在的证据。

从最有力处看，政府的论证是这样的：向公司发出的行政传票无需合理根据；这项调查有正当目的，因为 "Defendants raised money to support their blockades"（各被告为支持其封堵行动筹集了资金）——回应指出，其中一人为 1 月 23 日的封堵行动买了一辆拖车；这些记录反正已经交给了辩方；而且政府 "does not intend to use it at trial"（不打算在庭审中使用这些记录）。那份入门文件为此类传票列出的第一个条件，是 "the inquiry is within the authority of the agency"（调查须在该机构的权限之内）。这正是回应始终没有论证的部分，而法条自身的文字让它很难论证：§1509 说的是 "the correctness of any entry"（任何报关单的正确性）——即货物过境时提交的文书——和 "the liability of any person for duty, fees and taxes"（任何人应缴关税、规费与税款的责任）；至于它最宽泛的条款——遵守 "administered by the United States Customs Service"（由美国海关署执行）的法律——本编辑部未能找到任何已公布的判决曾把它放到一项 HSI 刑事调查面前检验过。工会的罢工基金不是一张报关单。

谁在法庭里

三家外部组织并非被告的天然盟友：一家自由意志主义智库、一家校园言论辩护机构和一个由曾在共和党历届政府任职者组建的法律团体。工会则根本不在场——截至发稿，五家组织均未公开置评；SEIU 的网站正因维护而关闭。而这位治安法官与这个联邦检察官办公室的文书之间早有过交道：在“激增行动”期间被控袭击或妨碍特工的 36 人中，MPR News 统计有 18 起案件被直接撤销，另有 11 起以不起诉协议了结；在 4 月的一次听证会上，舒尔茨称其中一份指控文书是一份 "false affidavit"（虚假宣誓书）。

不在任何法官面前

今天的听证是关于证据开示的——被告们能否拿到那些通信、笔记和其余的人脸识别报告。海关传票能否伸进一个工会的金库，这个问题不在舒尔茨法官面前，而且它从未被摆到任何法官面前：两次有人就针对批评者身份的 §1509 传票对簿公堂，国土安全部都撤回了传票，没有任何法院作出裁决；而这几张传票从未被诉诸法庭，因为唯一被告知其存在的当事方被要求不要声张。Clearing House 传票上被涂黑的那两个名字仍然未知。政府曾请求推迟今天的辩论，理由是 "only one noticed Counsel for the United States is currently available"（目前只有一名列名的联邦政府律师有空）。舒尔茨周一予以拒绝。于是在 3:30，律师们将围绕文书展开辩论，而三年的罢工津贴和退休会员会费躺在 HSI 的一个案卷夹里，压在一份就此事的最后一个词是 "continues"（继续）的报告之下。

现在，司法部想要你的姓名、你的出生日期、你的住址、你的社会安全号码，还有你父母或监护人的详细信息。

周五，第九巡回上诉法院一个意见分歧的合议庭说，司法部可以试一试。案件是 QueerDoc, PLLC v. DOJ，案号 25-7384，于 8 月 14 日作出裁决。QueerDoc 就是那家诊所——一家线上执业的医疗机构，在 10 个州开具青春期 阻断剂和激素，未成年人也在其列。它的网站列出了 3 名医生和 1 名行政人员。

这张传票分为 15 项，其中大多数并不出奇：人事档案、计费代码、药房合同。第 11 至 13 项则不然。它们索要 曾被开具过青春期阻断剂或激素的每一名患者的记录，并且——用传票自己的话说——"[d]ocuments sufficient to identify each patient"（足以识别每一名患者身份的文件）。持异议的理查德·帕埃斯（Richard Paez）法官为它给出了一个数量："thousands of intrusive patient and employee records"——数以千计的侵入 性患者与雇员记录。

政府调查的对象就是这么个东西。不是一家药房。不是一家制造商。是一个网站。

这套法律理论取道《食品、药品和化妆品法》对药品标示不实的禁令，而标示不实包括发布虚假或误导性的 "labeling"（标示）。至于标示，最高法院 1948 年在 Kordel v. United States 一案中裁定，它无须附着在任 何东西上："No physical attachment . . . is necessary."——无须任何实体上的附着。而 FDA 自己的规章又把 它延伸到几乎任何 "printed, audio, or visual matter descriptive of a drug"（描述某种药品的印刷、音频或 视觉材料）。于是 QueerDoc 面向公众的网页就够格了，多数意见点了它们的名：两个教人自行注射激素的页面， 和一个称青春期阻断剂的效果 "completely reversible"（完全可逆）的页面。

最后那一句话，就是被指控的罪行。那些社会安全号码，就是这场调查。

没有大陪审团，没有法官，没有令状

这是一张行政传票，依据的是 HIPAA 的一项条款，即 18 U.S.C. §3486；它允许司法部长或其指定人员在任何一 项联邦医疗保健犯罪的调查中强制调取文件。没有大陪审团。没有法官。没有令状。无须证明任何“合理根据” （probable cause）。对抗它的唯一途径是提出撤销申请，而担子落在收到传票的一方身上。

QueerDoc 提出了撤销申请；2025 年 10 月 27 日，西雅图的联邦法官贾马尔·怀特黑德（Jamal Whitehead）把传 票整个撤销。他认定，传票是出于不当目的而签发的：为了落实总统所宣示的终结性别肯定医疗的目标。这条书 面轨迹并不隐晦，而且没有任何一环存在争议。2025 年 1 月签署的一道行政命令要求司法部优先开展的，正是 这一类调查。4 月，时任司法部长帕梅拉·邦迪（Pamela Bondi）告诉司法部的每一名雇员，目标——用多数意见 自己的概括——是要 "bring [gender-affirming care] to an end"（使[性别肯定医疗]走向终结）。6 月 11 日， 布雷特·舒梅特（Brett Shumate）在他执掌民事司的第一天，向自己的下属传达了同样的信息，并向 QueerDoc 送达了这张传票。

第九巡回上诉法院推翻了这一裁定。执笔判决意见的是乔治·W·布什任命的卡洛斯·贝亚（Carlos Bea）法官；特 朗普任命的丹尼尔·布雷斯（Daniel Bress）法官加入了该意见；克林顿任命的帕埃斯提出异议。多数意见认定， 这条书面轨迹中没有任何一环是恶意的证据。"The President may direct DOJ to exercise its statutory authority in a manner that aligns with his broader policy goals."——总统可以指示司法部以与其更宏观政 策目标相一致的方式行使其法定权力。

合议庭是怎么走到这一步的，比那句话本身更要紧。它并没有在司法部做了什么这个问题上与怀特黑德产生分歧。 它重新归类的，是他的结论属于哪一类东西。初审法官的事实认定，除非不合逻辑或没有依据，否则经得起上 诉；法律结论得不到这样的保护。贝亚写道，怀特黑德关于不当目的的认定根本就不是一项认定："The issue here is not one of fact. The district court conducted no evidentiary hearings and took no testimony."——此处的问题并非事实问题。地区法院没有举行任何证据听证，也没有听取任何证言。从本届政府 的公开言论中推断目的，"did not amount to fact-finding but rather the drawing of legal conclusions from undisputed facts."——并不构成事实认定，而是从无争议的事实中得出法律结论。

帕埃斯称这一做法失当，并指向 Anderson——最高法院 1985 年一项说法相反的判决：即便法官的认定建立在 "documentary evidence or inferences from other facts"（书证或从其他事实作出的推论）之上，尊让标准也 同样适用。整个案子的胜负，就系于你相信这两句话中的哪一句。

他写道，多数意见 "manufactures legal errors that will require federal courts to rubber stamp investigations initiated by the DOJ to harass opponents and chill disfavored causes, so long as the investigation serves the President's policy priorities."——凭空制造出一些法律错误，它们将迫使联邦法院 为司法部为骚扰对手、压制不受青睐的主张而发起的调查盖上橡皮图章，只要这调查服务于总统的政策优先事 项。收尾处他下手更重，写下了一句法官不常用来评说同僚的话："I am doubtful the majority would so contort the governing law and our precedent if this case did not promise to impede access to gender-affirming care."——我怀疑，倘若本案并不指望阻碍性别肯定医疗的获取，多数意见是否还会这样扭曲 支配性的法律和我们的先例。

他还提出了多数意见始终没有回答的那个问题：如果目的在于查明某种药品是否被标示不实，"how are children's names, dates of birth, social security numbers and addresses relevant to this purpose?"——孩子们的姓名、出生日期、社会安全号码和住址，于这一目的又有何相关？

宽泛是设计使然

政府的立场，比围绕它的愤怒所肯承认的更有力。行政传票本来就意在宽泛。最高法院把国会交到行政机关手里 的东西称作 "powers of original inquiry"（原始调查权）——一种不必先有案件就可以去查看的许可。相关性 是唯一真正的过滤器，而这道门槛是有意压低的。贝亚还提出了一个难以回答的论点："even if the subpoena is overbroad — an issue the district court did not reach and the parties briefed only minimally — the proper remedy would be to narrow it, not to quash it in its entirety."——即便传票过于宽泛——这是地区 法院未曾触及、双方也几乎没有辩论过的问题——恰当的救济也应是把它收窄，而不是将它全盘撤销。

这是寻常的法律，而且多半是对的。怀特黑德撤销了全部 15 项要求，包括 QueerDoc 从未反对过的人事档案和 药房合同。

这就引出了一个问题：在这里，“既定的法律”意味着什么。QueerDoc 的传票不是孤例。它带着一个编号，其余 的也一样：帕埃斯在一条脚注里列出了针对编号 25-1431-014、-016、-019、-030 和 -032 传票的裁定。2025 年 7 月 9 日——正是 QueerDoc 自己那份提交到期的日子——司法部用一份新闻稿宣布了这场行动，标题是 "Department of Justice Subpoenas Doctors and Clinics Involved in Performing Transgender Medical Procedures on Children"（《司法部向参与对儿童实施跨性别医疗程序的医生和诊所发出传票》）。帕埃斯写 道，至少已有 7 家法院 "quashed, recommended quashal, or modified these subpoenas"——撤销、建议撤销或 修改了这些传票——那五个编号名下，共七项裁定。

其中一个编号，-032，就是罗得岛的那起案子；2026 年 5 月，那里的法院认定，司法部在若干司法辖区已经同 意接受匿名化数据。帕埃斯引用它，是为了那个显而易见的问题：如果在别处匿名化的记录就够用，那么这些身 份识别信息是拿来做什么的？

在这些传票中，QueerDoc 的这一张是第一张由联邦上诉法院作出裁决的——第一巡回上诉法院的一起上诉立卷更 早，在 11 月，至今悬而未决。多数意见推翻原裁定时，并不是在遵循既定的法律。它是在创制它。

患者会被告知吗？

判决意见里没有任何内容说他们会。在一份 95 页的意见中，多数意见留给患者隐私的只有两句话，而且两句都 把问题交给了别人：地区法院 "may entertain any objections specific to DOJ's requests for patient medical records"（可以受理专门针对司法部调取患者病历之要求的异议），而法院与各方当事人 "should also consider whether protective orders or other devices should be used to ameliorate any concerns about privacy."——还应当考虑是否使用保护令或其他手段来缓解任何关于隐私的担忧。“应当考虑”而已。目 前不存在任何保护令。没有描述任何筛查团队。至于通知档案躺在这堆材料里的那些人，则从头到尾无人提起。

他们不是当事人，也当不成。唯一能替他们提出异议的，是给他们看过病的那家诊所——而如果这家诊所像大多 数收到传票的人那样，在那个期限之前照办了事，这一切根本不会有案卷编号。

判决意见的第一页写着 FOR PUBLICATION（供发表）。一份不予发表的处理决定，本不会约束任何别人。公开发表的意见则是先例：从亚利桑那到阿拉斯加，每一位联邦地区法官在政府下一次签发一张 看上去带政治色彩的传票时，都必须遵循它。

还没有任何人的社会安全号码易手。合议庭没有命令交出任何材料；它把案件发回给怀特黑德，由他去裁断这张 传票是否过于宽泛、负担是否过重。诊所仍然可以赢。

QueerDoc 的创办人是克里斯特尔·比尔（Crystal Beal）——一位获得专科委员会认证、在华盛顿大学任教的家庭 医学科医师。司法部正在调查的那个网站，如今仍在线上。在介绍诊所工作人员的页面上，这段告示就悬在各人 履历的上方：

"We have removed most of our teams images for safety in these current times!!!! We know it is hard not to have a face for a name when you are meeting a new provider. We made this decision to try to help protect our team and continue to provide you care as long as possible."

——在当下这样的时势，出于安全考虑，我们已经撤下了团队的大部分照片！！！！我们知道，见一位新的医疗提 供者时，有名字而对不上脸，是一件难事。我们作出这个决定，是为了尽力保护我们的团队，并尽可能长久地继 续为你们提供照护。

临床医生们把自己的面孔撤了下来。政府想要的，是患者们的名字。

"Yes, I have ephemeral messaging on Signal," 贝哈尔说——是的，我在 Signal 上开着阅后即焚消息。"My background is a security engineer and from a professional paranoid, I try to be very mindful about my communications OPSEC."——我的出身是安全工程师，而从一个职业偏执狂出发，我努力对自己的通信操作安全 （OPSEC）格外留心。被问到他与 Meta 前同事之间的短信是否会消失时，他说："Yes, they do."——是的，会消 失。

我们之所以知道他说过这些话，是因为 Meta 把它记了下来。8 天之后，这段问答连同 Meta 自己加的着重标记， 被原样搬进了 2,000 英里之外一家联邦法院里的一份 26 页动议，请求那里的法官干脆不让他上证人席。

法院于 8 月 13 日听取了辩论，并在庭审记录上给出了理由。今天，驳回以书面形式到来。

"[I]t is obvious," 首席法官伊冯娜·冈萨雷斯·罗杰斯（Yvonne Gonzalez Rogers）写道，"that this motion falls into the category of a 'Hail Mary' attempt to eliminate a strong witness for the plaintiffs. The attempt fails, and although Meta can cross-examine Bejar, it cannot imply that a legal obligation to preserve those texts existed."——显而易见，这份动议属于孤注一掷式的一搏，意在除掉原告方一名有力的证 人。这一尝试失败了；而且，虽然 Meta 可以对贝哈尔进行交叉询问，但它不得暗示曾经存在保存那些短信的法律 义务。

第 2 段，夹在事务性安排中间

第 8 号审前命令（Pretrial Order No. 8）只有 3 页，归档于开庭陈词的两天前。那项裁定就是它的第 2 段——全 篇 5 段之一，这 5 段从开庭展示证物一路排到各项书面提交的期限；这是一道把一项裁定和事务性安排捆在一起 的命令。

命令写道："Meta's request to exclude Bejar from testifying at trial is DENIED."——Meta 关于排除贝哈尔在 审判中作证的请求，予以驳回。

Meta 可以问贝哈尔，他的消息为什么会消失。它不得告诉陪审团，他曾被要求把它们保存下来。

他是谁，以及 Meta 为什么想让他消失

贝哈尔在 2015 年离开 Meta，4 年之后又回来，以顾问身份进入其 Instagram 部门——此前他十几岁的女儿和她的朋友 们告诉过他，她们在那上面收到的那些不请自来的性挑逗。2021 年 10 月，他把自己的发现送给了扎克伯格、 Instagram 负责人亚当·莫塞里（Adam Mosseri）和谢丽尔·桑德伯格（Sheryl Sandberg）。他说，得到的回应是 "完全的沉默"。

他已经在 3 场审判中出庭指证 Meta。周二他预计将在奥克兰再做一次；在那里，29 个州指控 Meta 非法收集儿 童数据，其中 4 个州还说它就自家产品有多安全撒了谎。

Meta 的动议主张他毁灭了证据，理由是他使用了一款按定时器删除消息的应用；动议请求排除他作证，或者让陪 审团作出最不利于他的推定。

四次告知，以及它们分别属于谁

贝哈尔不是当事人。当事人必须保存与诉讼相关的文件；证人一般不必，除非有什么事情使他们受到了告知。于是 Meta 用它能找到的一切告知把这项义务搭建了出来，并点名了 4 项：2023 年 4 月田纳西州总检察长的请求；同 年 11 月新墨西哥州的民事调查令（civil investigative demand）；2025 年 2 月 Meta 自己的传票；以及本案 法院 2025 年 12 月那道命令，它所要求的恰恰就是 Meta 所说的那些不见了的通信。

那项裁定并没有按这个次序来处理它们，但它对这 4 项都作了回答。前两项是别人的程序，而 Meta 在法律上无权 去执行另一当事方的程序：冈萨雷斯·罗杰斯写道，"Meta has no standing to enforce a subpoena issued by an attorney general."——Meta 没有诉讼资格去执行一份由总检察长签发的传票。第三项是 Meta 自己的传票，第四 项是本案法院的命令；而不论它们是由谁签发的，Meta 都无法使它们成为持续性的。它 "does not have, in reality, a legal mechanism to enforce its claim that Bejar was under a continuing obligation to preserve Signal communications. Meta did not itself require an ongoing production; nor did it issue a follow up subpoena."——实际上并不掌握一套法律机制，可以拿来支撑它关于贝哈尔负有持续保存 Signal 通信之义务的主 张；Meta 自己并未要求持续性的提交，也没有再发出后续的传票。

从奥克兰读纳什维尔

Meta 关于关联性的理论是：贝哈尔一直在拉拢前同事出庭指证这家公司，而那些消息本可以显示这一点。为了判 断自己究竟是否需要举行一场证据听证，冈萨雷斯·罗杰斯读了他在 State of Tennessee v. Meta Platforms 一 案中 4 天的证词；在那起案子里，他是被传唤的第一名证人。"Very little concerned any allegations of recruitment," 她认定——几乎没有什么涉及任何关于拉拢的指控。"Rather, the issues focused on Bejar's actual work at Meta."——相反，各项议题集中在贝哈尔在 Meta 的实际工作上。

Meta 如何证明一次它说不出内容的删除

Meta 说不出那些不见了的消息说了什么。它手里有的，是一条用像素搭起来的推论。

2025 年 3 月，贝哈尔以 8 张截图的形式提交了两条 Signal 对话，其中一条是与举报人弗朗西丝·豪根 （Frances Haugen）的往来。他没有随附任何元数据；Meta 承认，这使得 "impossible for Meta to know exactly how these chats were captured"——Meta 不可能确切知道这些聊天记录是怎么被截取下来的。

于是 Meta 转向了图片本身。动议说，Signal 的帮助页面写着："[e]ach and every disappearing message will have a timer countdown icon that is visible at the bottom of the message bubble."——每一条阅后即焚消息都 会有一个定时器倒计时图标，显示在消息气泡的底部。Meta 在那 8 张截图里没有找到任何倒计时图标，并从它们 的缺席得出结论：贝哈尔要么是在那些对话之后才把定时器打开的，要么就是为了拍下那几张截图而把它关掉了。

一幅图像就装下了当代证据问题的全部：一家公司从一段它从未参与过的对话的截图里、消息气泡的下沿，论证出 了一次删除。

Meta 的理由，比这样说起来要强

在一般性的问题上，法律是站在 Meta 这一边的。法院确实会因为放任证据到期消失而制裁当事人——这就是证据 灭失（spoliation），即销毁某人本有义务保存的材料：2019 年，阿肯色州的一名联邦法官把诉讼进行中改用 Signal 的做法称为 "intentional, bad-faith spoliation of evidence"，蓄意的、恶意的证据灭失；Meta 的动 议还引了另外两个案例。而且冈萨雷斯·罗杰斯此前已经命令贝哈尔把这些通信交出来，认定 Meta 的需要压过了 他的这样一项主张：披露会使那些曾向他吐露实情的人暴露出来。

而且有一个时间窗确实难堪。安妮克·布丰（Anneke Buffone）是 Meta 的一名安全研究员，2025 年 12 月被裁 员；她在 Signal 上给贝哈尔发了消息，两人此前素未谋面。她在 2026 年 6 月接受庭外取证时作证说，双方在 2025 年 12 月和 2026 年 2 月就本案诉讼有过往来。他最后一次提交是在 2026 年 1 月 12 日，在其中较早的那 一次之后。与她之间的 Signal 消息，一条也没有被提交。

对他最不利的材料，在他自己签署的那份书面声明里。他说，自己 "routinely purged unnecessary information from my email accounts for many years"——多年来一直例行清除自己邮箱账户里不必要的信息；他也没有保留 2021 年 10 月给扎克伯格的那份材料——他关于 Meta 的公开说法，正是建立在这份文件之上。一位法官完全可能 得出这样的结论，而并不认为他不诚实：一个惯于删除的人，一旦成为这样重要的一名证人，本就应当停止删除。

他的回答是一句斩钉截铁的宣誓否认。"Meta's counsel has alleged that I used a feature they called 'auto delete' or that I otherwise deleted messages. That is false."——Meta 的律师指称我使用了一项被他们称作 "auto delete"（自动删除）的功能，或者我以其他方式删除了消息。这是不实的。他说，从 2023 年他装上 Signal 那天起，直到他在 2026 年 1 月完成提交为止，他在与任何一位 Meta 前雇员的往来中都没有使用过自动 删除。这够得着 12 月的那一次往来。而 2 月的那一次，它够不着。

同一个想法，指向两个方向

同一道命令依 8 月 13 日庭审上的指示，把中午定为提交关于 Section 230（第 230 条，联邦法律为平台设下的 那道盾牌）陪审团指示提案的截止时间。双方都在当天提交了。

Meta 那份指示提案要求告知陪审员：不得基于所列出的 10 项事项中的任何一项，认定它从事了不公平行为，或 者认定它的任何陈述为虚假或具有误导性。第 6 项是 "[a]llowing third-party content to be private or to disappear after a period of time."——允许第三方内容保持私密，或者在一段时间之后消失。

这是两个不同的法律领域，而且那项盾牌主张并不是 Meta 发明出来的：本案法院在 2024 年就认定，阅后即焚内 容属于受保护的出版职能，而各州自己的指示提案是在保留异议的前提下照此办理的。但那毕竟是同一个想 法——按定时器消失的内容——它在 Meta 自己造出它的地方作为一道盾牌出现，而在一名证人使用它的地方则作 为毁灭证据出现，署名的是 Covington & Burling 律所的阿什利·M·西蒙森（Ashley M. Simonsen）——Meta 的外 聘律师——而两份文件相隔 9 天。

这道命令没有说的事

它没有说使用 Signal 受保护，也没有说证人可以随时随意打开一个定时器。它说的是：这一家公司无法针对这一 名证人执行它所主张的这一项义务——没有机制，没有后续的传票，对别人发出的要求没有诉讼资格，也没有任何 关于 "reliance actually communicated to Bejar" 的证明，即确曾向贝哈尔传达过的信赖。这比一项权利要窄， 也比一项权利更有用。

一家法院认定不存在义务，本不必再进一步禁止败诉方去暗示存在这样的义务。这一家法院这么做了。

Meta 在审判前的一份声明中表示，它强烈不同意各州的指控，并提到自己长期以来在支持年轻人方面所做的 工作。

贝哈尔解释了这款应用为什么会在他手机上。"Some people interested in discussing issues like online safety are fearful that they will be retaliated against by Meta if their communications are discovered."——有些有意讨论网络安全一类议题的人担心，一旦他们的通信被发现，就会遭到 Meta 的报复。

那些观看的人，为这一刻已经对她做了数周的准备。巴西联邦网络行动实验室后来告诉记者，这个群体瞒着女孩的母亲，用她的名义开了一个 PIX 账户——PIX 是巴西的即时银行转账密钥——并给她汇钱去买刀片。

南马托格罗索州民事警察局（Polícia Civil）用她的名字为这起调查命名。Operação Lívia（利维娅行动）于 8 月 4 日在巴西首都巴西利亚公布：5 名 13 岁至 17 岁的青少年被拘，而涉嫌的主谋是一个 14 岁的男孩。警方还说，他们在另一个州找到了第二个孩子——这个孩子自己的直播死亡已经被排上了日程——并且阻止了它。

政府也说了它认为这家平台做错了什么。巴西司法部数字权利国家秘书维克托·费尔南德斯（Victor Fernandes）列举了 3 项失职：Discord（一款语音、视频与聊天平台）没有切断直播，没有立即下架内容，也没有通知当局。他宣布把案件移交 ANPD——巴西的国家数据保护局（Autoridade Nacional de Proteção de Dados），该国的数据保护监管机构；它同时也是 ECA Digital 的执法者，那是面向互联网的儿童保护法，于 3 月生效。

Discord 说，它在不到 25 分钟内删除了那个频道并封停了涉事账号。无人争议的是那只时钟是被什么按下的：警方的一则警告。

移交在 8 月 7 日落地。5 天之后，出现了一纸命令。

那个括号

8 月 12 日上午 10:21，ANPD 的执法监督长 Fabrício Guimarães Madruga Lopes 签署了一份 3 页的文件，题为 Despacho Decisório nº 3/2026/SFI。它对巴西境内每一个用户中止 Discord 的 Go Live 功能——就是那个把你的屏幕或摄像头推流进语音频道的按钮。它同时中止任何其他在功能上等效的视频与分享功能，条件是 "(com criptografia de ponta a ponta e supervisionados por mecanismos equivalentes aos adotados no âmbito da funcionalidade 'Go Live')"：具备端到端加密，并且由与 Go Live 所用者等效的机制加以监管。

Go Live 是被点名禁掉的。而那个括号，是这道命令伸向 Go Live 之外的方式——它一次提出两项要求：一项功能须是加密的，并且须像 Go Live 那样受到监管。两个分支都要满足——但其中一项是一种密码学属性，而这是新的东西。该机构公开给出的理由与之相合：视频传输正在进行的时候，Discord 接触不到其中的内容，因而无法实时发现违规。

下一款则越过按钮，伸向底下的管道。转播、镜像和屏幕共享一律停止，无论是通过原生功能，还是通过机器人（bots）、webhooks、API 和各种自动化。此后 Discord 还必须落实技术上行之有效的反规避措施——针对功能改名，针对中间域名，针对邀请码，针对跳转。改名这件事，在任何人提出它之前就已被禁止。

中止将一直持续，直到该公司既证明这些措施确实有效，又取得该机构明示的事先授权，才能把功能重新打开。

它确实是加密的

自 2024 年 9 月起，Discord 一直在把语音和视频迁移到一套它称为 DAVE 的协议上；这套协议建立在 Messaging Layer Security（MLS，一项群组端到端加密标准）之上，并由安全公司 Trail of Bits 做过审查。该公司自己对适用范围的说明中，包含 Go Live 直播。

这是该公司对自家产品的说法——而监管方的卷宗接受了它。ANPD 的技术意见书把这套协议抵达实时视频的日期固定了下来：2026 年 3 月 2 日，在 ECA Digital 通过之后，在它生效之前 15 天。该机构并未直说 Discord 是为了抢在法律前面才给 Go Live 加了密。它只是把这两个日期并排放在了一起。

那些其实是图片的页

这份 3 页的处置令只作决定，不作论证。它的理由整段整段地借自一份 18 页的技术意见书；这份意见书在当天上午 10:06 签署、10:11 会签——比处置令早 10 分钟——该机构发布了它的一个公开版本，其中第 7 页和第 8 页被压平成了图像，因为这两页上有黑色矩形，盖住了 Discord 向监管方讲述的、关于其安全系统如何运作的内容。向文本提取工具索要这两页，它什么也不会返回。我们把它们渲染出来，当作图片来读。

意见书记载，Discord 的主动式系统不分析私密语音和视频的内容，因为这些功能是端到端加密的。该公司改为按行为给服务器和账号打分，而意见书认定，这套打分距离把这一个标记出来还差得很远。

接着，出现了那句让整道命令都站不稳的话：

"Não se trata, portanto, de mera delimitação técnica decorrente do uso da criptografia, mas de falha no próprio modelo de detecção baseado nos sinais comportamentais, que não foi capaz de identificar como prioritário um ambiente que já reunia indícios de risco alto."

因此，这并不是使用加密所带来的单纯技术限制，而是检测模型本身的失灵——它没能把一个早已聚集了高风险迹象的环境识别为优先处理对象。

监管方审视了“问题出在加密”这一说法，并且否定了它——在第 8 页，在一道黑条底下，在它自己的处置令援引为其理由的那份文件里。10 分钟之后，在处置令本身之中，具有法律效力的正文伸向其他产品时，凭据之一便是问它们是否加密。

靠举报运转的安全，需要一个在场的人

这一切都不使这道命令变得薄弱，它背后的理由是强的。

举报机制需要现场有这样一个人：他没有牵涉其中，他有能力行动，他知道这个机制存在，并且相信公司会及时动用它。而在一个为此事专门搭建起来的私密服务器里，这个人并不存在。对于调低警报阈值，Discord 的回应是那会产生更多误报；该机构的回应则是，当风险是一个孩子受重伤或者死亡时，一次漏报的代价，比多送一个服务器去人工复核的代价高得无可比拟。

而且 ANPD 并没有让 Discord 整个下线——那正是巴西第一夫人 Janja da Silva 几天前在公开场合要求的。它中止了一项功能，让其余一切照常运行，并把回来的路写进了命令里。

周一

命令给了 Discord 3 个工作日去提交一份声明，须由一名法定代表人和一名技术负责人共同签署，证明中止已在巴西全境完成，并写明日期、时刻、所涉系统与版本。

时钟并不是从签署那一刻开始走的。两个期限——那 3 天，以及提出申诉的 10 个工作日——都从正式通知送达起算，而本报道组尚未查明送达是在何时完成的。若从 8 月 12 日周三算起，3 个工作日落在 17 日周一，而这也正是当事各方自己给出的日期。

10 分钟之前的那份技术意见书，提出过更温和的做法：让 Discord 在 3 个工作日之内关闭 Go Live。这位监督长保留了这 3 天，却把它们挪了位置。如今它们是用来证明一次本应早已发生的关停的时间。

周五晚上，该公司答复说：做不到。要在桌面端、移动端和主机端客户端上，把一次限定于单一国家的关停做出来、测好、部署下去，还要附上决定所要求的核验证据——这些事 "não são materialmente executáveis, com integridade, no prazo fixado"：在规定的期限内，无法在保有完整性的前提下切实执行。难的不是那个开关，而是关于邀请码的那一款。它请求撤销这道命令；如果不能撤销，则请求给予 15 个工作日。截至 8 月 15 日周六晚间，尚未有该机构作出答复的报道。

这份陈情的其余部分，抓住的是命令所抓住的同一个事实，却把它往相反的方向拉。Discord 说，正是加密使它无法拦下那些内容。而一个服务器出了问题，并不等于整个系统坏了：该公司援引了法律中关于 "falha isolada ou residual, inerente ao estado da técnica" 的除外条款——一次孤立的或残余的、为现有技术水平所固有的失灵。双方各自主张的，都是你本以为会由对方来主张的立场。

巴西利亚必须有人在周一作出决定。

他们要决定的事情很窄。命令写下来的东西却不窄：一项视频功能，若其运营者看得见它，便可以存在；看不见，就不可以。一个 13 岁的孩子死去，是因为没有人在看，这是想要这样一条规则的真实理由。但它仍然是一条关于每一款加密产品的规则，却是在一个只关乎一款产品的案子里定下来的。

报价原定于今天美国东部时间下午 2 点截止。下午 1 点 35 分，离自己定下的时限只剩二十五分钟时，该办公室修改了公告：“兹将本招标延期至 8/14/26 的 2:00pm (EST)。为支持本次延期的修订文件即将发布。”

延期本身不足为奇，被它打断的东西才不寻常。这份为一段价值 6,000 万美元的合作关系而发的公开告示，还要再挂两天；而仔细读下去，它几乎什么也没有描述。

八项答复里有七项是“来问我们”

“综合公告/招标书”（combined synopsis/solicitation，把采购预告与正式招标合并成一份文件，是政府采购商业产品的快速通道；本案依据联邦采购条例（FAR，Federal Acquisition Regulation）第 12.202(b) 条以及一项长期有效的类别偏离）必须逐项交代八个列明事项。第 (i) 项是公告本身，它尽到了本分：这将是一份单一授标、固定价格的不定期交付合同，并附带一份立刻下达的订单，而且不专门保留给小企业。

接下来，公告就不再回答了。分项清单与数量：“将随 RFP/招标文件一并提供。”所采购之物的说明，包括支持任何指名品牌描述的文件：同一句话。交付日期和地点：同一句话。适用的投标须知条款、适用的合同条款：同一句话，连着五次。第 (vii) 项和第 (viii) 项——接收报价的日期、时间和地点，以及读者可能需要知道的其他任何事项——则换了措辞，推给同一个地方。

那个地方并不公开。公告写道：“本公告包含 Sam.gov 上标记为‘controlled’（受控）的 RFP/招标文件。”有意投标人“应……通过本 Sam.gov 公告索取副本”，而索取时必须附上名称、联系人和一个唯一实体识别码（Unique Entity Identifier，UEI）——企业要与联邦政府做生意所需的那个注册编号。

于是，唯一幸存下来的事项，就是那句说“有一笔采购正在发生”的话。指名品牌的理由说明是最尖锐的损失：第 (iii) 项之所以存在，恰恰是为了让“点名指定某家制造商”这件事附带一个公开的理由，而这个理由已经被挪到了索取表单的后面。

那句曾经说明谁有资格投标的话

在此之前有两次，同一个达拉斯办公室采购同一条产品线时，都把谁获准出售这件事明说了出来。2025 年 8 月 28 日：“随附本次招标的报价邀请（Request for Quote，RFQ）文件，本次招标仅限于 Cellebrite, Inc. 及其授权经销商。只有符合资格的投标人方可提交报价，并须连同其唯一实体识别码（Unique Entity Identifier，UEI）编号，一并提供转售 Cellebrite 产品的授权证明。”2026 年 4 月 6 日，同一句话又来了一遍——这一次多了一个撇号：本该写 “its” 的地方写成了 “it's”。

而在周五截止的这份公告里，这句话不见了。

把两份文本并排读，会发现那个识别码换了差事。它过去是证据——附上你的 UEI，以证明你是获授权的 Cellebrite 经销商。现在它是钥匙：附上你的 UEI，好让文件发给你。同一个编号，过去用来证明资格，如今用来买到访问权；而它过去回答的那个问题——谁有资格——已经不再在公开场合被问起。

两个时钟，相差四小时

公告正文写的是下午 2 点。SAM.gov 自家界面上的一个字段与之相符。另一个则不然：机器可读的响应日期写作 2026-08-14T18:00:00+00:00，而同一条记录把它的时区标注为 America/New_York。一个照着标签去理解该字段的程序——把它当成纽约当地时间——会把投标安排在下午 6 点，晚了整整四个小时。这个字段实际上用的是 UTC（协调世界时）；标签描述的是它将如何显示，而不是它装着什么。

然后，正文本身也有毛病。“2:00pm (EST)”写的是东部标准时间（Eastern Standard Time），而八月并不施行这个时制，八月施行的是东部夏令时间（Eastern Daylight Time）。照字面理解这个缩写的投标人，会迟到一个小时。

本报道组把同一份记录读错了三次，本节之所以存在，正是为了更正它们。我们自己的笔记把截止时间记成了美国东部时间下午 6 点——那是从字段里读来的，不是从正文里读来的——而我们某一轮研究还自行推理出了这个答案并把它写了下来，以免后面的轮次再回头去看。它是错的；截止时间是下午 2 点。我们还把投标窗口记成了三个工作日，因为把一次修订的日期当成了发布日期。真实的窗口是 7 月 29 日至 8 月 12 日，共十个工作日——比去年的九个工作日更长，这把我们本已准备刊出的一项结论整个颠倒了过来。三处错误，同一份记录，全都出自阅读一份把自己最重要的事实用三种不同方式陈述的文件。

这是谁的手机

处在这笔采购另一端的那些人，只出现在一份政府文件里，而那份文件是 ICE 自己写的。规范电子介质取证分析的隐私影响评估 DHS/ICE/PIA-042，说明了这些工具是做什么用的，以及它们会触及谁。

检查人员“必须查阅介质上的全部信息”，才能弄清哪些是相关的——搜查先是全面的，而后才是有选择的。设备的来源可以是搜查令、传票或传唤，可以是当事人自愿交出；而对依据边境搜查权限行事的探员来说，还有一项例外，允许他们“搜查、扣留、扣押、留存并共享电子设备或其中所含的信息，无论是否存在针对特定个人的怀疑”。

从手机里取出来的东西，此后就留下不走了。案件最终进入起诉的，保存至最后一次上诉之后五年。没有进入起诉的，保存至案件结案——如果这些材料日后还可能用得上，则是十六年。案件仍未了结、且所涉罪行没有追诉时效的，提取件“被视为永久记录”，并且“将无限期保存”。

而 ICE 自己把它交代不了的那部分人写了下来：

隐私风险：存在这样一种风险：数据存放于由多人使用的电子介质或设备之上的某些个人，将不会知晓其信息已被取得，因而也不会知晓存在寻求救济的机会。缓解措施：此风险无法缓解。

一台共用的笔记本电脑，一台全家使用的平板，伴侣的手机。法律需要的是一个对该设备有支配权的人同意；其余所有人的数据一并被带走，而该机构经过斟酌的立场是：对这些人无计可施。这一段文字已有十一年之久，却从来没有成为新闻。它回答的，正是那些受控文件在描述的东西。

这样采购的理由

认真替这家机构说一次话，因为它确实有理由。商业产品采购规则的存在，是为了让政府在重新购买一件已知的东西时，不必再搭一台为期六个月的擂台。针对一条点名产品线的单一授标不定期交付合同，是常规操作。这里的快是设计使然，不是躲闪——尽管数字并不支持本报道组原本以为会找到的那个版本的论证。把 ICE 迄今发布过的全部 696 份综合公告放在一起看，窗口的中位数是七个工作日。这一次的窗口是十个工作日，长于其中约三分之二。把需求文件标为受控同样有实在的理由：公开列出一个执法机构究竟在采购哪些提取能力，属于业务层面的披露，谁也无权要求得到。

以上每一条都站得住。但它们没有一条能解释：为什么那句点明唯一合格卖方的话必须离开公开文本，为什么 FAR 要求在公开场合给出的指名品牌理由如今躲在一张索取表单后面，又或者为什么一份公告没办法把自己的截止时间好好说清楚一次。

公开公告是用来做什么的

ICE 在 215 笔授标中已向 Cellebrite 支付 59,961,959.58 美元。其中最大的一笔是一份 11,112,194.40 美元的采购订单，签署于去年九月底，将于 2026 年 9 月 29 日到期——而这正是周五那个截止日的用途所在。

公告仍然挂着，仍然有效，而授权其新截止时间的修订文件并不存在。公开的是：有一笔采购正在进行，卖方是一家被点名的公司，日期则是记录自身无法达成一致的日期。受控的是：读者要判断这笔采购是不是个好主意所需要的一切。

这不是丑闻。这是一份公共记录变成了指向一份非公开记录的指针，而这个指针是任何人唯一能够核查的部分。

于是侦查人员做了最顺理成章的事：把那个号码拿去查。

查出来，号码登记在阿姆鲁·阿卜杜勒-哈卡姆·埃马拉（Amr Abdel-Hakam Emara）名下——当时他是阿布凯比尔（Abu Kabir）一名计算机专业本科生。他被缺席审判，判处无期徒刑——«السجن المؤبد»，埃及《刑法》第14条把这种刑罚定义为羁押«مدة حياته»，即终其一生。埃及媒体的标题把它叫作“25年”；本报自己的选题简报此前也是这么写的。

无期徒刑这一点，依据的是辩护律师的说法和他姐姐的叙述；判决书本身没有人见到过。辩护律师卡马尔·舍伊卜博士（Dr Kamal Shaib）说的是艾斯尤特军事重罪法院（Assiut Military Felonies Court）、2024年第172号案；而采访他姐姐的那家报纸，把这个案子归在«جنايات السويس»、即苏伊士重罪案名下——两者之间的出入，没有任何文件能对上。

没有人通知他。判决在十八个多月里一直没有送达，他照常听课、照常考试，直到两名法院执行员敲开他家的门，问阿姆鲁在哪儿。

他去自首了。2026年6月17日重审，法院判了同样的刑。8月4日前后，家人被告知判决已获核准——正是这一步让判决可以执行。他二十岁。

十条号码，一个签名，一个下午

据他姐姐亚斯敏（Yasmin）向埃及私营日报《今日埃及人报》（Al-Masry Al-Youm）讲述，把他送进去的是这么一件事。一个朋友向他借身份证。这个朋友的姐姐在一家公司的门店卖手机号，为了保住这份工作，她还差一条号码才能完成销售指标——«التارجت»，也就是“指标”。

埃马拉跟他一起去了门店，交出身份证，签了一份他以为是一张 SIM 卡的合同。他姐姐说，那天以他的名义开出了十条号码。这些号码被开通，然后转手卖掉。埃及电信监管机构——国家电信监管局（NTRA）——的规定允许一名埃及人在每家运营商名下拥有十条语音号码：这场骗局的规模，正好就是规则允许的额度。

这是家属一方的说法。检方一方的说法是登记簿：号码登记在他名下，认定他的正是这一点。

2026年8月7日，也就是移送检方三天前，NTRA 发言人穆罕默德·易卜拉欣（Mohamed Ibrahim）上了埃及的 Extra News 电视频道，把这套机制解释了一遍。号码会在多年间在不同人之间转手，«دون علم المالك الأصلي»——原始持有人并不知情——«وهو ما قد يعرضه للمساءلة القانونية باعتباره المتعاقد على الخط»：而这可能使他作为该号码的签约人承担法律责任。

这就是阿姆鲁·埃马拉被定罪的那套机制；在他本国的监管机构口中，它是制度在正常运转，而防住它是公民自己的活儿。

“法律责任是个人的”

同一天，NTRA 在自己的官网上发了一份声明。其中第二段，是这个月埃及任何机构写出的最耐人寻味的一句话：

«يُطمئِن الجهاز المواطنين إلى أن مجرد تسجيل خط هاتف محمول باسم شخص لا يرتب بذاته مسؤوليته عن الأفعال التي تتم باستخدامه… فالمسؤولية القانونية شخصية، ولا تُنسب الأفعال إلى غير مرتكبها.»

仅仅把一条号码登记在某人名下，本身并不使他为别人拿这条号码所做的事负责。法律责任是个人的。

紧接着的一句露了底：«دون إخلال باختصاص جهات التحقيق والقضاء في تقدير الأدلة»——不影响侦查机关与司法机关在证据认定上的权限。监管机构说，登记簿不构成证据。它同时说，这个问题不由它来定。大约三天前，一家法院给出的答案已经成为终局。

答案是一份更好的登记簿

2026年8月10日，NTRA 把埃及全部四家移动运营商移送总检察院（Public Prosecution，埃及负责刑事侦查与提起公诉的机关）：Orange Egypt、Vodafone Egypt、e& Egypt，以及埃及电信（Telecom Egypt）旗下的 WE——这就是该国移动市场的全部。它关掉了企业批量实名登记这条通道。它要求运营商向仍挂在企业系统上的那些旧号码发短信，通知持有者到门店去、以自己的名义重新签约，否则号码收回。它还要求运营商加快落地人脸生物识别——«بصمة الوجه»，人脸指纹——既用于买号码，也用于查看你自己在登记簿上的那条记录。截至8月11日，这次移送只见于媒体报道；NTRA 并未公布。

一套强制性的身份登记制度，让一个人只因为在门店签了一张表格就被判了无期徒刑。国家给出的答案，是把这份登记簿做得更难骗过。

在埃及，没有人提出另一种改法：让登记簿不再是法院采信的那个东西。

这些规矩早就写在纸上了

在同一个网站上往里点两层，就是 NTRA 多年来一直挂着的规定。企业类那份要求运营商为每一张新的企业 SIM 卡登记«ببيانات المستخدمين الفعليين للشرائح»——号码实际使用人的资料——并禁止激活 SIM 卡，«الا بعد اخذ صورة ضوئية ملونة من الرقم القومي الساري للمستخدم الفعلي»，即除非先取得实际使用人有效身份证的彩色复印件。

这就是2026年8月10日那套紧急措施的内容，而它早就是现行规定。

面向个人的规定更严，而埃马拉每一条都照做了：«يستلزم التعاقد على شريحة التليفون المحمول تواجد العميل شخصياً»——办理手机 SIM 卡合同，要求客户本人到场。

他本人到场了。事情就是这么发生的。

一个不许你自己看的号码

埃马拉的案子把埃及人赶去查«أرقامي»——Arqami，意思是“我的号码”——那是 NTRA 应用里的一项服务，会列出登记在你身份证号下的所有号码。苏阿德·穆罕默德（Souad Mohamed）查到十条，而且是在一家她说自己从未用过的运营商名下。穆罕默德·萨乌迪（Mohamed Saudi）查到五条。

发言人解释说，NTRA 前不久把 Arqami 关掉了，因为只要有身份证号，任何人都能查到这个身份证下登记的号码。它带着一个补丁回来了：应用现在只显示每个号码的一部分。

萨乌迪在停用前把自己那五条完整截了图，现在他自己反倒读不到了。这个补丁把登记簿从名字被写在上面的那个人手里拿走了。

官方公布的出路是一张表。到销售点去，把身份证原件交给店员，让他们盖章出一份«استمارة عدم حيازة الخط»——一张“未持有该号码”证明表。销售点店员拿你的身份证开出了一条号码，而补救办法是销售点店员拿你的身份证填一张表。

哪些还没有确立

NTRA 的声明从来没有提到阿姆鲁·埃马拉——8月7日那份安抚声明没有，8月10日的移送也没有。本报找过，没有找到两者之间的关联。找到的是：一份无期徒刑判决成为终局，大约六天之后四家运营商被送到检察官面前，中间夹着一波投诉。时间上相邻；因果关系未获证实。

本报手里没有的东西：移送决定里的任何法律条号——它只提到«أحكام القانون»，即“法律规定”；宽限期到底多长——它只说«المهلة المحددة»，即“规定的期限”；判决书本身——只有辩护律师对案号的说法，和姐姐对庭审的叙述；以及在伊拉克，姓名被冒用的公民究竟有多少人。NTRA 公布了它的安抚声明；它没有公布它的执法。

同一种失灵，同一天，发生在伊拉克——8月10日

当天傍晚在巴格达，伊拉克通信与传媒委员会（Communications and Media Commission，伊拉克的电信与媒体监管机构）执行机构负责人巴利格·阿布·卡拉尔（Baligh Abu Kalal）下令，在库尔德斯坦地区（伊拉克北部的自治区）停止通过代理商和销售点售卖 SIM 卡，把销售限制在持牌运营商的主营门店，直到«آليات التوثيق الإلكتروني والتحقق الأمني»——电子认证与安全核验机制——就位为止。

他给出的理由就是本文这个故事：委员会注意到«شكاوى ومؤشرات تتعلق بتسجيل شرائح اتصال بأسماء مواطنين من دون علمهم أو موافقتهم»——关于在公民不知情或未同意的情况下、以其姓名登记通信 SIM 卡的投诉与迹象。他说，这项措施的存在是为了防止«التزوير وانتحال الهوية»——伪造与身份冒用——而替代的办法正在与持牌公司以及«الأجهزة الأمنية»（安全机关）一起搭建。 在委员会全部已公开的记录里，«انتحال الهوية»只出现过一次：就在这道命令里。

把支持人脸识别的理由，好好说一遍

艾哈迈德·巴达维（Ahmed Badawi）是埃及众议院（议会下院）通信委员会主席，他在电视上把这段历史讲了出来。他说，1997年到2018年间，经销商一次拿到三四百条号码去卖，用来冲运营商的销售指标；数万条号码就是这样流出去的。渠道才是漏口；把渠道关掉是最直接的补救；而柜台前的活体人脸核验，能挡住用在埃马拉身上的那套花招——一张借来的身份证，加一个签名。截至8月11日，他的说法是，一个月内人脸指纹就«سيقضي على استخدام أي خط هاتف بغير اسم صاحبه الحقيقي»——将终结任何手机号码不以其真实持有人姓名使用的情况。

这是个严肃的论点。它同时不是对阿姆鲁·埃马拉这件事的回答，因为两国的方案里，没有任何一条触及把他定罪的那一步：登记簿上的一个号码，被当成一个人来读。

巴达维宣布埃及将停掉代理商和分销商，只通过运营商的官方门店卖号码。四十八小时后，伊拉克通信与传媒委员会在库尔德斯坦地区下了同样的令。

两个国家。同一种失灵。同一套补救办法，彼此之间没有接触：先是一位立法者的宣布，然后是一个监管机构的地区性命令。8月11日用阿拉伯语和英语检索，我们找不到任何一家媒体——两种语言里都没有——把这两件事放在一起写过。

这不是埃及和伊拉克之间的巧合。这是这种制度设计本身就会带来的结果。

8月4日，巴西国家数据保护局（ANPD）下令停止扫描。这份命令——Despacho Decisório nº 2/2026/SFI（第2/2026/SFI号决定性批示），由该局稽查监督总监 Fabrício Guimarães Madruga Lopes 签署，是依据巴西《通用数据保护法》（LGPD，Lei nº 13.709）第55-J条采取的预防性措施——暂停全州州立学校网络内一切用于考勤的生物识别处理，并给巴拉那州十个工作日来证明已经关停：一份由主管公共机关签署的正式声明，外加一份技术报告，点名每一个受影响的系统与数据库，写明每个生物识别数据库放在哪里、由谁保管。

拿一个家长的眼光去读，这份命令里最响的是一处沉默。命令没有任何一句说孩子们的人脸将被删除。它说的是：留着。叫停一件事，和把它撤销，是两个不同的动作；这两个动作之间的距离，就是100万份人脸模板如今所在的地方。

没有人下令删除这些人脸

命令全文五页，其中没有一个词的意思是“删除”。本刊在它的葡萄牙语全文里，把巴西数据保护法律和实务中所有表示抹除数据的用语查了一遍——“消除”“排除”“废弃”“匿名化”“抹掉”“销毁”等，合计八个词——每一个出现的次数都恰好是零。“抹除”压根不在这份文件里。

文本真正下达的指令在第1.3.2(b)项，方向恰好相反：州政府的报告须说明 "as medidas adotadas para impedir novas operações de tratamento e o respectivo regime de preservação ou bloqueio"——即为阻止新的处理操作而采取的措施，以及相应的保存或封存机制。扫描停下；模板留下，而这些模板存放在哪些数据库、由谁保管，巴拉那州现在必须一一记录在案。

这样做有站得住脚的理由，而且多半是正确的决定。这是一起进行中的执法程序里的预防性措施，不是处罚——同一份命令还把案卷转送该局的处罚部门，由它评估是否启动正式的处罚程序。监管者不会在程序走到一半时下令销毁证据；你不可能事后再去评估你已经让人抹掉的东西。但保存是对的，不等于保存是一种救济。被采集了人脸的孩子们，今天并没有把脸拿回来。他们拿到的是一个承诺——此刻没有人在拿这些模板做比对——和一宗未结的案卷，而“是否抹除”这个问题，在案卷里还没有被提出来。

一个时间戳就能了断

这十个工作日，既不从8月4日的签署起算，也不从命令8月6日的公布起算。第8项写得直白："a contagem dos prazos acima corresponde à intimação desta decisão"——计时从本决定正式送达州政府之时开始。如果从8月4日起算，期限将在8月18日（星期二）届满；而送达几乎可以肯定晚于签署，所以8月18日是报告最早可能到期的日子。同一个窗口，也是州政府提出申诉的窗口。写一句“巴拉那州未予回应”很容易，但那是错的。它没有。今天大约只是十天倒计时里的第二天或第三天。

让这份报告值得等的，是里面的一个栏目。巴拉那州对外的辩解是：项目只是一个试点，7月就已自行停止。第1.3.2(c)项要求州政府填报 "a data e o horário da efetiva desativação"——人脸识别功能被实际停用的确切日期与时刻。时间戳早于8月4日，说明州政府是对的，ANPD 暂停的是一个已经死了的东西；时间戳晚于8月4日，说明监管者找上门时系统还活着。案卷 00261.007049/2024-06 项下那份合规报告里的一行字，无论落在哪一边，都会终结这场争论。

新闻稿给了 Discord，沉默留给了巴拉那

这份命令能走到公众眼前，只是因为 ANPD 的内部公报——《电子公务公报》（Boletim de Serviço Eletrônico），命令在8月6日登载于此——本身是公开的，而且有人去读了。该机构自己什么也没宣布。

签署三天之后的8月7日，同一家机构对聊天平台 Discord 启动执法程序，起因是一名13岁孩子的死亡，以及关于一个群组教唆自残的指控。那次行动配了新闻稿，附了立案文书，巴西《环球报》（O Globo）、CartaCapital、Poder360、Olhar Digital 等媒体当天跟进。

这种差别有一部分说得通。孩子的死亡更具新闻性，公开示警本身可能就是目的。对国家体制内另一个机关动手，可能牵涉对外国平台动手时不存在的通报程序。新闻稿不是法定义务，而公报在形式上就算公布。也应当把这次行动本身记在功劳簿上：大多数数据保护机构行动缓慢，而且偏好对私营公司出手，这一家却在几天之内责令一个州政府关掉了自己的招牌校园系统。

这些都对，剩下的余味却仍旧硌人。新闻稿是一家机构告诉公众“我想让你们看见我哪些动作”的方式，而公报那条路，需要一个本来就知道去哪儿找的读者。同一个星期，同样是儿童数据，外国平台得到了公告，本国的州政府得到了沉默。这份沉默一直延续：截至8月8日，这份命令没有任何英文报道——检索到的英文条目为零，葡萄牙语条目有61篇。

可以照办，无从辩驳

命令作了决定，却不给解释。它的实体说理——这套处理为什么违法——是从 Nota Técnica nº 4/2026 援引并入的，那是一份 ANPD 尚未公布的技术意见书。下命令的文件是公开的；讲道理的文件不是。一份这样搭建的决定，可以被遵守，却无法被辩驳——州政府辩不了；下一所学校、下一个州里将要听到同一套推销话术的家长们，也辩不了。

有一个人，对读到那份意见书有着特别的资格。命令第4项指示，把它送达该监测案件的 "o titular de dados cujo requerimento levou à abertura"——因其申请而立案的那位数据主体：2024年，正是此人的一纸申请，让 ANPD 开始盯上这个项目。一个人提交了一份申请；两年之后，一个州被责令停止扫描100万个孩子。那份解释缘由的意见书，应该向所有其他人公布。去向这家机构要。

已经进了水箱的水

生物识别模板不是照片。它是从一张脸推导出来的一串数字，它存在的全部目的，就是只要这张脸还在，它就一直可供比对。所以“暂停”这个救济，比听上去要小。处理，是一个可以拧上的水龙头。模板，是已经进了水箱的水。巴拉那州的合规报告必须写明这些水存放在哪里、由谁看管。报告里没有任何一处需要写明还要存多久。

什么都不采集的系统，永远不用走到这一步。其余的一切——每一台考勤扫描仪、每一件从测量一个孩子开始的便利——终有一天会生出这样一页纸：监管者做到了它能做的极限，而人脸留在原地。

7 月 10 日，同一个办公室——调查与行动支援处，达拉斯（Investigations and Operations Support, Dallas）——签下了序列里编号只差一位的那份合同：13,000,000 美元，给 ZeroFox，一家出售社交媒体威胁监测服务的美国网络安全公司。这一次有三家公司投标。然而这笔采购没有在任何地方发布公告，法规要求公开的那份书面理由说明（justification）也一直没有被找到。发布它的三十天期限在8 月 9 日周日走完。今晚是第 28 天。

把两份记录并排放在一起，方向是反的：巨额的、毫无竞争的那笔在光天化日之下办完；小额的、经过竞争的那笔悄无声息。这种倒置值得你花几分钟，原因只有一个。无论周日结果如何，这一对合同都说明：这条信息公开规则从外部根本无法核查——查不出它迟了，查不出它被守住了，什么都查不出。

吵闹的那笔采购和安静的那笔

这两笔采购在联邦编号序列里只差一位，70CMSD26C00000005 和 …006，而每一个字段都与直觉相反。单一来源的那份反而是公开的：只向一家公司询价，收到一份报价，第二天就公开发布了采购公告。经过竞争的那份反而是隐形的：走谈判式提案程序、收到三份报价，却没有任何公开公告——数据库里记录有无公告的那个字段写着 NO（否）。

周日这个期限来自紧急情况例外，即《联邦采购条例》（FAR，Federal Acquisition Regulation，美国联邦政府采购的统一规则）6.302-2 条：当延误会造成严重的财务或运营损害时，机关可以限制竞争；而该条也给了它授标后三十天的时间来公布书面理由说明。但政府自己的数据库把 ZeroFox 这笔采购编码为 "full and open competition after exclusion of sources"（排除部分供应商后的完全公开竞争）——而一场有三家投标人的谈判式竞争，不像是紧急状况的样子。要么是编码用得松，要么这笔采购比“紧急”二字暗示的更普通。它越普通，那份缺失的公告就越难解释。

规模也指向同一个方向。按 ICE 的标准，1,300 万美元是小钱，而这个量级的采购正是只有文书才会让它露面的那一类：隔壁那笔 9,470 万美元，记录怎么写都会引来注意。一笔 1,300 万美元的支出则会无声无息地过去——除非信息公开规则真的起作用。

一共有三份，其中两份在暗处

最自然的反驳是挑樱桃，所以这里把全部记录一条不落地摊开。6 月 15 日到 8 月 7 日之间，这个办公室签下了 82 笔采购；把 ICE 的记录逐页翻到底（七页共 633 条，而不是默认拉取只返回的那两页），从中查出的“确定性合同”（definitive contract）恰好是三份——所谓确定性合同，指的是全新独立签订的合同，而不是在此前已竞争过的框架采购合同（contract vehicle）下发出的订单。

第三份小到会从任何按金额排序的拉取里掉出去：70CMSD26C00000004，486,749.68 美元，签给 Guardian Centers of Georgia，7 月 20 日签署，依据 FAR 6.302-1 以单一来源方式授标。它的 fed_biz_opps 字段写着 NO。所以总数是三份，而其中两份从未发布过公告。那份 9,470 万美元的采购，是这个办公室整个夏天唯一摆到公众面前的独立新签合同——这让这里的格局比单纯的一对更糟，而不是更好。

ZeroFox 卖的是什么

ZeroFox 出售品牌保护和社交媒体威胁监测服务，其母公司是 LookingGlass Cyber Solutions。它的新客户，是那个名字已经说明了自己在做什么的 ICE 办公室：调查与行动支援。

ICE 究竟买了什么，记录里没有。这笔采购没有描述任何交付内容，而本编辑部不会从一家供应商的产品线去推断它卖出了什么能力。但这个未知，恰恰是那份缺失文件本该解决的：所谓理由说明，就是政府以书面形式交代自己在买什么、以及为什么限制了竞争的地方。对于一份从未公告过的、由一个移民执法机关与一家社交媒体监测公司签下的 1,300 万美元合同来说，那份文件是唯一可能存在的公开说明。

无辜的那种解释

先站在这个办公室一边，因为它的理由是真实存在的。三家公司投了标——不管这是什么，它都不是送给一家无人能与之竞争的供应商的礼物。文书迟交是联邦采购中最普通的失败：公布期限在整个政府里都在滑点，而一个滑掉的日期不是掩盖。期限甚至还没到——只要周日之前把理由说明贴出来，那就是完全合规，这篇报道也就变成一个关于规则运转正常的故事。最有力的一点是：正是这个办公室，在它那份金额大得多的采购上，第二天就发布了公告。存心藏东西的办公室不会这么干。

这些全都站得住。它们都没能挽回的，是“不知情”这个借口。在 9,470 万美元上一天之内就发布了公告的那个办公室，就是在 1,300 万美元上二十八天里什么都没公布的那个办公室——同一个买方，同一个编号序列，同一个月。这证明不了任何不当行为。它的意思是：如果周日在沉默中过去，那个办公室里没有人能说自己不知道这条规则。

一条抓不住任何人的规则

下面是本编辑部真正的看法，而它不是“达拉斯有个采购官在藏东西”。它是：那栋楼外面的任何人，都无法判断是否真有人在藏东西。

《联邦采购条例》在最后一步之前把每件事都做对了。限制竞争的机关必须写一份理由说明，必须在随金额上升的层级上获得批准，并且必须公开——紧急情况采购是在授标后三十天内。它甚至预先料到了那个最明显的取巧办法。FAR 6.305 的 (e) 款要求采购官删去企业的专有信息，以及任何依据《信息自由法》（FOIA，Freedom of Information Act，规定美国联邦政府信息公开义务的法律）可以豁免公开的内容，随后就把门关上："This process must not prevent or delay the posting of the justification …"（这一过程不得妨碍或延迟理由说明的公布。）内容敏感是少公布一些的理由，不是什么都不公布的理由。

留给机关的出路是 (f) 款，而它很窄：只有在公布理由说明 "would disclose the executive agency's needs and disclosure of such needs would compromise national security or create other security risks"（会泄露该行政机关的需求，而泄露这些需求会危害国家安全或造成其他安全风险）的情况下，这项义务才被解除。这很合理——只不过，没有任何规定要求机关说明自己用了 (f) 款。没有存根，没有标记，没有一条“已扣留”（withheld）的提示。而理由说明本该出现的那个公开窗口，无法向外人显示“什么都没贴”和“什么都看不到”之间的区别。从外部看，一次合法的扣留和一次逾期未发，产生的记录完全相同：什么都没有。

一条无法把“遵守”与“违反”区分开的信息公开规则，已经不再是规则。它是一种惯例——机关想被人看见自己在做的时候才会做的事。达拉斯这一对合同看上去正是如此：大的那笔被看见了，小的那笔没被看见，而且无法说清是哪一种“没被看见”。

修补它只需要一行字。只要援引 (f) 款，就要求公开一条占位说明——理由说明存在，它被扣留，依据在此。合法的保密照旧合法。沉默变得可读。

周日

ZeroFox 这笔采购的记录是公开的，不需要登录；确切地址在参考资料里。到周日、也就是第 30 天，SAM.gov（美国联邦采购公告与合同文件的官方公开平台）上要么出现一份理由说明，要么仍然什么都没有。如果它出现了，规则就起作用了，这篇文章就是一套制度正常运转的记录。如果它没出现，你依然没有抓住任何人——(f) 款保证了这一点——而这个保证本身就是结论。

周日不会告诉我们有没有人做错了事。它会告诉我们的是：这条规则究竟还有没有能力告诉我们任何事。

这句话是《委员会实施条例（欧盟）2026/1755》第 2 条第 3 款——委员会为自己的人工智能调查写下的程序规则——7 月 20 日通过，7 月 21 日刊登于《官方公报》（Official Journal，欧盟的法律公报，法律须在此刊出才能生效），8 月 10 日周一生效。全文如下：

"The Commission may require the provider to disable any logging measures that could track or record the Commission's access to the general-purpose AI model, to the extent necessary to ensure the integrity and confidentiality of the evaluation process."

（中文释义：在为确保评估过程的完整性与保密性所必需的范围内，委员会可以要求提供者停用任何能够追踪或记录委员会访问该通用人工智能模型的日志措施。）

被命令去关闭日志的一方就是提供者本身，所以这不是秘密访问；它知道检查人员来过。它失去的是证明——在面对委员会自己那一版说法时，确认哪些东西被访问过、访问了多久的能力。目前还没有任何公司被命令关掉任何东西；在周一之前也不可能有。而且没有人说过为什么。欧盟法律的开头是“说明理由段”（recitals），即一段段编号排列、陈述这部法律为何而立的文字；这一部有六条，没有一条提到日志。

什么都要盯着，除了我们

这句话最先砸在模型公司里负责安全的那些人身上。

有一个整齐的说法：法律要求留下日志，条例又要求关掉日志——这个说法是错的，而且这个错最先是我们犯的：《人工智能法》里关于日志的义务，即第 12 条和第 19 条，约束的是高风险人工智能系统，属于另外一章；模型的提供者两条都不欠。具有系统性风险的模型的提供者所欠的是第 55 条第 1 款第 (d) 项：为模型及其物理基础设施提供“适当水平的网络安全保护”，不遵守的罚款最高可达全球营业额的 3% 或 1,500 万欧元，以较高者为准。

公司靠《通用人工智能行为准则》（General-Purpose AI Code of Practice）来证明自己做到了这一点——提供者签署这份规则手册，以此表明合规；这份准则由一批独立专家起草，再由委员会自己认定为“适当”。准则的安全附录要求在“所有网络和设备上”做入侵检测，要求有一支安全团队“监控 EDR 警报”（EDR 即端点检测与响应，装在员工电脑、服务器等终端上、一发现入侵者就报警的软件），还要求为每一台存有模型参数的设备建立安全登记册。

“任何能够追踪或记录委员会访问行为的日志措施”把上面这些全都罩住了。准则预想到了“换一套控制措施”这条路：措施 6.2 要求任何替代性控制措施都必须做到“对可疑或恶意活动的检测”——而在一条你被命令不得记录的通道上，没有任何东西能做到。第 55 条第 2 款把这个圈闭上了：偏离准则的提供者“应当证明存在替代性的适当合规方式，供委员会评估”。从周一起，安全工程师的处境是：他被要求守住一套委员会称之为“适当”的标准，却又可以被委员会命令去破坏它，而剩下的那点安全，仍然由委员会来打分。

支持一个隐形检查员的理由

访问行为被记录下来的评估者，是可以被认出来的；而一家能够对委员会的流量做指纹识别的公司，可以把这些会话路由到一个打开了安全过滤器的检查点（checkpoint，模型在训练过程中保存下来的某一个版本）——于是委员会认证的，是一个别人都用不到的模型。这种失败有个名字，叫“应试教学”，它也是第三方评估最常见的死法。

《人工智能法》让这件事更尖锐，因为合规在很大程度上是自我声明的：由提供者自己开展并记录自己的对抗性测试。如果监管者只看得到公司对公司自己所做测试的叙述，那么整套系统性风险制度就只是自我认证加一页签名。

最强的论点是测试本身。委员会为攻击性网络能力或生物能力提升准备的一组探测题，按其构造就是一批行得通的提示词。记录并分析这些输入的提供者，等于用监管者的成本白得了一份精挑细选的攻击语料库。任何严肃的检查制度都需要不预先通知的访问权，而一条保护评估完整性的规则本身并不是丑闻。

先有的是更好的那条规则

但完全一样的问题早就已经被解决过一次了，而且是用正确的方式解决的——就在那份经委员会签字认可的准则里。附录 3.5 让签署方承诺：

"will not undermine the integrity of external model evaluations by storing and/or analysing inputs and/or outputs from test runs without express permission from the evaluators."

（中文释义：未经评估者明确许可，不得以存储和／或分析测试运行的输入和／或输出的方式，损害外部模型评估的完整性。）

这一条禁止提供者留存一次测试的实质内容——提示词、模型给出的回答、你可以拿去做训练的材料——并且以评估者的同意作为开关。安全日志继续开着。周一那句话管的却是访问记录，而且完全没有征求同意这一步。如果这两条规则管的是同一块地，周一那句话就是多余的。

用封条，不是拉闸

欧盟没有别的检查者是这样做事的。在竞争法里，委员会的检查人员可以给记录加封条，破坏封条本身就是一笔最高达营业额 1% 的罚款。在银行监管里，欧洲中央银行（European Central Bank，负责监管欧元区大型银行）可以不预先通知就上门——但只能以“决定”的形式，并且在成员国法律有此要求时须取得司法授权。我们查了五套制度。在每一套里，突袭性都来自不告诉对方。而不是来自不做记录。

没人叫来的那个看门人

是谁点了头？欧盟法律里安排了一个专门唱反调的角色：欧洲数据保护监督专员（European Data Protection Supervisor，简称 EDPS，欧盟内部的隐私看门人，专职监督欧盟各机构自己怎么处理个人数据）。当一份实施法案的草案触及“个人数据”如何被处理时，委员会必须征询它的意见（《条例（欧盟）2018/1725》第 42 条第 1 款）。而在这部新条例的 5,304 个英文词里，从头到尾没有出现这位监督专员的名字，没有引用那部条例，也没有用过“个人数据”这个词组。

这种沉默并不是这位监督专员的习惯。2026 年 3 月 6 日，它就同一部《人工智能法》之下的另一份草案提交了正式意见——比 2026/1755 的草案开放公众反馈还早六天；而 7 月 15 日通过、比本条例早五天的一部姊妹条例，在其第 5 条说明理由段里就记下了这位监督专员的意见。至于本条例：文本里什么都没有，在监督专员公布自己工作成果的任何地方也都没有找到相关意见——这次检索我们并未穷尽。草案征询共收到 51 份意见；我们无法调取这些意见，因此有没有人对那句日志规定提出过警示，仍然未知。

一项按一个签名的尺寸做出来的权力

母权力是穿着一整套保障措施来的：依《人工智能法》第 92 条提出的访问请求，必须写明法律依据、目的和理由、合规期限，以及适用的罚款；在实施条例里，访问本身要以“决定”的形式下达。而关闭日志这项要求一样都没有——没有决定，没有交叉引用，没有格式。委员会的《议事规则》允许把“管理性或行政性措施”下放给总司长（Directors-General，委员会各总司的最高级别官员）。决定就是决定；而一项没有贴上标签的要求，正是官员会随手签掉的那类东西。

同一部条例的第 10 条第 3 款列出了会中断罚款五年追诉期限的那些行为，其中一项就是“为开展模型评估而提出的访问请求”。每一次中断都让时间重新开始计算，上限是十年。让这个时钟归零的那个事件，正是提供者可能被要求不得记录的那个事件。

这里说的“委员会”并不是一个头脑。准则不是官员写的，而是由一批独立专家起草的；把这批专家召集到一起的，是设在 DG CNECT（通信网络、内容和技术总司，委员会主管数字政策的部门）之内的人工智能办公室（AI Office，委员会里实际执行模型评估的那个单位），而准则定稿之后，是委员会连同人工智能理事会（AI Board，由各成员国代表组成、协调《人工智能法》执行的机构）把这份成果认定为“适当”。往后上门来访的，还是同一个人工智能办公室。签下那项要求的可能是某位总司长。至今没有任何一份第 92 条访问决定露过面；我们找过，没有找到。制度性漂移比任何单一行为者的刻意设计都更有可能，而它在一点上更糟：没有人需要有意为之。

给双方各留一份副本

欧盟在更难的场景里已经解决过一次这个问题。当一份记录必须在委员会的检查中存活下来时，竞争法谁也不信：它给柜子加上封条，并把破坏封条本身规定为一项违法行为。封条的数字后代，就是一份只能追加、双方都能验证而任何一方都无法修改的日志。

条例文本给提供者留下了两个杠杆。第 3 条第 5 款允许对委员会指定的专家提出有理由的异议——值得一用，因为按第 4 条，进到你基础设施里面的那一方可能是采购来的外部承包商。依第 2 条第 1 款作出的访问决定，可以依《欧洲联盟运行条约》（TFEU）第 263 条申请司法审查——这是在法院挑战欧盟行为的条约途径。

委员会应该往这些模型内部看；这正是《人工智能法》的用意，而支持不预先通知访问的理由是真实的。它不该做的，是通过让一方掌握记录的唯一副本来解决一场利益冲突——而且是用一句话做到的，一句它自己那六条说明理由段都没有解释的话。

名单上的人都要求消失——跟踪骚扰与家庭暴力的受害者、法官、生殖健康门诊的患者，以及任何有理由抹掉自己踪迹的人。今年1月起，他们依据加州《删除法案》（Delete Act，一部让居民在一个入口处就要求全州所有数据经纪商删除自己信息的法律）陆续提交申请。六天前，这套机制的另一半启动了：自 2026年8月1日 起，加州《民法典》§1798.99.86(c)(1) 要求每一家注册经纪商 "access the accessible deletion mechanism … at least once every 45 days."（“访问该无障碍删除机制……至少每45天一次”）。于是这份名册开始向外扩散，进入数百家经纪商的系统——正是这些人当初躲着的那个行业——而第一个强制周期在 9月15日 前后结束。

标识符做过哈希处理，这听上去像是一层保护。可在一个笔记本 CPU 核心上，名单里的一个加州电话号码约 四十三秒 就重新变回电话号码。造出这台机器的加州隐私保护局（California Privacy Protection Agency，简称 CPPA，负责执行该州隐私法的州级监管机构）确实向经纪商打过招呼——7月10日的一篇博客文章写道："starting on August 1, data brokers must download the hashed deletion requests and compare them against the personal information in their records."（“自8月1日起，数据经纪商必须下载做过哈希处理的删除请求，并与自己记录中的个人信息进行比对。”）而它没有做的，是就这份暴露风险说过任何一句话。其新闻室页面在8月7日复查时，最新一条仍是8月4日一篇关于佛蒙特州的帖子；8月1日的机制启动，换来的是一份写给经纪商的操作指南，而名单上的那些人，一份通知也没有收到。

哈希几秒钟就能剥掉

这份名单包含六类标识符，而规章（11 CCR，《加州法规汇编》第11编，即主管机构依法制定的实施细则）里指名写出的只有一类：MAID（mobile advertising ID，手机广告标识符）。另外五类是 DROP（加州这套删除请求平台，也就是上文那个“无障碍删除机制”）技术规范里的标签——NDZ（名、姓、出生日期、邮政编码 ZIP）、Email（邮箱）、Phone（电话）、NameVIN，以及 CTVID，即联网电视标识符。在做哈希之前，规则先把输入“压平”——转成小写、去掉标点、把重音符号折叠掉，所以细则自己举的例子会把 "Björn O'Connor-López" 变成 "bjornoconnorlopez." 日期变成八位数字，电话只留最后十位，还有一条兜底条款要求经纪商 "implement any other standardization that the data broker knows will increase the likelihood of a match."（“实施数据经纪商已知能提高匹配可能性的任何其他标准化处理”）。每一步都在丢弃熵（entropy，即取值的不可预测程度），而在一个哈希值和算出它的原值之间，唯一挡着的东西就是熵。

我们把该州自己的技术规范里那两个示例重算了一遍。每一个字段摘要、两个组合摘要都逐位相同：就是对 UTF-8 输入做普通的 SHA-256，再以 Base64 输出——没有盐，没有密钥，没有任何公开记录里尚未包含的东西。对一个低熵取值做无密钥哈希不是伪装，而是一道笔记本电脑靠把所有答案试一遍就能解开的谜题；而 SHA-256 在一个 CPU 核心上每秒能给出约 710万次猜测 的答案，连显卡都不用。

| 名单上的内容 | 可能取值有多少 | 在一个笔记本核心上耗时 | |---|---|---| | 一个加州电话号码 | 304,000,000（3.04亿） | 约43秒 | | 任意美国或加拿大号码 | 6,400,000,000（64亿） | 约15分钟 | | 姓名、出生日期加邮政编码，比对加州选民名册 | 约22,000,000（约2,200万） | 约3秒 | | 一个较短的联网电视标识符 | 2.8 × 10¹²（约2.8万亿） | 约4.6天 | | 一个手机广告标识符 | 2¹²⁸ | 不可行 |

电话号码那份名单谈不上假名化（pseudonymous，即用代号顶替真实身份），它就是明文，只多了一道手续。姓名—出生日期—邮编那份连猜都不用猜：你把要找的那一个人哈希一遍，问一句答案在不在名单上——这就是一个只回答“在／不在”的查询谕示（oracle），而哈希值又变回了姓名。就连确实破解不了的广告标识符也不需要破解；它是一把连接键（join key，用来把两边数据里的同一个人对上号的字段），广告技术公司拿它在自家设备库里跑一遍，就知道其中哪些设备属于正在设法抹掉自己的人。

最先想到的那个办法——给哈希加盐（salt，哈希前给输入拼上一段额外的随机字符串，让相同的值算出不同结果）——在这里行不通。加盐之所以能保护存起来的密码，是因为负责核对的一方本来就握着用户刚敲进去的那个秘密。DROP 的形状恰好相反：由经纪商拿自己的记录（加州从未见过这些记录）去比对州里的名单，因此双方必须各自独立算出同一个摘要——而一个要分发给全国每一家注册经纪商的盐，根本不是秘密。

加州拿到过补救方案，并以书面形式拒绝

下面这部分至今无人报道。在制定实施细则的过程中，密码学家就告诉过主管机构会出现这种局面。在《最终理由说明》（Final Statement of Reasons，美国行政制规程序中监管机构逐条回应公众意见的正式文件）附录A里，意见提交人提出了 私有集合求交（private set intersection，一种让双方只知道彼此的交集、别的什么都学不到的协议），或者在 可信执行环境（trusted execution environment，处理器里一块隔离的运算区，外部无法窥看其中的数据）内完成匹配。他们对代价并不隐瞒，承认这会阻止“数据经纪商在未来继续屏蔽标识符”（原文："data brokers from suppressing identifiers in the future,"），但主张这笔交换是值得的。

主管机构拒绝了，而它给出的理由就是整个故事：

"The Agency notes the alternatives to hashing suggested by commenter, but the Agency has determined that hashing is a widely used, secure, and accessible method of protecting data, and that any method that prevents the ongoing suppression of identifiers by data brokers fails to adequately implement the law."

中文大意：“本机构注意到意见提交人提出的哈希替代方案，但本机构认定，哈希是一种被广泛使用、安全且易于采用的数据保护方法；并且，任何会阻止数据经纪商持续屏蔽标识符的方法，都没能充分落实本法。”

把后半句慢慢读一遍。《删除法案》并不是要求经纪商把你忘掉一次，它要求经纪商从此持续地屏蔽你（suppress，即此后不再使用、不再出售你的信息）。而要永久屏蔽你，经纪商手里就得留着某种耐久的、意思是“你”的东西——哈希值恰恰就是这种东西：一个耐久、可反复重算出来的凭据。密码学家提出的每一种方案，其运作方式都是不给经纪商留下这样一个凭据，这正是主管机构把它们排除掉的原因。这个隐私漏洞不是设计没能堵上的缺陷，而是这套设计本来就要交付的机制。

而 §7620(c) 把这个闭环合上了："By submitting a deletion request, a consumer consents to disclosure of their personal information to a data broker for purposes of processing their deletion request."（“消费者提交删除请求，即同意为处理其删除请求之目的，将其个人信息披露给数据经纪商。”）这条目的限制是实实在在的，也是这套设计能给出的最好答复——这份同意并不是没有边界的。但它管的是经纪商拿到披露之后可以做什么，而不是这份披露本身是什么。请求加州让你被忘掉，仍然意味着把你放进一份经纪商会下载的名单里。

主管机构的理由比批评者愿意承认的更站得住

这些都不说明主管机构办事草率。它否决了直接加密的做法，因为那会让经纪商手里握着解密密钥——那显然更糟。它把匹配规则收紧到 100% 完全一致，这是防止删错人的一道实打实的保险。名单是 分段发放 的，只处理邮箱的经纪商永远拿不到姓名加出生日期那一份；第一次之后的下载是 增量 的；取得访问权还要以实名账户缴纳 每年6,000美元 的注册费。把明文的姓名和号码发给数百家公司，比上面任何一条都更糟。

而最难的那一点根本不是主管机构的错。§1798.99.86(b)(3)——这是立法机关写下的命令，不是主管机构写的——要求建立一套机制：它既要让经纪商能判断你是否提交过请求，又“不得允许披露任何额外的个人信息……除本编另有规定的以外”（原文："shall not allow the disclosure of any additional personal information … unless otherwise specified in this title."）。把结尾那个例外条款放在一边，剩下的就是一道私有集合求交的题目，被交给一个州级机构，而拨给它的钱只够做成一个 CSV 文件下载。

不过这些辩护经不起太仔细的推敲。第一次下载就是全量语料、而且每家经纪商都留着副本，此后的增量发放便无从补救；分段发放要靠经纪商如实申报自己持有哪些标识符；而 §7616 的那些保护是法律上的、不是技术上的——没有任何东西能阻止经纪商拿这份名单去算任何它想算的东西，规则只禁止使用算出来的结果。

一个条款就能在第一个周期结束前把它堵上

有一根现成的杠杆，而且拉动它不需要动用立法机关。§7601(c) 允许删除名单自行指定所用的哈希算法；主管机构在一份意见答复里认可了 SHA-256，却没有把它写进规则本身。它可以改为指定 Argon2id（一种刻意设计得又慢又吃内存的密码哈希函数），走一遍制规程序即可，那个四十三秒的攻击一夜之间就变得不可行——同一份名单，换一个函数，不需要任何法案。

这底下压着两条如实交代的局限。我们报道的是规章和技术规范，不是运行中的系统：规章允许使用任何算法，而面向经纪商的线上 API 在登录之后，所以今天实际部署的 DROP 究竟输出什么，我们无法确认。还有那个被反复引用的“300,000+”，是主管机构自己在6月2日给出的数字——统计的是人数、不是请求数，此后没有更新过。我们能够确认的是这套设计，而这套设计正是要害。

一台为了永远记住你而造的机器

把其他一切剥掉，剩下一个矛盾。一套必须永远认得出你、才能继续保护你的系统，就必须留着某种意思是“你”的东西——而任何意思是“你”的东西，都能被还原回你本人。唯一的出路是根本不让这台机器识别得出你。这不是一个技术细节，而是一个关于由谁来承担这份工作的决定——由经纪商来，还是由那些试图从经纪商眼前消失的人来。加州是在制定实施细则时作出这个决定的，可行的替代方案就摆在它面前，而它选了经纪商。

2024年10月18日夜里，两辆汽车在莫桑比克首都马普托（Maputo）市中心截停了一辆车，下车的枪手朝车里倾泻了数十发子弹。遇害的是45岁的律师埃尔维诺·迪亚斯（Elvino Dias），反对派总统候选人韦南西奥·蒙德拉内（Venâncio Mondlane）的法律顾问；还有保罗·瓜姆贝（Paulo Guambe），为蒙德拉内竞选背书的政党Podemos的选举代理人。九天前，莫桑比克刚刚投完票，计票已陷入争议。这桩血案至今未破。

抗议于10月21日开始。三天后，选举委员会宣布执政党莫桑比克解放阵线（Frelimo）的丹尼尔·查波（Daniel Chapo）以70.67%的得票率胜出，蒙德拉内随即在Facebook上号召全国罢工。次日，移动互联网开始失灵。

而且失灵得很有规律。网络监测机构记录到10月25日至26日和10月31日的断连，以及11月4日至8日的每夜切断——傍晚掉线，清晨恢复——地点在马普托和北部的楠普拉（Nampula）。从10月29日起，Facebook和WhatsApp遭到限制。10月31日，Vodacom、Movitel和Tmcel三家移动运营商向用户发出了同一条消息：部分社交网络的访问“因超出我们控制范围的原因而暂时受限”。这些原因其实有个地址。通信监管机构INCM为限制辩护，称这是针对煽动暴力示威内容的国家安全应对——并援引《电信法》作为其权力依据。11月18日，运营商确认全面恢复。没有任何人解释过任何事。

到那时，警方已在用实弹回应游行。记录这本台账的公民社会监测组织Plataforma Decide统计：截至1月中旬，约314人遭枪击身亡，633人受伤，逾4,236人被捕。12月23日，宪法委员会（Conselho Constitucional，莫桑比克最高的宪法审查机关）主席露西娅·达卢斯·里贝罗（Lúcia da Luz Ribeiro）用一个半小时宣读公告，确认查波以65.17%的得票率当选——委员会承认存在违规，但裁定违规未影响结果——此后两天之内，至少又有21人被杀。

在莫桑比克，“流量控制”就是这个意思。把它记牢，因为下文的每一份文件，讲的都是它。

一年之后，规章来了

查波宣誓就职十一个月后，这套做法有了自己的公文。2025年12月16日，部长会议（莫桑比克的政府内阁）公布Decreto n.º 48/2025号政令，批准《电信流量控制条例》（Regulamento de Controlo de Tráfego de Telecomunicações）。政令赋予INCM中止电信服务的权力，还可采取"quaisquer outras medidas"——任何其他措施——并责令运营商持续监控流量、阻断通信、向国家机关移交数据，元数据也包括在内。2024年底对网络做过的那些事——当时可以抵赖、可以推给“超出我们控制范围的原因”——如今有了编号在册的条文。这部政令同时废止了其前身，Decreto n.º 38/2023号政令。

出手的是监察专员，不是NGO

挑战来自国家机器内部。2026年2月，Provedor de Justiça——莫桑比克的国家监察专员（Ombudsman），依据宪法第244条第2款(f)项提出申请——请求宪法委员会废除该政令，理由有二：政府在只有议会才可立法的领域立了法；这套制度侵犯表达自由、私人生活以及通信不可侵犯的权利。卷宗里最锋利的，是他关于元数据的论证：获取元数据即可实现"a reconstrução detalhada de padrões de comunicação, localização geográfica, redes de contactos, hábitos quotidianos, preferências pessoais e até inclinações políticas e religiosas"——对通信模式、地理位置、联系人网络、日常习惯、个人偏好乃至政治与宗教倾向的细致重建。

十八项条款，六个签名

2026年7月29日，宪法委员会在Acórdão n.º 6/CC/2026号判决中废除了政令的运作核心：中止服务的权力、那条兜底条款、持续监控与阻断通信的义务、数据移交、元数据获取，外加七个整条——十八项条款，全部落在判决主文的同一个分项里。（本版早先的版本曾写作十九项；判决主文所列实为十八项。）六名法官签署，没有异议，没有单独意见。判令到此为止——过渡效力，只字未提；如今流量控制归什么管，也只字未提。第一个签名是露西娅·达卢斯·里贝罗——正是宣读2024年12月那份公告的主席。

判决十六页，而催生这部政令的那场危机在十六页里无迹可寻：没有抗议，没有死者，没有被封锁的平台，甚至没有“2024”这个年份。所谓抽象审查——不问具体案情、只对法律文本作合宪性审查——就是能抽象到这个地步。

只问谁能建，不问该不该建

宪法委员会采纳了监察专员的第一项理由，随即止步。它在第9页用粗体框定了问题：被政令引为法律依据的《电信法》，即Lei n.º 4/2016，"não contém qualquer norma que autoriza a vigilância estrutural e permanente das comunicações"——不含任何授权对通信实施结构性、常态化监控的条文。请注意这声回响：这正是INCM在2024年11月为封锁辩护时搬出的那部《电信法》。

宪法第178条第2款把限制基本权利的权限保留给共和国议会（Assembleia da República，莫桑比克的国会）——委员会认定，这是一项reserva absoluta（绝对保留），即便通过立法授权也不得移交政府，更不必说由行政规章径自僭取。而这部政令"instituiu um regime normativo de monitorização, recolha de dados, suspensão de serviços e intervenção em redes"——设立了一套监控、收集数据、中止服务、干预网络的规范性制度——却没有唯一能为其授权的议会法律。

因此，这份判决回答的是谁有权建这套东西，而不是它能不能存在。判决没有任何一处认定持续监控不合比例，也没有认定断网开关（kill switch）除了违反权力分立之外还触犯了什么。议会完全可以把同样的文本作为法律通过，这份裁决不会拦路。而议会并非中立地带：Frelimo在共和国议会250个议席中握有171席。至于政府，它在8月3日表示尊重这一裁决——这句话不需要它付出任何代价。

五十二页，未读而退

政府确实试图为自己的政令辩护。2026年4月6日，在期限之内，部长会议通过一名律师提交了52页的答辩状——但总理签署的授权委托书，授权律师出庭的地方是马普托市行政法院（Tribunal Administrativo da Cidade de Maputo）。另一家法院。宪法委员会拒收这份文件，理由比“递错法院”更宽：委员会认定，在抽象审查中，被通知机关根本不得委托律师，因为这类程序是机构性的，不是当事人之间的对抗。而且，由于"não resulta da LOCC qualquer efeito cominatório, no caso de falta ou ilegitimidade de pronunciamento"——按LOCC（《宪法委员会组织法》），答复缺失或不合规不产生任何失权后果——委员会径行就监察专员的申请作出判决，无人应诉。法院之外，没有任何人读到过政府本想说的哪怕一个字。

把它变成秘密的扫描件

这份裁决自7月31日起就是公开的。但在唯一要紧的意义上，它同时是未发表的：委员会网站上的那份PDF没有文字层。pdftotext从十六页里只提取出十六个字符；每一页都是一张灰度扫描图。它无法被搜索、复制、索引或机器翻译——所以迄今为止的报道，加起来只有一条英文通讯社简讯，而且没有任何一篇报道引用过判决原文。上文的每一段引文之所以存在，是因为本刊把页面栅格化，用一件为此专门编写的OCR工具读取，再把输出对照页面图像逐字核对。

一份无法搜索的法院判决，就无法被引用、被核查，也无法在下一部政令出台时被拿来对照。它找得到，却读不了——公共记录就是这样，在没有任何人决定封存它的情况下，变成了私人记录。补救的成本为零：把文本发布在扫描件旁边。

盯住那部法案

这份裁决担保的，不是断网开关从此消失，而是下一个开关必须是共和国议会的法律——由一个全国都看得见的议事厅公开起草、公开辩论，当着上一次被这个开关对付过的人民的面。盯住那部法案。而当你引用本案时，请引***Acórdão n.º 6/CC/2026*, Processo n.º 03/CC/2026, 2026年7月29日**——不要引通讯社的摘要，它们把判决理由写错了。

投票日程表，由首席选举专员 Ghulam Mustafa Mughal 于 7月21日定下：米尔布尔专区，7月27日；穆 扎法拉巴德，8月2日；蓬奇专区，8月10日。

连接日程表：整个阿扎德查谟和克什米尔的通信服务于 6月5日夜间被暂停；巴基斯坦电信管理局（PTA）在 7月23日傍晚恢复米尔布尔专区；穆扎法拉巴德的宽带在 7月29日晚约 10 点回来；蓬奇则从未有过重新 连通的报道。前两轮选举里，各自的专区都在投票前数天上了线。

测量数据怎么说

佐治亚理工的 IODA 项目统计一个地区内应答主动探测的 /24 地址块数量。对阿扎德克什米尔而言，断网前的中位数是 98.9，断网期间是 43.4，而在 7月23日至30日这一窗口内是 78.1。随后，在 7月30日 19:00 UTC 之后的两个小时里——即巴基斯坦时间 31日凌晨一点——它跌到 51，并停在那里。

发稿前我们重跑了一遍。在 8月6日直到 18:50 UTC 之间，该地区在 41 与 55 之间振荡，中位数 48.0， 最后一个读数 42——约为断网前常态的 47%，且走势平坦。IODA 的检测器对该地区恰好只返回一个中断事件： 起点 6月5日 18:40 UTC，持续 62.3 天，至今仍未结束。

地区层面的计数依赖一个每月重建的地理定位数据库，所以不妨只看一张网。AS55453，Sky Telecom，仅就其自有 地址空间统计：5 月下旬为 8.81–8.90 个地址块，断网期间为 0.56–1.26，到 7月29日回升至 8.24。 今夜它的中位数是 1.0——是常态的八分之一。另外三个巴基斯坦地区和另外五张网络全程保持平稳。

谁开了口，谁被道了谢

两份日程表对得上，这本身什么也证明不了。让它不止于此的，是那条渠道有据可查。7月23日，也就是 PTA 开始 恢复米尔布尔的那一天，Dawn 报道称，巴基斯坦人民党（PPP）曾要求阿扎德查谟和克什米尔的首席选举专员在投票 前争取恢复连接——因为连接是“选举竞选活动所必需的”。随后，该党主席说出了是谁把它办成的。 Bilawal Bhutto-Zardari，在 X 上，2026年7月23日：

我感谢 AJK 人民党所做的努力，以及阿扎德查谟和克什米尔选举委员会的介入……我希望我们为穆扎法拉巴德和 其他地区提出的请求也能尽快获得同意……

六天后，穆扎法拉巴德的宽带回来了，而 Bilawal 所要求的正是这个。

所以，这一连串事件并不只是与选票相关联。它是通过主办这场选举的那个机构办下来的，一个专区接一个专区， 依申请而行。而如今这个机构拒绝挪动最后一轮：8月4日，它驳回了一份推迟蓬奇投票的申请，称其“毫无根据， 且与事实相悖”。连接不是被恢复的。它是被出借的。

没有人签署的那道文书

在巴基斯坦本土，断网依据的是 1996 年《巴基斯坦电信（重组）法》第 54 条：内政部下达指令，PTA 照办，而 2024 年该监管机构说自己“有法律义务这样做”。第 54(2) 款讲的是战争，以及 "the defence or security of Pakistan"（巴基斯坦的国防或安全）。

一家高等法院已经判定这样不行。在 Advocate Umer Gilani 代理提起的一份 2016 年申诉中，伊斯兰堡高等法院 的 Athar Minallah 法官宣布移动通信断网违法——援用第 54 条 "under the pretext of law and order and national security was in contradiction with the constitution"（以治安与国家安全为借口，与宪法相抵触）。 唯一合法的路径是 54(3)，即由总统发布紧急状态公告。我们无法确证存在这样一份公告。

阿扎德克什米尔不是一个省，而在那里，究竟是谁拉下了开关，没有公开的答案。阿扎德查谟和克什米尔高等法院 在 Advocate Syed Basit Gilani 提起的一份申诉中，一次性向四个被申请人发出通知——阿扎德查谟和克什米 尔政府、克什米尔委员会、特别通信组织（SCO）以及 PTA。一家法院要向四个机构发通知才能查出是谁动的 手，这等于在告诉你：没有人把它写下来。其中 SCO 最要紧：Freedom House 称它“由军方运营”， 而在阿扎德查谟和克什米尔的偏远地带，它就是那张网。

管道的另一端

8月3日，阿扎德查谟和克什米尔自己的卫生秘书、准将 Aamir Raza 形容这次暂停仍在持续——学生无法 报名参加全国医学院入学考试。同一天，信息部指责半岛电视台歪曲报道该地区的选举，而半岛电视台的网站在巴基 斯坦停止了工作。

今夜我们又测了一次。OONI 从巴基斯坦各网络对 www.aljazeera.com 的测试：8月1日，56 次测试，1 次异常。 8月2日，也就是第二轮的投票日，43 次测试，16 次异常——封锁自当天中午开始。然后是 8月3日：62 次异 常 / 62 次测试；8月4日：59 / 60；8月5日：86 / 88；8月6日：59 / 59。在这四天里，没有一次测量成功。对 照组保持干净——BBC 每天在 112 到 230 次测试中出现 0 到 6 次异常，《卫报》0 到 2 次，X 0 到 2 次，Dawn 一次也没有。

接着是许可制：8月4日至5日，该部公布了 Foreign Media Facilitation Guidelines, 2026（2026 年外国媒 体便利化准则），要求外国记者持有“无异议证明”（No Objection Certificate）才能在伊斯兰堡、拉合尔和卡拉奇 以外报道——也就是说，在阿扎德克什米尔报道。

对方最强论证，不打折扣

国际特赦组织在选举前的统计是至少 40 人死亡——34 名抗议者，6 名警察和准军事人员。8月3日，警察总监 Liaqat Ali Malik 说：“我失去了七名部下。我有 200 多名警官受伤。”

最初那道命令是狭窄的——七天，到 6月12日期满，针对的是一场宣布于 6月9日举行的罢工。分轮投票也 有平常的理由：安保能力，而不是舞台调度。先恢复最平静的专区、把最暴力的放到最后，正是一个安保主管会做的 事——蓬奇是被取缔的联合人民行动委员会（Joint Awami Action Committee）的据点，也是其最致命冲突的发生地。 它最后投票，可能只是同一件事在两份日程表下游的结果：麻烦出在哪里。

最难对付的一点：一个存心窃取选举的国家，会让灯一直关到投票结束，而不会在事前应一个反对党的请求把灯打 开、再让那个党公开领功。我们没有能化解这一点的答案。投票率——46% 和约 50%，对比 2016 年与 2021 年的 60% 以上——同样可以用该委员会号召的抵制来解释。

针对以上，只有一个狭窄的回答：这个论证靠的是精确度，而不是相关性。安保响应跟着事件走；这一次跟着的是一份 日程表。7月23日没有任何事情好转，7月31日也没有任何事情恶化。两次真正改变的，是一个专区在队列中的 位置——而这套机制，是由那个开口去要它的人亲口点名的。

我们知道什么，不知道什么

已经落定的：这次中断始于 6月5日 18:40 UTC 且尚未结束；该地区一整天都停在常态的约 47% 附近；自 8月3日起半岛电视台在巴基斯坦无法访问；选举委员会在 8月4日拒绝挪动周一的投票。

尚未落定的。没有任何公开文书能把连接状况落实到蓬奇县这一级。IODA 没有针对阿扎德克什米尔的次区域实体， RIPE Atlas 在其境内没有探针，OONI 没有来自任何阿扎德查谟和克什米尔网络的测量，而 Freedom House 把该地区排 除在它的巴基斯坦报告之外。“蓬奇本身处于黑暗之中”是一个推论，来自地区级的汇总数据，以及没有任何恢复报 道这一事实——它得到了阿扎德查谟和克什米尔政府自己在 8月3日所说的“仍在持续”的支持，但它仍 然是一个推论。我们无法查明 7月30日夜里发生了什么，而且没有任何命令被公布过。

撤回一项主张。一份较早的草稿，把今天截至 06:00 UTC 的六小时内从 46.25 升到 50.0 读作“自 7月 30日以来第一次持续攀升”。再多十二个小时的数据推翻了它：这一天在 41 到 55 之间波动，中位数 48，收在 42。 那次上升是波动带内部的噪声，不是信号。我们发布的是这条更正，而不是那项主张，因为那项主张是我们自己的。

你实际上能做什么

自己去查：IODA 的 v2 API 是开放的、无需认证，实体代码是 region/3083。有一点需要说明——发稿时它从本环 境无法访问，直接连接被拒绝，而同样的查询通过一个文本代理却能正常返回。该服务本身是正常的；如果你的查询 失败，换一条路径试试。把读数存档——阿扎德查谟和克什米尔的那份申诉已经存在，它欠缺的不是法律依据，而是证 据。Minallah 的判决认定，没有紧急状态公告的断网违宪，而记录在案的公告一份也没有。

这项检验仍在运行，只是去掉了那个假起步。如果蓬奇在这个周末亮起、又在周一之后重新变暗，这个模式就第三次 完成了。如果它在整个投票期间都保持黑暗，那么安保那一种解读就更站得住脚，而我们的解读就变弱。任何人都可 以去核。

一道专区级开关够不到的地方

有一类工具能在这种情况下幸存：不经过持牌运营商的传输方式——mesh 无线电、存储转发、卫星信使。一道以专区为 范围的命令够不到它们。但界限也要讲明白：mesh 承载不了一笔汇款。它在本就彼此靠近的人之间传递消息——而这 恰恰是一道拒绝协调的命令要阻止的东西。它能提供的，正是这个故事所缺的：一份从内部做出的记录，由不必被谁 恩准才能拥有它的人做出。此处的六十二天之所以可读，只是因为外面的探针一直在数。

2026 年 8 月 4 日，数字权利组织 Access Now 公开了一封日期为 7 月 28 日的联署信，八家组织签名，其中包括国际特赦组织（Amnesty International）和人权观察（Human Rights Watch），收件人是孟加拉国新任总理塔里克·拉赫曼（Tarique Rahman）。信里有一句话，与英文世界至今仍在记载的他这个国家的情况相矛盾：

“修正后的法律继续保留了国家电信监控中心的角色”

记载里说的是：NTMC——国家的中央通信截取机构——已经被废止。它确实被废止过，为期 64 天。随后，拉赫曼所属政党控制的议会把这次废止撤了回去，并给这次撤销倒填了日期，好让法律汇编上看不出任何空档。

选谁当收件人，本身就是要点。信中提醒拉赫曼：他自己那个党——孟加拉国民族主义党（Bangladesh Nationalist Party，简称 BNP，即拉赫曼本人所属的政党）——的成员也在被监控者之列，并援引联合国关于 2024 年 7 月至 8 月抗议活动的事实调查报告：以监控为前提的绑架、任意羁押、强迫失踪。当年被这台机器盯着的人，如今在指挥它。

废止的六十四天

过渡政府（interim government，即 2024 年抗议之后由穆罕默德·尤努斯出任首席顾问的看守政府）委托做过一项针对监控技术采购与使用情况的评估。这份报告至今未公开，但《每日星报》（The Daily Star）读到并引用了它。报告描述了 NTMC 后来变成了什么：监控“从一种例外权力变成了一种常规做法”，而且 NTMC 拿不出记录说明是谁下令截取、何时下令、依据什么理由。大部分指令是口头下达的。

2026 年第 25 号法令（Ordinance No. 25 of 2026）依总统在议会解散期间的立法权作出，于 2026 年 2 月 5 日生效，距大选七天。它的第 97A(2)(d) 条写道："any previously existing interception agency or telecommunication monitoring centre or platform shall be deemed abolished"（原文照录；意为：任何先前存在的截取机构、电信监控中心或平台应被视为废止）——取而代之的是内政部下设的信息支持中心（Centre for Information Support，缩写 CIS），而该中心"cannot initiate interception independently"（不能自行启动截取）。“NTMC 被废止”，这是去年 12 月的新闻标题——就它们当时手上那份文本而言，这么说没错。

把废止撤回去

孟加拉国在 2 月 12 日投票。BNP 拿下略低于一半的选票，拉赫曼出任总理。总统法令在新议会首次开会后三十天失效，所以这堆继承下来的法令必须处理掉——4 月 9 日一次会议通过 31 项法案。其中一项成了 2026 年第 51 号法（Act No. 51 of 2026），次日刊登于政府公报。第 69 条废除那项法令。第 1(2) 条规定本法视为自 2026 年 2 月 5 日起生效——正是那项法令自己生效的第一天。

于是那项法令当了 64 天的法律，而法律汇编里一天都没有留下：合并法律文本的修订注释把 125 个条文的生效日期标成 2026 年 2 月 5 日，通篇不见"Ordinance"（法令）一词。

替换后的截取条款只剩原来的一小截——法令里约 1,700 词，新法里约 320 词。废止条款不见了，信息支持中心也不见了：现行法律既没有点名任何监控中心，也没有点名任何继任机构，只规定"the Government shall designate a central lawful-interception assistance agency"（政府应指定一家中央合法截取协助机构）。（法律以孟加拉文本为准；英文措辞是本刊自行翻译，并与政府发布的 Unicode 文本逐字核对过，中文由该英文转出。）

禁止政治监控不是行政细节

民选议院重新审视一份非民选政权的法令，不是丑闻，这正是程序在运作。而且法令那 1,700 词里，有很多本来就不该写进主体立法：多因素认证、渗透测试周期、三级组织架构图。第 97A(9) 条规定可以用公报通知制定细则，操作层面的东西本就该待在那里——而且那八家组织自己要的也是另立一部专门法律，不是恢复那项法令。

不过，把删掉的东西分个类：其中有四项，谁的操作手册里都不会有。"No interception shall be conducted for political, ideological or belief-based reasons, or for the purpose of repression or revenge"（原文照录；意为：不得因政治、意识形态或信仰原因，也不得为了压制或报复而实施截取）是一条权利规则。"Accountability"（问责）——定义合法截取的四项原则之一，另三项是必要性、比例性和合法性——是一项法律标准，而最后只有另外三项留了下来。军事情报机构须取得政府首脑许可、纪律部队（disciplined forces，指警察及各准军事部队）要截取一名平民须经法院或审查委员会（Review Council）批准，这两项要求决定的是谁指挥谁。此外，法令把未经授权的截取本身定为犯罪，最高五年监禁并处 Tk 1 crore（1000 万塔卡）。新法没有设立这项罪名。

新法留下来的是第 97C 条——2006 年插入，此后未动过：它处罚任何违反（violates）截取命令的人，从三个月监禁并处 Tk 5 lakh（1 lakh＝10 万，即 50 万塔卡），到三年监禁并处 Tk 50 lakh（500 万塔卡），法院还可以建议吊销违法者的执照（licence）。“执照”二字说明了这一条指向谁。瞄准国家的那条罚则走了；瞄准拒不配合的运营商的那条留下来了。

大选八天之后，再来一年

2026 年 2 月 20 日，一封由副秘书 KM Yasir Arafat 签署的内政部公函告知 NTMC 总干事：这家机构可以再运行一年，"until necessary rules are formulated"（直到必要的细则制定出来）。 就截取事项而言，法律把"the Government"（政府）定义为内政部——也就是说，签发这次延期的那个部，同时也握着指定截取机构的那支笔。公报刊登 118 天之后，这次延期所等待的那些细则仍然找不到。政府的法律数据库根本没有下位立法的登记目录，政府印刷局（Government Press）的域名无法解析，监管机构的英文网站返回 404；这只能读作“无法确认”，不能读作“可以证明并不存在”。

Tk 95 crore（约 9.5 亿塔卡）买六座数据中心的设备

2026 年 5 月 20 日，政府采购内阁委员会（Cabinet Committee on Government Purchase）批准了"Expansion of Content Blocking & Filtering System (Phase-1)"（项目名称原文照录；意为“内容封锁与过滤系统扩建（第一期）”），由 NTMC 实施：Tk 94,90,51,137（南亚计数写法，即 949,051,137 塔卡，约 9.49 亿）。这笔钱买的是六座数据中心的设备——《每日星报》的解读是：其中的防火墙"enable deep packet inspection, allowing the NTMC to read the content of internet traffic"（可实现深度包检测，使 NTMC 能读取互联网流量的内容），而分流设备（packet broker）则"collect, decrypt, and distribute"（采集、解密并分发）这些流量。招标以国家安全为由采用了限制性方式，由达卡的 Global Brand PLC 中标；进口商见于记录，制造商不见。而这是一次扩建的“第一期”——NTMC 曾在 2019 年披露，它已经装过这样一套系统。

改革者跑到了自己那份调查的前面

联署信里最锋利的一项程序指控，很容易射错靶子。信中说，有一项修正案“在委员会来得及提交建议之前就已经通过并刊登于公报”。该委员会向当时的首席顾问穆罕默德·尤努斯（Muhammad Yunus）提交报告的日期是 2026 年 2 月 10 日——按《每日星报》的说法是 11 日。法令是 2 月 5 日生效的；新法则是两个月以后的事。所以这项批评落到的其实是过渡政府那批改革者身上：他们在自己那份关于监控体制的评估能够为改革提供依据之前，就把改革刊登进了公报。那份报告至今已经未公开 177 天，横跨两届政府。

仍然立着的部分，该记一笔

关于断网的禁止条款一字未动地留了下来：任何电信服务、任何互联网连接都不得被"shut down, obstructed or restricted intentionally or with dishonest intent"（故意或出于不诚实意图加以关闭、阻碍或限制）——这个关于主观故意（mens rea）的限定语出自过渡政府自己的起草，不是后继者的注水。必要性、比例性和合法性仍在实际适用的判断标准里，一同保留的还有最小侵入手段、强制留存日志与销毁记录，以及一个名义上存在的审查委员会。而第 97B(2) 条走得比许多成熟民主国家更远：仅凭情报手段取得的材料，除非经合法程序重新举证，否则不得作为独立证据采纳。

凭据就在政府自己的服务器上

没有人说谎。英文媒体里只有《每日星报》报道过这次翻转，所以一篇关于草案的、当时正确的报道，至今仍是通行答案。之所以还能更正，是因为孟加拉国自己的法律数据库仍在提供那份已被废除的法令，同时又印了 125 次新法所称的、它一直生效的那个日期。一份把被取代的旧稿保留下来的记录，才让官方说法可以被证伪。

第 97A(9) 条下的那些细则，将决定审查委员会有没有成员、紧急情况有没有时限。NTMC 的延期在 2027 年 2 月 20 日前后到期。截至 8 月 6 日，尚未出现政府对这封信的任何回应——那距信件公开只有两天，还不足以据此作出判断。而如果你要引用孟加拉国的电信改革，请引 2026 年第 51 号法，不要引去年 12 月的标题：1.277 亿登记选民生活在修正后的那个版本之下，而不是被报道的那个版本之下。

英国 1978 年《国家豁免法》（State Immunity Act 1978）第 5 条全文如下：

"A State is not immune as respects proceedings in respect of— (a) death or personal injury; or (b) damage to or loss of tangible property, caused by an act or omission in the United Kingdom."

（中文大意：一国就下列事项的诉讼不享有豁免——（a）死亡或人身伤害；或（b）有形财产的损害或灭失，由在联 合王国境内的作为或不作为所致。）

议会当年写下这一条时，心里想的是一辆使馆汽车和一名行人。2026年7月27日，在 The Kingdom of Bahrain v Shehabi and another [2026] UKSC 25 一案中，五位大法官要判定的是：它是否也够得着一段从巴林一台服务器推送 到伦敦两台笔记本电脑上的间谍软件植入程序。三位说够得着。两位说，这个答案让英国违反了国际法。

少了一个条件

这部法之所以存在，部分原因是为了让英国能够批准《欧洲国家豁免公约》（European Convention on State Immunity，巴塞尔，1972 年），而该公约在同一项例外中多加了一个条件：第 11 条要求相关事实发生在法院地国， "and that the author of the injury or damage was present in that territory at the time"（并且该伤 害或损害的作出者当时身处该领土之内）。第 5 条保留了第一个连接因素，去掉了第二个。

多数意见方——Lord Lloyd-Jones、Lord Hamblen 和 Lady Simler——认定这处省略是有意为之。关于制定法应与 其所依条约相符的推定，"has no application here because the departure from the treaty scheme is deliberate. In our view, this is determinative of the appeal"（在此不适用，因为对条约框架的偏离是有意 的。在我们看来，这一点对本上诉具有决定性）（第 74 段）。接着是那句改变了法律的话："an act includes an act done using mechanical, electrical or other automated or remote means… even if the person responsible… is not physically present at the location where the act takes place"（作为包括以机械、电子 或其他自动化或远程手段实施的作为……即使责任人……并未亲身处于该作为发生的地点）（第 131 段）。法院通常对 这类制定法作狭义解读，好让国家不惹麻烦。这一次却是有意读得更宽，随后又拒绝判定习惯国际法是否允许这一 结果，只依托于存在 "a reasonable basis"（一个合理基础）（第 79 段）。一条硬规则，立在一个软地基上。

指控了什么，以及人们是怎么知道的

Saeed Shehabi 博士是巴林自由运动的领导人；Moosa Mohammed 是一名摄影师，其巴林国籍于 2012 年被剥 夺。两人都住在伦敦。他们指称，自 2011年9月前后起，为巴林行事的人把 Gamma Group 出售的 FinSpy 装 到了他们的电脑上，操作者身在国外，控制服务器在巴林。7月31日，Shehabi 对 Index on Censorship 表示， 这个案子关乎的是“那种哪里都不安全的感觉”；Mohammed 说他是在“追讨问责”。

被主张为发生在英格兰的行为包括：覆写硬盘、开启麦克风与摄像头，以及——很难忘的一项——使用设备的电池电 力。巴林方面需要让这一切都仅仅成为在麦纳麦所作行为的效果，而上诉法院早已把这种区分称为 "artificial and unprincipled"（人为且缺乏原则）。

这一切对它所发生于其身的那两个人来说都是不可见的。2012 年 5 月，可疑邮件送到了多伦多 Citizen Lab 的 Bill Marczak 手中——初审法官称这名证人 "plainly well-qualified"（显然具备充分资格），不过就巴林而言 带有 parti pris（预设立场）。2012年7月25日，Citizen Lab 点出了那台控制服务器，77.69.140.194， 位于 Batelco 的地址段内；八年后，这个地址又出现在诉状里，而这正是不依赖 Marczak 的那份佐证。2014 年公布 的一份 Gamma 泄露档案中有一份目标名单，原告称他们的笔记本电脑就在上面。他们就是这样发现的——而他们据以 起诉的伤害，是这次发现，不是那场监控，依据的是一部 1997 年为对付跟踪骚扰者而写的法律。

巴林方面的回应狭窄而真实：原告 "provided no evidence as to how their computers were alleged to have been infected"（没有就其电脑据称是如何被感染的提供任何证据），而且那两台计算机从未被检查过——Marczak 没有 检查过，任何人都没有。感染在 2011年9月，发现在 2014年8月，起诉在 2020 年，判决在 2026年7月：十四年零 十个月，其中六年只用来确立一件事——法院可以受理来看一看。

对方最强论证，不打折扣

Lord Leggatt 的反对意见是语法层面的：人 "can only act (or omit to act) where they are spatially located"（只能在其空间所在之处作为或不作为）（第 198 段），因此操作者的行为 "all take place in Bahrain" （全都发生在巴林），而在伦敦发生的是这些行为的效果。第 5 条也并不要求伤害发生在英国境内（第 219 段）， 因此唯一的英国因素可以只是一台机器。

接着是判决书中最难对付的一句，讲的是有没有哪个国家曾经因不在场的代理人所实施的侵权行为而否定豁免： "there is a complete absence of any such practice. There is not even a single instance of it"（完全不 存在任何此类实践。连一个实例都没有）（第 315 段）。多数意见方在第 89 段承认了这一点，而双方都拿不出 任何地方任何一个判定相反的已决案例。

Lord Burrows 论证了这一条可以被解读为与第 11 条相一致，随后作出了那个让这份异议意见显得诚实而非机 巧的让步（第 339 段）：如果把这部法 "divorced from its public international law context"（脱离其国际公法 语境）来读，那么你确实会避免去区分一个身在伦敦的代理人和同一场从境外键盘上进行的监控。"But… it is impermissible for this court, and would constitute an undermining of the rule of law, to adopt a statutory interpretation that contradicts public international law unless Parliament has enacted legislation that clearly requires that."（但……除非议会已制定明确要求如此的立法，否则本院采纳一种与国际 公法相抵触的制定法解释是不被允许的，并将构成对法治的削弱。）他开出的药方是一部法案，而不是豁免。

Leggatt 也把那个令人不适的部分摆到了纸面上：在第 175 段，"target computer equipment abroad"（针对境外计 算机设备）的权力，是由 Investigatory Powers Act 2016 第 2 部分和第 5 部分授予英国自己的情报机构的。如果 行为发生在机器所在之处，那么 GCHQ 的令状落到哪里，它就在哪里实施了行为。但在把这称作对称之前，先算一 算：就已颁布的各国法律而言——日本 2009 年、西班牙 2015 年、俄罗斯 2015 年、中国 2023 年——没有一部能在 不修改本国法律的情况下照搬英国的规则。风险敞口是朝着有利于英国的方向倾斜的：这对一项原则来说，是个令人 不适的属性。

针对以上，只有一个狭窄的回答。这种偏离是一种习惯，不是一次失手——第 68 段列出了这部法在五处偏离其公 约对应条款。本文并不主张多数意见方在习惯国际法问题上是对的；法院拒绝就此作出判定。它只主张这一点：在场 要求并不是让远程侵入难以起诉，而是让它因构造而豁免——每一次植入，永远如此，在每一个采纳该要求的司法 辖区。Kidane v Ethiopia（2017）——本院在第 287–290 段作了摘述，并称其与本案事实 "particularly close" （尤为接近）——就是这件事从受害者一侧看过去的样子：埃塞俄比亚把 FinSpy 用电子邮件送上一位马里兰州居民的 电脑，而“整个侵权行为”必须发生在美国领土上这一要求，让他什么也没得到。另外请注意，Burrows 自己的反对 意见针对的是由谁来更新这条规则，而且它是说给议会听的，不是说给这两个人听的。

它打开了什么，以及天花板在哪里

英国已经在另一个案子里把这条路走到了尽头。Ghanem Al-Masarir，一位身在伦敦的沙特讽刺作家，指称沙特阿 拉伯把 Pegasus 装到了两部 iPhone 上。他在 2019 年依同一条第 5 条提起诉讼——原告、国家和工具都不 同——豁免在 2022 年被驳回，随后该国退出了诉讼，对三项费用命令置之不理。2026年1月26日，Saini 法官判 给 £3,025,662.83，并指出沙特 "has made a deliberate decision not to participate"（作出了不参与诉讼的 刻意决定），以及在别处强制执行 "will be necessary"（将是必要的）。因为同一部法的第 13 条把出口闩死 了：一国的财产 "shall not be subject to any process for the enforcement of a judgment"（不得成为任何执行 判决程序的对象），除非它以书面形式同意，或该财产用于商业用途。这个数字给这个故事封了顶，而不是把它打 开：管辖权不等于追回。你可以赢，可以被相信，可以被标出价钱——然后手里拿着一张纸。

这个天花板是一项设计决定，而一家美国法院已经把话挑明了。Phyllis J. Hamilton 法官在 WhatsApp v. NSO Group 一案中的禁令于 2026年1月28日取得可执行力，当天第九巡回法院合议庭拒绝中止它。看第 1 段： "notwithstanding anything herein, neither Defendants' foreign sovereign customers nor Defendants' outside counsel are Prohibited Parties."（尽管本文另有任何规定，被告的外国主权客户及被告的外部律师均 不属于被禁止方。）法院指示原告把他们排除在外，因为他们 "are not before the court … of course an injunction in this case cannot apply to them"（不在本院面前……本案的禁令当然不能适用于他们）——而他们从 来都不是当事方，因为按 NSO 书状的说法，他们 "cannot be sued due to their sovereign immunity"（因其主权豁 免而不能被起诉）。美国最具影响力的这项间谍软件裁判，禁的是卖方的代码，而按其构造，够不到那些购买并瞄准 了它的政府。7月27日是这上面的第一道裂缝。

我们知道什么，不知道什么

已经落定的：自 2026年7月27日起，在英国，第 5 条不含在场要求。尚未落定的：巴林是否做过其中任何一 件——这是一项基于假定事实的管辖权裁定，涉案设备从未被检查，也没有排定实体审理。未经检验的：第 5 条要 求死亡、人身伤害或有形财产的损害，而 Al-Masarir 一案有一部分是以侵害动产（trespass to goods）胜诉 的，所以，一个被监控但并未因此患病的人能否凭此提出有效的诉讼请求，从未在一个到庭抗辩的国家面前被论辩 过。作为我们自己检索的一项零结果：截至 2026年8月5日，Find Case Law 上未出现任何强制执行裁定，而且 我们无法确证那笔 £3.03 million 中已有任何部分被追回。也请注意这里的脆弱性——三起英格兰诉讼，一家事务所， 出庭律师班底大体上也是同一套。我们未找到巴林方面的任何回应。

你实际上能做什么

保留可疑设备，不要把它抹掉，并把可疑消息连同其邮件头完整保存。尽早请临床医生把任何伤害记录在案——伤害正 是管辖权的挂钩点，也是衰减最快的那个要件。把样本送给 Citizen Lab 或国际特赦组织的 Security Lab，法院已经 接受过它们的分析；并在你需要它们之前就打开 Android 的高级保护模式或 iOS 的锁定模式。可用的杠杆很窄： Burrows 说这件事应当由议会来决定，而英国没有任何法案，第 13 条在有人修改它之前一直有效——这就使得执行上 的这道缺口成为一项立法选择，而不是一条自然法则。

你不必付出的那份信任

救济跟着归因走，而归因是一种基础设施：沙箱、样本档案库、公开发布的指标，以及无需政府许可即可行动、也没法 被勒令停手的研究者。这也正是它在法庭上奏效的原因——一份没有任何单一一方能被命令撤回的证据。那场被指控的 监控没有产生任何症状。伤害只有在别人的取证工作告诉这两个人、他们的笔记本电脑上自 2011 年起装着什么东西 时，才开始。没有检察官发现它。没有平台告诉他们。

界限也讲明白：这些东西在 2011 年一样挡不住 FinSpy，而一份判决值多少钱，只等于一个主权国家愿意付多少钱。 但这个先后顺序是有据可查的。独立取证让伤害变得可读；可读性让侵权主张变得可论辩；而这项论辩，在十四年零 十个月之后，拿掉了那份豁免。

想象一下你认识的最在意隐私的那个人。他们用 GrapheneOS——那款被安全研究者，以及那些有真实理由必须小心的人所偏爱的去谷歌化 Android：家暴幸存者、记者、异见者。今年夏天，欧盟要向他们提供一款年龄验证应用，而这款应用在设计上确实是好的：开源，建立在零知识证明之上，能够在不披露出生日期、姓名或任何其他信息的情况下证明“年满 18 岁”——正是隐私倡导者花了十年时间要求用来替代上传护照的那种东西。而它将拒绝在他们的手机上运行。不是因为他们的手机不安全。是因为它没有得到谷歌的祝福。

这一次拒绝，就是过去两周的全部故事，而它其实与儿童无关。在年龄检查、应用商店之争和开发者规则的底下，是一个单一的要求：证明你被允许运行这个。证明你的设备是正品。证明你的年龄。证明这款软件的作者已经把法定姓名备了案。这个要求的技术名称叫证明（attestation）——由一个受信任的第三方，实践中就是苹果或谷歌，用密码学向任何提出询问的应用、网站或监管机构作担保。这两家公司花了多年时间，把这层担保机制建进了操作系统本身。今年 7 月的一个两周里，三类守门人同时伸手去够它，另外两类则点名了绕过它的那条路，作为下一个目标。

钳口之一：检查站

应用商店。7月6日，美国最高法院在其紧急案件程序中——两份简短的、未署名的命令，无人载明异议——放行了得克萨斯州的《应用商店问责法》，该法自第五巡回上诉法院于 6月4日 解除地区法院的禁令后即可执行。苹果和谷歌现在必须在账户创建时验证每一位用户的年龄，把每个人归入四个年龄段之一，并让每一次 18 岁以下用户的下载都经过一位经过验证的家长——适用于所有应用，而不只是成人应用。请注意方式：苹果在 iOS 26 中引入的 Declared Age Range API，以及谷歌的 Play Age Signals API，让操作系统本身向每一个提出询问的应用为你的年龄作担保。这部法律并没有让色情网站查你的身份证。它让设备成为那个作出裁定的一方。

私密的手机。这款欧盟年龄验证应用在设计上要求先由谷歌的 Play Integrity 和苹果的 App Attest 确认设备，然后才肯运行——因此，正如试点出现时技术分析文章所指出的，它“在 GrapheneOS 或任何其他未获谷歌批准的 Android ROM 上都不会工作”，即便你自己编译出完全相同的代码也不行，因为它不是从 Play 商店来的。那个依《数字市场法》对谷歌开罚单的欧盟委员会，正在把谷歌的证明机制征用为身份基础设施。这款应用只是一项不具约束力的建议，试点在丹麦、法国、希腊、意大利和西班牙进行，建议在 12月31日 前铺开——但设计上的决定已经作出了。

你自己的代码。谷歌的 Android 开发者验证（Android Developer Verification）将要求每一位开发者先登记法定身份，其软件才可以安装到经认证的设备上；执行自 9月30日 在巴西、印度尼西亚、新加坡和泰国开始，并从那里扩展。7月1日，旗舰自由软件应用商店 F-Droid 把那个已经作为系统服务随现代 Android 一同出厂、目前处于休眠状态的执行客户端称为“一种病毒……静静等待远程激活”，并警告说这条规则将终结它的项目，因为它分发的是化名贡献者的应用，而这些人不会把政府签发的身份证件交给谷歌。7月9日，它拿出了自己的答案：一个名为 AppVerifier 的自由软件验证器。

这不是一个夏天的阶段性现象。它正在被写进长期有效的法律。去年 10 月签署的加州 AB 1043，将自 2027年1月1日 起要求每一家操作系统提供者——苹果、谷歌，以及从字面上看，桌面 Linux 和 Valve 的 SteamOS——在设备初始设置时收集你的年龄，并向任何提出请求的应用广播一个年龄段信号。设备不再只是运行你的软件。它开始向你的软件报告你。

钳口之二：被点名的逃生口

把设备和商店都设上关卡，人们就会绕过去。过去两周显示了国家接下来会伸手去够什么。

英国。面向成人网站的强制年龄保障已于 2025年7月25日 生效；它的一周年落在本月，而 Ofcom 的首份法定成效报告应在 7 月底前出具。第一年可测量到的结果是迁徙，不是安全：生效当天，Proton VPN 报告英国注册量按小时环比增长超过 1,400%，按日环比增长超过 1,800%，而 VPN 应用占据了英国 App Store 免费榜前十的一半。“我们通常会把注册量这样的大幅飙升与重大内乱联系在一起”，Proton 这样告诉《金融时报》。官方的回应不是重新考虑那堵墙，而是盯上了梯子：英格兰儿童事务专员称这一 VPN 激增是“一个需要被堵上的漏洞”，并主张对 VPN 实施年龄检查；今年春天的一次政府公众咨询，正式把这个想法摆上了桌面。

而下面这个事实本该终结这场讨论。激增的是成年人，不是这部法律所针对的儿童。Ofcom 自己的指引写明，VPN 用户中大约只有十分之一是儿童；两项独立调查——Internet Matters 去年 12 月对一千名儿童的民调，以及 Childnet——都发现儿童使用 VPN 的比例根本没有上升。所以，给 VPN 设年龄门槛，等于为了堵上一个儿童从未使用过的漏洞，去查验数百万成年人的身份。这是第一堵墙的范畴错误，再往下一层。

布鲁塞尔。在“聊天管制”（Chat Control）一役之后，欧盟委员会通向私人数据的下一条路是强制留存。它的“走向黑暗”（Going Dark）数据留存工具——预计在 2026 年年中前后，而截至本文写作时尚未提出——按照去年 11 月一份泄露的理事会文件，将要求每一项在线服务把连接元数据记录一年以上，其中明确点名了 VPN 提供商。而在这里，这个要求撞上了一堵它自己造出来的墙：一家真正的无日志 VPN 无东西可交，因为它就是为了什么都不留而建的。瑞典提供商 Mullvad 表示，无论最终文本怎么写，它都不会记日志——而这意味着，一旦该工具对其重新定性，无日志 VPN 在欧洲将实际上成为非法。一道留存令，就是一道停止存在的命令。绕过关卡，那条绕行路线就成了下一道关卡。

同一个两周，下沉一层

关上身份这道门，还有网络——把一个数据包送到一台没被封锁的服务器的原始能力。同一个两周里，这道门也正在被重建，由另一只手，在另一个半球。

6月10日，伊朗的一名工程师做了手册上说的每一件事。他把自己的隧道放到 Cloudflare 后面，并把起始握手切碎成 10 到 30 字节的分片，好让审查者的检测盒永远看不到完整的违禁域名。那个域名还是在一天之内就死了。伊朗的深度包检测已经升级到能够执行完整的 TCP 重组——它把这些分片留在内存里，等待，在读之前先把句子重新拼起来，从而使几乎每一种工具里最廉价的那一招规避技巧彻底失效。在俄罗斯，据《TechRadar》报道，6月1日 至 15日 之间，俄罗斯联邦通信监管局（Roskomnadzor）打掉了 Amnezia VPN 在俄境内九成以上的服务器——不是靠封禁某个协议，而是靠对每一台服务器的特征做指纹识别再对其洪泛攻击，随后又洪泛 Amnezia 自己的基础设施，直到该公司表示，它已无法再公布自己的数据，因为这次攻击瘫痪了它用来测量审查的那件工具本身。审查者弄瞎了证人。

把这个转折点直白地说出来：协议是一个想法，而你无法枚举一个想法；服务器是一台有地址的机器，而你可以。一旦目标变成固定的、可被找到的服务器，一个财力雄厚的国家碾过你的地址清单的速度，会快过你补充它的速度。而在本月的一个 72 小时窗口里，开源领域给出的回答收敛到了同一种设计：7月10日，OpenRung——“面向整台设备的 Snowflake”，志愿中继通过一个从不承载流量的中介来触达，并配有一份经密码学签名、审查者无法投毒的中继名单；7月11日，一个名为 Orden 的 Android 客户端，同时携带两种协议，其中一种一被限速就立刻切换；7月12日，该领域经同行评审的审查研究在 FOCI 与 PETS 研讨会之前发表——其中包括对那套泄露工具包的分析，它把中国的防火长城打包成产品，卖给缅甸、巴基斯坦、哈萨克斯坦和埃塞俄比亚。进攻在同一周里被当作服务出售，而防御在同一周里被公开地同行评审。两只手，一扇门：法律点名逃生口，而包检测在物理上把它们关上。

对方最强论证，不打折扣

把另一方的论证按其最强的样子来看，因为它确实很强。孩子确实点两下就能看到硬核色情内容，而应用商店确实是手机被配置的地方——所以它是一个站得住脚的控制点，而不是不言自明的越权。为这些措施辩护的人并非边缘群体：儿童安全联盟提交了法庭之友意见，敦促法院让得州这部法律继续有效，而第五巡回上诉法院也不是随手放行——它认定得州 "made a strong showing that it is likely to succeed on the merits"（作出了有力的初步证明，其在实体问题上很可能胜诉），并认为该法 "more likely governs commercial speech"（更可能是在规制商业言论），因而只需满足合理关联的标准。就其自身而言，欧盟这款应用的零知识证明相对于向色情网站上传护照，是一次真实的隐私升级。谷歌关于恶意软件的理由同样成立：它报告说，从互联网侧载的软件其感染率超过 Play 商店的 50 倍，而匿名、用完即弃的开发者身份，恰恰是让一个被抓到的恶意软件作者能在第二天早上换个招牌重新上架的原因。在网络这一侧，同样的现实主义也适用：混淆一直是每种协议都要交的税，审查者以天为单位适应——俄罗斯在 3 月一夜之间就对 Tor 的 Snowflake 传输做出了指纹识别——而把出口分散到住宅设备上，是把滥用投诉推到某位志愿者的家庭宽带上，警察会上门的地方。而这些措施是由不同的立法者，在不同的首都，出于不同的理由，按不同的时钟写下的。没有备忘录。从五部互不相干的安全法律里看出一场协调一致的圈地（enclosure），恰恰是一个谨慎的读者应当怀疑的那种模式。

经得起它的反驳

从手机开始，因为它能干净利落地推倒安全那套说法。GrapheneOS 被排除在外，不是因为它更不安全，而是因为它不是谷歌的。该项目指出——而这一点在它自己的文档中可以独立核验——标准的 Android 硬件证明 API“提供了一种远强于 Play Integrity API 的证明形式”，能够把一套替代系统的密钥列入白名单，并且“谷歌之所以不允许，唯一的原因是我们没有获得 Google Mobile Services 的授权……这是在贯彻谷歌的商业利益，而不是安全。”一种更强、更开放的证明机制被刻意判为不合格。所以这道关卡问的不是你的设备是否安全。它问的是它是否得到了祝福。

恶意软件那套说法以同样的方式碎裂。开发者验证不检查任何一行代码，也拦不住任何一个已验证的开发者发布有害软件；它是一种身份与吊销机制，不是一个扫描器。而破绽在定价里：付费档收 25 美元加一份政府签发的身份证件，但免费档根本不要求身份证件——只是把你限制在大约 20 台设备上。被计量的不是钱。是规模化的匿名——足够在朋友之间做测试，永远不足够在不备案姓名的情况下抵达公众。

再看“没有协调”这一点，它是真的，我们承认它，而它让局面变得更糟而不是更好。要形成一场圈地，你不需要一份备忘录。你需要的是一个方便的原语和一大批守门人。一旦操作系统愿意为设备、用户的年龄和开发者的身份作担保，每一个想要一个检查站的权威机构都会伸手去够同一层，因为它就在那儿，而且管用。结果不是一场阴谋；它是朝着咽喉点的一次引力坍缩——而它比阴谋更难阻止，因为没有哪一部法案可供击败，也没有哪一个人要为总和负责。每一部法律单独看都站得住脚。它们加总起来的那个系统，才是没有人签署过的东西。

网络这一层以同样的方式回应它自己的最强对手论证。主张从来不是塑形赢下了这场军备竞赛；主张是塑形加上多样性改变了审查者的算术。指纹识别加洪泛攻击，对付几百台固定服务器是毁灭性的——这正是 Amnezia 九成服务器倒下的原因——而对付数以百万计、看起来就像普通消费者、且不摧毁国家自身赖以运转的消费者互联网就无法洪泛的住宅地址，则几乎无用。俄罗斯 6 月的攻击预设了有一台服务器可供猎捕；移除固定服务器，你就移除了那场攻击赖以成立的对象。

而这正是把两片钳口统一起来的那个破绽。最强对手论证清单上的每一项——一次年龄核查、一个被抓到的恶意软件作者、一份被执行的令状——都不要求排除 GrapheneOS、终结 F-Droid、取缔无日志 VPN，或对一个住宅中继做指纹识别。这些工具之所以被点名，是因为它们击败了检查站，而不是因为它们妨碍了安全目标。它们是这道关卡无法处理的残余：那些没有中心方能够为其作担保的设备、作者和连接。一场圈地，是由它圈在外面的东西来定义的。

我们知道什么，不知道什么

把账记诚实，因为这个模式的力量恰恰在于它的克制。今天即可执行的：得州那部法律（一个州，正在上诉，第五巡回上诉法院将于 8 月就实体问题开庭）、英国的年龄核查制度、谷歌 9月30日 的开发者验证日期，以及——自 2027 年起——加州操作系统层面的年龄信号。一项带有在运行试点的、不具约束力的建议：欧盟那款年龄应用，它对 GrapheneOS 的排除，与其说是已经出厂的事实，不如说是已经公布的设计，而它的供应商一年前称之为“过早的恐慌”。一份尚未提出的提案：欧盟点名 VPN 的数据留存。到目前为止纯属倡议、还不是法律的：英国对 VPN 实施年龄核查的推动。以及只有几天大、网络极小、先出现在论坛上的：OpenRung 与 Orden，它们的前景是真的，而它们的规模未经证实。没有人证明存在协调，因为根本就没有协调可供证明。有记录在案的东西更窄，也更古怪——五个守门人，各自独立地，在同一个两周里伸手去够同一个原语，并点名同样的逃生口，而与此同时，包检测正从另一侧把它们关上。

你实际上能做什么

那些无法被担保的东西今天依然可用，而使用它们本身就是论证。GrapheneOS 无需账户、无需身份证件即可安装，其维护者表示会一直如此；F-Droid 已在 7月9日 发布 AppVerifier；留一部仍然可以侧载的手机，因为这项能力正是 9月30日 要削减的东西。像 Orden 那样同时携带不止一种传输方式，这样一次限速只是耸耸肩，而不是一次断网；更新你的规避客户端，别怨恨那些强制升级，因为旧版本里那些无状态的把戏正是这个月正在死去的东西；再跑一个测量探针——OONI 已于 7月6日 发布桌面应用——因为关于什么被封锁的地图，是由自愿贡献数据的用户建起来的。

其余的是政治，而这些杠杆都还活着。第五巡回上诉法院将于 8 月就得州那部法律的实体问题开庭。欧盟的留存提案仍在起草中，而欧洲法院十年来反对“一般性、无差别”留存的一系列裁决正等着它。谷歌的推行是一项政策，不是一部法律，而 23 个国家的 70 多家组织已经公开表明反对。

那份你不必付出的信任

最深的答案，是这份刊物从各个方向反复抵达的那一个。证明机制是一种把信任交给一个中心方的方式——谷歌、苹果、一家可能被命令记日志的 VPN、一台停在原地久到足以被指纹识别的服务器——然后指望它一直值得信任，或者一直活着。替代方案不是一个更好的守门人。而是一种取消对守门人之需要的架构：洋葱路由、WireGuard、去中心化的中继与混合网络，比如 URnetwork——那里没有哪个运营方持有能为你作担保的身份，没有哪个能被强制记录你，也没有一支固定的服务器机队可供枚举。把诚实的边界直白说出：没有哪个 VPN 能把你的脸从车站摄像头前藏起来，而当一个政府像伊朗 1 月所做的那样把整张网络的插头拔掉时，再多的去中心化也变不出信号。在这些边界之内，这个两周所无法圈住的那项性质，正是值得在其上建设的那一项：你无法证明一个没有关卡的东西，你也无法对一个没有固定服务器的东西做指纹识别。把网络建成这样：让“证明你被允许运行这个”再也找不到人可问。

每天有两千万人经过德国约 5,700 个火车站。自 2026年7月10日 星期五起，德国法律说，机器可以看着他们全部。

那天上午——联邦议院夏季休会前的最后一个开会日，正值世界杯四分之一决赛那一周，全国还在为解雇国家队主教练 Julian Nagelsmann 争吵不休——议会通过了改写后的 Bundespolizeigesetz，即《联邦警察法》。联盟党（CDU/CSU）和社民党（SPD）投了赞成票；绿党和左翼党反对；德国选择党弃权。行业媒体没有留余地。数字权利媒体 netzpolitik.org 在几小时内就把它的判断做成了标题：联邦议院“刚刚敲响了自动化监控时代的钟声”。

这部法律新增的第 31b 条，名为“生物识别实时探测”，授权联邦警察在火车站、机场和边境地区的摄像头扫描每一张经过的脸，并在实时画面中把它与一份警方参照档案比对。同一部法律还把联邦警察的第一件国家木马交到了它手上——源头电信监听，即通过安全漏洞植入的恶意软件，在消息被加密之前读取它——用于预防性用途，而对于它所借道的那些漏洞则没有任何管理制度。围绕这两项头条权限，法律还栓上了一整片产业：对车站视频的 AI 行为分析、静默短信、IMSI 捕获器与 Wi-Fi 捕获器、车牌扫描仪、无人机、航空旅客数据、对欧盟共同身份数据库的访问。成本约为每年 1.85 亿欧元，外加 1,800 万欧元的建设费——而这一切叠加在 750 个车站的 11,000 台摄像头之上，这些摄像头在星期五之前可以录下你，却还不能认出你。

这些权限中侵入性最强的那些，并不存在于专家们审阅过的那份法案里。内政委员会的公开听证会于 1月26日 举行，针对的是一份完全不含实时生物识别内容的政府草案。人脸扫描条款与行为分析条款由执政联盟以修正案形式于 7月7日 插入，7月8日 通过委员会，7月10日 就成了法律——正如 netzpolitik 所数的，“投票前仅仅三天”。整个一揽子法案中对基本权利切得最深的那一刀，从未面对过任何一位专家证人，而它落地的那一周，全国都在看足球。

出厂就自带开关的禁令

这里是连喜欢这项政策的人也应当感到不安的部分。德国并没有为此违抗欧盟的旗舰人工智能法律。它用了它。

《人工智能法案》第 5 条把执法目的下公共空间中的实时远程生物识别身份辨识列为被禁止的做法——自 2025年2月2日 起默认禁止。那正是隐私倡导者称之为一条真正红线的条款，是民主世界任何地方对公共场所实时人脸识别的第一道硬性禁令。但这道禁令出厂时，在自己的文本里内建了三项处于休眠状态的例外：针对人口贩运受害者和失踪人员的定向搜寻；对生命的具体、迫在眉睫的威胁或恐怖袭击；以及对刑期至少四年的严重犯罪嫌疑人的追捕。而第 5 条允许任何成员国通过国内法唤醒这些例外，前提是通过若干程序关卡——由法官或独立机关事先授权、一份基本权利影响评估、在一个欧盟数据库中登记该系统。

第 31b 条就是德国按在那个开关上的手。它几乎逐字移植了这些例外：除紧急情况外须有法院命令，每一次机器匹配在任何人采取行动之前都必须由两名受过训练的警官确认，仅可实时匹配，运行期间不得与其他数据库关联。政府称之为狭窄，而在纸面上，它确实比一些人担心的更狭窄。

但请看这些保障措施都坐落在哪里。它们每一条管的都是匹配之后发生的事。而在匹配之前，为了在名单上找到那张脸，系统必须为车站里每一个人的脸建立模板——通勤者、游客、集体出游的小学生、正离开庇护所的女人、正去诊所的男人。对人群的无嫌疑处理并不是远程生物识别身份辨识的副作用。它就是其机制。不存在哪一种“为了一张被通缉的脸而扫描车站”，是可以不先扫描整个车站的。

而这恰恰就是《人工智能法案》点名为禁止的那种做法——如今被合法地打开了，靠的是写下一部国内法，就在该法案 8月2日 全面适用之前三周。2025 年 3 月匈牙利做了一个更粗糙的版本，为诸如参加被禁的骄傲游行或乱穿马路这类轻微违法启用人脸识别，欧洲各机构把它当作对红线的一次流氓式压力测试。德国的版本则披着法官和影响评估而来——而这正是它更具腐蚀性、而非更不具腐蚀性的原因。匈牙利打破了那条线。德国把它溶解成了一份任何一个内政部都能填完的合规清单。联盟党的内政事务发言人 Alexander Throm 在议席上骄傲地说出了那句本该小声说的话：他预言，这部法律将变得 maßstabsbildend——“标准设定的”——“对于联邦共和国的各州而言”。十六个德国联邦州各自运作自己的警察部队。另外二十六个成员国各自运作自己的内政部。模板会旅行；那正是模板的用途。

同一周，整个欧洲大陆

德国的这个星期五并不是一次孤立的国家选择。它是一段和弦里最响的那个音。

前一天，7月9日，欧洲议会就复活的“聊天管制”（Chat Control）条例进行了二读表决。到场议员中的相对多数投票否决它，314 票对 276 票。他们还是输了。在二读中否决理事会立场，需要全体议员的绝对多数——按议会自己的计算是 360 票——而在休会前两天，大约 112 名立法者根本不在场。议会在 3 月杀死的那套扫描制度就此复活，一直有效到 2028 年 4 月，靠的是缺席的算术。议会确实赢下了一样东西：欧盟扫描法律中有史以来第一次明确写入的端到端加密消息豁免。但它之所以通过，恰恰是因为它抽干了反对阵营——在加密例外获得通过之后，主张否决整份文本的联盟从 314 票塌到了 276 票。安慰奖买下了这场失败。

而就在德国投票的同一个星期五，英国的 Ofcom 公布了《在线安全法》下的第一份登记册，并在旁边附上了一份法定“观察名单”，列出它日后可能指定适用最严格义务的服务——包括要求用户验证身份的权力。维基百科暂时免于最高层级，却被放上了那份观察名单，与 iMessage 和 Messenger 并列在案，没有公布任何退出标准，且随时可能重新评估。维基媒体基金会——它此前已经就完全相同的问题输掉了一场司法复核——称持续被指定是“一种生存性威胁”，针对的是那约 260,000 名志愿者，他们可能被逼到为了编辑一部百科全书而交出法定身份，其中一些人所在的国家里，被人知道你是维基百科编辑是危险的。

三个国家，一周之内：德国打开了一台人脸扫描仪，斯特拉斯堡复活了消息扫描，伦敦把身份验证的威胁悬在了世界的百科全书之上。再加上几天前浮出水面的那个细节——据公民实验室称，欧洲议会自己的间谍软件调查委员会里，有一名成员本人就曾被 Pegasus 入侵——这个主题就很难看不见了。在其里程碑式的《人工智能法案》全面生效之前的几周里，欧洲并没有在收紧自己的红线。它在跨过它们。

机器跑不掉的那些数字

德国以前做过这个实验，而且留着单据。

2017—18 年在柏林南十字站（Südkreuz）的试点，产出了内政部那个得意的数字：识别率优于 80%，误报率低于 0.1%，宣告成功。混沌计算机俱乐部称该报告经过粉饰，且不科学。但你甚至不需要质疑这个数字就能看出问题；你只需要把它乘一下。按每天约 100,000 名旅客经过南十字站计算，0.1% 的误报率意味着每天约 100 名无辜者被标记——而这还只是一个车站。柏林当时的数据保护专员 Maja Smoltczyk 把这次试点的总数定在80,000 到 100,000 名被错误捕捉的人。马克斯·普朗克研究所的统计学家们把同一点归入了他们的“本月非统计”：对照德国每天 1,190 万名铁路旅客，0.1% 的比率就是每天约 11,900 次误报——每月超过 350,000 次。一个系统可以被称为“成功”，同时仍以这样的速率指控无辜者，因为无辜者几乎就是所有人。

配套技术的记录更糟。同一部法律要联邦化的那套行为分析软件，自 2018 年起就一直在监视曼海姆的广场，至今仍无法可靠地分辨一拳和一个拥抱。它标记的类别之一是“明显的无助状态”，在实践中意味着这个系统会举报无家可归者。第 31b 条要从市级试点提拔为联邦基础设施的，正是这一类机器。

诚实地陈述支持的理由

支持打开开关的理由是真实的，而它值得配上它最强的数字，而不是最弱的。

2025 年 10 月至 2026 年 3 月，伦敦警察厅在克罗伊登主街上运行了固定式实时人脸识别摄像头：24 次部署中 173 次逮捕——平均每运行 35 分钟一次——其中包括因绑架、强奸和严重性侵而被通缉的人。在试点区域，登记在案的犯罪比上一年下降 10.5%，针对妇女与女童的暴力犯罪下降 21%。超过 470,000 人从这些摄像头前走过；警方在整个运行期间记录到唯一一次误报，而且从未有过任何一次基于错误匹配的逮捕。Throm 那句话——火车站“绝不能成为恐惧的空间”——之所以有分量，正是因为它有一半是真的。对于一个原本将要遭到袭击、而现在不会了的女人来说，这台机器不是一个关于自由的抽象概念。它就是那个抓住了那个男人的东西。

所以，反驳不能说这台机器从不管用。反驳分三层，而且在克罗伊登的数字面前完好无损。第一：车站的安全也可以用照明、人手和更快的法庭来买——这些措施能减少恐惧，而不必建起一台通用的身份识别机器，让一个未来的、更糟的政府原封不动地继承下来。第二：对实时生物识别身份辨识的反对从来就不只是关于准确率。一个 99.9% 准确的系统，为了达到那个数字，仍然必须为其余 99.9% 的人群建立模板；伤害在于建模板，而不只是在于错误，因为一个能够自动认出车站里每一个人的国家，也能用同样的设备、同样轻松地认出罢工者、抗议者、记者的消息源，以及正离开庇护所的女人。第三，也是最德国式的一点：这些权限只会一格一格往上棘轮。它们被引入时都是狭窄的，用最艰难的案例来正当化，然后被拓宽——这正是数字权利律师 Michael Kolain 本周点出的轨迹，他称第 31b 条是“公共空间匿名性终结的开端”。绿党的 Irene Mihalic 在成为议员之前是一名警官，她把制度层面的版本直白说出：有了生物识别实时监控，“执政联盟深深地伸手进了基本权利里”。左翼党的 Clara Bünger 则点明了终点：无差别监控“会成为常态”。

第二条轨道，以及谁在收钱

7月10日 这部法律只是德国计划的一半。7月8日 星期三，联邦议院对内政部长 Alexander Dobrindt 提出的另一份三法案“监控套餐”进行了一读。它的核心是对开放互联网的回溯性生物识别照片检索：把一名被通缉者的图像与从社交媒体、团队合照、素材影像中抓取来的“公开可获取的”照片作比对——嫌疑人、证人乃至单纯的联系人全都在范围之内。围绕着它的，是对位置数据、DNA、通话记录和警方档案的跨库 AI 分析，以及在匿名化会花费“不成比例的努力”时，允许用公民的非匿名化数据训练 AI。

《人工智能法案》第 5 条同样禁止通过无差别抓取互联网来建立人脸识别数据库——那条款正是针对 Clearview AI 写的。德国司法部的回答是一件字面主义的杰作：它主张，只有当抓取由一个 AI 系统完成时，禁令才适用。AlgorithmWatch 的专家、信息科学家 Dirk Lewandowski 称这项禁止是 ausnahmslos——毫无例外——并指出，没有参照数据库，整套做法在法律上和实践上都会垮掉。同一个星期三，AlgorithmWatch 递交了超过 167,000 份反对这套方案的请愿签名。绿党议员 Konstantin von Notz 告诉执政联盟等着它的是什么：“如果你们通过这个，你们会再一次站到宪法法院面前。”他有先例站在自己这边。2023 年 2 月，联邦宪法法院以完全同一类无边界关联为由，推翻了黑森州与汉堡由 Palantir 驱动的警务数据分析。

这条链路的每一步都有人拿钱。德累斯顿的 Cognitec 自 2007 年起就在为联邦刑事警察局运行针对约 400 万张图像数据库的人脸检索，而一份每年 1.85 亿欧元、还附带实时要求的授权，是一笔采购横财。弗劳恩霍夫的各研究所出售行为扫描器。Dobrindt 正在重新审视他的前任拒绝过的全国性 Palantir 铺开计划。而互联网照片检索将允许联邦警察委托私营供应商来做匹配——那就是 Clearview 与 PimEyes 的模式，被国有化了，而距离记者们仅凭一个 PimEyes 订阅、用的正是这类工具帮助定位长期藏匿的前武装分子 Daniela Klette，只过去了两年。这项能力并不在乎谁握着它。那正是把它建起来的意义所在。

你实际上能做什么

对工具要诚实，因为这份诚实本身就是论证。没有哪个 VPN 能把你的脸从公共车站的摄像头前藏起来。面对第 31b 条，唯一的防线是政治的——而其中有两条此刻就活着。一条是针对那套配套监控方案的请愿，那套方案还得先通过。另一条是联邦参议院（Bundesrat），也就是各州组成的院：这部法律今年秋天需要各州政府的同意，弃权算作反对票，而绿党共同执政的各联邦州在 2021 年 6 月正是用这一招否掉了一份几乎完全相同的联邦警察改革。这件事被决定的地方，是一封写给你所在州内政部的信，而不是你手机上的一个设置。

国家木马才是技术之战真正存在的地方，而它指向的方向与绝望相反。源头监听之所以存在，是因为加密有效：国家不得不攻陷设备，恰恰是因为线路已经暗了下来。所以，让线路保持黑暗，让端点变得昂贵——更新的硬件、端到端加密的通信工具，以及开放、可审计、最小权力的传输，比如 Tor、WireGuard，以及像 URnetwork 这样的去中心化网络。这些都不是修辞上的花饰；它是这样一种区别：一种监控必须被瞄准，对着一个有名有姓的人，并附有一份令状；另一种监控随基础设施免费附送，并且默认对准所有人。那就是这一周的全部赌注。让身份识别保持昂贵、个别，并对一位法官负责——因为 7月10日 演示了它变得无处不在、自动且免费的速度有多快。

《人工智能法案》将于 8月2日 全面适用。当联邦参议院今年秋天在十六个州府投票时，它的生物识别红线要么守住，要么它就不再是那个画下它的大陆上任何地方的一条线了。欧洲花了十年告诉世界，它将是唯一一个拒绝扫描每一张脸的地方。它有三周时间来兑现这句话。

一个世纪以来，汽车一直是美国的自由机器。它写在这个国家第二幕的立国神话里——开阔的公路、逃逸，以及一箱油就能抵达的边疆。它是青少年去到不被注视的地方，是一个人跑调地唱歌、私下哭泣、在时速七十英里下想通自己人生的空间。汽车意味着你可以离开——而离开时没有人知道你去了哪里，是最古老的自由形式之一。

那个胶囊现在接上了线。售出的新车中大约十分之九是“联网”的——装有一个持续发送数据的蜂窝调制解调器，哪怕车停着，哪怕没有任何订阅在生效。现代汽车运行着上百个数据点，每小时能产生数 GB 数据：位置、速度、制动、加速、安全带状态，以及越来越多的车厢内部本身——麦克风、摄像头、声纹。美国自由的符号已经悄悄变成大多数美国人所拥有的最丰富的单一线人，而在 7 月 4 日这一天，值得问一问它向谁报告。

答案，事实上，是一家数据经纪商。

Smart Driver 陷阱

以下是通用汽车所做的事，按联邦贸易委员会的陈述。通用提供了一项名为 "Smart Driver" 的 OnStar 功能，宣传成一种游戏化地改善你自己驾驶的方式——一个友好的评分，一次朝更安全习惯的轻推。加入流程没有讲清楚的是：注册意味着通用会最密时每三秒记录一次你的精确地理位置，连同详细的“驾驶事件”——急刹、猛加速、时速超过 80、安全带使用，甚至你听了哪些广播电台——并把这条数据流卖给数据经纪商 LexisNexis 与 Verisk。FTC 认定这份同意是制造出来的：加入 Smart Driver 的同意被捆绑在安全与保养提醒的同意里，于是一个只想要碰撞检测服务的车主，可能在完全不理解这笔交易的情况下被卷进这件监控产品。

这就是整起丑闻的机制，值得精确地命名，因为整个行业跑的都是这一招：安全功能是诱饵，经纪商管道是鱼钩，而两者被刻意焊在一起，好让“你想要安全气囊帮你叫救援”被拉伸成“所以你同意被出售”。这件事在 2024 年 3 月被揭开：《纽约时报》记者 Kashmir Hill 发现车主正在被加入 Smart Driver——有时，就像她自己那辆新的雪佛兰 Bolt 一样，本人对同意毫无记忆——而保险公司正在悄悄用由此产生的档案抬高保费。通用在十一天后终止了这一做法。但到那时，数据已经向经纪商流动了多年。

那份记录揭示了什么

要理解为什么这不是“一家公司卖了些数据”，而是更接近一次背叛，你必须看清一份驾驶记录到底是什么。它不是一份行程日志。用最高法院在 Carpenter v. United States 中自己的话说，它是一张 "the privacies of life"（生活的种种私密）的地图——因为一份关于你行踪的全面记录会揭示 "your familial, political, professional, religious, and sexual associations"（你的家庭、政治、职业、宗教与性方面的交往关系）。你在哪里睡觉。你在哪里礼拜。你跨越州界去的那家诊所、工会礼堂、离婚律师、凌晨一点情人的家、你不告诉任何人的互助会。Carpenter 涉及的是 127 天的粗粒度基站数据，而法院称之为窥见一个人一生的私密窗口。一辆联网汽车产生的记录要密集得多——每三秒一次，绑定到一个有名有姓的车主——然后它做了手机从未做过的事：它评判你。

因为经纪商打包的“驾驶行为”不只是你去过哪里；它是一份道德与财务评分。Verisk 的产品名字就叫 "Driving Behavior Data History Report"——一份关于你怎么开车的信用报告——而保险公司用它，按 FTC 的说法，"for unexpected purposes including denying or canceling insurance, increasing insurance premiums"（用于包括拒保、退保、提高保费在内的出人意料的用途）。佐治亚州亨利县的 Temeika Clay 就是这件事的人形面孔：在通用分享了她那辆 Camaro 的 603 条驾驶活动条目之后，她的保费跳涨了 80%，而她和丈夫是在没有主动选择加入的情况下被卷进这个项目的。“你想的是安全，是万一车被偷了，”她对一位本地记者说。“我从没想过它会在监视我们。”

而这套评分是有歧视性的。调查发现，司机最反对的因素是时间段——因为按你什么时候开车来定价，惩罚的是那些对自己排班毫无发言权的夜班工人和低薪工人，其中黑人与拉丁裔占比不成比例，这就让“安全驾驶”成了种族的一个悄悄的代理变量。残障权益倡导者指出同样的陷阱：一套按“典型”驾驶调校的系统，会把一个残障者的生活所必需的、频繁前往远处专科医生的长途出行标记为“有风险”。汽车不只是在看。它在分类。

不是个别的害群之马

把通用当作一匹害群之马会让人舒服些，但记录说的恰恰相反：通用只是第一个被抓到的。当 Mozilla 基金会以一套基本隐私标准审查 25 个汽车品牌时，全部 25 个都不及格——这是任何产品品类第一次全军覆没——并称汽车是“我们审查过的正式意义上隐私最糟糕的产品品类”。84% 表示它们可以分享你的数据；四分之三保留出售它的权利；超过半数表示它们会凭一个非正式请求就把数据交给警方或政府，无需搜查令；而 25 家中恰好有两家让你可以删除它。一些品牌声称有权收集的类别读起来像讽刺作品：日产的政策列出了 "sexual activity"（性活动），起亚的列出了 "sex life"（性生活），而六家公司声称有权采集 "genetic information"（遗传信息），旁边还并列着移民身份、种族和面部表情。

执法记录证实这是系统性的。2025 年 3 月，本田因同类联网汽车数据做法向加州隐私监管机构缴纳了 632,500 美元罚款。得克萨斯州在 2024 年代表 180 万名司机起诉通用，随后把调查扩大到福特、现代、丰田和 Stellantis，并起诉了保险分析公司 Arity，指其运营着“世界上最大的驾驶行为数据库”——涉及约 4,500 万人。仅现代一家就把 170 万辆车的数据交给了 Verisk，并因此获得了 100 多万美元的报酬。这条管道——车企到经纪商再到保险公司——不是通用的一项功能。它是联网汽车的商业模式，而联网汽车是如今唯一在卖的那一种。

手套箱里的传票

你的车所看到的东西还有第二个收件人，而它并不总是需要一位法官。2024 年参议员 Ron Wyden 与 Ed Markey 追问各家车企时，八大品牌——丰田、日产、斯巴鲁、大众、宝马、马自达、梅赛德斯-奔驰和起亚——承认它们会仅凭一份传票就把司机的位置数据交给政府机构，而传票是检察官可以自行签发的，无需搜查令，也无需任何法官过目。只有少数几家表示它们要求搜查令，而只有特斯拉表示它会通知车主。有些公司把数据保留长达十五年。这打破了行业自己写下的承诺：车企在 2014 年签署的一套 "Consumer Privacy Principles"（消费者隐私原则），承诺要求搜查令。

时机让赌注更尖锐。在今年 6月29日 裁决的 Chatrie v. United States 一案中，最高法院认定获取一个人的位置数据构成第四修正案意义上的搜查——这是对 Carpenter 的一次实质延伸。但该裁决约束的是政府可以要求什么；它对一家主动交出你数据的车企，或一家出售它的经纪商，只字未提，而且完全没有提到汽车。那就是那道缝。宪法开始看守前门——搜查令——而汽车正悄悄把一份“你去过的所有地方”的副本从后门送出去，送给一个会卖给任何人的经纪商，其中包括凭一份传票的国家。家事律师如今把车联网数据视为离婚与抚养权诉讼中可调取的证据；因为制造商预装的、"with the owner's consent"（经车主同意）使用的追踪不落入大多数反跟踪法的范围，一个持有车辆产权的施虐前任，可以合法地调出其伴侣去过哪里的记录。

诚实地看对方最强论证

支持联网汽车的理由是真实的，必须按其全部强度来对待，因为这辆车确实能救你的命。自动碰撞通报——在你撞车昏迷时替你叫救援的系统——据联邦安全研究人员估计可将道路死亡率降低 1.5% 至 3.5%；欧洲自 2018 年起对每一辆新车强制要求它。OnStar 每月处理约一千次被盗车辆请求，找回那些否则将人间蒸发的车。而基于使用情况的保险，在司机知情并主动加入时，确实能奖励安全的和低里程的司机——如今约四分之一的美国司机为拿折扣而加入，研究还发现这种反馈甚至让人们的刹车更柔和。一条通向你汽车的实时数据连接本身并不必然是阴险的。在这些用途上，它是一件真实的好事。

把这些全部承认下来，线人这一论点依然成立，理由只有一条，但是决定性的：上述每一项好处都可以与出售相分离。碰撞检测、那通救护车电话、被盗车辆找回、空中下发的安全补丁——它们全都只要求你的车与制造商自己的服务器通话。其中没有任何一项要求构建一份驾驶行为报告并把它卖给 LexisNexis 或 Verisk。行业是有意把两者焊在一起的，好让你需要的那样东西拖着他们能卖的那样东西一起走。而它们可分离的证明，就是 FTC 的命令用强制手段把它们撬开了：通用现在必须为每一项不同的功能取得单独的同意，而且——这是关键的一行——它 "not place limits on withholding or withdrawing consent, such as by degrading the quality or functioning of a product or service as a penalty."（不得对拒绝给予或撤回同意设置限制，例如以降低产品或服务的质量或功能作为惩罚。）说白了：你有权保留安全气囊碰撞呼叫，同时拒绝保险公司管道，而公司被禁止为了惩罚你说“不”而废掉你的安全功能。至于“你同意过”——一个监管者检视了那份同意，认定它是一场欺骗。捆绑在一项必需品里、埋在一份你无法谈判的政策中、附着于一件没有未被监控替代品的产品上的同意，不是一次市场选择。它是一道手续，而 FTC 就是这么说的。

没有不联网的车

而这正是为什么本刊赖以立身的那个反射——去拿一件工具，把你自己的暴露面降到最低——在这里几乎完全失效。你无法以任何有意义的方式退出。设置被埋得很深；承载安全功能的“互联服务”与追踪捆绑在一起；而车企在书面材料中承认，退出会让车变差——Stellantis 会停用它的安全服务，特斯拉则警告可能出现“功能降低、严重损坏或无法运行”。唯一真正的断电开关是物理拆掉蜂窝调制解调器，而这会让你的保修失效，并停掉那项本可能救你命的碰撞检测。汽车没有 VPN，对一辆制造商握着钥匙的车你也栓不上什么加密，而且——最难的部分——展厅里已经没有不联网的新车可以改买了。市场的九成在发送数据，另外一成是二手车，正在老化退场。

所以，正如车牌拉网监控那件事一样，对策不可能是个人层面的。它必须是法律层面的。而在这个 7 月 4 日，消息是：法律层面的反制正在落地。

法律抓住了这辆车

那些科技隐私界通常眼看着输的监管者，终于赢下了一场。1 月，FTC 敲定了针对通用汽车与 OnStar 的一份二十年期命令：五年内禁止向消费者信用报告机构出售地理位置与驾驶行为数据，二十年内必须取得肯定的、明示的、逐项功能的同意，并且必须让司机能够查看和删除自己的数据。5 月，加州总检察长与通用达成 1,275 万美元的和解——这是该州历史上最大的一笔隐私处罚，也是该州第一次以数据最小化为原则构建的处罚：即一家公司不得收集并保留超出它实际所需的数据。得克萨斯州的诉讼仍在进行。两家经纪商之一的 Verisk，已彻底关停了它由车企供数的驾驶行为产品。

对局限要诚实，因为它们是真实的，而且要紧。FTC 的命令没有附带罚款——它的力量在于那套同意制度，而不是一笔处罚，而通用从整个方案中的总收入也只有约 2,000 万美元，对一家这种体量的公司来说是个零头。它够到了一家车企，而且是在一名记者揭发之后，并且让另外二十几个品牌的评分模型和传票管道原封不动地留在那里。这是一处凹痕，不是一次拆除。

但请看它是怎么发生的，因为这正是本系列在公民层面反复发现的那个令人抱有希望的模式。通用这份命令是在一届 FTC 之下启动的，却在下一届之下敲定——由两位共和党委员以 2 比 0 的表决通过。对普通美国人在自己车里被监控这件事，竟成了一个分裂的政府仍然能够一致认为太过分的罕见事项。对车道上那个线人的问责挺过了一次政府更替，而这在大多数隐私之争里是说不出口的。法律是慢的，是不完整的，而且只抓住了一辆车。但它抓住了——而且第一次画出了那条要紧的线：你的车可以为了救你的命而与它的制造商通话，但它不可以把你人生的故事卖给任何一个开口要的人。

自由地开

开阔的公路一直都带点谎言——你从来没有广告让你感觉到的那么自由——但其中为真的那一部分、值得保留的那一部分，是你可以去到某个地方，然后有那么一个小时，不对任何人负责。那正是联网汽车悄悄废除掉的那项具体自由：不是移动的自由，而是不被观察地移动的自由，是离开而不留下记录的自由，是开车去一个你宁愿没人知道你去过的地方的自由。汽车变成了那个会记住、会评判、会告发的东西。

你没法用一件小玩意儿修好这件事，而你也该不再被告知你可以。没有哪个隐私设置能拆掉一个商业模式。到目前为止把它修好的，是一个握有传票权力的监管者，和一位愿意把“收集超过所需”称为违法的州总检察长——那套枯燥而必要的法律机器，做着任何个人技术都做不到的那一件事。拥有一辆能救你命而不告你密的汽车的权利，不是一项你去配置的功能。它是一条必须由某个人写下并执行的规则，而今年，有史以来第一次，有人做了。

在 7 月 4 日，在一个把汽车当作自由图腾的国家里，这就是那场值得命名的战斗，和那场值得标记的小胜利。线人就在车道上。但法律，这一次，和它一起在车库里——而且刚刚拿走了你数据的钥匙。

URnetwork 构建保护隐私、抗审查的互联网传输，其原则是：一个系统从不收集的数据，就是永远无法被出售、被传票调取或被泄露的数据。它对自己的能力边界很诚实：它无法重新设计一辆由制造商握着调制解调器和钥匙的汽车，而任何用户侧的工具都做不到这一点。那正是本期的教训——有些监控住在我们所拥有的产品内部，那里唯一的对策，是禁止这种收集的法律，以及让它真正生效的执法。数据最小化不是可有可无的加分项；它就是全部的赌局，而通用这份命令，正是一个监管者终于这样对待它时的样子。

https://ur.io

美国革命的核心有一桩监控层面的积怨，而它恰恰关于在没有理由的情况下被追踪。殖民地居民对"协助令状"（writs of assistance）的愤怒——那是一种没有边界的授权，让英国官员可以在任何地点、任何时间、为任何事情搜查——被直接写进了第四修正案的要求之中：搜查令必须基于合理根据，指明特定的地点和特定的物品。立国时的反对并不只是针对"被搜查"这件事，而是针对处于一种概括性搜查权力之下：一种由国家握有的、常备的跟踪能力，它不针对任何特定的人，因此针对所有人。

两个半世纪之后，那种常备能力存在了，而且它跟着你的车。它不是由国会投票产生的，也不是由任何法院授权的。它是被卖出来的——一份市政合同接着一份市政合同，一台业主协会的摄像头接着一台，卖方是一家私营公司。而在这个国家庆祝自身自由的日子里，行动自由正是那项正在悄然流失的自由：默认被记录，无处不在，全天候。

这张大网

Flock Safety 是一家成立八年的公司，截至今年 4 月估值 84 亿美元。它的产品是自动车牌识别器——一台摄像头，拍下每一块经过的车牌，读出它、打上时间戳、标定地理位置，再上传到一个可检索的云端。但车牌只是开始。Flock 的摄像头还会捕获该公司所称的"车辆指纹"（Vehicle Fingerprint）——品牌、车型、颜色、凹痕、补漆色差、车顶行李架、保险杠贴纸——这样它就能识别一辆根本没有车牌的车，或者在整个州范围内找出"一辆装了梯架、左前翼子板有凹痕的蓝色皮卡"。按它自己的披露，这张网络已经跨越 49 个州、达到约 10 万台摄像头，供约 5,000 家执法机构和 1,000 家企业使用，每月记录量在 200 亿次扫描这个量级。（这些在很大程度上是该公司自己的数字；独立统计得出的数值要低一些，但没有人对其数量级提出异议。）

真正要紧的部分在这里，而它不是摄像头，是网络。Flock 系统上的任何一家机构都可以搜索整张网——不只是自己镇上的摄像头，而是默认可搜全国的——并且可以设置"热名单"（hotlists），一旦某块被通缉的车牌在任何地方被拍到，警报立刻触发。Flock 已经把同一套架构延伸到车牌之外：一条枪声探测产品线、一条无人机产品线、人脸变焦摄像头，还有一个名为 Nova 的数据平台——该公司把它推销为一种通过把自家扫描数据与泄露数据、商业经纪商记录和公开档案融合起来，从而"追踪特定个人"的方式。车牌识别器只是那枚楔子。真正的产品，是一份私营的、持续的、可检索的美国人行动记录，并且按订阅制出售。

被外包的第四修正案

你大概会以为，一份记录所有人行踪的永久档案，正是宪法所禁止的东西；八年前，最高法院也几乎就是这么说的。在 Carpenter v. United States（2018）一案中，法院认定政府若要获取追踪手机的历史基站位置数据，必须先取得搜查令——因为，正如首席大法官罗伯茨所写的，一个人一段时间内行踪的汇总会揭示 "the privacies of life"（生活中的种种私密），即便其中每一个单独的位置都已向电话公司暴露。这就是所谓"马赛克"（mosaic）思路：一千个公开的点，一旦被拼装起来，就成了一幅私密的图像。

麻烦在于，Carpenter 案说的是政府强制一家公司交出其客户的数据。Flock 则更狡猾一层。这些数据不是关于 Flock 客户的；它关于每一个开车经过 Flock 摄像头的人，无论此人有没有买过任何东西。而且政府并不强制取得它——政府是订阅它。当一个警察局跑一次 Flock 检索时，它不是在扣押记录，而是在查询一个它付费访问的私营数据库。这个区分承担了极其沉重的宪法工作量，而到目前为止，它对 Flock 是奏效的。1 月，弗吉尼亚州诺福克市的一位联邦法官——在审理两名居民提出的挑战时，这两人的车在四个月里分别被拍到 475 次和 325 次——裁定该市 176 台摄像头组成的网络不构成第四修正案意义上的搜查，尽管他警告说，随着技术发展它可能会 "become one"（变成一次搜查）。同一周，华盛顿州一家上诉法院维持了车牌识别器的合法性。按国会研究服务处（CRS）的统计，已有三十多家法院认定车牌读取不构成对合理隐私期待的侵犯。全国至今没有任何一家上诉法院判定这类网络违宪。

那桩挑战现在正在联邦第四巡回上诉法院上诉，而支撑它的联盟正是整个故事的关键线索：主张此案的是自由意志主义的正义研究所，法庭之友意见书来自 ACLU、EFF、卡托研究所、保守派的新公民自由联盟（New Civil Liberties Alliance）以及电子隐私信息中心（EPIC）——左与右，站在了一起。但那是对未来的一注押宝。今天，私营供应商这条漏洞仍然成立：国家买下了宪法拒绝给它的那张概括搜查令，而宪法，至少到目前为止，容许了这件事。

一键热名单

国家买下的东西，它会使用——而且不只用于被盗车辆。由于任何机构都能搜索这张全国性网络，"本地交通安全摄像头"已经悄悄变成了全国范围内争议最大的那类执法的基础设施。

在旧金山，一次审计发现，外州机构在七个月内拥有对该市警察局 Flock 网络约 160 万次的查询能力。另一次审计发现了数百次由联邦机构实施的不当检索——缉毒署（DEA）、国税局（IRS）、联邦法警局，甚至林务局——伸手进入了一个"仅限加利福尼亚"的系统。奥克斯纳德市在发现一个名为 "National Lookup"（全国查找）的供应商开关无声地覆盖了它的"仅限本地"设置、把它的数据暴露给全国之后，彻底暂停了自己的摄像头。EFF 记录到一个一键式热名单，让警员可以勾选联邦移民"违规者档案"（violator file），并在被盯上的车辆出现时随时收到警报。而在最触目惊心的一例中，得克萨斯州一个警长办公室在全国约 83,000 台摄像头上跑了一次检索，登记的理由是 "had an abortion, search for female"（做过堕胎，搜索女性）——事后被描述为在一次医疗惊险事件中寻找一名失踪女性，这要么是真相，要么正是这样一套系统所提供的那种掩护说辞。要点并不是每一次检索都居心不良。要点是：一家私营公司造出了一台机器，让所有这些检索都只在一键之遥，默认长期保存，网络上任何人都能触及，而那位车牌被扫描的女性对此一无所知——没有告知，也没有救济途径。

你的脸就是下一块车牌

如果说车牌是起点，那么脸就是终点，而它在国外正以更快的时钟到来。1 月，英国内政大臣宣布了民主世界"有史以来最大规模"的人脸识别推广：在现有车队之外新增 40 辆实时人脸识别车，把实时人脸扫描带到每一个警察辖区的市镇中心，作为一笔 1.15 亿英镑投入的一部分，并被宣传为"近 200 年来"警务最重大的现代化。伦敦警察厅正在伦敦西区各处安装永久性人脸扫描摄像头；43 支警队中已有大约十几支在运行实时人脸识别；克罗伊登的一次试点扫描了约 470,000 张人脸。英国没有任何一部成文法哪怕提到过人脸识别——一个由二十多个团体组成的联盟警告说，这项计划会让英国成为"民主世界中的异类"——而测试发现，在偏差显现的那些参数设置下，这些系统对黑人女性的误识率高达十分之一。

在美国，同样的逻辑正在通过一家供应商实现联邦化：Clearview AI，其抓取而来的约 600 亿张图像数据库，如今支撑着与移民与海关执法局（ICE）以及海关与边境保护局（CBP）的合同。至少已有十三或十四名美国人因错误的人脸比对而被误抓，其中几乎全是黑人。车牌识别器记录你的车去了哪里；人脸识别记录你的身体去了哪里——而且，正如一位公民自由技术专家所说的，你没法把自己的脸留在家里。这与 Flock 那张大网是完全相同的架构——对未被怀疑任何事情的人进行持续的、无令状的、环境式的身份识别——只是又向下推进了一层，从车辆推进到开车的那个人。

马赛克，与寒蝉

单独一次扫描并不是伤害。伤害在于那份记录——可检索、可交叉比对、永久留存的马赛克。仅凭一份车牌历史，就能揭示你在哪里睡觉、在哪里礼拜、去哪家诊所、找哪位律师、见哪位情人、进哪个工会会所、参加哪场抗议。再把它与人脸扫描、手机位置数据流、收费站数据，以及 Flock 的 Nova 平台生来就要吸收的经纪商记录融合起来，你就得到了一份关于一个未被指控任何罪行的人的生活模式档案——由一家公司组装，出租给国家。这恰恰是 Carpenter 案的马赛克理论意在防范的那种汇总，只不过它是从一道该理论并未完全关上的门里进来的。

而这样一份记录，早在被滥用之前就会改变行为。当人们知道自己的行踪被记录，他们就会对那场集会、那座清真寺、那家诊所、那次会面三思——这正是最高法院自民权时代以来就已承认的寒蝉效应，当年它保护全国有色人种协进会（NAACP）的会员名单，不让一个想知道谁在与谁往来的州政府拿到。这张大网不必对准你，也足以改变你移动时的自在程度。它只需要存在。

诚实地为对方立论

支持这些摄像头的理由是真实的，必须以其最强的形态来面对，而不是挥手带过。Flock 的系统确实把孩子带回过家：安珀警报（AMBER Alert）被实时化解、一名失踪少年被找到、一名凶杀嫌疑人在目击者描述后数小时内被抓获。该公司 2025 年对自身客户所做的普查声称，Flock 数据触及了五分之一的已结案件，并在一年内帮助找到约一万名失踪者。被盗车辆追回——在这个领域，全国警方的破案率低得可怜，只有 9%——是独立研究一致认为这类工具确实有帮助的唯一一处。

把这一切都承认下来，这套论证仍然不成立，理由有三。第一，那些宏大的说法出自该公司自己，属于自报数据且未经审计；关于车牌识别器减少犯罪的独立同行评议证据既单薄又混杂——那项被视为黄金标准的联邦研究发现，它们确实提升了被盗车辆的追回率，但在一般巡逻中对犯罪预防"几乎没有明确证据"。第二，也是决定性的一点：每一起真正的战果都始于一块特定的车牌、一辆特定的车或一名特定的嫌疑人——而它们没有一起需要一份关于其他所有人的、永久的、无嫌疑的记录。你完全可以保留安珀警报热名单和被盗车辆命中，同时要求历史检索必须有搜查令，并把留存期限从数年压到数天。三十天的默认留存是一个政策选择，不是技术上的必需；这张大网与那份安全是可以切割的。第三，"它破了一起案子"在美国法律中从来都不足以为无嫌疑的大规模监控背书——立国者所憎恨的那些概括搜查令同样破过案。破绽已经摆在眼前：一套以安全为卖点的系统已经制造出了自己的受害者，比如那位田纳西州的祖母——她因人脸识别误认而被关押五个月，直到平安夜指控才被撤销。反抗 Flock 并不是对公共安全的拒绝。它拒绝的是那笔交易——用永久的、普遍的追踪，去换取一项本可以靠搜查令和短留存期同样保住的好处。

并不存在的反制

这里有一个难堪的事实：本系列通常能给出一件工具来回应，这一次却不能。面对一张物理空间中的大网，客户端一侧基本上没有防御可言。没有给你的车用的 VPN，也没有给你的脸用的 Tor。车牌遮罩和反光喷剂在大多数州都是违法的，而且测试表明，对能实时补偿眩光的现代摄像头毫无用处。你不可能选择不开车。那些登上头条的反人脸识别时尚——迷彩妆、带图案的眼镜——在很大程度上是一个学术性的艺术项目，对当前系统无效，反而会让你在每一个看见你的人眼中格外显眼；连它自己的发明者都已经放弃了它。伸手去够一件个人隐私技术的本能——这家出版物赖以建立的那个本能——一头撞上了一堵墙：你无法最小化一堆你从未被征求过意见就被建起来的数据囤积，而加密止步于物理世界的边缘。

而这恰恰是为什么，唯一奏效的反制是公民层面的那一种——也是为什么，它正在取胜这件事很重要。

这张大网正在败退

同一年里，10 万台摄像头出现了，而这些摄像头也没能完好无损地熬过它所催生的东西：一场有组织的、跨党派的、异乎寻常有效的公众反抗。

丹佛是最醒目的一例。在一家本地新闻的调查揭露该市的 Flock 数据存放在一张边境巡逻队可以触及的全国性网络上之后，市长拒绝续约，今年春天该市把全部 110 台摄像头从物理上拆了下来——换成了一套规模更小、根本不具备全国检索功能的系统。而汽车盗窃并没有飙升；它下降了。按现有最可靠的统计，如今已有 80 多份 Flock 合同在 28 个州被终止，其中 39 份发生在 2026 年的头五个月——奥斯汀、圣克鲁斯、埃文斯顿、圣马科斯，以及另外数十座城市，每一份背后都是一个市议会看了看这套监控，然后投票把它从电线杆上撤下来。一个名为 DeFlock 的开源项目已经通过众包，把 Flock 整张摄像头网络的大约一半标注到了一张公开地图上，并拒绝了该公司的停止侵权函；EFF 的"监控地图集"（Atlas of Surveillance）已经让五千多个辖区里那张看不见的网变得可见。各州正在立法处理代码处理不了的事：华盛顿州现已禁止在诊所、学校、法院和宗教场所附近采集车牌；弗吉尼亚州限制了留存期限，并封堵了无令状的跨州共享；肯塔基州设定了九十天上限。

也要诚实面对其局限，因为局限是真实的。被取消的合同只占整张网络的一小部分；即使一座城市撤下自己的摄像头，私人业主协会和商户的摄像头仍在运行；那桩最受瞩目的诉讼在上诉层面是一场败诉，不是胜诉；一项旨在约束车牌识别器的跨党派联邦修正案在 5 月被委员会否决。这张大网被凿出了坑，但还没有被拆掉。但要看看是谁在凿，因为那是美国政治中最罕见的联盟：正义研究所与 ACLU 并肩，卡托与 EFF 并肩，一名共和党人和一名民主党人共同提出同一项修正案，一位市长、一位县监事和一个市议会得出同一个结论。行动监控原来正是那个"去拿搜查令"真正超越党派的议题——在这里，主张小政府的右翼和主张公民自由的左翼看着同一张私营大网，双方都说不。这不是无足轻重。这就是那个关闭开关，而与本系列报道过的几乎所有其他监控之战都不同，这是一个普通人真的够得着的开关。

不被尾随的权利

在烟火之下，7 月 4 日真正关乎的那份自由，是免于一种常备监视权力的自由——正是立国者在禁止概括搜查令时点名的那种暴政。车牌识别器就是那张概括搜查令，用软件重建，并以订阅形式出售：一份永久的、无嫌疑的、可检索的记录，记下每个人去过哪里，由一家公司持有，出租给国家，并且到目前为止得到法院的祝福。没有哪个小玩意能修好它。加密够不到它。这是唯一一条隐私前线，个人技术自卫的整套装置在这里干脆不适用。

而这正是为什么，回应只能是书上最古老的那一种，也是为什么在今天这个日子里，这个回应正在奏效值得庆祝。你没法给你的车加密。但你可以投票把摄像头从电线杆上撤下来、限制留存期、要求搜查令，并且拒绝让一家私营公司在一开始就把这份记录组装起来。丹佛拆掉了其中 110 台。28 个州正在为此争论。在自己的国家里不带一条永久尾巴地移动，这项权利不是由代码守护的——它是由公民守护的，在议事厅里，在这个左右两派发现彼此意见一致的唯一监控议题上。

你没投票同意的这张大网，是可以被投票否决的。今年 7 月 4 日，在本系列最罕见的一项发现中，这是一场公众真的正在赢的仗。

URnetwork 为互联网构建抗审查、保护隐私的传输层——一个点对点覆盖网络，尽可能减少任何单一方能收集到的、关于你在哪里连接以及如何连接的数据。它对自己的局限是诚实的：它保护你的流量，而不是你的车牌；任何用户侧工具都无法击败一台在公共道路上读取法定车牌的摄像头。这恰恰正是本期的要点——有些隐私之战不是在代码里赢的，而是在法律和地方民主中赢的；而拆除物理空间大网的这场运动，是最清晰的证明：当公众决定去够那个关闭开关时，这家出版物所抵抗的那种持久身份基础设施是可以被拒绝、被最小化、被拆掉的。

https://ur.io

今天庆祝独立的这个国家，把自己的立国建立在少数几项被命名的自由之上——言论、出版、集会、请愿。而如今，对大多数人类而言，它们每一项都运行在一件立国者无法设想的共享基础设施之上：一张全球性的、分组交换的网络，没有所有者，也没有中心。这个事实悄悄地在所有旧自由之下创造出一项新的自由，一项没有任何权利法案保护的自由，因为当年它还不存在，也就无从被威胁。可以把它叫做连接的自由——在你于网络上说出任何一个字之前，你能够接入这张网络本身的能力。

它是底层基质。你无法在一张已经把你切断的网络上行使言论权，无法在一次断网中出版，也无法在一个从首都某间控制室里被关掉的群聊里集会。而在 2026 年，正是这层基质遭受着最直接、也最少被讨论的攻击——问题不在于你上线之后可以说什么，而在于你是否被允许一开始就在线，以及你所触及的那个"在线"，是否仍然是其他所有人也能触及的同一个。

数字表明，这层基质正在开裂。

每天一次断网

3 月下旬，#KeepItOn 联盟——一个由数字权利组织 Access Now 召集、包含数百个公民社会团体的网络——发布了它的年度统计，那是有记录以来最阴郁的一份。2025 年，52 个国家至少发生 313 次互联网断网：超过自 2016 年开始统计以来的任何一年。该联盟的活动负责人用一句话概括了规模——这一年的 365 天里，没有一天世界上某处不曾发生断网。缅甸军政府及其对手占其中 95 次；世界上最大的民主国家印度下令 65 次，多于地球上任何其他民主国家。冲突是首要触发因素，在 14 个国家引发了 125 次断网。而在一项本应终结"断网究竟为了什么"这一争论的发现中，其中至少 70 次与严重的人权侵害同时发生——杀戮、酷刑、强奸、明显的战争罪——分布在 21 个国家，黑暗恰恰降临在见证者本会最具威胁性的时间和地点。

按研究机构 Top10VPN 所做的年度统计，这一切在 2025 年的账单大约是 197 亿美元和 120,000 小时的蓄意黑暗——成本比前一年跃升 70%——影响约 8 亿人。仅俄罗斯一国就占了其中近 120 亿美元，为了控制自己的公民而伤害自己的经济。这些是下限，不是上限：这项统计恰恰排除了最长的那些断网，因为它们从未重新开启。

换句话说，断网并不罕见、并不便宜，而且——正如与暴行的重合所显示的——通常并不是为了它的实施者所宣称的那个目的。它正在成为一个承压国家的默认反射动作。而在 2026 年，这个反射动作正被写进法律。

断网开关如今合法了

2026年3月1日，一项俄罗斯政府法令——第 1667 号，起草时的效力期一直延续到 2033 年——生效，它是今年控制架构方面最重要的进展。它授权一个由互联网监管机构 Roskomnadzor、安全部门和数字发展部组成的常设委员会，在其宣布存在"威胁"时，随时过滤、限速、封锁或将俄罗斯互联网与全球互联网完全隔离。这不是一次在恐慌中临时下令的断网。这是一个永久性的、成文法意义上的关闭开关，而它建立在使其可执行的那套机器之上：TSPU——物理安装在每一家俄罗斯互联网服务商网络上的深度包检测设备，由 Roskomnadzor 直接控制，并计划到 2030 年扩容到接近每秒 1 拍比特（petabit）的容量。

这个开关有效的证据已经存在。2024 年 12 月，在一次覆盖达吉斯坦、车臣和印古什的演习中，俄罗斯切断了对境外服务的访问，时间长达整整一天——而用户即使用 VPN 也逃不出来，因为当通往外部世界的网络被切断时，就没有任何东西可供隧道穿越了。这是本文其余部分所依赖的关键事实，请记住它：封锁是一种你可以绕行的状态，而断网不是。

围绕同一套架构，俄罗斯正在建设主权互联网的另一半：把人口圈养在国家控制的应用之上。它在 2026 年 2 月彻底封锁了 WhatsApp，切断了大约一亿用户，并对 Telegram 限速，把两者的用户都导向 MAX——一款获得国家背书、没有端到端加密、数据存储在境内的通讯软件。MAX 的注册用户从 2025 年年中的约 100 万，增长到今年春天的 1.2 亿多，助力之一是一项要求：在俄罗斯售出的每一部手机都必须预装它；另有把它接入银行系统的计划。这正是"splinternet"（碎片化互联网）这个词被造出来所指的那种模式：不是一张有若干网站被封锁的互联网，而是一张平行的、受监控的、无加密的国家网络，公民可以被推着、并最终被要求生活在其中。

封锁、限速、断网

要看清地图变暗为何既是一件真实的武器、又是一件自败的武器，你必须看清国家所攀爬的那把梯子，因为规避技术在低层级上取胜，在高层级上落败，而诚实的分析就活在这个区分里。

第一级是封锁——丢弃被禁站点的 IP 地址、投毒其域名解析，或者对连接建立时暴露出的服务器名进行过滤。这是最常见的审查形式，也是最容易被击败的；整套规避工具箱在这里都奏效。第二级是限速与指纹识别——把一项服务慢到不可用，或者使用深度包检测和"主动探测"（active probing）：审查方自己的机器主动去接触一个可疑的代理，以揭穿它。中国的防火长城，作为这一切的成熟范本，如今依靠机器学习分类器，能够把混淆过的流量从普通网页流量中挑出来；而去年 9 月泄露的一批资料显示，它的工具箱如今已是一件交钥匙式的出口产品，被卖给并安装在巴基斯坦、埃塞俄比亚、哈萨克斯坦和缅甸。第三级是彻底断网——伊朗在 2026 年 1 月抗议期间近乎全国性的切断；塔利班在前一年秋天对阿富汗的断网——在这里，根本不存在可供绕行的网络。而第四级是把工具本身入罪化，这把连接的代价从"被封锁"变成"被逮捕"。

伊朗自身的演进最能体现这种精细化。2019 年它是用钝器的方式变暗的：把自己的路由从全球路由表中撤出，于是整个国家消失了。到 2026 年 1 月，它已经学会了细腻：它撤回了自己某一类地址空间的 98.5%，同时让普通互联网的路由保持 98% 完好——在曾经使用大锤的地方换上手术刀，一边限速和过滤，一边名义上让灯还亮着。这把升级的梯子就是这场斗争的全部几何形状：一个国家爬得越高，它对代码赢得越多，而对自己的经济和自己的正当性输得越多。

他们给出的理由，和它真正的目的

做这件事的国家不会把它描述为关掉一个国家。他们给出四条理由，而这些理由在各国之间一致到值得被认真对待、然后再用证据拆解。联合国人权事务高级专员办事处在编录这些辩解时发现，公共安全与国家安全在数百起案例中被援引；2025 年的断网报告则发现了同一套反复出现的说辞——假新闻、仇恨言论、公共秩序，以及其中最平庸的一条：阻止学生在考试中作弊。

先拿听起来最干净的那一条，因为它就是破绽。整个 2026 年 6 月和 7 月，伊拉克一直在考试日的黎明前时段对全国切断互联网以防作弊——为了大约 900,000 名学生而切掉医院、企业和紧急呼叫，代价估计接近每天 150 万美元；而在那句给整套做法定罪的妙语里，考题还是泄露了，而且就发生在断网期间。一位人权研究者称之为"拿大锤去砸一件小东西"。如果最站得住脚的理由都塌得这么彻底，那么更严重的那些只会更糟。关于断网与抗议的最佳实证研究发现，切断网络并不能平息动荡；它倾向于把运动从非暴力协调推向暴力，因为和平抗议正是最依赖实时通信的那种策略。而与暴行的重合是道德核心：当一年之内有 70 次断网，落在某些国家的部队正在轰炸住宅、医院和学校的那些时刻，断网保护的不是公众。它保护的是行凶者，使其免于见证者。从证据来看，"公共安全"原来最可靠的含义，是扣动扳机的那些人的安全。

把隧道入罪化

当一个国家封不住一件工具时，它的下一步就是把它定为非法——这是网络层版本的"起诉制造者"。2026 年最清晰的案例仍然是俄罗斯：到 2 月，它已封锁了 469 项独立的 VPN 服务，彻底禁止了三种最流行的规避协议，迫使 Apple 从其俄罗斯商店下架数百款 VPN 应用，并发布指令，要求主要平台检测并切断经由 VPN 到达的用户，否则将失去经营许可。这一模式正在扩散，而且并不限于威权国家：伊朗把"未经授权的"VPN 使用定为犯罪；预计欧盟委员会今年将提出的一项数据留存草案，可能会强制进行那种"无日志" VPN 专门设计为不做的记录；在英国，上议院通过了一项限制未成年人使用 VPN 的修正案，作为巩固《网络安全法》年龄核查的手段——尽管监管机构自己承认 VPN 让那些核查无法执行，而在核查上线时注册量一度暴增多达 18 倍。（那个被广泛引用的说法，即如今已有数十个国家实施 VPN 数据留存强制要求，主要可追溯到行业营销材料，应当被读作方向性的、而非定论——但方向本身是明白无误的。）隧道之所以被入罪化，是因为它有效；而在工程手段失败时把它定为非法，正是一个审查者会做的事。

网络会绕开损伤

这里是这一天所要求的另一半真相，而它不是天真的乐观主义；它是 2026 年的证据实际显示的东西。

1 月，在伊朗有史以来实施过的最严重断网的高峰，仅一款规避工具——Psiphon——就在一天之内承载了伊朗境内 950 万名独立用户。十分之一以上的伊朗人在一次全国性断网中，通过一款应用、在一天之内，抵达了外部世界。而其中大约一半的流量并非流经企业服务器，而是流经由伊朗侨民中的普通成员运行的 "Conduit" 中转站——用他们的备用手机和家庭 Wi-Fi 运行——其中约有 20 万人在两周内注册，把自己的连接借给墙那边的陌生人。Psiphon 自己的描述是值得记住的那句话：侨民不只是在支持这套基础设施，侨民就是这套基础设施。

那正是整个开放互联网赖以建立的设计原则，在炮火下受了检验。能在审查者面前存活下来的工具——Tor 的 Snowflake，它把成千上万志愿者的浏览器标签页变成一次性的、不断移动的中继；Jigsaw 的 Outline，为数以千万计的用户把被禁流量伪装成普通网页流量；URnetwork 的点对点覆盖网络，它把一条连接拆分到一张由用户运行的提供者组成的网状网上，使得任何单个节点都看不到完整流量，也不存在任何一个可以封锁、限速或传唤的咽喉点——它们都共享同一招。它们让被禁的流量看起来像被允许的那一类，并且拒绝依赖任何一个国家能够夺取的单点。一个建立在每家服务商都装有检测设备之上的碎片化互联网，不是靠挖一条更大的隧道来击败的，而是靠拒绝给它一个可以掐住的喉咙。这正是审查者一开始就被迫沿梯子往上爬的原因：它在协议层赢不了，于是伸手去拿钝器。断网就是认输。

诚实的天花板

但一份诚实的稿件，会把天花板讲得和胜利一样清楚，因为一种凯旋式的解读会让人被捕。

代码无法为一次彻底断网打通隧道。当通往外部世界的网络被切断时——第三级——就没有什么可混淆的，也没有地方可路由；唯一从底下穿过的路径是一面卫星天线，而伊朗对其抗议期间出现的走私 Starlink 终端的回应，是引发高达 80% 丢包率的无线电干扰、没收终端，以及对持有者最高十年监禁的刑罚，于是这条天空路径保护的是勇敢的少数人，而不是一整个人口。代码也无法废除一部法律：当工具本身被入罪化时，斗争就从工程师的问题转到律师和组织者的问题上，而连接的个人代价也随之上升。而最硬的限制是人的限制——在俄罗斯这样一个接入良好、受教育程度高、却处于重度审查之下的国家，只有大约三分之一的人使用 VPN，且明显偏向年轻和富裕人群，约有一半人口根本不知道该怎么用。规避能力在很大程度上是本就占优者的韧性。

所以正确的主张是狭窄的，而这已经足够：规避是韧性，不是豁免。它在第一级和第二级上完胜，而大多数审查实际上就活在那里；在第三级和第四级上，它争取时间、把真相带出去，却无法独自取胜。950 万伊朗人穿了过去——而断网仍然发生了，仍然有人在黑暗中死去。教训不是这堵墙无害。教训是：在这场斗争通常发生的那些层面上，这堵墙是可以被打败的；而国家要逃到它打不败的那些层面，就必须付出代价——金钱上的、正当性上的，以及一个政府为了让自己的人民噤声而切断自己银行的那种奇观——一种它无法永远支付的代价。

民主国家造着同样的闸门

这一切都不只是关于威权国家的故事，而假装它是，正是民主国家梦游着走进去的方式。印度在断网数量上领先民主世界，而且已经领先多年。英国正在权衡对 VPN 的限制，并已建起一套推动识别每一个用户的年龄核验制度。欧盟正在起草会击穿"无日志" VPN 的数据留存规则。一个民主国家为了保护儿童或维护考试公正而建起的闸门，在架构层面上，与一个威权国家为了追捕异见者而建起的闸门是同一道闸门——一个咽喉点、一项身份要求、一根架在匿名连接工具之上的法律杠杆。闸门不会记得它当初为什么被装上；而按自由之家（Freedom House）的统计，互联网自由连续第十五年下降，正是闸门在政治光谱两侧同时被装上的声音。要点并不是伦敦就是莫斯科。要点是，一张碎片化互联网的基础设施正在自由国家和不自由国家同时被浇筑，而混凝土一旦浇下，就很难拆除。

反制，逐层来看

在 2026 年 7 月 4 日，究竟什么是站得住的？诚实的账目沿着那把梯子分开。

面对封锁与限速——第一级和第二级——用户侧的技术栈取胜，而这恰恰正是本刊所朝之建设的东西。模仿普通流量的抗深度包检测传输、没有固定地址可供拉黑的志愿者中继网、以及不把任何路由绑定到单一运营商、也不把完整流量交给任何单个节点的点对点覆盖网络：它们绕开了最常见的那些审查形式；而审查者在这一层推得越狠，就越有可能连带封掉被禁流量所模仿的那些普通流量。URnetwork 的提供者网状网正是押注在这一性质上——通过去中心化获得韧性，把网络的立身原则变成一件产品。

面对断网与被入罪化的工具——第三级和第四级——代码走到了尽头，斗争变成法律的与政治的。你无法把一项协议诉讼进一个已经切断线缆并把该协议定为非法的国家；在那里，要做的工作是在工具仍然合法的地方保住它的合法性、为侨民网状网和卫星后备方案提供资金、记录黑暗意在掩盖的那些暴行，并且——在那些仍在做决定的民主国家里——拒绝在一开始就浇下混凝土。这项论证的强版本，不是说技术能击败碎片化互联网。而是说技术、法律与人的团结共同拒绝给国家它所需要的那一样东西：一个能把多数人从多数人身边切断的单点。

绕开边界

互联网被设计成没有中心，是刻意为之。它的立身架构——自己找路的数据包、在故障周围重新配置的路由——由一群想要一张能在失去任何一部分之后仍能存活的网络的人建成；而这项工程的幸运副产品，是一张会把审查者的封锁当作被切断的电缆来对待的网络：视之为损伤，绕开它。碎片化互联网就是试图撤销这个幸运副产品——把网络当初刻意不要的那个中心装回去，好让终于有那么一个开关，在某个房间里，可以把一个国家关掉。

在 7 月 4 日，值得被命名的那项自由，是所有其他自由之下的那一项：不必征得任何政府许可、通过一张没有任何首都拥有的网络彼此触及的自由。去年，有 313 次，某个政府伸手去够那个开关。而 950 万人，在一天之内，在黑暗中，绕过了它。地图确实在一些地方正在变暗，而诚实的回应，既不是那种说碎片化互联网已经赢了的末日论，也不是那种说一件聪明工具就让边界失效的幻想。它是那种耐心的、毫不光鲜的工作：建设并守护一张没有喉咙可割的网络——在代码里，在法律里，也在那二十万名把自己的手机借给素未谋面之人的陌生人身上。

去建一张没有关闭开关的网络。只有这样的网络才会保持自由。

URnetwork 是一个用于抗审查传输的点对点覆盖网络，其设计通过把流量拆分到一张由用户运营的提供者组成的去中心化网状网上来抵抗网络层的深度包检测，使得任何单个节点都看不到完整流量，也不存在任何一个可以封锁、限速或记录它的咽喉点；它的代码是开放且可审计的，而它 2026 年 2 月发布的 MCP 服务器让智能体客户端可以在该覆盖网络上建立会话。它对自己的局限是诚实的：它能绕开封锁与限速，但——与所有规避手段一样——它无法为一次彻底断网打通隧道，也无法废除一部把工具定为非法的法律；这正是本期主张连接的自由必须同时在成文法与团结之中、而不只是在代码之中被捍卫的原因。

https://ur.io

在人类历史的绝大部分时间里，一个私密的念头有三重保护，而没有人需要给它们命名，因为世界本来就是那样运转的。第一重是必死性：日记被烧掉，记忆褪去，知情者死去，而你那句毫无防备的话也随之而去。第二重是隐私：一句低声的忏悔没有文字记录，墙壁不会做笔记。第三重是义务：你把最不堪的秘密告诉的那位神父、医生、律师，是被约束的——被誓言、被执业资格、被同时失去二者的威胁所约束——必须替你保守。

AI 聊天机器人一次性抹掉了这三重，而且它是在大约两年的时间里做到的。它不会遗忘；对话是一份完美的、带时间戳的、可检索的记录。它并不私密；它存放在一家公司的服务器上，被用来训练下一个模型，并且可以被交给法院。而它对你根本不负任何义务；它是一件产品，由一家公司出售，其服务条款保留了阅读你所输入内容并把它交给政府的权利。我们建造了物种历史上最私密的一间忏悔室，却忘了给它任何一项忏悔室历来都有的保护。

在 7 月 4 日，一个把自由言说的权利写进宪法的国家，或许可以停下来想一想它从未写下的那项更安静的自由：把某件事说给没有人听的自由——把想法说出声、忏悔、问出那个羞耻的问题，而答案不会变成证据。这项自由，正是忏悔机器在悄然终结的东西，而 2026 年就是法院把它正式确认下来的一年。

法院已经定下的事

十二个月里的三项裁定，终结了"你对 AI 说的话是安全的"这一幻想。

先从最锋利的那一项说起。已崩塌的金融公司 GWG Holdings 前董事长 Bradley Heppner 去年 10 月被以欺诈罪起诉。面对这桩案子，他做了越来越多人会做的事：他打开一款消费级 AI 聊天机器人——Anthropic 的 Claude——并独自使用它来梳理自己的辩护，生成了约 31 份法律论证文件，随后把它们分享给了自己的律师。检察官想要那些聊天记录。他的律师说那些享有特免权。而在 2026年2月17日，纽约南区联邦地区法院法官 Jed Rakoff 裁定它们并不享有。他的说理就是整个故事的缩影：他写道，法律所承认的每一项特免权，都要求存在 "a trusting human relationship"（一种基于信任的人际关系），且对方是 "a licensed professional who owes fiduciary duties and is subject to discipline"（一位负有受信义务、并受纪律约束的持照专业人士）。Claude 三者皆非。"Heppner does not, and indeed could not, maintain that Claude is an attorney."（Heppner 并未、事实上也不可能主张 Claude 是一名律师。）而且并不存在可供保护的保密期待，因为 Anthropic 自己的隐私政策保留了留存他输入内容、以之训练，并向 "third parties"（第三方）——包括 "governmental regulatory authorities"（政府监管机关）——披露的权利。你无法主张某样东西仍是秘密，如果你把它交给了一家公司，而这家公司在你一路点过去的条款里已经告诉过你，它可能会把它交给国家。

对这项裁定要说得精确，因为诚实的版本比标题更窄、也更有用。Rakoff 并没有裁定 AI 对话永远不能受保护；在 2026 年另外两起案件中，法院认定在律师指导下进行的 AI 辅助工作确实保有特免权。真正浮现出来的规则精确而致命：你现有的那些特免权，并不会延伸到覆盖一个你独自向其吐露心声的第三方 AI 供应商。忏悔室之所以曾经保护你，唯一的原因是另一头坐着一个持照的人。而这台机器不是那个人。

再说规模。在出版商与《纽约时报》对 OpenAI 提起的版权诉讼中，一位治安法官命令该公司提交 2,000 万条 ChatGPT 对话——这是一个抽样，约占它所保全的数百亿条中的 0.5%——而在 2026年1月5日，地区法院法官 Sidney Stein 予以确认。那堆记录里存放着最私密对话的那些用户，并不是这起诉讼的当事人。他们没有被通知。他们没有获得提出异议的机会。法院的说理是，他们已经 "voluntarily submitted their communications"（自愿提交了自己的通信内容）给 OpenAI——这是事实，而这恰恰正是要点所在：吐露这个行为，本身就是交出的行为。

而在这两者之下，是最安静也最致命的一个事实。2025 年 5 月，一位治安法官命令 OpenAI "preserve and segregate all output log data that would otherwise be deleted"（保全并隔离所有本会被删除的输出日志数据）——包括用户已经主动删除的聊天记录，以及隐私法本会要求它抹除的那些。有好几个月，"删除"是一个什么都没做的按钮。这道命令最终被逐步解除，但教训是永久的：在云服务上，删除是公司施予你的一项礼遇，直到某家法院叫它停下。删除键是一项界面惯例，不是一项保证。

每周十亿次忏悔

这件事之所以重要，在于规模与私密程度，而两者都比大多数人所意识到的更大。今年 6 月，ChatGPT 的月活用户越过约 10 亿，每天处理约 25 亿条消息量级的消息。而其中相当一部分消息并不是"帮我写封邮件"。《哈佛商业评论》2025 年那份关于人们实际如何使用生成式 AI 的调查，把心理治疗与陪伴放在了榜单最顶端。Common Sense Media 发现，72% 的美国青少年使用过 AI 陪伴产品。OpenAI 加入了一项"记忆"功能，让模型可以引用你过去的全部对话，这把一堆彼此分离的聊天变成了某种更危险的东西：一份纵向档案，一本会回话、且永不忘记任何一页的日记。

诚实要求给出反向的配重，因为这种私密程度很容易被夸大。OpenAI 自己的研究表明，明确属于个人性或情感性的交流只占总量的少数——大约在消息总量百分之几的量级。但这个统计数字并不能带来安慰，方向恰恰相反。每天 25 亿条消息里的百分之几，就是每天数以千万计的、一个人所能作出的最私密的披露，流入一个会留存它们、以它们训练、并且可以被强制要求提交它们的系统。私密性使用是流量中的少数，却是暴露风险中压倒性的多数。并不需要所有人都去忏悔，忏悔机器就已经是有史以来所汇集的、关于人类脆弱面最丰富的那一批藏品。

其他每一间忏悔室都是封存的

以下这一点，让 AI 忏悔室成为一种反常，而不是一种必然：法律已经花了两个世纪，一间接一间地小心封存了其他每一间忏悔室，而它同样可以封存这一间。

律师—当事人特免权最为古老，可追溯至伊丽莎白时代的英格兰。医生—患者特免权在普通法上甚至根本不存在——它完全是成文法的产物，最早由纽约州议会在 1828 年写入，原因正是立法者判断：如果医生可以被强制作证，人们就不会去求医。心理治疗师—患者特免权更年轻：最高法院直到 1996 年才在 Jaffee v. Redmond 案中予以承认，理由是保密性的咨询服务于一种重要到法律应当为保护它而压制哪怕是相关证据的公共利益——而且很能说明问题的是，法院拒绝让法官逐案去权衡从而把这种保密性衡量掉，因为 "a privilege whose scope is uncertain is little better than no privilege at all."（一项范围不确定的特免权，比没有特免权好不了多少。）再加上五十个州全部承认的神职人员—忏悔者特免权，以及配偶特免权，你就得到了一个反复作出同一判断的法律传统：有些对话必须能够被安全地说出口。

而 AI 忏悔不具备其中任何一项。它之所以不具备，也正是它如此难以修补的原因。

给这台机器一项特免权？

显而易见的回应——也是 Sam Altman 的回应——是像封存旧忏悔室那样去封存这间新的。2025 年 7 月，在 Theo Von 的播客上，这位 OpenAI 的 CEO 说出了他自己的产品所造成的事实："人们把自己人生中最私密的破事都说给 ChatGPT 听"，把它当作"一个治疗师、一个人生教练"来用。而且，他接着说，"如果你把这些问题说给治疗师、律师或医生听，是有法律特免权的……而对于你跟 ChatGPT 说话这件事，我们还没把这一块想明白。"他把这个空白称为"非常糟糕的一件事"，并恳求确立媒体后来称之为 "AI privilege"（AI 特免权）的东西。以其最强的形态来看，这是一个有力而人道的主张：聊天机器人已经成为数以亿计的人的忏悔室；法律庇护过此前的每一间忏悔室；让这一间赤裸着，是一个值得纠正的历史偶然。

但仔细看，这个解法会在你手里化掉，理由有三，而且都是法律本身提供的。第一，特免权是一个带例外的承诺。每一项真实存在的特免权都有豁除条款——犯罪—欺诈例外自 1906 年起就一直在刺穿律师—当事人保密——所以哪怕真的确立了一项"AI 特免权"，它也会恰恰在国家最想要那些日志的那些案件里蒸发。第二，它会保护错误的一方。Altman 在恳求这件事的同时，OpenAI 正在对抗一道要求提交聊天记录的法院命令，而他自己的公司正被起诉；一项封存忏悔的特免权，同时也把公司那份两千万条日志的蜜罐从证据开示中封存了起来。它是一面披着用户权利戏服的企业护盾。第三，也是最难的一点——正是这些日志，才让我们知道这台机器根本就是危险的。这把我们带到了没有人愿意写的那一部分。

证据开示堆里的死去少年

忏悔机器已经有了死亡人数，而它的记忆就是证据。

2024 年 2 月，一位名叫 Sewell Setzer III 的十四岁少年，在与一个 Character.AI 陪伴机器人对话数月后自杀身亡。他母亲对 Character.AI 与谷歌提起的诉讼，完全建立在那些聊天记录之上；一位联邦法官准许此案继续进行，裁定该聊天机器人是一件 "product"（产品），而非受保护的言论；2026 年 1 月，两家公司就横跨四个州的一批此类案件达成和解。各州总检察长随后跟进：肯塔基州 1 月起诉，宾夕法尼亚州 5 月起诉，涉及一个据称冒充持照精神科医生、并伪造执照号码的机器人；而在 2026年6月1日，佛罗里达州成为第一个直接起诉 OpenAI 与 Sam Altman 的州——其诉状援引称，佛罗里达州立大学枪击案凶手曾 "consulting ChatGPT on what guns to use, what ammo to use, what time of day to carry out the attack."（就使用何种枪支、何种弹药、在一天中的什么时间实施袭击，咨询过 ChatGPT。）

请与这份张力共处，因为它是整期文章诚实的核心。让忏悔机器成为一个监控蜜罐的那些被留存的日志，正是揭露它对儿童构成危险的那些日志。一项笼统的"AI 特免权"——也就是 Altman 所要求的那个解法——会把恰恰这类证据置于禁区之外。你无法一边要求这台机器的记忆对国家封存，同时又要求它对一个死去孩子的父母开放。这就是 AI 保密性辩论核心处的那个死结，而任何告诉你这件事很简单的人，都是在向你推销什么东西。那项会保护无辜倾诉者的特免权，同样会保护那家放任机器人诱哄一名青少年的公司。

有一条走出这个死结的路，但它不是特免权。

每一次忏悔，都离一次泄露只有一步

在说出口之前，还有一个理由说明这个蜜罐无法维持：它不只是被传唤，它还会泄露。2025 年 7 月，约 4,500 条用户"分享过"的 ChatGPT 对话被发现已被 Google 搜索索引，任何人都能读到。2026 年 2 月，一个配置错误的数据库暴露了单一款 AI 聊天应用中 2,500 万用户的约 3 亿条消息。2026 年 5 月，安全研究人员发现约有一百万项 AI 服务暴露在公共互联网上——其中包括数以千计未做安全设置、直接面向全世界的本地模型服务器。以"隐私"为卖点的浏览器扩展被抓到在悄悄转卖用户的提示词。而 Anthropic 在 2025 年 8 月转向了一种默认对消费者聊天进行训练并最长留存五年的模式。你敲下的每一件私密之事都正在被复制、被留存，并且——通过法院命令、通过配置错误，或者通过商业模式——被置于可能被提交的风险之中。一堆人类最私密的自陈，是有史以来所汇集的最诱人的单一目标，而每一堆此类数据的历史都表明：它最终会溢出来。

特免权是一个承诺；遗忘是一项保证

出口在这里，而它是架构性的，不是法律性的。

唯一无法被传唤、无法被反删除、无法被泄露、也无法被某项例外豁除的忏悔，是那句从未被存放在别人服务器上的话。在 2026 年，这已经不再是发烧友的幻想。你可以完全在自己的机器上离线运行一个真正有能力的 AI，它不会写下任何服务器日志，因为根本没有服务器。工具是免费而成熟的——Ollama，如今每季度提供数以千万计的模型下载量；LM Studio；Jan。模型是真实的：2025 年 8 月，OpenAI 自己以宽松许可发布了开放权重模型 gpt-oss，其中较小的那个可以在一台内存 16 GB 的笔记本电脑上运行，并接近其自家托管的中档模型的质量。阿里巴巴的 Qwen、DeepSeek、Meta 的 Llama 和谷歌的 Gemma 填满了一片广阔的开放领域。Apple 提供了一个完全在你手机上运行的小型语言模型，并把更难的查询路由到一套名为 "Private Cloud Compute"（私密云计算）的系统，其隐私主张不同寻常地是可验证的——Apple 公开签名的软件镜像，并允许研究人员检查它们。本地模型在构造上就是遗忘：没有什么可保全，没有什么可提交，也没有什么可泄露。

现在轮到本系列所欠的那份诚实，因为架构只有在你说清它的代价时才算是一项保证。本地模型仍然落后于前沿——按最好的独立衡量，开放模型比顶尖闭源模型落后大约四个月，并存在一段有意义的能力差距；而真正能与前沿匹敌的那些版本需要数据中心硬件，而不是一部手机。"直接在本地跑就行了"在今天是技术上装备齐全者的特权，而且它丝毫没有触及那十亿仍将继续使用云端聊天机器人的人。Apple 的 Private Cloud Compute 是目前最强的云端隐私设计，但它仍然要求你信任 Apple 的芯片与供应链——可验证并不等于无需信任。保存在你自己磁盘上的本地聊天记录，仍然可能从你自己的设备上被扣押。而最硬的那道限制来自上一节：一台不留日志的遗忘机器，同样不留下儿童被诱哄的证据，也无法提供任何服务器端护栏，去打断一个正在描述自伤计划的青少年。庇护无辜者的那份遗忘，也移走了脆弱者的安全网。一个隐藏了这项代价的隐私论证，只是另一种形式的过度声称。

所以诚实的综合要同时持守两项真相。架构胜过承诺——从未被留存的数据无法被传唤、被提交或被泄露，而这是任何"AI 特免权"都提供不了的一类保护。但架构必须与一场关于能力、以及关于儿童安全的清算配套，否则它就会变成它所取代的那种同样的一厢情愿。

反制，逐层来看

用户侧的答案在哪里取胜，又在哪里走到尽头？

它在忏悔本身这一层取胜。对于想把想法说出声、却不想因此建起一份可被证据开示的记录的人，本地模型是干净的答案，而且它每个月都在变好。对于那些必须发生的云端查询，把痕迹最小化是真实可行的：关闭训练、使用临时对话，并把网络层路由通过像 URnetwork 这样的私密覆盖网络，使得"谁在哪里问了什么"这份元数据本身不会变成一份日志。Oracle 级别的泄露事件和那道两千万条日志的命令，正是支持它的论据：你无法丢失、传唤或泄露一段只存在于你口袋里那台设备上的对话。

它在能力与照护这两处走到尽头。前沿住在云端，而大多数人会跟着它到那里去；对他们而言，这场斗争不是架构性的，而是法律与政治性的——一场关于留存默认值、关于有意义的删除、关于"去标识化"在两千万条规模上还有没有任何含义、以及关于一种纯粹私密的架构无法满足的儿童安全义务的斗争。两半都是真实的。向一台机器吐露心声的人，值得拥有一个会遗忘的选项；而一个允许自己的孩子向机器吐露心声的社会，需要一台遗忘的机器无法提供的护栏。同时持守两者，才是这场论证的成年人版本。

说给一个会遗忘的东西听

忏悔机器是有史以来所建造的最有用、也最危险的隐私物件，而这两个事实是同一个事实。它有用，正因为人们什么都告诉它；它危险，正因为它保留了人们告诉它的一切。Sam Altman 说这个空白"非常糟糕"，这一点他是对的；他关于疗法的看法则是错的。特免权是在请求国家承诺不去读一堆仍将存在、仍会泄露、并且在下一条例外被写出来时仍会被打开的东西。它治的是症状——阅读——却保留了病灶——那一堆东西。

更古老的那些忏悔室之所以安全，不只是因为法律保护它们，还因为它们会遗忘。日记被烧掉。低语消散。神父带着你的秘密死去。这台机器的危险恰恰在于它一样都不做；而最深层的答案，不是让国家发誓它不会偷看。而是去建造一间不留任何记录的忏悔室——把那件羞耻的、必要的、属于人的话，说给一个无法被迫复述它的东西听，因为它自始就没有握着它。

在 7 月 4 日，在一个保护你可以说什么的国家里，值得捍卫的是它之下那项更古老也更安静的自由：把某件事说给没有人听、并让它保持未被说出的自由。如果你能争取到一项特免权，那就给这台机器一项；它会帮到那十亿留在云端的人。但如果你想要的是一项保证而不是一个承诺，那就去建造那台会遗忘的机器。最安全的忏悔，是这台机器从未留存过的那一句。

URnetwork 是一个用于抗审查传输的点对点覆盖网络，其设计用以抵抗网络层的深度包检测；它 2026 年 2 月发布的 MCP 服务器让智能体客户端可以在这个点对点覆盖网络上建立会话，把传输从运营商层抽象出来。它是一件路由与保密工具，对自己的局限是诚实的：它能把一次云端 AI 调用的元数据痕迹最小化，也能把本地优先的架构承载在一条抗审查的路径上，但它无法让一个云端模型遗忘——只有自己运行模型才能做到这一点；这正是本期主张忏悔机器的持久保护是架构性的、必须被建造出来而不只是被立法出来的原因。

https://ur.io

每年7月4日，这个国家都会背诵一份自由清单——言论、出版、集会，以及不被士兵强行驻扎在自家屋里的权利。有一项不在那张羊皮纸上，因为在1776年它还不需要写上去：打造属于你自己的隐私工具的自由。锻一把锁。用一块一旦被拆开就会留下痕迹的火漆封住一封信。用机器听得懂的语言，写下一条指令，让一场对话只留在两个人之间，再无第三者。

1776年，这项自由属于匠人，而且被视为理所当然。2026年，隐私的工具是软件，软件由开发者写成，而开发者是可以被逮捕的。于是那项曾经不言而喻的自由，如今成了受审的那一项——不是进行一场私密对话的自由（十年的加密工作已经大体守住了它），而是造出那样东西、并且把它送出去，同时不必为陌生人的罪行负责的自由。

先从胜利说起：这个国家曾经回答过这个问题。

那场赢下的先例——以及它有多窄

1990年代初，美国政府把强加密归类为武器。在政府看来，发布一段密码算法的源代码就是出口军火；它和步枪、弹头一起被列在《美国军品清单》（United States Munitions List）上。伯克利一位名叫 Daniel Bernstein 的数学研究生写了一套加密系统，取名 Snuffle；当他打算发表源代码和一篇解释它的论文时，被告知必须先注册为军火商，并取得国务院的出口许可。在电子前哨基金会（Electronic Frontier Foundation）的支持下、由 Cindy Cohn 担任首席律师，Bernstein 提起了诉讼。

他赢了，而那些措辞值得留下来。1999年，第九巡回上诉法院的一个合议庭判定源代码是受第一修正案保护的言论，判词写道："cryptographers use source code to express their scientific ideas in much the same way that mathematicians use equations or economists use graphs."（中文大意：密码学家使用源代码表达其科学思想，与数学家使用方程、经济学家使用图表的方式大体相同。）地区法院法官 Marilyn Hall Patel 说得更直白："like music and mathematical equations, computer language is just that, language, and it communicates information."（中文大意：正如音乐和数学方程一样，计算机语言就是语言，而它传递信息。）再加上同一脉络的 Junger v. Daley 案——第六巡回法院在2000年判定源代码是 "an expressive means for the exchange of information and ideas"（中文大意：一种用于交流信息与思想的表达手段）——以及政府针对 Phil Zimmermann 发布 PGP 长达 3 年的大陪审团调查悄然收场，这些案件赢下了第一次密码战争。它们是民用强密码学的法律地基——HTTPS 的地基、PGP 的地基、Signal 的地基，也是欧盟"聊天管控"（Chat Control）运动去年秋天在理事会撤回表决时未能攻破的那种加密的地基。

但要老实对待这场胜利，因为它的确切形状才是全部要点。那份被反复引用的第九巡回判决后来被撤销了：政府申请全院重审，全院撤回了合议庭的判决，随后行政部门放宽了出口规则，案件也就失去了实际意义。"代码即言论"学说史上被引用最多的那句话，活在一份已被撤回的判决里。真正稳固的先例是 Junger。而这项自由本身，来自政策选择的成分——2000年1月商务部对出口规则的改写——不亚于来自任何一道法院命令。一届政府放宽的东西，另一届政府可以重新收紧。

更重要的是：法院保护的是把代码作为表达发布的自由。它们从未判定用软件所做的每一个动作都是言论。你可以写下那套密码算法、把它贴出来、讲授它；这些受保护。而你是否可以运行那项服务、运营那个工具，或者在陌生人经由它转移价值时收取费用——这个问题，密码战争从未回答。政府在2026年一整年撬的，正是这道没被回答的缝。

一个工具里的两项自由

一个隐私工具需要两项自由，而这场运动把自己的十年花在了守住其中一项上。

第一项是发布的自由——写出算法，并作为表达把它发布出去。Bernstein 案和 Junger 案赢下了这一项，它大体上是稳固的。没有哪家美国法院会判定，贴出一段密码算法的源代码是犯罪。

第二项是运行的自由——部署那个工具、运营那项服务、让人们使用它，而作者不必为他们拿它做了什么背锅。这项自由从来没有被正面赢下来过，而在2026年，它正在失去。因为政府学到了密码战争的教训：不要去禁那套数学，数学是表达，法院会保护它。要起诉的是那个部署它的人，依据一部为银行写的法律。把用代码实施的行为重新界定为犯罪，Bernstein 案就根本进不了法庭。

看着这一招上演三次。

他们拦不住那份合约

Tornado Cash 不是一家公司。它是一组运行在以太坊上的自治、不可变智能合约——这些代码不持有任何用户资金，没有运营者，一旦部署，写它的人就无法再修改或关停它，正如一本开锁手册的作者无法伸手进一场入室盗窃。这个事实不是修辞；一家联邦上诉法院已经就此作出裁判。2024年11月，在 Van Loon v. Department of the Treasury 一案中，第五巡回法院判定，Tornado Cash 的不可变合约不是任何人能够拥有或控制的 "property"（中文大意：财产），因而财政部对其实施制裁属于越权。财政部于2025年3月将该协议移出制裁名单。

然而，就在同一个时间窗口里，司法部把这个协议的联合创始人送上了法庭。2025年8月，曼哈顿的一个陪审团认定 Roman Storm 合谋经营无牌资金传输业务罪名成立——这是一项最高 5 年的罪名——而对另外两项重罪，即合谋洗钱和合谋违反制裁（各自最高 20 年），陪审团未能达成一致。Storm 申请判决无罪。2026年3月，政府请求就悬而未决的罪名重新审理，提议10月开庭。在4月的听证会上，法官 Katherine Polk Failla 对政府一方步步紧逼：当政府律师主张，即便是服务守法用户也可能构成洗钱——因为干净的钱会让一个混币器更善于藏住脏钱——她打断道："你开始说话之前，你的表现还要好一些。"截至今年7月4日，她尚未作出裁定，重审日期未定，Storm 保释在外。

第一修正案抗辩——即 Storm 发布的是受保护的代码——在开庭前提出并被驳回。Failla 法官认定，代码的功能性能力不属于受保护的表达，并且禁止双方在陪审团面前提出任何第一修正案论证。这就是那道缝：不是"你不得发布这个"——这么打国家会输——而是"你运行了它，你传输了价值"，这就完全绕开了 Bernstein 案。

诚实要求把难的那部分也说出来，因为这不是一个干净的殉道者。政府指控有超过 10 亿美元的犯罪所得流经 Tornado Cash；取证公司 Elliptic 认定，在总额约 70 亿美元中，可识别的非法资金约为 15 亿美元——大约五分之一。朝鲜的 Lazarus 集团把从 Ronin 跨链桥盗走的 4.55 亿美元通过这个混币器过了一遍。Storm 和他的联合创始人套现了 1,200 多万美元。混币器比浏览器更能把犯罪聚集起来——这是诚实的那一半，应当明白地承认。但"聚集"是关于用户的事实，不是把作者关起来的理由。给 Storm 定罪的那套理论并不止步于坏人：它让一名开发者为他无法关停的通用代码的功能性用途承担刑事责任。照这个逻辑，任何两用技术的制造者都要为其最坏的使用者负责。问题从来不是一个隐私工具是否曾经被用于犯罪；每一件有用的工具都会。问题是我们是否为此起诉制造者。200 年来，答案一直是否定的。

检察官无视的那份备忘录

如果说 Storm 案是有争议的那一个，Samourai 就是更干净的那一个。

Samourai Wallet 的设计是非托管的——用户自己持有私钥，软件被造成从不托管任何人的币。它有争议的两个功能是 Whirlpool（把用户的币混合起来，切断可追溯的链条）和 Ricochet（增加跳转以模糊踪迹）。它的创始人 Keonne Rodriguez 和 William Hill 于2024年4月被捕，2025年7月就合谋经营无牌资金传输业务这一项罪名认罪，并在去年11月被判刑：Rodriguez 5 年——法定最高刑——Hill 4 年。政府的理论是，Whirlpool 的协调器在功能上控制并再传输了价值，而这两个人明知故犯地招揽犯罪用户；辩方则说，这个钱包严格非托管，完全合法。由于两人都认了罪，从未有法院裁断哪一方是对的。两名写出并发布了隐私软件的开发者身在监狱，而那个核心法律问题始终没有得到答案。

他们进监狱，是在司法部自己有成文政策的情况下。2025年4月，副总检察长 Todd Blanche 发布了一份题为 "Ending Regulation By Prosecution"（中文大意：终止以起诉代替监管）的备忘录，解散了加密执法团队，并明白写道，司法部 "will no longer target virtual currency exchanges, mixing and tumbling services, and offline wallets for the acts of their end users."（中文大意：将不再因终端用户的行为而针对虚拟货币交易所、混币与滚币服务以及离线钱包。）然后它继续针对它们。Storm 案和 Samourai 案的起诉照旧推进；政府向法院表示，无论如何都会继续追究 Storm。他们进监狱，也是在财政部自己自2019年起就写在册子上的指引之下——该指引认为，非托管软件钱包的提供者根本不是资金传输者。政府绕过了自己的备忘录和自己的规则手册，办法是死抠一个词——willful（明知故意）——并主张这几名特定的开发者知道谁在用他们的工具。一个只要检察官愿意就会蒸发的安全港，从来就不是安全港。

如今国会里有这么多人认为法律需要重写，正是地面移动了多远的量度。2026年2月，一项两党法案《促进区块链开发创新法案》（Promoting Innovation in Blockchain Development Act）被提出，拟修改资金传输法条，使其只及于真正 "exercise control over"（中文大意：对……行使控制）客户资金的人——也就是说，恢复检察官已经从法律中读掉的那条区别：造一个工具，和经营一家银行，不是一回事。到了2026年，需要国会一项两党法案，才能重新申明密码战争本应已经了结的那件事：写代码不是经营资金传输业务。

合法不等于买得到

这一招的第三次上演是金融性的，而且根本不需要法庭。

没有人禁掉门罗币或 Zcash 的数学。监管机构做的是更安静、也更有效的事：切断入金通道。依照金融行动特别工作组（FATF）的 "travel rule"（中文大意：旅行规则）——如今已是 50 多个法域的法律——受监管的交易所必须为每一笔转账附上经过验证的发送方与接收方身份，而一枚为隐私而设计的币在技术上让这件事不可能做到。于是交易所走了。据业内一项统计，2025年内大约有 73 家交易所下架了某种隐私币；OKX、Binance 和 Kraken 早在2024年就已经把门罗币摘掉。欧盟新的《反洗钱条例》走得更远：自2027年7月1日起，禁止受监管机构接触 "anonymity-enhancing coins"（中文大意：增强匿名性的币）。持有这些币依然完全合法——两个个人之间私下的、自托管的转账被明确排除在禁令之外。但一个普通人可以买进或卖出它们的场所正在关闭，一次一个合规决定。

这是"起诉工具"的市场准入版本，它产出的是一项在纸面上存活、在实践中死去的权利。你可以合法持有门罗币，同时在任何你还开着银行账户的地方都无法合法买到它。合法不等于买得到。而有教益的尾声是 Zcash——这枚隐私币如今正在上升，恰恰因为它内置了一道门：它的 "view keys"（查看密钥）让持有者可以有选择地向审计方披露一笔交易。在这场挤压中活下来的隐私工具，是那种自带让当局往里看的通道的工具——也就是说，合规版本的隐私，按其构造就更不私密。这就是眼下到处都在提供的交易条件：隐私你可以留着，只要它对国家不私密。

起诉工具，放过囤积

这与意识形态无关。它关乎一个政府把权力指向哪里。

在国家把过去 12 个月花在起诉那些建造者——他们造的工具从设计上就让数据不必被收集——的同时，那些什么都收集的保管者正在以现代史上没有对照的规模把数据丢掉，而他们当中没有一个人坐在被告席上。

工具只有一家供应商。自2025年8月以来，勒索团伙 Clop 一直在利用 Oracle E-Business Suite 软件中的一个严重漏洞，洗劫运行它的机构：哈佛、宾夕法尼亚大学、凤凰城大学（近 350 万人）、达特茅斯（社会安全号码和银行账户信息）、《华盛顿邮报》、罗技、施耐德电气，还有几十家。今年春天，第二个团伙 ShinyHunters 利用了 Oracle PeopleSoft 软件中的另一个严重漏洞，据谷歌统计，攻陷了 100 多家机构的 300 多套系统，其中大多数是大学。随后，6月下旬，第三个 Oracle 严重漏洞开始在野外被利用，到7月2日，研究人员追踪到 900 多套暴露在外、仍可被攻击的 Oracle 系统。一周泄露事件汇总里的残骸：日本六家运营商的 1,422 万个邮箱登录凭据；日产员工在四个国家的社会安全号码和银行账户信息；来自器械厂商美敦力（Medtronic）的 900 多万份医疗记录——姓名、出生日期、社会安全号码、健康信息。

现在把两本账并排放着看。一本上，一名开发者造出的工具什么都不持有——没有托管、没有蜜罐、没有可以丢掉的数据库——面对的是 5 到 45 年。另一本上，那些什么都囤、却什么都没保护好的机构，丢掉了数以亿计的人的身份记录。这些保管者会面对数据泄露诉讼和监管罚款，一如既往——但没有哪个高管面对非托管钱包开发者所面对的个人刑事风险敞口。到目前为止没有人被起诉。而那个显而易见的反驳——保管者是第三方犯罪的受害者，法律不会因为你被抢劫而把你关起来——是公允的，也是可以回答的：泄出一亿份身份记录的过失本身就是一种行为，而我们每天都在把危险性远小于此的过失入罪。要点不是"一次泄露等于运营一个混币器"。要点是，这本账上只有一侧承担任何个人刑事风险。

在一份自治合约上收取中继费是一种行为——可以。但把一亿个社会安全号码堆放在一台未打补丁的服务器上，同样是一种行为。政府用来对付隐私开发者的"功能性对表达性"这条线是真实存在的；自2001年 DVD 解密系列案件以来，法院一直在画它。丑闻不在于这条线存在。丑闻在于，这条线只落在这本账的隐私那一侧。

国内的镜像

你可以在恰好于7月1日生效的那些"保护性"法律内部，看到同样的逻辑以更温和的方式运转。

有些是真实的进步，诚实要求给予肯定：康涅狄格州修订后的隐私法案现在把你的脑电数据和政府身份证件号码视为敏感数据，并且首创性地要求企业披露是否用你的数据训练大语言模型；最高法院在6月29日的 Chatrie 案中判定，调取你手机的位置历史属于第四修正案意义上的搜查。这些是成文法和宪法在做用户侧工具做不到的事。

但看看年龄验证浪潮的机制，同样的模式又出现了。这里的利益是真实的——保护未成年人是一件严肃的事，去年6月最高法院在 Free Speech Coalition v. Paxton 案中以 6–3 认可了年龄核查。它没有认可的是机制：要把未成年人挡在一个平台之外，你必须核查每一个人的年龄，也就是每一位成年人都要证明自己是谁，才能接触合法的言论——匿名本身被重新定性为一种合规失败。反弹落在哪里，很能说明问题。在内布拉斯加州的社交媒体年龄验证法即将生效的两天前，一位联邦法官下令禁止其执行，认定它很可能侵犯用户和平台的第一修正案权利。当年在 Bernstein 案中让代码成为言论的那套学说，如今在保护读者不表明身份就到场的权利。而在曼哈顿的一间法庭里，相反的本能正在上演：一位法官命令 OpenAI 保存其用户已经删除的聊天记录，并向诉讼当事人交出 2,000 万条去标识化的对话——数据最小化反着跑，囤积因法院命令而扩大。当保管者搬出其用户的隐私时，它输了。当开发者搬出"代码即言论"时，他也输了。这条贯穿线成立：建造和阅读的小角色被管制；巨型囤积者则被传票逼着继续变大。

离开的开发者

这一切还有一项在任何案卷上都不会出现的代价：一个领域的悄然外迁。

去年11月，GrapheneOS——这套加固型移动操作系统是开源世界的皇冠明珠之一——把服务器撤出法国，并告知自己的开发者不要前往该国旅行或工作。"法国对开源隐私项目来说不是一个安全的国家，"该项目写道，"他们指望加密里有后门，也指望能拿到设备访问权。"确切的事实很重要，而且它们比一道禁令割得更深：法国并没有把 GrapheneOS 定为非法，而且2025年3月法国国民议会实际上否决了一项加密后门提案。GrapheneOS 还是走了——出于预防，因为它周围的气候已经吓人到让离开显得审慎。这就是那个破绽。你不需要把一个隐私项目定为非法才能把它赶走。你只需要让它的开发者害怕出行、让它的基础设施害怕自己的托管地。寒蝉效应不是起诉造具者的副作用；它就是那个作用。一个把撰写隐私软件推定为可疑的国家会失去这些作者——失于匿名、失于其他法域、失于沉默——而且早在它赢下任何一个案子之前就已经失去了他们。

逐层看反制

那么在2026年7月4日，究竟什么是守得住的？诚实的账目分得很干净。

开源技术栈赢在哪里——机密性与路由。内容层是强的，而且在变强。Signal 默认向数千万人提供端到端加密，并已加固其棘轮以抵御明天的量子解密；Tor 和加固型移动基线让设备与传输保持稳固；GrapheneOS 正在从 Pixel 硬件扩展到摩托罗拉手机；URnetwork 的点对点覆盖网络让流量走一条抗审查、抗 DPI 的路径，且不把任何传输绑定到已注册的身份上；Zcash 的屏蔽池在持续增长。面对一个想要读取你的消息或封锁你的路径的对手，这些是有效的——而且它们恰恰是让任何保管者能囤积的东西最小化的工具。Oracle 的连环漏洞正是支持它们的论据：你丢不掉一个从来没被要求收集的社会安全号码。

它在哪里用尽——开发者与入金通道。面对一个想要起诉写了或运行了这个工具的人、或者想要让能让你使用它的交易所下架它的对手，同一套技术栈薄到几乎什么都不剩。没有哪个客户端原语能击败一份资金传输的起诉书；加密不会让一名开发者被撤销指控；点对点覆盖网络能绕开网络封锁，却绕不开法庭或合规部门。这条前线不是靠代码防守的，因为它不是一个技术问题。它的防守——如果有的话——靠的是"发布一个工具属于受保护的表达"这一论证，靠的是像那项区块链开发法案那样恢复"建造"与"运营"之间界线的成文法，也靠的是一个拒绝接受"撰写隐私即犯罪"的公众。我们恰恰强在我们组织过的地方——数学、协议、消息的机密性——也恰恰弱在我们没有组织过的地方。

写下，而非犯下

本期通篇捍卫的这条区别很古老，而这个国家曾经懂它。私配钥匙的人是罪犯；开课教开锁的锁匠不是。洗钱的人是罪犯；发表了那套密码算法的数学家不是。抢银行的人是罪犯；做逃跑用车轮胎的人不是。写下并发布一个工具，与犯下某人可能用它去犯的罪，不是同一回事——而历史上每一项两用技术，从印刷机到折叠刀再到端到端加密，都依赖这条线守得住。

在2026年7月4日，这条线就是战场所在。机密性我们知道怎么守；今年我们又证明了一次。建造这些防御的自由——写下代码、运行工具，并且不为陌生人的罪行负责——才是如今受审的那一项，而它是第四修正案单靠自己保护不了的自由，因为它无关政府可以搜查什么。它关乎一个公民可以造什么。

一个工具被写了出来。而罪行——如果确实有过一桩——是别人犯下的。一个再也分不清这两个行为的国家，会留住加密而失去加密者——然后，很快，失去加密者正在建造的那项自由：不必先请求许可就能发言、阅读、结社和交易的自由。那项自由不在羊皮纸上。它无论如何都必须被捍卫，而今年就是那一年。

写一个工具不是犯罪。隐私不是犯罪。这条区别就是全部——而撰写一个自由社会所需工具的自由，正是接下来这十年要花力气夺回的那项自由。

URnetwork 是一个用于抗审查传输的点对点覆盖网络，设计上抵抗网络层的深度包检测；其2026年2月发布的 MCP 服务器让具备代理能力的客户端可以在该点对点覆盖网络之上建立 VPN 会话，把传输从运营商层抽象出来。它的代码是开放且可审计的——正是在本期所捍卫的那个意义上，作为受保护的表达而发布。它是一个机密性与路由工具，对自己的边界很诚实：它保护你说什么、以及你怎么连接；而且和所有这类工具一样，它本身无法击退针对写下它的人的一场起诉——这也正是本期主张"建造隐私的自由必须同时在法院和成文法里、而不只是在代码里被捍卫"的原因。

https://ur.io

先说今天变了什么，因为它小、精确，而且指向某种巨大的东西。

自2026年7月1日起，《康涅狄格数据隐私法》把你的神经数据当作敏感数据对待。在一部州隐私法的机制里，这是一步很窄的动作："sensitive data"（敏感数据）是一个要求选择加入同意的层级，而不是管辖普通个人数据的那种较弱的选择退出；而且——依据同一项修正案，即参议院第 1295 号法案——它还剥掉了通常让小公司获得豁免的规模门槛。用大白话说，一家读取康涅狄格州居民脑信号的公司现在必须先问，出售前还得再问一次。康涅狄格是第四个这么做的美国州，前面是科罗拉多——它在2024年夏天写下了全国第一部神经数据法——然后是加利福尼亚和蒙大拿。四个州。其他所有地方，你的大脑数据由设备厂商写进一份你没读过的政策里的任何内容来管辖。

被监管的东西不是实验室，也不是医院。它是一整架已经存在的消费产品，而且把自己宣传成监控的反面：让你平静的、让你专注的、让你睡得更好的设备。一条脑电头环承诺，通过告诉你什么时候走神来加深你的冥想。一只耳塞声称能测量你的专注度，好让你保护它。一条睡眠带用你大脑的电节律给你的夜晚打分。每一件的原理都是：把电极贴在你头皮附近，读取你神经元的微弱电压，再把那个信号送到你手机上的一个 App——也就是说，离开你的身体，进入一家公司的服务器。而由于这件设备是作为养生品而不是医疗品出售的，它不是医疗器械，它的数据不是医疗数据，而 HIPAA——几乎所有人都以为在守着任何与大脑有关之物的那部法律——对此无话可说。HIPAA 约束医院、诊所、保险公司及其承包商。它不约束一家头环公司，而一家头环公司不会因为碰了你的大脑就变成医院。

市场涌入这个缺口的方式，和它一贯的方式一模一样。2024年，神经权利基金会（Neurorights Foundation）读遍了 30 家消费级神经科技公司的细则，发现其中 29 家——除一家之外全部——"看起来都能访问消费者的神经数据，且对这种访问没有提供任何实质性限制"。大多数政策含糊到说不清一次转移算不算一次"出售"。只有五分之一哪怕提到了给信号加密；只有十分之一做全了一位隐私专业人士会视为入门标准的全部基本防护。你为平静和专注而被采集的大脑活动，在几乎每一个情形里，都是一项公司保留了转手权利的资产。这就是那四部州法在回应的状况，也是另外 46 个州原封不动留下的状况。

既不是恐慌，也不是耸肩

这里本期必须小心，因为神经数据是少见的那类隐私题材：它招来的炒作和轻蔑一样多，而两者都以很有教益的方式错着。

先说轻蔑的那一方，因为它听上去更老练，而且确实含着一个真相。消费级脑电读不出你的心思。它不过是几片干电极压在一个长满头发的脑袋上，隔着颅骨读取数十亿神经元被抹匀过的、低分辨率的平均值，而且每一次眨眼和咬牙都会把它搅坏。它能大致分辨你是放松还是警觉、困倦还是投入；它能给睡眠分期；它能猜出一个大概的情绪天气。它无法还原你正在想的一句话、你脑中的一幅图像，或者你正守着的一个秘密——而且这个限制不是一个明年靠更好的模型就能补上的软件缺口，它更接近一个物理天花板，由从神经元到头皮这一路上还剩多少信号所决定。任何告诉你这条头环知道你在想什么的人，要么在卖这条头环，要么在卖对它的恐惧；而"读脑"这套框架同时讨好了神经科技的营销者和贩卖恐慌的人。要认真对待这一点：一套建立在"心智已经是一本摊开的书"这一前提之上的隐私制度，是建在沙上的。

那些机器确实在解码某种类似语言的东西的地方，恰恰以它们离一条头环有多远来说明问题。最惊人的成果——德州大学奥斯汀分校2023年的一套系统，能重建一个人正在听到或想象的内容的大意——跑在一台房间大小的 fMRI 扫描仪上，需要来自那位特定受试者的约 16 小时训练数据，还原的是大意而不是原话，而且只要受试者去想点别的，就能把它挫败。那些让瘫痪患者重新说话的植入式言语接口，是把电极放进大脑皮层里；2025年有一个研究组在做内部言语的解码，发现信号强到他们专门内置了一道心念密码——患者在心里想一句选定的短语来打开解码器——这既告诉你这条前沿是真实的，也告诉你它目前住在神经外科手术的那一头。Meta 作为"神经接口"来营销的东西，读的是手腕上的肌肉信号，不是大脑；苹果已经取得专利的，是一款作为产品尚不存在的脑电耳塞。吓人的演示要么需要一台扫描仪，要么需要一场手术。货架上的那件东西，读的是你的情绪。

接下来是轻蔑那一方漏掉的部分，也就是趋势。现在就把这项权利写下来的理由，不是这些设备能读想法；而是它们能读情绪，情绪已经足以拿来卖，而且改进的方向一点也不隐晦——Neuralink 的电极阵列有 1,000 多个电极，而一条冥想头环有 4 个；机器学习每年都在变好；多模态传感把脑电和其他信号叠在一起。此前每一条数据前沿——你的位置、你的脸、你的基因组、你的身份——都是在技术还粗糙、危害还只是假设的时候被放着不管的；而等到危害无可否认时，市场已经围着那份数据成型，法律接下来的十年都在输给它。神经数据这一次，是立法者在传感器还很弱的时候就在给它命名的前沿。这不是恐慌。这是隐私法唯一一次有机会早到。

所以诚实的框架既不是"机器能读你的心"，也不是"不过是个养生小玩意儿，放轻松"。它是这样的：一具身体所发出的最私密的信号，如今是一条消费级数据流；它落在所有人都以为覆盖它的那部法律之外；采集它的公司绝大多数保留了出售它的权利；而把"你颅骨的里面"变成一个法律类别的窗口——赶在市场把它变成一件产品之前——此刻是开着的，而且不会开很久。

四个州，三种定义

"现在就把这项权利写下来"的难处在于，没有人确切知道该写什么，而那四部州法已经彼此不一致——这不是等待的理由，而是一张真正工作量的地图。

科罗拉多在2024年先行，把神经数据折进其隐私法的敏感数据层级，并要求选择加入同意。加利福尼亚随后修改了自己的消费者隐私法——但加州在四个州中独此一家，是通过较弱的选择退出式 "right to limit"（中文大意：限制权）而不是事先的选择加入来保护神经数据的，而且把仅仅由非神经信号推断出的信息排除在外。蒙大拿用的是选择加入。康涅狄格，从今天起，用的是选择加入，而且对神经数据的定义在所有州里最窄：只涵盖中枢神经系统的活动——大脑和脊髓——而加利福尼亚和蒙大拿还够到了外周神经系统，也就是那些神经和肌肉，它们承载的东西里就包括 Meta 正围着做消费产品的手腕信号。四个州；三个选择加入，一个选择退出；一个只管中枢，两个管中枢加外周。同样这两个词，"neural data"（神经数据），意思却有四种不同。

未来隐私论坛（Future of Privacy Forum）把这叫作神经数据的"金发姑娘问题"，而它是真实存在的。把这个类别定得太宽，你就会把每一条能推断心理状态的心率带和眼动仪都扫进来，而且可以说还会扫进大量普通医学研究，让与那种危害毫无关系的工作也蒙上寒蝉。定得太窄——比如只管中枢神经系统——你就会漏掉一家大平台正在向数百万人发货的腕戴式肌肉接口。没有干净的界线，因为大脑并不发出一个干净的信号，而一部法律必须在一团模糊里画出边界。但"定义很难"是一个要现在、在公开场合、认真去做定义工作的理由——而不是把消费经济里最私密的数据类别留给一个勾选框和一份没人读的政策去管的理由。一个难定义的答案，是一个更好的定义。绝不是不保护。

情绪经济

要看清这为什么值得费这个劲，就跟着钱走，因为驱动几乎整个消费互联网的商业模式，直指大脑。

广告经济靠推断运转：它不需要读你的心就能值上数十亿，它需要的是把你的注意力和情绪猜得足够准，好据此卖东西。20 年来，它一直是间接地做这件事的——靠点击、停留时长，以及你口袋里的加速度计。一件直接从源头报告你的专注度和情绪唤起水平的设备，不是另一门生意——它是同一门生意换了一个更好的传感器，是广告经济一直想要、却始终没能真正拿到的情感检测层。这就是情绪识别产业为何存在，是为何"神经营销"公司早已给焦点小组接上脑电，也是为何趋势比今天的保真度更重要：把一件冥想辅助品变成一条情绪信息流的动机不是假设，它是整个行业的默认引力；而横在传感器和那种用途之间的，只有一份公司自己写的、也可以自己改的政策。

监管机构已经开始注意到，情绪推断即便干得不好也是危险的。欧盟《人工智能法案》的禁止性条款于2025年2月生效，直接禁止在工作场所和学校使用情绪识别系统——而其理由中最惊人的一点是，监管者称这项技术既不可靠又具有强制性，这恰恰是对的，也恰恰是要点所在。它不需要好用就能伤到你。一个错的情绪分数可能让你被标记为不投入；一个对的情绪分数可能让你被自己的情绪管理起来。无论哪一种，危害都不会等着科学成熟。

职场里的大脑

强制问题不再抽象的那个地方，正是你无法说不的那个地方：工作。

那份本应让消费级神经科技可以被接受的同意——是你自己选择戴上的——在递给你设备的人同时给你签工资单时，就悄悄消失了。读取司机或矿工脑电以捕捉微睡眠的疲劳监测帽，已经在货运和采矿业部署，作为安全设备出售；而作为安全设备，它们确有站得住的理由；但一件能看出你什么时候困倦的设备，也能看出你什么时候无聊，而同一条数据流在防止一次撞车之余，也能给你的投入度打分。来自中国的报道描述过在工厂和轨道交通工人身上试用脑电"脑监测"头戴设备，以追踪情绪状态。要点不是某一项具体部署是反乌托邦的；要点是那些州法所依赖的机制——"选择加入同意"——在一个冥想 App 里是一回事，在你和经理隔着一张桌子的时候完全是另一回事，因为在那里，拒绝这个传感器的选择，就是让自己看起来像那个有东西要藏的员工。工作场所里真正的保护不是一个同意勾选框。它是一道底线——欧盟不论是否同意一律禁止工作场所情绪 AI 时画下的那种底线——因为在失业威胁下取得的同意，不是同意。

目前还只是只读

到此为止讲的都是读取大脑。更深的那条前沿——也是"隐私"这个词最终可能装不下这件事的原因——是向大脑写入。

今天的大众市场设备只做感知。但神经调控——刺激大脑以改变其状态，而不只是测量它——是同一个产业的下一个货架；它已经以更粗糙的形式作为消费设备在卖，那些设备声称通过在头皮上通电流来改善专注度或情绪，而在医学上，它被更认真地推进着。一项不被读取神经数据的权利，是一项隐私权，与本刊关于位置和身份所论证的一切一脉相承。一项不被未经同意改变神经状态的权利，则是某种更古老也更深的东西——更接近身体完整性，更接近不让人对自己的心智动手术的权利。消费市场离可靠的"脑写入"还差得很远，而诚实要求指出，今天那些刺激类小玩意儿的功效主张充其量也是有争议的。但这两项能力长在同一棵树上，来自同样的电极和同样的公司；而一个只围着读取建起来的法律类别会在十年后发现，它把边界画早了一个货架。今天为心智隐私命名，也是你为明天给认知自由命名留出空间的方式。

最单薄的回应

把这个问题的野心和回应的规模并排放着，那道落差本身就是一个论证。

在联邦层面，回应是一项研究。《MIND 法案》由参议员 Cantwell、Schumer 和 Markey 于2025年9月提出，是美国国会史上第一部处理神经科技的法案——而它实际做的，是指示联邦贸易委员会研究这个领域并回报，其间由白宫科学办公室提供一些指导。它不创设任何新的消费者权利。这一点值得明白说出来，不是为了嘲笑它——一个联邦定义是未来每一条规则都要挂靠的对象，因此把它起个头是重要的——而是因为，"关于最私密数据前沿的第一部国会法案"与"一份 FTC 报告"之间的距离，公允地衡量出整件事仍然有多早、多薄。

世界其他地方，在某些方面，就野心而言（若不论执法）走得更远。智利在2021年修改宪法以保护神经权利，是第一个这么做的国家。联合国教科文组织于2025年11月通过了一项全球神经科技伦理标准，基于权利，且不具约束力。这套思想框架可以追溯到神经科学家 Rafael Yuste 与同事在2017年提出的五项"神经权利"——心智隐私、人格同一性、自主性、平等获得增强的机会，以及免受算法偏见——而这场运动有真正值得倾听的批评者：一些学者警告存在 "rights inflationism"（中文大意：权利通胀），警告在现有数据保护法本可以延伸覆盖的情况下，把大脑当成某种带有魔力的例外；他们还很有说服力地主张，眼下最具体的危害并不是读心，而是公司对自家小玩意儿能做什么发表误导性说法。这些批评者说恐慌被建得过大，是对的。他们并没有触及本期所作的那个更窄的主张，而这个主张在整场泄气之后依然成立：赶在市场之前定义这个类别，并在公开场合把它打磨好，因为另一种做法，就是我们对待其他每一条数据前沿的做法——太晚。

架构先于法律

本系列反复回到的那条贯穿线在这里同样成立，而它正是今天生效的这部法律诚实的边界。一部成文法管的是一家公司在一个脑信号被采集之后可以拿它做什么。它不阻止采集；而且一旦数据离开了你所指望的那部法律所在的州，它也跟不上去。

用户侧的反制是数据最小化的神经版本，它有互相需要的两半。第一半是架构：把你的大脑数据挡在一家公司的服务器之外，最干净的办法是原始信号根本不离开你的头——在设备上完成处理，把电极读数变成"你昨晚睡得不错"，而从不发出底层的数据流，就像那些最尊重隐私的传感器已经在做的那样。难处，也就是架构单靠自己不够用的原因，在于你通常无法核实一家公司关于"在设备上处理"的说法；在一部法律或一次审计把它变成真的之前，那个承诺只是一句营销文案。第二半就是那部法律——默认选择加入、对出售神经数据的硬性限制，也就是各州立法开始画出的那道底线。两半单拎出来都不够。一个你无法核查的"设备端处理"承诺，没有法律兜底就值不了多少；而如果原始信号正流向一个从未通过这类法律的州里的服务器，法律兜底也值不了多少。少戴，并要求你确实戴上的东西把信号留在你身上，再用一条"你所发出的最私密数据不得出售"的规则给这两者撑腰。这就是全部的防御，而它的每一块都还在建。

这一次，早到一回

下面是这个论证，剥到只剩下能扛住其最强批评者的那副骨架。

警报派错在"机器能读你的心"；它们不能，而且短期内也不会从一条消费级头环里做到。轻蔑派错在"这意味着无事可做"；那个信号现在就在被采集，它落在所有人都以为覆盖它的那部法律之外，97% 的公司保留了出售它的权利，而把一件养生小玩意儿变成一条情绪信息流的动机，是整个互联网经济的默认引力。在恐慌和耸肩之间，是那件真正成立的事：一具身体所发出的最私密的数据，已经在传感器还粗糙的时候成为一件消费产品；而这份粗糙不是等待的理由——它是机会。

本刊报道的其他每一场隐私之战，都是追赶之战。加密追上了对你说什么的截听。上周的 Chatrie，是宪法在追赶对你去哪里的追踪——在那种追踪变得无孔不入很多年之后。神经数据是唯一一条追赶尚未发生的前沿，因为危害还没有完全发生——这意味着，独一无二地，法律可以先到。趁着还便宜，现在就给这个类别命名。在公开场合打磨定义，正是通过那些看起来像一团乱、实际上就是工作本身的"科罗拉多对康涅狄格"式分歧。禁止出售它。并且把读心的那套戏码丢掉，无论它来自拿它卖惊奇的营销者，还是拿它卖恐惧的倡导者，因为真正的理据两者都不需要：不是他们在读你的想法，而是他们正在修一条通往你情绪的路，而这一次我们站在路口，而不是站在十年之后的路上。

你颅骨的里面，曾是数据经济够不到的最后一个地方。今天，一个州说了：不问一声，它够不到那里。这是一件小事，而它是围栏第一次在畜群到达之前先竖了起来。

URnetwork 是一个用于抗审查传输的点对点覆盖网络，设计上抵抗网络层的深度包检测；其2026年2月19日发布的 MCP 服务器让具备代理能力的客户端可以在该点对点覆盖网络之上建立 VPN 会话。URnetwork 的代码是开放且可审计的。它没法把一个传感器挡在你头上之外——那是架构和法律的事，不是传输的事——但它守着本期为大脑所主张的同一条原则：你所发出的最私密的数据，应当留在线缆的你这一侧，在源头就被最小化，而且绝不悄悄地被拿去卖。

https://ur.io

先从胜利说起，因为它是真的，而一代隐私律师等的就是它。

2026年6月29日，最高法院对 Chatrie v. United States 作出判决，认定——6 比 3，由 Kagan 大法官执笔多数意见——美国人对其详细的位置历史记录享有合理的隐私期待；而当政府为找到一名嫌疑人而取得这些记录时，它已经实施了第四修正案意义上的一次搜查。此案源自2019年5月弗吉尼亚州米德洛西恩一家信用社的抢劫案，破案靠的是一张谷歌"地理围栏"（geofence）令：要求该公司梳理其位置历史数据库，识别出案发时它定位在该建筑周围 150 米半径之内的每一台设备。这个半径把邻近的一座教堂扫了进来——而在庭审记录中，还有一处养老机构——于是任何在附近礼拜或睡觉的人，按照这张令状的几何形状，都变成了一台国家可以要求指名的设备。Kagan 大法官代表多数，把一个人的位置历史称为 "a personal journal of a user's movements"（中文大意：一份关于用户行踪的私人日志），并警告这种手法交到政府手里的是 "a virtual panopticon"（中文大意：一座虚拟的全景敞视监狱）；对于政府提出的"你一旦选择开启该功能就交出全部隐私"这一论点，法院以 "meritless"（中文大意：毫无根据）一词挥手驳回。法院对自己决定了多少很谨慎：它只判定取得这些数据构成一次搜查，撤销了原判，并将案件发回以权衡是否具备相当理由与特定性——而一处脚注留下了证据是否仍可依善意例外被采纳的问题，因此 Chatrie 本人仍有可能败诉。但那个门槛性的判定才是重塑学说的那一个：取得你的位置历史是一次搜查，而搜查是第四修正案管的事。

这份判决的意义超出其事实本身，是因为它在持续拆解的那套学说。半个世纪以来，美国隐私法一直背着第三方原则——这个诞生于1970年代、出自关于银行记录和拨出电话号码的案件的想法认为，你自愿交给一家公司的信息不享有合理的隐私期待，因而根本不受第四修正案保护。在一个仅仅活着就意味着不断向第三方排出数据尾气的时代，这套原则是一把通向每个人生活的万能钥匙；而法院已经花了将近十年在收窄它：2012年关于 GPS 追踪器的 United States v. Jones，2018年关于基站位置的 Carpenter v. United States，以及现在关于地理围栏的 Chatrie。每一次都把数字位置的又一个类别从第三方原则中切出来，放回宪法之下。而阵营的组合打乱了通常的地图，这也是它重要的部分原因：Kagan 大法官代表 Roberts 首席大法官、Sotomayor 大法官、Kavanaugh 大法官和 Jackson 大法官执笔，Gorsuch 大法官则依据他自己那套以财产为基础的理论提供了第六票——这是一个跨意识形态的多数，而不是法院的保守派阵营。三位异议者本会让旧规则原地不动；Alito 大法官代表他们执笔，把多数意见的推理称为 "an irresponsible escapade"（中文大意：一次不负责任的胡闹），并警告法院正在逐案即兴发明一部数字版第四修正案，却没有任何限定性原则——这不是一个无谓的反对。但多数派这项工程的贯穿线是明白无误的，而它正是一个法院在缓慢而真切地追赶其公民所身处的监控。为它庆祝。

然后再去读这份判决里关于它约束谁的那一部分。

侧门

第四修正案是对政府的约束。这就是它的全部架构：它告诉国家，没有令状就不得做什么。按其设计、也按两个世纪的学说，它对私人主体保持沉默——而定义2026年的监控，绝大部分是私人的。

法院刚刚从政府无令攫取中保护下来的那条位置轨迹，并不是政府采集的。采集它的是谷歌、是天气 App、是那款游戏、是嵌在手机上免费软件里的十几个广告 SDK，全都靠一次大多数人都不记得自己给过的 "Allow"（允许）点击收割而来。然后这些数据被卖出去——进入一个数据经纪商的商业市场，他们把位置历史以十亿计地汇总、打包、转售给广告商、保险公司、房东、对冲基金，以及任何其他开得出采购单的人。Chatrie 案一行都没碰到这些。App 仍然可以采集它。经纪商仍然可以出售它。买家仍然可以买下它。宪法锁上了正门——那扇标着"政府扣押"的门——而整个商业市场，是紧挨着它敞开的一扇侧门。

而把一个尴尬的缝隙变成一个真正窟窿的，是这一部分：政府自己也从侧门走。多年来，联邦机构——国土安全部下属部门、军方、联邦调查局、税务执法——一直在从商业经纪商那里购买美国人的位置数据，恰恰因为买它不需要令状、不需要法院、不需要相当理由：只需要一纸合同。报道记录了一家又一家机构获授权使用建立在经纪位置数据流之上的产品——Venntel、Babel Street 的 Locate X、Fog Data Science 及其同行——去做地理围栏令状所做的事，只是不带令状。他们买下的，正是第四修正案本来会要求他们凭一位法官的签名才能取得的东西。Chatrie 案说正门现在需要令状。它对这些机构一直在用的那扇侧门什么都没说。一条政府只要变成顾客就能满足的宪法规则不是一堵墙。它是一道带着出口通道的旋转闸机。

扣押不了的，就买下来

这就是值得精确命名的那套机制，因为它是本期的枢纽：在监控经济里，令状要求和开放市场不是两个各自独立的问题。市场就是绕开令状的那条路。

法院自己的判决书就是这道缝隙的证据：在它关于位置隐私的所有篇幅里，"data broker"（中文大意：数据经纪商）这个词组一次都没有出现。它裁定了政府可以扣押什么，对政府可以购买什么只字未提。参议员 Ron Wyden 多年来一直试图用一部标题本身就是全部论证的法案来弥合这段距离——《第四修正案不出售法案》（Fourth Amendment Is Not For Sale Act）——并在今年春天重新提出了范围更广的《政府监控改革法案》（Government Surveillance Reform Act）；蒙大拿州在2025年成为第一个禁止本州警方购买其本来需要令状才能取得之物的州。这类修补是必要的，而且到目前为止在联邦层面大多未获通过，这就告诉你这道缝隙是真实的、已知的，而且敞着。这个漏洞的逻辑严丝合缝，也很阴冷：宪法禁止政府不经程序拿走你的数据，却对政府买下它只字不提，而一个兴旺的市场正在出售它。于是，那个本来需要令状才能从你的运营商处强制调取你位置的机构，干脆从一家在采集时不受任何此类约束的经纪商那里，获授权使用同一份从你的 App 上刮来的位置。政府甚至没有对这套理论遮遮掩掩：2021年国防情报局的一份备忘录直白地写道，对于该局购买而非扣押的位置数据，它 "does not construe the Carpenter decision to require a judicial warrant"（中文大意：不将 Carpenter 判决解读为要求取得司法令状）——而一家联邦监督机构后来发现，国土安全部的数个部门以违法的方式使用了购买来的位置数据。Chatrie 案刚刚在正门宣布的每一项保护，都可以在侧门以一笔订阅费的价钱被绕过。这份判决在政府扣押的法律上是一次真正的进步，而它把政府以购买方式取得几乎原封不动地留在了原处。

这就是为什么庆祝必须对"赢下了什么"说得精确。在宪法法中确立对你位置的合理隐私期待是一件强有力的事；它会重塑此后每一份令状申请和它之下每一份排除证据的动议。但一项在同一份数据被经由一个商业中介转手的瞬间就蒸发的合理隐私期待，是一项带着商业规模窟窿的保护，而这个窟窿不是假设。它是一整个行业的商业模式，也是一整个政府的一条采购预算。

20 个州有，30 个州没有

如果宪法够不到这个商业市场，那什么够得到？在美国，答案是：一块拼布，而这块拼布本身就是问题。

没有联邦消费者隐私法。最认真的一次尝试《美国隐私权利法案》在国会里垮掉了；在它缺席的情况下，各州一个接一个立法。到2026年年中，已有 24 个州制定了综合性消费者隐私法——其中约 20 个已经生效——从加利福尼亚、科罗拉多和弗吉尼亚，到印第安纳、肯塔基和罗得岛这些自1月起生效的新入场者，而俄克拉何马刚签署的法律将于2027年生效。这是真实的，而且在最强的那几个州里，它是真实的保护。但把它们横向读一遍，拼布就现形了：有的要求你选择退出数据出售，有的要求选择加入同意；适用门槛从 3.5 万名居民摆动到 10 万名；"sensitive data"（中文大意：敏感数据）的定义各不相同；而且——那个几乎把它们全都掏空的细节——只有一个州，加利福尼亚，给了你哪怕是有限的私人诉权，而且只限于数据泄露。在另外 23 个州里，执法完全落在一个州总检察长办公室身上：人手有限，要在 50 条战线上打仗，而对手是一个每天把 1 万亿条记录变现的行业。（佛蒙特州是在把前一年招致否决的私人执行条款剔除之后，才在2026年通过了自己的法律——这是一个利落的例子，说明牙齿是怎样在通过之前被拔掉的。）一项你无法亲自执行的权利，面对一个监管者没有资源去追的被告，基本上是一项纸面上的权利。而这还是在那些有法律的州里的状况。30 个州什么都没有，这意味着对相对多数的美国人来说，商业位置市场的边界除了那些分部门的联邦碎片——健康、金融、儿童——和经纪商自己的服务条款之外，什么都没有。

于是从6月29日浮现出来的这张地图，以一种特定的方式偏斜着。面对政府，在全部 50 个州，你的位置现在享有一层宪法地板。面对真正握着你位置的那个市场，你拥有的是——取决于你的邮编——一部你无法亲自执行的中等强度州法，一部被豁免条款打得千疮百孔的弱法，或者什么都没有。

法院给予，法院也拿走

值得把两个六月并排举着看，因为它们是同一个法院画出来的，而这一对是宪法隐私处境的诚实量度。

2025年6月，在 Free Speech Coalition v. Paxton 一案中，法院以 6 比 3 支持了一部要求成年人在访问合法网络内容前先验证年龄——也就是证明自己身份——的州法，异议意见由 Kagan 大法官执笔。那份判决施加的是一项隐私代价：它为身份检查站背了书，而一波州法建立在它之上。2026年6月，在 Chatrie 案中，另一个由六位大法官组成的联合体交出了一场隐私胜利——而执笔者正是 Kagan，前一年的异议者。这张地图不是由一个固定阵营画出来的：Roberts 首席大法官和 Kavanaugh 大法官加入保守派支持了年龄检查站，又加入自由派保护了位置；这两张摇摆票在不同的学说轴线上逐案决定数字隐私——这一年是第一修正案，下一年是第四修正案。这一个开庭期，法院告诉你，被要求出示证件才能阅读在宪法上没问题；下一个开庭期，它告诉你，你的行踪受到保护、不受警方侵扰。这两者并非严格矛盾——不同的权利，不同的学说——但合在一起，它们是一张徒手画出的地图，底下没有任何统一的数字隐私理论——这意味着，你拥有的保护，是五位大法官在最近一件递到他们面前的案子里恰好认可的那份保护；而你所缺的保护，是他们尚未被请求、或者已经拒绝去延伸的那一切。2026年的宪法隐私是被授予的，不是被保证的。Chatrie 是一次授予。它不是一份保证，更肯定不是一套体系。

政府现在是一名顾客

在这些法律机制底下，是一场令状框架从未为之设计过的结构性转变，而它正是一场第四修正案的胜利本身不可能够用的原因。

第四修正案设想的是一个特定的对手：国家，破门而入，扣押文件，亲自实施搜查。它的整套救济——令状、相当理由、中立的治安法官——都是围绕作为监控操作者的政府建起来的。但过去十年最具定义性的一步是，政府越来越不亲自操作监控。它买监控。采集由私人市场完成，其规模和颗粒度是任何警察部门都不可能配得起人手去做的；而国家在供应链的末端以一名持信用卡的顾客身份出现，取走宪法的扣押规则从未设想过的成品情报。一套管住"作为窃贼的政府"的学说，对"作为购物者的政府"几乎无话可说。这就是为什么 Chatrie 案再真实，也守不住这条线：它把一种正在变成例外的政府搜查的规则打磨到完美，而真正要紧的那条规则——国家可以买什么、市场可以卖给它什么——如果确有其文，也是写在 20 个不同的州议会大楼里，以及一部停滞的联邦法案里。

位置如今的代价

把它讲具体，因为抽象正是这件事被耸肩带过的方式。位置不只是你在哪里；它是你在做什么、你和谁在一起、你在害怕什么。一条位置数据流显示的是去诊所的路线、去见律师的次数、不在家过的那些夜晚、工会礼堂里的那场会议、星期五的清真寺。

联邦贸易委员会过去两年一直在提起的正是这一类案件——针对位置数据公司出售那些可以被追溯到生殖健康诊所、宗教场所和庇护所的轨迹而采取的行动，点名的经纪商包括 Kochava、X-Mode 及其继任者 Outlogic、Gravy Analytics 及其 Venntel 部门，以及 Mobilewalla。在 Dobbs 案之后，风险不再是理论上的：在一个同一种行动在这个州被入罪、在隔壁州却受宪法保护的国家里，一份可以在市场上买到的"谁开车越过了州界"的记录，就是一件等着传票的检方证物，而它躺在一家 Chatrie 案够不到的经纪商数据库里。有些州已经就此采取了行动——华盛顿州的《我的健康我的数据法》（My Health My Data Act）把健康设施附近的位置视为受保护的健康数据，其他州正在照抄这个模式——但这又一次是少数几个州围着宪法留下、国会没有填上的一个窟窿在立法。

架构先于法律

这就是本系列反复回到的那条贯穿线，而 Chatrie 案让它更锋利，而不是更柔和。法律是在数据存在之后才到的。第四修正案管的是政府可以拿一条已经被生成、被采集、被存储的位置轨迹做什么。它不阻止这条轨迹被生成。只有设备的架构和用户的自律能做到那一点。

这两者走在不同的钟表上，而且各自是对方的盲区。法律在事后管住政府，靠的是像 Chatrie 这样的案件缓慢累积——这是必要的，因为国家是那个能把你关起来的角色，也因为一旦被承认的权利会约束它之下的每一个官员。架构在事前起作用，就在数据发出的那一刻：位置服务默认关闭、把尽可能少的权限授予尽可能少的 App、一套让你可以拒绝 SDK 拿走遥测的加固型移动操作系统、以及从一开始就让你的行踪不成为商品的网络层工具。把你的位置挡在一家经纪商的数据库之外——因而也挡在政府的采购单之外——最干净的办法，是根本不生成那条轨迹。一项不被国家追踪的权利值得拥有。一种更少发出可供追踪之物的生活值得建造。Chatrie 案是前者；只有你能做到后者，而监控经济正是被设计成确保你做不到。

半套制度

所以要诚实地掂量它，这意味着既拒绝绕场庆祝，也拒绝犬儒的耸肩。

胜利是真的。最高法院把宪法延伸到了一个人所发出的最私密的数据流上，拆掉了第三方原则的又一堵承重墙，而且是以一个明确的六票多数做到的。任何告诉你这不重要的人，都没有被人把自己的位置变成过证据。在它之上继续建。

而它是半套制度。它约束了那个唯一能把你关进牢里的角色，却原封不动地留下了真正握着你数据的那个市场，以及政府自己去那里购物的习惯。补上另外一半并不神秘——那就是一部带私人诉权的联邦隐私法、一项禁止政府购买其扣押时需要令状之物的规定，以及一套牙齿足够硬、让监管者的威胁可信的数据经纪商规则。蓝图是有的；缺的是意志，而一个徒手画地图的法院提供不了它，因为宪法约束的是政府，而监控经济大部分不是政府——直到政府成为它最好的顾客的那一刻。

正门现在锁上了。这值得明白地说出来，也值得捍卫。但绕着这栋楼走一圈。侧门是开着的，那些机构知道它在哪里，而站在门里的只有一块拼布——大多数美国人无法亲自执行它，还有三分之一的人根本没有它。

一场对政府的胜利是必要的。它从来就不可能是充分的。下一场仗是侧门。

URnetwork 是一个用于抗审查传输的点对点覆盖网络，设计上抵抗网络层的深度包检测；其2026年2月19日发布的 MCP 服务器让具备代理能力的客户端可以在该点对点覆盖网络之上建立 VPN 会话，把传输从运营商层抽象出来。URnetwork 的代码是开放且可审计的。它是一件"架构先于法律"的工具，对自己的范围很诚实：它推翻不了一部成文法，也赢不下一场最高法院的官司，但它能让它所承载的行踪不至于成为公开市场上的一件商品——而那正是法院按其设计够不到的那一半问题。

https://ur.io

先从这道命令说起，因为它读起来像是对一场尚未发生的紧急事件的回应。

2026 年 6 月 22 日，美国签署了第 14412 号行政命令 "Securing the Nation Against Advanced Cryptographic Attacks"，同时还签署了一道关于量子创新的配套命令。它要求联邦机构把高价值系统迁移到后量子密码学上——密钥建立在 2030 年底前完成，数字签名在 2031 年底前完成——指示承包商按同一时间表跟进，并命令每个机构在 30 天内指定一名后量子转型牵头官员。用联邦指令那种枯燥的语言来说，这是一条要在某个确定日期之前把整个政府的锁全部换掉的指示。

它所防御的那个东西并不存在。所谓密码学相关的量子计算机——能够以破解 RSA 和椭圆曲线加密（今天几乎整个互联网的安全基础）所需的规模运行 Shor 算法的机器——尚未被造出来，而诚实的专家共识是：没有人知道它何时会被造出来。2024 年 12 月一项对约 30 位量子专家的调查显示，这样一台机器在十年内出现的概率大约是五分之一到三分之一。一个不容轻视的少数派怀疑它在很长一段时间内、甚至永远都不会达到有用的规模。那么，为什么要设期限，为什么是现在？

因为这道命令防御的不是那台机器。它自己就是这么说的。它给出的理由是 "the risk of adversaries collecting United States information now, and decrypting it later once large-scale quantum computers are operational"（对手现在收集美国的信息、等大规模量子计算机投入运行后再解密的风险）。先收割，后解密：对手不需要在今天破解你的加密才能赢。它只需要在今天把加密录下来——在密文经过一条海缆、一条卫星上行链路、一个互联网交换点时把它捕获——然后廉价地、无限期地存起来，等着机器出现的那一天。等那一天到来，整个档案库被批量地、追溯性地解密。它所保存的每一个到那时仍然是秘密的秘密，都会在同一瞬间暴露。

这把整个量子问题坍缩成了一个与时间表无关的事实。你可以争论 Q 日何时到来。你无法争论掉的是：录制在今天就已经可行，动机也早已明摆着——从斯诺登时代的项目到今年的 Salt Typhoon 入侵，网络流量的大规模截获都有据可查，而存储很便宜。至于是否有某个具体的档案库正在被囤积、以熬过现有密码学，这是一种推断，而不是一处已被证实的存档，但它是有充分依据的推断；而这道命令自己采取的恰恰是同样审慎的姿态：它警告的是 "the risk of adversaries collecting United States information now, and decrypting it later"（对手现在收集美国信息、稍后再解密的风险），对意图留了余地，同时承认了暴露本身。因为解密是追溯性的，Q 日的日期保护不了你；唯一能保护某一条消息的，是它在被截获的那一瞬间是否已经被裹在抗量子的加密里。如果没有，它已经在档案库里了。破解只是被排上了日程。

这就是本期的核心倒转。我们习惯于把一套密码被攻破想成一个暴露未来消息的未来事件。先收割、后解密把它变成了一个暴露当下消息的过去事件。你今天发出的数据，就是今天正在被收割的数据。这座时钟没有发令枪就已经开始走了——正如一位前 CISA 官员在谈到从现在到 2030 年期限之间这几年时所说的，“我们仍然有那么多数据还在往外走，仍然处在被收割的风险里。”

加密从来不是一种状态。它是一场赌注。

要体会这件事为什么令人不安而不只是技术性的，得先放弃一个让人安心的假定：以为“已加密”是一条消息所拥有的一种属性，就像一扇上了锁的门是锁着的。

它不是。加密是一场赌注——赌的是在被保护的信息还重要的这段时间里，破解密码的成本会超过任何攻击者的资源。对于支撑现代互联网运行的那些算法来说，这场赌注一直安全得惊人，因为暴力破解需要的时间比宇宙的年龄还长。但这场赌注从来不是“这东西不可破”。它是“这东西在时间内不可破”。而全部分量都压在后半句上。

一台运行 Shor 算法的量子计算机不是去暴力破解这场赌注；它改变了赌注底下的数学，把一个要耗费亿万年的问题变成一个耗时几天的问题。那台机器一旦存在，保护某条特定消息的那场赌注就被追溯性地宣告输了——输的时点不是破解发生的那一刻，而是消息被发出的那一刻，只要当时有人在录。这就是为什么“先收割，后解密”不是一个比喻。它精确描述了一场有时限的赌注在时间视野坍塌时是怎样失败的。

而这也重新框定了上一期的好消息。机密性赢了，我们当时写道——欧盟无法强制扫描加密消息，架构守住了，数学不谈判。全都属实，而且全都是关于经典加密的，而经典加密恰恰就是先收割、后解密所要催缴的那场赌注。那套顶住了一整个大陆监管者的加密，正是对手正在录下来、准备按更长的时间表破解的同一套加密。赢下让消息保持加密的那场仗，与输掉让这份加密跑在机器前面的那场仗，两者并不矛盾。它们是今年同一个故事的两半：锁守住了——而有人正耐心地从每一个角度给它拍照，好在以后配出钥匙。

这道命令，以及它点起的火

第 14412 号行政命令不是这件事上的第一句话；它是最响的一句。2022 年的一份国家安全备忘录已经设定了 2035 年的全政府迁移目标。新命令把最要紧的那些系统压缩到 2030 年和 2031 年，铺下一连串更近的期限——30 天内确定各机构的转型牵头人，90 天内出台清点指南，180 天内启动一个 NIST 迁移试点——并且关键在于，它伸出政府之外、伸进了政府的供应链，指示联邦承包商在 2030 年底前符合后量子标准。此前一份联邦估算认为，仅仅迁移被列为优先的民用系统（不含涉密和军用系统），十年间的成本约为 70 亿美元。

这些期限看起来很遥远。它们并不遥远，而这正是那把火的意义所在。密码学迁移是所有基础设施项目里最慢的一类，因为密码学无处不在却处处没有标注——烧进固件、硬编码在设备里、埋在协议、证书和芯片中，没有人清点过。对一个在 2026 年设下的 2030 年期限，诚实的读法不是“我们有四年可以放松”。而是“这件事难到四年都嫌紧”，而这本身就是收割正在占上风的论据：如果连地球上资源最雄厚的政府都要花到 2030 年才能把自己的高价值系统重新加密一遍，那么所有尚未迁移的东西在这段时间里都是暴露的，而对手的录音机全程都在转。

做这件事的工具是存在的，这是真正让人有希望的部分。2024 年 8 月，在长达八年的公开竞赛之后，NIST 敲定了第一批后量子标准：用于密钥交换的 ML-KEM，用于签名的 ML-DSA 和 SLH-DSA，另有一个基于编码的后备方案 HQC 在 2025 年被选中，作为万一支撑前几者的格数学本身被攻破时的对冲。这些算法是真实的、经过审查的，而且正在发货。本文余下部分要问的不是我们能不能迁移。而是我们究竟在迁移什么——以及我们是在要紧的那部分上跑得快，还是在容易的那部分上跑得快。

什么东西保质期长

先收割、后解密不是一种均匀的威胁。它是一道分类题，而把它分类清楚，正是恐慌与否认两者的解药。

大多数数据保质期很短。一次性登录码、一份午餐订单、一个会话令牌、一条“我要迟到了”的短信——在 2034 年把它解出来，你学到的东西还抵不上那点电费。对于此刻正穿过互联网的绝大多数流量来说，收割是真实的，损失却是零，因为秘密早在机器出现之前就已经过期。

但有些数据的保质期是以几十年、甚至一辈子来计的，对这些数据来说，收割是灾难性的。国家机密和外交电报会敏感三十年。健康和基因组记录在你和你的亲属还活着的时候一直敏感。源代码和工程设计在产品淘汰之前一直敏感。财务与法律记录、情报来源的身份、异见者的所在位置——所有这些都具备这里最要紧的那条性质：它们被迟迟解密出来时依然危险。

然后还有本系列今年一直在记录的那一类，它在每一个维度上同时都是最坏的情况。2026 年各国政府强制建立起来的生物识别与身份登记库——国家生物识别身份证、年龄验证的身份证件库、把每一条线路与法定姓名绑定的 SIM 卡登记——敏感度最高、永久性最强、留存期最长，而且恰恰握在那些行动最慢、最不可能已经完成迁移的保管者手里。收割中泄露的密码可以更改。信用卡可以补发。你无法重置自己的虹膜。一个今天被收割、2032 年被解密的指纹与虹膜数据库，不是一次你能恢复过来的泄露；它是一份在被登记者余生中、在任何将来会信任该生物特征的系统里都已被攻破的生物特征。墨西哥的生物识别国民身份在 2025 年 10 月正式启用。收割者不需要今天就把它解密。它只需要在这个国家把它送上线路的时候正在录。

这就是当下所要求的分诊。不是“明天就把所有东西都做成抗量子”，那既不可能也没必要，而是“找出十年后仍然致命的那些数据，在它被截获之前、而不是之后，把它放进抗量子的加密里”。保质期就是排序键。那些登记库排在名单最上面，而它们离队伍前列还远得很。

莫斯卡不等式

有一小段算术能把这一切从一种感觉变成一个期限，它属于密码学家 Michele Mosca。它简单到几乎令人难堪，而这也正是它难以回避的原因。

把 X 记作你的数据必须保密的年数。把 Y 记作你把系统迁移到抗量子密码学所需要的年数。把 Z 记作距离密码学相关的量子计算机出现还有多少年。如果 X 加 Y 大于 Z——如果你的数据所要求的保密寿命，加上你的迁移时间，超过了距离机器出现的时间——那么你已经太迟了。你今天正在保护的数据，在机器到来时仍然有价值，而你到那时还没能把它搬完。

这条不等式的力量在于，它并不要求你知道 Z。它只要求你注意到 Y 很大，而对要紧的那些数据来说 X 极其巨大。如果你的迁移要花六年，而你的秘密必须撑二十五年，那么对任何小于三十一的 Z 你都是暴露的——而这基本上覆盖了摆在桌面上的每一份严肃估计，包括乐观的那些。“再等等看”只有在你相信 Z 大于 X 加 Y 时才是一个自洽的策略，而对长保质期数据来说，光是 X 就吃掉了大部分可能区间。这是对整场辩论中最合理的那个反驳——我们不知道 Q 日是哪天，那急什么？——的回答，而且不必声称任何一个日期。你着急，是因为前置时间很长而保质期更长，而这两个数字你确实知道。

已经上线的，和还没上线的

接下来这部分本该让人安心，结果却是整个故事里最锋利的一处转折：迁移其实早已在进行，而且推进得很快——恰恰是在最不需要它的那些数据上。

开放的、用户侧的加密栈动手最早也最狠。Signal 在 2023 年为其密钥协商加入了后量子保护，并在 2025 年 10 月把它扩展进了连续棘轮本身——这样即使某天有攻击者攻破了一个会话，也无法倒推出整段对话——而且新设计在发布之前经过了形式化验证。Apple 在 2024 年为后量子安全重建了 iMessage 的协议。浏览器随后跟进：Chrome 和 Firefox 现在默认协商一种混合后量子密钥交换，把经典算法与 ML-KEM 配对，使得攻破会话必须同时攻破两者。按 Cloudflare 的测量，协商了后量子保护的人类网页流量占比，从 2024 年初的不到 3% 越过了 2025 年底的过半线。对你口袋里那段加密对话来说，收割确实已经变难了。

但仔细看看那个“过半”覆盖的是什么。它是传输这一段——你的设备与某个内容网络之间那把短暂的会话密钥——而这恰恰是收割最不在乎的短保质期数据。先收割、后解密最在乎的那些部分几乎还没开始移动。服务器到服务器以及回源加密的后量子比例，大约是每十条连接里有一条。数字签名——认证层，也就是证明一次软件更新或一张证书是真货的那个东西——更慢，而其中最高效的那一种，标准甚至还没定稿。而深长的尾部则是另一种性质的问题：嵌入式系统、工业控制器、卫星、车辆、医疗设备和电网硬件，服役寿命 10 到 30 年，其中很大一部分根本无法在现场更新，全都还跑在经典密码学上，而这些密码学在机器到来时仍会在运行。

于是令人不适的综合结论是这样的。这场迁移正在赢下便宜的那场赛跑，输掉经得起时间检验的那场。我们在短暂的会话密钥上跑得飞快——在那里，迟来的解密一文不值——而在长寿命、不可替换的数据上几乎没有动过：机密、健康档案、生物识别登记库，握在动作最慢的保管者手里。那个头条数字是真实的，对你的消息来说也确实是好消息。但如果你把它读成“我们已经完成了一半”，那它衡量的就是错的东西。我们完成的是容易的那一半。

冷静派的理由

这个故事的诚实版本必须认真对待它最强的批评者，因为他们不是怪人；其中有些人正是打造了本系列所推崇的那些工具的密码学家，而他们的反驳是这个领域里最好的论证。

它是这样的。Q 日可能非常遥远，也可能永远达不到有用的规模。当今最大的量子计算机掌握着 1,000 量级的易出错物理量子比特；2025 年一份可信的估算认为破解 RSA-2048 需要的物理量子比特不到 100 万个——相比更早的 2,000 万这一数字是个显著的下降，但仍然比现存的任何东西高出三到四个数量级，而且以尚未发生的纠错突破为前提。一位知名密码学家公开表示愿意押上“巨额的钱”，赌相关的量子计算机不会在 2035 年前出现；另一位则喜欢指出，量子机器“还没能把数字 35 分解掉”。围绕着这份真实的不确定性，长出了一个量子工业复合体——估值高得惊人、营收微乎其微的厂商、咨询公司和创业公司，它们的商业模式就是兜售迁移的紧迫感，读它们的威胁评估时应当把这一点放在心上。而这场匆忙本身也带着真实的风险：后量子实现还年轻，而年轻的密码学代码有漏洞，有时比它所替换的、久经沙场的经典代码还要糟。2023 年就已经在一个流行的后量子库里发现过一个严重缺陷。

上面每一句都是真的，而由它得出的结论不是“什么都不做”，而是“把正确的事做对，谨慎地做”。彻底承认时间表这一点——我们不知道 Z，而卖宣传册的人也确实存在。这个论点在让步之后仍然完好，因为承重的那条主张从来就不是关于日期的。它是关于收割的，而收割与时间表无关：无论 Z 最后是哪一年，在你完成迁移之前、在经典加密下被收割走的长保质期数据，都会在机器到来的那一刻丢掉。对“年轻的 PQC 有漏洞”的回答，是严肃项目早已在用的混合部署——经典与后量子同时使用，这样新代码只可能增加安全性、绝不会减损，而格数学里的一个漏洞仍然留下那套被验证过的经典算法站着。对量子工业复合体的回答，不是无视它过度兜售的那种威胁，而是去做宣传册跳过的那些不体面的分诊工作：清点你的密码学，按保质期排序，先用混合方案迁移长寿命数据，并对任何兜售恐慌按钮的人保持怀疑。两件事同时为真。骗局是真的，收割也是真的。

全球时钟

这场迁移是一场赛跑，而参赛者的速度天差地别，这本身就是一种风险。

被点名最多的收割者是中国，据报道它已向量子研究投入 100 亿至 150 亿美元，同时具备先收割、后解密所奖励的那种截获触达能力与耐心；这一策略的不对称之处在于：今天录得最多的国家，无论是谁先造出机器，都会在 Q 日到来时赢得最多。防御方各按各的时钟在走：美国情报界的路线图要求国家安全系统在 2030 到 2033 年之间完全转为后量子；英国的网络安全机构把里程碑设到 2035 年；德国的安全部门希望关键基础设施在 2030 年前完成迁移——然而根据近期的调查，连一份迁移计划都拿得出来的机构不到二十分之一。标准是全球的，紧迫感却不是。结果就是一个在算法上达成一致、在时间表上各行其是的世界，而动作最慢的保管者手里握着寿命最长的数据，同时有一个对这一切都无所谓的对手——只要录音机还在转。

否认与恐慌之间的纪律

两种姿态在这里都会失败，而且失败得对称。

否认——“Q 日是炒作，机器还早得很，放松点”——之所以错，不是因为时间表短，而是因为收割不等时间表。它正在发生，针对的是保质期比任何可能的 Z 都长的数据，而能够阻止它的迁移要跑好几年。等到否认被证伪的那一天，长寿命的秘密早已在档案库里，而对一次已经发生的解密，是没有补丁的。

恐慌——“放下一切，星期二之前把整个世界搞成抗量子的”——之所以错，是因为它不可能做到，因为它给骗局输血，也因为把年轻的密码学硬塞进关键系统可能减损安全性而不是增加。夹在两者之间的，是唯一一种经得起事实检验的姿态：分诊。找出十年后仍然致命的数据。先把它挪到抗量子加密之后，并与经典算法混合部署，让底线永远不会塌。向每一家厂商、每一个你购买的系统索要密码敏捷性——即在下一次破解到来时能够再一次快速更换算法的能力，因为一定会有下一次破解——因为此刻最深的教训不是“换用 ML-KEM”，而是“再也不要把一套你换不掉的密码硬接进系统”。而作为个人，去做那件完全够得着的事：使用那些已经完成迁移的工具。带后量子棘轮的加密通讯软件，用今天的对话去抵御明天的机器，而这是整片图景里最罕见的东西——一种你可以在威胁到来之前、而不是之后就部署好的防御。

这是上一期的续篇，它让那一期的胜利变得复杂，却没有抹掉它。机密性赢了，赢了那些想要扫描它的监管者。那场胜利是真实的，而它是向一座时钟借来的。我们庆祝过的那份加密，正在被录下来以便日后破解，而我们最没准备好保护的数据，恰恰是我们最输不起的数据——身份、生物特征、一具身体不可逆的事实，而十年的政策正忙着把这些强行送上线路，送到某个地方总有某个人正耐心录制的线路上。

你无法给自己的虹膜重新换发密钥。唯一能做的，是确保它从来没有以明文发出去过。

URnetwork 是一个用于抗审查传输的点对点覆盖网络，设计上用于抵抗网络层的深度包检测；它 2026 年 2 月 19 日发布的 MCP 服务器让智能体客户端可以在这张点对点覆盖网络上建立 VPN 会话。URnetwork 的代码是开放且可审计的，其传输安全性也跟进着本期所描述的这场后量子迁移——保持密码敏捷，并且是在公开场合保持，让变更可以被验证，而不是被承诺。

https://ur.io

先从胜利说起，因为它是真实的，而隐私界有理由认领它。

三年来，欧盟一直在推进一项被互联网称作 Chat Control 的法规：一项要求通讯服务商扫描私人通信内容以查找虐待材料的提案。在它最激进的版本里，它要求客户端扫描——在你自己的设备上运行软件，在消息被加密之前检查它们。而在最要紧的那个问题上，加密这一方赢了。在其 2025 年 11 月的谈判立场中，理事会取消了强制检测，并为加密通信增加了保护；内部文件显示，到 2026 年 6 月中旬，三家机构已暂时达成一致，把端到端加密的内容完全排除在该法规的适用范围之外。第五轮也是最后一轮按计划举行的三方会谈在 6 月 29 日召开，处理剩下的问题。就目前而言，对你的加密消息进行强制扫描，已经被拿下了桌。

它之所以被拿下桌，是因为密码学家们反复陈述、直到被听进去的一个事实。领导马克斯·普朗克安全与隐私研究所的 Carmela Troncoso 在 11 月直白地说过：“一旦内容对发送者或接收者之外的第三方可及，加密所提供的保护就消失了。”不存在既能保住加密又能扫描的做法；只存在在设备上切出的一道门，而给扫描器开的门就是给所有人开的门。八百多位科学家联署了一封公开信，称人口规模的检测“并不适宜”。Signal 的总裁 Meredith Whittaker 表示公司宁可退出欧盟也不会去建它：“如果让我们在把一台监控机器装进 Signal 和退出这个市场之间做选择，我们会退出这个市场。”Apple 早在 2022 年就已放弃了自己的扫描系统，并警告说它“会制造出新的威胁向量”。架构说了不，而一整块大陆——在三年之后——听进去了。

那是隐私运动懂得怎么打的那场仗。它在 Apple 与 FBI 的对峙、EARN IT 法案、英国《在线安全法》里那条间谍条款，以及五轮欧盟三方会谈中打过这场仗，而在架构层面它大体上赢了。加密在世界上最大的那些通讯软件里成了默认，数学没得谈，而在 2026 年，这一点被承认了。

所以本期以这场胜利开场。然后提出这场胜利所掩盖的那个问题：如果他们没能打破加密，那他们转而去够了什么？

答案就在同一份文本里。强制扫描没了之后，年龄验证成了理事会与委员会的退路——一项要求用户在使用“高风险”服务之前先验证年龄的规定，意味着要发一条私人消息、发一封电子邮件或下载一个应用，就得做一次人脸扫描或出示一份政府身份证件。欧洲议会的授权立场拒绝强制年龄验证，恰恰是为了保住匿名通信；理事会的授权立场保留了它；而现在，这一点——而不是扫描——才是一份仍在谈判中的协议里悬而未决的核心，最后一轮三方会谈的结果尚不确定，可能达成的协议正滑向 7 月。有一份关于此刻的记述精确点出了利害所在：在那套框架下，匿名的加密通信就此终结。加密活了下来。匿名没有。

记住这句话，因为它就是整期的内容。然后把镜头拉开，因为 6 月 30 日不是一个数据点。它是三个。

一场自由对话的两项属性

一场私密对话有两项属性，而隐私运动把大部分精力都花在了捍卫其中一项上。

第一项是机密性：你说的话保持秘密。消息的内容只有你和你正在交谈的那个人能读懂——平台不能，运营商不能，国家也不能。这就是端到端加密被建出来所要保护的属性，也是今年赢下来的那项属性。当人们说“加密了”的时候，他们指的就是这个，而它确实在数学上站得住：一条正确实现的端到端加密通道，任何持有密文的人都读不了，而任何法规都改变不了这套数学，除非强行植入一个后门——而架构及其捍卫者可以拒绝这个后门。

第二项是匿名性：你根本无需先证明自己是谁，就能进行这场对话。你可以买下这张 SIM 卡、开这个账号、读这个页面、加入这个频道、并且说话——而不必把你的法律身份、你的脸、你的指纹或你的政府凭证绑到这个行为上。这不是加密的属性。端到端加密保护的是信封里的内容；它从来就不是为了保护你能不亮脸就买到信封而设计的。你可以同时拥有完美的机密性和零匿名性：一款把每个字节都加密得无懈可击、却要求人脸扫描才能开户的通讯软件，交付的正是这个——你的话是秘密的，而说这些话的是你、是一个已注册的身份，这一点不是秘密。加密服务仍然知道你的账号、你的号码、你的设备、你的地址，以及你的社交图谱——你和谁说话、什么时候、多频繁。加密藏住的是信。它从来就不是为了藏住信封、邮戳，或是你出示证件才能寄信的那个柜台前的队列。

这就是当下核心的那个范畴错误。十年来，“它加密了吗？”成了公众判断一个工具是否安全的检验标准，而答案越来越多地是肯定的。但加密向来是对内容监控的回答，而 2026 年到来的这些身份强制令攻击的是匿名性——一项不同的属性，靠不同的手段捍卫，而眼下捍卫得弱得多。吹哨人、拨打庇护所热线的受虐幸存者、查询性健康问题的青少年、身处威权 SIM 卡制度下的异见者、以及那些只是不接受“阅读需要出示身份证件”的普通人——如果他们必须证明自己是谁才能进门，那么通道是加密的这一事实，一个也保护不了。

匿名性是基底。机密性是我们学会往上浇的那一层。6 月 30 日就是基底在三个地方同时开裂的那一天。

退路就是攻击

回到布鲁塞尔，因为欧盟与其说是软化，不如说是转向，而这个转向正是教训所在。

诚实地陈述这场胜利，连同它的局限，免得被高估。理事会在最难的那项要求——强制客户端扫描——上让了步，因为它无法与加密调和，也因为成员国不愿下令把本国公民的设备变成扫描器。这一让步是真实的。但有两样东西随之而来，而且都朝相反方向切。第一，理事会的文本仍然使一套“自愿”扫描制度合法化并永久化——为选择进行监控的服务商提供一个常设的法律依据，无需法院令状，而 Breyer 把这解读为一次撤退的反面，是“对无差别大规模监控的绿灯”。强制令倒了；许可被写进了法里。而且这场仗甚至还没干净地结束：6 月的最后一周，欧盟各国大使动用一种前所未有的理事会操作，试图让已经失效的临时扫描框架复活，尽管议会在 3 月已经以一票之差把它否掉。

第二，也是更大的一项，是年龄验证这条退路。把扫描器抽走之后，你仍然可以通过核查每一个加入者的身份，来管控谁在使用加密服务。这就是为什么在扫描消失之后，年龄验证成了正在进行的那场仗，也是为什么议会把线画在了那里。这个直接代表欧盟公民的机构明白那个布尔值的代价：在一款加密通讯软件的门口设一道强制年龄检查，就把大多数人所拥有的最私密的通道，变成了一条你必须先声明自己是谁、或至少多大年纪才能进入的通道——而你无法向一个陌生人的软件证明自己的年龄，同时又不在这条链条的某个环节上向某个人证明自己的身份。

这就是现在到处都值得留意的那一招，因为它可以推广。当你读不了那条消息，就要求出示身份证件才能发。当你打不开那把锁，就在门口放一个记下每个进出者的守卫。机密性与匿名性不是同一项属性，而一个系统可以在授予前者的同时，有条不紊地拆掉后者——这正是那次转向所做的事。加密活了下来。摆在桌上的是匿名。

匿名 SIM 卡已死

在布鲁塞尔争论的同时，墨西哥定下了一个期限，而墨西哥的版本跳过了消息，直接冲着线路本身去了。

自 2026 年 6 月 30 日起，墨西哥的每一条移动线路——预付费、后付费、实体 SIM、eSIM，超过 1.44 亿条——都必须与持有人的身份绑定：一份政府身份证件加上 CURP，即全国人口编码。匿名预付费 SIM 卡——那张家庭暴力幸存者、调查记者，以及只是不想被录进数据库的普通人一直依赖的卡——就此终结。硬性执行、也就是切断未登记线路，原定于 7 月 1 日；6 月 25 日，监管机构把预付费线路的时点放宽为一个延续到 12 月的分批日程，但架构已经建成，方向已经固定。在延期之时，仅有约 43% 的线路完成登记；数千万条线路面临停机。

到这里，故事变得比头条更有意思，也更能说明问题。按监管机构自己的规则，这套线路登记不是生物识别式的：运营商被禁止保留你的指纹、你的照片，甚至不得保留你身份证件的副本——他们把号码与你的 CURP 关联并核验证件，仅此而已。而这份克制不是慷慨；它是一道疤。墨西哥此前已经做过两次。RENAUT，2009 年的那套登记，最终以其数据库在特皮托的街头市场上卖几百比索告终，并在 2012 年被实体销毁。PANAUT，2021 年的版本，要求采集生物特征——而最高法院以 9 票对 2 票，基于隐私与比例原则将其全部推翻。2026 年的这项线路强制令之所以不含生物识别，恰恰是因为法院杀掉了那个生物识别的版本；6 月，一家联邦法庭甚至禁止运营商要求提供生物特征来登记线路。法律层面的反制起了作用。

但看看与之并行的东西，以及天平另一侧被拿走了什么。在与身份证件绑定的 SIM 卡之外，国家正在建设 CURP Biométrica——一套确实采集面部、全部十枚指纹和双眼虹膜的国民身份，去年 7 月由法令创设，如今已是这个国家的官方身份证件，已有约 2,500 万人登记。就目前而言，它被表述为自愿的；它同时也被定位为其他一切最终都要接进去的验证层。而在 2022 年击败 PANAUT 的那个监督机构——INAI，即自治的数据保护当局——已经不存在了；它在 2025 年被并入行政部门。让 SIM 卡去生物识别化的那条法院先例仍然有效。而会去打下一场这类官司的那个机构，没了。这就是一套曾被法院杀掉的登记制度长回来的方式：不是推翻判决，而是拆掉赢下判决的那个机构。

而正是在这里，用户侧的那套栈——本刊所推崇的协议、加密、加固设备——撞上了它最硬的一堵墙，而诚实要求把它点出来。面对一个被强制的身份登记，无论是生物识别的还是仅与证件绑定的，都不存在任何客户端原语，能让一个人既遵从又保留。加密保护那通电话；它没法把 SIM 卡与你的名字解绑。你可以绕开一次封锁，因为封锁是一种你能隧穿过去的网络状况；你没法绕开一部把你的法律身份变成电话号码前提条件的法律，因为登记不在网络里——它在销售点，在签发方的数据库里，在成文法里。针对这项线路强制令唯一的技术变通，是一张来自外国运营商、在漫游状态下使用的纯数据 eSIM，它确实存在，监管机构也公开承认了这一点——但它给不了匿名的本地号码，会留下支付痕迹，是流动性强的少数人才有的奢侈品，而且监管机构已表示它会在世界杯之后被关掉。对强制登记的反制是政治的和法律的，不是密码学的。墨西哥在两个方向上都是证明：法院迫使这套登记脱掉了生物识别，而法院那些伙伴机构的被掏空，正是它重新长回来的方式。

验证每一个人

英国从另一扇门拐了同样的弯，并且让年龄验证那种普遍适用的逻辑变得不可能被忽视。

2026 年 6 月 15 日，英国政府宣布对 16 岁以下人群禁用社交媒体——Snapchat、TikTok、YouTube、Instagram、Facebook、X——承诺在年底前立法，相关保护措施预计在 2027 年春季到位。要把 16 岁以下的人挡在平台之外，你就必须知道谁在 16 岁以下，这意味着你必须核查每一个人的年龄。正如倡导团体 Defend Digital Me 所说的，“要验证一位用户已满 16 岁，每一位成年人也都必须证明自己不是儿童。”EFF 说得更直白：在这样一套制度下，“所有年龄段的用户都背上了证明自己年龄的负担”，而且“仍然不存在任何可靠的、保护隐私的方法去验证每一位互联网用户的年龄”。一项以保护儿童为框架的措施，在其机制上变成了覆盖全民的身份基础设施——人脸年龄估计、证件上传、开放银行核查、移动网络证明，Ofcom 认可过的整套工具箱，被施加到全体成年公众身上，作为继续留在网上的代价。

英国不是异类；它是跟随者。澳大利亚全球首创的 16 岁以下禁令在 2025 年 12 月 10 日生效，而在 6 月 27 日——就在三天前——澳大利亚政府在有证据显示未成年人正在绕过它之后，宣布将把最高罚款翻倍，至约 9,900 万澳元，目前有五家平台正在被调查。美国在 Free Speech Coalition v. Paxton 之后（2025 年 6 月 27 日以 6–3 判决，依中度审查标准维持了得克萨斯州的年龄验证法），如今已有大约二十多个州强制对成人内容做年龄核查，另有十来个州把手伸向未成年人的社交媒体。欧盟委员会 2026 年 4 月 29 日的建议敦促每个成员国在年底前提供年龄验证能力，跑在 eIDAS 2.0 数字身份钱包的轨道上。自由之家在其最近一期《网络自由》报告中——在互联网自由连续下滑的第十五个年头——点出了这个模式：“在线匿名，作为表达自由的一项关键使能条件，正在进入一个危机期，因为自由国家与威权国家的政策制定者都在强制要求使用身份验证技术。”民主国家与威权国家正从相反的两端汇聚到同一套架构上。威权者要用登记去找出异见者。民主国家要用闸门去保护儿童。他们建起来的基础设施是同一道闸门，而闸门一旦立在那里，它就核查每一个人。

会记日志的签发方

对这一切确实有一个真正的技术回答，而智识上的诚实要求既以其最强形态把它陈述出来，也解释为什么它目前还不够。

这个回答是零知识年龄证明。原则上，密码学让你可以向一个网站证明单独一个比特——“已满 18 岁”——而不必交出你的出生日期、你的姓名或你的证件。证明在你的设备上计算；依赖方网站学到的只有那个布尔值，别的什么也学不到。欧盟的年龄验证应用正是以这个承诺来推销的：证明你已满 18 岁，“而不分享任何其他个人信息”。如果这项技术真能兑现那句口号所声称的，匿名性问题多半就会消解——你可以通过年龄闸门，同时对闸门之后的服务来说仍然谁也不是。这个最强版本的论证很有力，值得被认真对待而不是挥手打发：保护隐私的年龄验证是真实的密码学，不是画饼，而且它确实比向一个色情网站上传护照要好。

但它并不交付匿名性，而“保护隐私”与“保护匿名”之间的这道缝，就是整个故事。有六件事同时为真。登记环节要求完整的身份识别：要拿到这份凭据，你必须向签发方证明你的真实身份——一份政府电子身份、一家银行、一次护照核验——所以在任何证明被计算出来之前，你的匿名性在签发那一刻就已经没了；它是对网站保留的，从来不是对签发方保留的。欧盟标准化的恰恰是可关联的方案：数字身份钱包的规则手册强制规定的凭据格式（ISO mdoc、SD-JWT）在密码学上不是不可关联的，而那些确实不可关联的方案（BBS+、zk-SNARKs）未获批准用于欧盟公共部门——于是这款已经发货的应用，其隐私性来自一批批由护照或电子身份引导出来的一次性令牌，而正如 EFF 所指出的，这“把国民身份证件直接绑到了一种年龄验证方法上”。签发方可以回拨：吊销状态检查可能在每次使用时联系签发方，从而记录下这份凭据在何处、以多高的频率被出示。元数据击败那个布尔值：IP、设备指纹和时间戳可以把那个“匿名”的证明关联回一个人。重复的证明会泄露：今天证明“已满 21 岁”、去年证明“已满 18 岁”，出生日期的窗口就收窄了。以及签发方成为一个咽喉点：谁主导了凭据签发——一套国家电子身份、一个平台钱包——谁就成了谁可以发言的事实上的守门人，一个独立于任何单次证明之数学的单点控制。这个领域自己的密码学家给出的判断值得记住：匿名性是朝依赖方那一侧成立的，从来不是朝签发方成立的。这份证明把你的出生日期对网站藏了起来。它没有让你对整个系统匿名，而且它做不到，因为这个系统被建出来就是要在门口认识你的，哪怕它同意在餐桌旁把你忘掉。

所以，针对这场匿名性攻击的那唯一一个技术反制是必要的、值得去建的，而且——就其 2026 年的部署形态而言——还不充分。正确的回应不是否定零知识证明，而是要求不可关联的版本、去中心化的签发，以及不回拨的吊销机制，并且在此期间诚实地承认：今天正在发货的大多数年龄验证，连这个都算不上。它就是一次人脸扫描加一次证件上传。也就是说：身份，被收走了。

每一项强制令都是一个蜜罐

大规模制造身份还有第二项代价，而 6 月批量提供了证据：每一个你被迫创建的身份，都会变成一个别人早晚会偷走的数据库。

这不是理论上的，而年龄验证这一波已经产出了自己的数据泄露。6 月里洗劫企业云租户的那个团伙，正是在 2025 年 10 月从 Discord 所用的年龄验证供应商那里窃走约 7 万张政府证件照片的同一批人。而在 2026 年 6 月中旬，安全研究人员发现接近 100 万份护照与身份证件扫描件——由欧洲的年龄与会员验证系统收集——毫无认证地暴露在公开互联网上。这正是批评者事先点名过的那种失效模式：你无法泄露一份你从未被要求创建的凭据，而一套验证系统在构造上就是一堆攻击者最想要的那类文件。用 EFF 的话说，“年龄验证系统就是监控系统”，而面对它们，防守方的问题是永久性的，攻击者则“只需要走运一次”。

更广的这一个月强化了这条规律。世界粮食计划署披露，巴勒斯坦人在加沙申请援助所用的自助登记系统遭到未经授权的访问，暴露了约 60 万户家庭的记录——姓名、国民身份证号、电话号码、街区位置——对一个流离失所的人口来说，这不是不便，而是一份目标清单。研究人员浮现出一份 240 亿量级凭据记录的汇编库——不是某一次新的泄露，而是信息窃取木马日志与旧泄露的聚合，未经去重，这本身就是一课，讲的是身份数据一旦被创建，就既不会衰减，也不会回家。得克萨斯州一家州野生动物管理机构通过一家供应商丢失了 300 多万名执照持有人的驾照与护照号码。贯穿其中的那条线，是本系列一再回到的保管者失效模式：一个持有者，一次泄露，所有人暴露，而那个从未掌控过这些数据、也无法把它们收回来的个人，没有任何补救路径。

现在把这些和那些强制令并排放。墨西哥正在把 1.44 亿多条电话线路与公民身份绑定，同时把面部、指纹和虹膜录入一套国家生物识别身份证——而它自己的历史记录，从被拿到街头市场上卖的 RENAUT 登记，一直到新系统上线当天的一次电信数据暴露。欧盟和英国正在把年龄与身份验证立起来，作为日常网络生活的条件。用安全的话说，每一个都是一个正在施工中的蜜罐——一个集中存放攻击者最想要的那类数据的仓库，由一项真实的收益来正当化，而其风险被当成别人的问题。数据泄露不是身份强制令里的一个 bug。它是这项强制令的成熟形态。你无法既承诺验证每一个人，又承诺那个验证数据库永远不会泄露，因为每一个这样的数据库的历史都是它会泄露，而它越是强制，它就越是必定泄露。生物特征是无法重置的。你只有一张脸。

法条失效了；监控没有

往上走一层，从那道询问你是谁的闸门，走到那个已经知道你是谁的国家，因为 6 月在那里也产出了一个标志性事件，而且它押着同一个韵。

2026 年 6 月 12 日午夜，《外国情报监视法》第 702 条——NSA 无令状收集通信的法律依据——自 2008 年设立以来首次失效。参议院在 6 月 5 日以 47–52 未通过程序终结表决；众议院在 6 月 11 日以 198–218 未通过一项短期延期；直接触发因素是一场治理危机——一位没有情报背景的住房金融官员被擢升为代理国家情报总监——这瓦解了重新授权所需的联盟。然而监控并没有停下。因为外国情报监视法院早在 2026 年 3 月就批准了适用的认证文件，收集依据这些文件继续进行，直到它们到期——据多方说法，大约到 2027 年 3 月 17 日。失效的是那部法条。项目仍在运行，靠着上一年的文书取得合法性，还能再跑九个月。

这底下压着一份公众至今读不到的文件。那份涉密的 2026 年 3 月 17 日 FISC 意见书——据《纽约时报》的报道，它认定政府声称已经修好的那个“过滤工具”查询问题实际上贯穿整个情报界，FBI 只是把它 2024 年的那款工具退役、转而使用另一款功能相同的工具——仍然保密。参议员们把在 15 天内解密它的两党承诺，作为 4 月那次延期的代价争取到手；期限过去了，而参议院在 6 月 5 日投票时仍然没有看到它。这就是那项属性在国家一侧的面孔，而身份强制令是从消费者一侧攻击同一项属性的：对政府的匿名，即在不被国家编目这一行为的前提下进行通信的能力。而这几栏必须诚实地分开算，因为美国不是墨西哥的登记制度，也不是伊朗的断网：它有令状法，有一个写下了争议中那份意见书的对抗制法院，有为其解密进行谈判的国会监督，还有一个在报道涉密文件的自由媒体。共享的那条线索是狭窄的，也值得就按这么狭窄说出来——在这每一件事里，公众都被要求接受一个自己看不见的事实，以及一种自己未曾同意的可见性，并且要相信那道闸门、那套登记和那次查询只指向它们该指的地方。

这张地图

退回来看整个世界，这种趋同不容错认，因为同一个季节也承载了身份强制令的威权版本。

俄罗斯在 2026 年 2 月彻底封禁了 WhatsApp——约 1 亿用户——并把他们赶往国家通讯软件 MAX，同时施压平台去封锁通过 VPN 接入的用户；身份与控制在网络层融为一体。伊朗才刚刚爬出有记录以来最长的一次全国性断网，在 2 月底的空袭之后黑了数千小时，恢复只是部分的，外国平台仍被封锁——这是最赤裸的提醒：最彻底的身份控制，就是直接决定谁有资格上网。中国继续运行着世界上最成熟的实名制，并已开始把执行推进到物理基础设施层面。越南与印度尼西亚已经立法通过了各自的发帖实名强制令。而墨西哥刚刚执行的 SIM 卡强制令如今是全球默认，不是地区性的怪癖：按 GSMA 的统计，大约有 157 个国家要求提供身份证明才能开通移动线路，其中 30 多个国家要求提供生物特征——高于 2020 年的 17 个——尽管 GSMA 自己的研究人员并未发现证据表明这项要求能降低犯罪。要点不是伦敦和布鲁塞尔就是莫斯科和北京——它们不是，而那些差别（法院、选举、一家自由的媒体）正是全部要害所在。要点是那套架构。一个民主国家和一个威权国家如果建了同一道闸门，那他们就是建了同一道闸门，而闸门不会记得自己当初为什么被装上。以敲诈勒索为由的实名 SIM 卡，与以异见为由的实名 SIM 卡，是同一个数据库。以儿童安全为由的年龄核查，与以“社会稳定”为由的实名法，调用的是同一个身份 API。匿名性正在被政治光谱的两端同时废除，被那些在几乎任何其他事情上都不会一致的政府废除，因为哪怕意图不趋同，能力是趋同的。

逐层反制

那么究竟什么守得住？逐层的诚实清点是本系列欠读者的纪律，而它恰好沿着机密性／匿名性这条线裂开。

用户侧的栈赢在哪里——机密性。内容层是守得住的，而且今年确实守住了。Signal 的后量子棘轮持续加固通道，以对抗明天的解密；世界上最大的那些通讯软件默认发货端到端加密；Tor Browser（15.0.17，6 月 28 日发布）和那些加固的移动基线（GrapheneOS，在几天之内跟上新的 Android 发布）让设备与传输保持稳固；URnetwork 的点对点覆盖网络把流量带过一条抗审查、抗深度包检测的路径，把路由从任何单一运营商中抽象出来。面对一个想要读你的消息或封你的路由的对手，这些确实管用，而欧盟在扫描问题上的退却，正是“数学一旦被捍卫、连一整块大陆也顶得住”的证明。

它在哪里用尽——匿名性。面对一个想在让你说话之前先认出你的对手，同一套栈稀薄到几乎什么都不剩。不存在任何客户端原语能击败一个被强制的身份登记；加密没法把你的 SIM 卡与你的名字解绑；一个翻墙工具能隧穿过一次封锁，却隧穿不过一部把你的法律身份定为电话号码之代价的法律。零知识年龄证明是那唯一一个真正的技术反制，而在它 2026 年的形态里，它保住了该属性的机密性，却把匿名性让给了签发方。真正做到保留的去中心化身份——不可关联的凭据、分布式签发、不回拨——是可以建的，而且基本上没被建，其阻碍与其说来自密码学的任何限制，不如说来自那些偏爱可关联方案的采购标准。这就是前沿，而它基本上是空的。

因此这张地图以一种隐私运动尚未正视的方式失衡了：我们恰恰强在我们组织起来的地方，恰恰弱在我们没有组织的地方。保护你说什么的工具是成熟的、已发货的、正在取胜的。保护你可以不被识别地行动的工具是不成熟的、稀少的、正在失守的——不是因为这个问题无解，而是因为我们把这十年花在了另一半上。

我们遗忘的那场战争

两个教训为这一周收尾，而它们是同一次纠正的两半。

第一个是：机密性是必要的但不充分的，而把“加密了”当成“安全”的同义词，是一次战略失误，其账单如今到期了。加密回答了上一个时代所提的那个问题——他们能读我的消息吗？——而且回答得太好，好到公众学会了不再问另一个问题：我能不能在不先被识别的前提下行动？2026 年的这些身份强制令，就是对手的适应。它们让出消息，拿走信使。它们让信件保持封缄，然后在邮局门口放一名守卫。而面对这一招，十年苦练出来的密码学肌肉对准的是错误的目标。

第二个是操作层面的，也是本系列一直坚持的那条主线：在管控落下之前，把原语预先部署好。那些能保住匿名的安排——在登记期限之前拿到的外国 eSIM、在年龄闸门之前开好的账号、不可关联的凭据、不把传输绑定到已注册身份的覆盖网络——与一切规避手段一样，住在管控的另一侧。在 6 月 30 日之后仍然能够不被识别地行动的人，绝大多数是在此之前就做了安排的人。但预先部署对个人来说是权宜之计，对一个社会来说不是政策，而更大的那次纠正是运动必须刻意去做的：以当年投给加密的那份认真，去资助、去建造、去标准化、去索要匿名层——用不可关联的年龄证明取代可关联的，用去中心化签发取代国家咽喉点，用数据最小化的访问取代验证每一个人，并且划出一条法律界线，把不被识别的权利当作一项公民自由，而不是一个待堵上的漏洞。

机密性我们知道怎么赢；我们今年刚刚又证明了一次。匿名性我们一直在输，因为我们根本没有在为它而战。

三个政府，三大洲，一周之内，同一个要求：亮出你的脸。

答案不是交出加密上的那场胜利——它是真实的，而且是我们的。答案是意识到那是更容易的那场战争，而更难的那场如今才是要紧的那场，并且去建那一层：在那里，你不必亮脸就能说话。

机密性赢了。匿名性输了。下一个十年，是把它赢回来的那场仗。

URnetwork 是一个用于抗审查传输的点对点覆盖网络，设计上用于抵抗网络层的深度包检测；它 2026 年 2 月 19 日发布的 MCP 服务器让智能体客户端可以在这张点对点覆盖网络上建立 VPN 会话，把传输从运营商层抽象出来。URnetwork 的代码是开放且可审计的。它是一个关乎机密性与路由的工具，并且对自己的局限诚实：它保护你说什么、以及你如何连接，而且——与所有这类工具一样——它无法独自击败一部在门口索要你身份的法律，这正是本期主张匿名之战必须同时在标准与成文法中、而不只是在代码中打响的原因。

https://ur.io

先从代价说起，因为它是真实的，没有任何比较能够抹掉它。

在将近四年的时间里，30,000 多个自托管 Gitea 部署把自己的私有容器镜像交给了任何开口索要的人。CVE-2026-27771：容器仓库对标记为私有的镜像没有强制执行认证。一个标准的、匿名的 Docker 或 OCI 拉取请求发往仓库 API，就会拿到镜像。不需要凭据。不需要利用链。只是一个请求，被应答了。

英国安全公司 Noscope 在 30 多个国家的医疗、航空航天和 ISP 基础设施中发现了暴露的实例。在有人出于披露意图注意到它之前，这个缺陷在明面上摆了好几年。

四年是不可接受的。本刊在这一轮的前几期里一直在论证，自托管、用户掌控的那一层，是中心化厂商管线与平台保管者的反制——而诚实的说法是，首先说，也不加缓和地说：自托管层不是魔法。它带着一份纪律负担。它带着一种潜伏期风险。对生产环境蓝图长达四年的未认证读取，恰恰是一个用户侧论点的批评者会拿来指的那种失败，而这位批评者指得没错。

所以本期以自己这一层最难看的样子开场。

然后把论点重新挣回来——不是靠否认那四年，而是靠提出这四年所要求的那个问题：跟什么比，以及接下来会怎样。

因为 Gitea 故事余下的部分，正是厂商管线拿不出来的。缺陷是被 Noscope 的自主渗透测试智能体发现的。维护者分配了 CVE 编号并发布了修复——Gitea v1.26.2——时间是 5月20日，赶在 5月25日的公开披露之前。发布说明为发现者署了名。披露点名了 Forgejo，即共用同一套仓库实现的社区分支，说它同样存在漏洞，好让它的运营者也能打补丁。

四年的潜伏。几天的修复。披露时标记了分支，署上了发现者。

这个配对就是本文。

那份蓝图

要理解为什么一个容器仓库缺陷够得上头条而不只是一条脚注，你得先明白容器镜像是什么。

容器镜像是一个应用及其运行所需一切的打包、可运行快照。实际上这意味着应用源代码、配置文件，以及——远比安全最佳实践所希望的更常见地——数据库凭据、API 密钥、内部服务端点和 TLS 证书，全都捆进一个对象里，而仓库会应请求把它交出去。

Noscope 的说法很精确：容器镜像是“一份生产环境的详细蓝图”。能拉取私有镜像的攻击者拿到的不是一个碎片。他们拿到的是地图。读镜像，收割凭据与拓扑，你就有了触达其背后活体基础设施所需的一切。暴露变成了一个入侵原语。

显而易见的反驳是：容器镜像本来就不该装着密钥——凭据应当放在密钥管理器里、运行时注入，而不是烘进镜像。这是正确的最佳实践，而它被不断违反，恰恰就在 Noscope 扫描浮现出来的那些医疗、航空航天和 ISP 部署里。这就是那份纪律负担，直白地说出来：自托管层奖励熟练的运营者，惩罚粗心的运营者。把密钥挡在镜像之外的运营者暴露得更少；把密钥烘进去的运营者则把钥匙一并交了出去。但即使是一个完全不含密钥的镜像，它仍然是一份蓝图——源码、结构、依赖、端点——而一份生产环境的蓝图，本身就是攻击者的资产。

这个缺陷把 30,000 多个部署的蓝图变成了匿名下载。持续了四年。

被找到，被修好

要紧的两个数字并排摆着：大约四年的潜伏，和几天的修复。

补丁——v1.26.2——在 5月20日发布。公开披露在 5月25日。修复先于披露，而这正是负责任披露本应遵循、却常常做不到的顺序。等到这个缺陷成为公开知识时，修复已经通过运营者原本就在用的同一条更新渠道摆在了每一位运营者面前。

书面记录是公开且可审计的。CVE 已分配并编号。发现者——Noscope——在发布说明里被署名。下游分支——Forgejo——被点名为共用了那套有漏洞的实现，好让它的运营者能够行动，而不是日后才发现自己暴露了。任何人都可以读那次提交、读发布说明、读披露文本，并核验时间线。

这里有一个真实的残余风险，必须说出来：补丁只保护那些应用了它的运营者。那 30,000 多个部署里会有一部分在数周或数月里保持未打补丁状态，而这条未打补丁的尾巴是一个真实的问题，也是一次纪律失败。但一条未打补丁的尾巴与一个不存在的补丁之间，有着决定性的差别。Gitea 的修复存在，可以拿来用。还没应用它的运营者，有一条修复路径在那里等着。本周并不是每一个缺陷都能这么说——而这个对比就是下一节。

潜伏与修复

评价开放层的错误方式，是只看潜伏期。按那个度量，四年就是定罪，对话到此结束。

正确的方式是潜伏与修复，从四个维度看：缺陷一旦被知晓，修复来得有多快；如果无人处理，失败会持续多久；衍生品与下游是否透明；以及被暴露的一方对自己的修复是否有任何能动性。在这四条上，本周都提供了对照。

速度与持续性。CVE-2008-4250——一个微软 Windows 缺陷——在 5月20日被重新加入 CISA 的已知被利用漏洞目录，与 Gitea 披露同一周。它在补丁存在整整 18 年之后仍在被利用。厂商发布了修复；被利用群体的潜伏期是以将近二十年来计的。Gitea 的潜伏是四年到被发现、几天到被修复；CVE-2008-4250 的潜伏是 18 年且还在继续，修复早已可得，被利用的尾巴却依然存在。

不存在的修复。微软 Exchange Server 的 CVE-2026-42897 带着一个联邦文职行政部门修复期限，就是今天 5月29日。没有永久补丁。联邦文职部门是靠缓解措施而不是靠修复来“达成”期限的，而这已是被活跃利用的第 15 天。这正是今天装上 v1.26.2 的那位 Gitea 运营者的反面：被 Exchange 绑住的机构无法应用一个并不存在的修复。期限到了；修复没到。

衍生品的透明度。Gitea 被打补丁时，Forgejo——那个分支——被公开点名共享了这个缺陷。闭源产品没有一张可供据以披露的公开分支图；专有供应链中的下游暴露，在被攻破之前都是不可见的。开放层在衍生品上的透明度是一种结构性属性，不是一种客气。

用户能动性。ShinyHunters 对 Canvas/Instructure 的入侵暴露了约 2.75 亿条记录、约 8,809 家机构——Canvas 大约占据北美高等教育学习管理系统市场的 41%。那份数据集里的学生、教师和教职员工没有任何修复路径。他们从来就不掌控那套部署；他们无法给它打补丁；他们无法把自己的数据收回来。一个自托管缺陷，掌控该部署的运营者可以修。一次 SaaS 入侵，则是单一保管者一次性丢掉所有人的数据，用户侧毫无救济。

这个比较的诚实版本必须让出那个显而易见的幸存者偏差反驳：一份公允的账本也应当呈现缓慢的开源修复和迅速的厂商补丁——微软本周为 CVE-2026-45659（CVSS 8.8）发布了 SharePoint 更新，而且是按时发布的。这里的主张不是开放在任何单一事件上都胜过封闭。这里的主张是关于结构性属性——可扫描的代码、公开的分支图、由运营者掌握的修复、同渠道一次性发放——开放层有，封闭层没有。正是这些属性，把四年的潜伏变成了一次数天完成、带着公开书面记录的修复，而不是一条 18 年的尾巴，或者一个背后没有补丁的期限。

而那个关于可及性的反驳同样真实：大多数人无法自托管，所以运营者能动性这个优势对他们来说是理论上的。确实如此。潜伏与修复这个度量，对那些确实在自托管的运营者、平台和基础设施才有意义——按 Noscope 的说法，这里面包括扫描中出现的医疗、航空航天和 ISP 部署。这个框架讲的是运行这一层的人所背负的纪律负担，而不是在主张它普遍适用。

开放层公开地失败。这是代价——它的失败是可见、可扫描、可被找到的。这也是反制：可见的失败会被修好，很快，在公开场合，标记出分支，署上发现者的名字。

双刃

Gitea 故事里真正新鲜的事实不是那个缺陷。是那个发现者。

一个自主渗透测试智能体，通过大规模扫描开放层，发现了一个此前未知的漏洞。不是一个匹配特征码的已知 CVE 扫描器——而是一个探索型智能体，它在一个已经把这个 bug 发布了四年的仓库实现里，找到了没有人编目过的东西。Noscope 的说法描述的是智能体做发现、公司做披露；除此之外的机制细节是他们的，不是我们能拿来做基准的。

值得驻足的是那个推论：隐匿性已死。四年的潜伏发生在这样一个年代——要在一个中等流行度的开源仓库里找到一个未知缺陷，需要一位人类研究者主动选择去看。智能体年代取消了这项要求。摆在明面上的代码会被扫描——全面地、廉价地、持续地。

这是双刃的，而其中的推理是直白的而非报道来的：让 Noscope 找到这个缺陷的那种自主扫描能力，攻击者同样可得。没有任何报道称有敌对智能体找到了这个特定缺陷——这次披露是 Noscope 的。但这种能力并不专属于防守方，而一种能找到一个未知缺陷的能力，也能找到别的。这场赛跑是在友方智能体的发现—披露与敌方智能体的发现—利用之间进行的。

这就是为什么运营者手里的那个变量是打补丁的节奏。发现的时延如今有一部分不在运营者手里——不管是友方还是敌方，智能体都会按它们自己的时间表、而不是运营者的时间表，找到一切可被找到的东西。而打补丁的时延完全在运营者手里。在智能体年代，修复发布到运营者应用之间的这段时间，是主导性的安全变量，因为它是运营者能控制的那一个。开放层同渠道、所有运营者一次性到位的发布模式，就是为快速采纳而生的。运营者是否使用它，则是那个纪律问题，而它现在是最要紧的问题。

“AI 让开放层更安全”是乐观的读法，而它对了一半：友方智能体找到了这一个。另一半是，自满如今是致命的，因为敌方智能体也在扫描。结论不是安全。结论是以智能体的速度打补丁。

十四天，与一个没有补丁的期限

本周各机构的时钟并行地在走，而它们走的是相反的方向。

《外国情报监视法》第 702 条将在十四天后、也就是 6月12日日落。参议院要到 6月1日或 2日才复会。外国情报监视法院 3月17日的意见书仍然涉密；国家情报总监办公室表示正在“尽快”推进解密，但没有承诺任何日期。根据关于这份仍然涉密的意见书的报道——其中以《美国展望》的 Brent Skorup 为主——法院认定过滤工具的问题贯穿整个情报界：FBI 已在 2024 年停用了它当时使用的那款特定查询工具，但正在使用另一款具有相同功能的工具。参议院情报委员会主席 Tom Cotton 与副主席 Mark Warner 联署了致国家情报总监 Gabbard 与代理司法部长 Todd Blanche 的解密要求；Wyden 参议员一直是坚持要在重新授权表决之前公开这份意见书的最响亮的声音。

这与一个软件 bug 并不等同，也与伊朗的过滤网并不等同，本文把这几栏分开来算。美国有令状法，有一个写下了争议中那份意见书的对抗制法院，有为其解密进行谈判的国会监督，还有一个在报道这份涉密文件的自由媒体。共享的那条线索是狭窄的，也就按它的狭窄说出来：正如那个无法应用一个不存在的修复、被 Exchange 绑住的机构，也正如那个没有修复路径的 Canvas 用户，公众正被要求接受一个自己看不见的事实——那份 3月17日的意见书——以及一项自己无法控制的查询能力。

厂商期限那一叠加强了这个对比。Exchange OWA 的 FCEB 期限今天到期，却没有永久补丁。CISA 给了联邦机构四天时间去加固正被活跃利用的 LiteSpeed cPanel 插件。SharePoint 的 CVE-2026-45659 拿到了它的更新——那个确实存在的修复。微软 Defender 的一对零日，CVE-2026-41091 与 CVE-2026-45498，带着 6月3日的 FCEB 期限，还有五天。

贯穿其中的那条线：被暴露的一方，赛的是别人的时钟。被 Exchange 绑住的机构赛的是一个还没被写出来的补丁。§702 之下的公众赛的是一次没有日期的解密审查。今天装上 v1.26.2 的那位 Gitea 运营者也赛了一次时钟——而且跑完了，因为修复存在，渠道也把它送到了。这就是开放层的问责性所买来的差别。

保管者的失效模式

本周的几起数据泄露是头条故事的 SaaS 反面——中心化保管者一次性丢掉所有人的数据，用户侧毫无救济。

Canvas/Instructure。约 2.75 亿条记录、约 8,809 家机构，其中包括哈佛、斯坦福和加州大学伯克利分校，平台占据北美高等教育 LMS 市场约 41%；ShinyHunters；5月中旬支付了赎金。就本期的论证而言，定义性的特征是不存在用户修复路径。一个自托管的 Gitea 运营者今天可以拉取 v1.26.2 把洞堵上。Canvas 数据集里的那 2.75 亿人什么也做不了。他们没有运行那套部署，无法给它打补丁，也无法把被拿走的东西撤回来。中心化在奏效时是防御的乘数，在失效时是进攻的乘数：一次入侵，所有人暴露，个人毫无救济。

Silent Ransom Group。FBI 在 5月26日至 27日发布的 FLASH 警报警告称，这个犯罪敲诈团伙——Luna Moth、UNC3753，属于犯罪团伙而非国家行为体——正在以社会工程手段瞄准律师事务所，并升级到实体现场：钓鱼邮件、假冒 IT 回拨、远程桌面会话，而当这些都不奏效时，就派一名行动人员走进办公室插上一个 U 盘。泄露站点上已有 38 家以上的事务所，估计总数超过 100 家。这是攻击方一侧对“没有被强制执行的管控”的押韵——人的周界与 Gitea 仓库有着同样的缺口，一项根本没有做的检查。

Carnival。约 600 万人，5月28日确认。这是同一种保管者失效模式的紧凑范例：一个持有者，一次入侵，数百万人暴露。

承受层：今天的管控

国家管控层在协议栈的每一层都在继续，而用户侧的反制恰恰在国家掌握着设备或登记库的那些层用尽了。

运营商层——伊朗，恢复第 3 至 4 天。如本刊 5月28日那一期所记录的，伊朗的恢复峰值约为断网前水平的 40%，过滤网仍然完全启用，用于永久限速的中国深度包检测硬件已经就位。恢复不等于回归。这是一个指路标；论证不在此处重打一遍。

登记层——墨西哥，CURP Biométrica。距 6月30日的期限还有 32 天；登记率仍低于 10%。这是用户侧论点诚实的边界：面对一个被强制的生物识别登记库，不存在任何客户端原语，能让一个人既遵从又保留。对一个强制登记库的反制是政治的和法律的，不是密码学的。用户侧协议栈在这里用尽了，而把这一点说出来，本身就是用好它的一部分。

广播层——尼日尔第 21 天；布基纳法索第 24 天。对国际媒体来源的压制仍在继续。反制是抗审查的分发与抗深度包检测的传输——按上一期的教训，预先部署好。

设备层——香港，《国安法》。被强制的解密正在实操化。端到端加密保护一条消息不被平台披露；它保护不了一部机主已被依法强制解锁的手机。设备层的反制是加固过的操作系统、操作安全，以及尽量减少设备上所持有的东西——这被表述为一个边界，而不是被糊弄过去。

协议管线：逐层反制

本周的管线，恰如其分地，以开放层的快速修复领衔。

自托管层。Gitea 与 Forgejo v1.26.2——代价与反制在同一行里。这个缺陷是本期自身对潜伏期风险的证明；当天就可得的补丁则是对问责性的证明。

金融层。Monero 的 FCMP++ Trail of Bits 审计在 5月22日结束——报告待发，主网启用取决于整改情况，而不是“审计无问题”。Zcash 的 NU7 测试网在 5月22日上线。公开审计的问责性，是 Gitea 披露在金融层的押韵：发现公开，修复设卡，书面记录公开。

通信层。Discord 的 DAVE 端到端加密继续向大约 2 亿月活用户推开；Signal 的稀疏后量子棘轮（Sparse Post-Quantum Ratchet）继续迭代。香港那条边界在这里同样适用：端到端加密守的是通道，不是被强制的端点。

网络与传输层。Tor Browser 15.0.14；URnetwork 点对点覆盖网络；抗深度包检测的传输——VLESS+Reality、Shadowsocks-2022——用于上一期所描述的那些限速环境；价值层上的 Bitcoin BIP324 v2 与 BIP352。

设备层。GrapheneOS 2026050900 与 CalyxOS 7.2.1.0 仍是加固基线。

底层。ML-KEM、ML-DSA、SLH-DSA；FIPS 140-2 的日落在 9月21日到来。

这条管线所要求的诚实让步：它同样依赖机构。Tor 的资助、Monero 的审计公司、Zcash 的基金会。存活下来的那条更窄的主张，是本系列一直坚持的那条——这条管线不会围着任何单一国家的日历压缩，而这些原语一旦发布，就在用户的设备上运行，与中间人无关。

预先部署，并打补丁

本周的两个教训，是同一份纪律的两半。

在管控落下之前，把原语预先部署好。这是伊朗的教训，来自上一期：在那 88 天的断网中保住接入的人，是那些在网络关闭之前就配置好了 Starlink、mesh 和翻墙工具的人，因为绕过限速的工具，住在限速的另一侧。

以及，以智能体的速度给原语打补丁，好让它不至于变成暴露面。这是今天来自 Gitea 的教训：用户掌控的自托管层，只有在运营者以纪律去运行它时才算得上反制，因为对生产环境蓝图长达四年的未认证读取，就是开放层里的粗心长成的样子，而智能体年代保证了摆在明面上的东西一定会被找到。

任何一半单独都不成立。只预先部署而不打补丁，你搭好的原语就变成那个洞。只打补丁而不预先部署，你在管控落下时对够不着的工具保持着纪律。用户侧协议栈不是魔法，而本期就是它自己的证明——那四年的潜伏就是代价，先说出来，也不做淡化。答案是潜伏与修复加上纪律，不是否认。

四年是代价。

公开地失败、快速地修复、标记出分支、为发现者署名，并把一条真实存在的修复路径交到运营者手里——这正是那条 18 年的尾巴、以及那个“期限撞上今天没有补丁”所不具备的反制。

开放层公开地失败。并且快速地修复。

预先部署，并打补丁。

URnetwork 是一个用于抗审查传输的点对点覆盖网络，设计上用于抵抗网络层的深度包检测。2026 年 2 月 19 日发布的 MCP 服务器让智能体客户端可以在这张点对点覆盖网络上建立 VPN 会话，把传输从运营商层抽象出来。URnetwork 的代码是开放且可审计的——而这正是本期所论证的那种属性：它既暴露出一层的缺陷，也让这些缺陷被修好。

https://ur.io

它在本周结束了。

伊朗自 2026年5月26日（周二）UTC 时间约 11:00 起恢复了全球互联网接入。按 NetBlocks 的计数，这是那场在 2月28日空袭之后加剧的断网的第 88 天——现代史上最长的一次全国性断网。总统马苏德·佩泽希齐扬在 5月25日下令；最高网络空间委员会的专项工作组不顾强硬派反对，批准了恢复。约 9,000 万人此前被切断。断网期间的经济损失估计约为 18 亿美元。

这件事有一种合乎人情的读法，而且它就是正确的第一读法：9,000 万人在黑暗中过了三个月之后，正被重新接回世界，这是好事。伊朗人回到线上了——和海外的家人说话，看新闻，做生意。Cloudflare Radar 捕捉到了那一刻：从 5月26日起，流量和 DNS 查询都出现明显上升。

然后是断点。

在 5月26日的峰值时刻，Cloudflare 测到的流量也只回到 2026 年迄今最高活动量的约 40%。整个恢复过程中，那层 "filternet"——伊朗的审查设施——始终完全在运行。WhatsApp、YouTube 和 Instagram 仍被封锁或严重限制。要够到被过滤网挡住的东西，仍然需要 VPN。CNN 的报道传出了那种情绪：伊朗人"带着怀疑与不驯重新上线"。

而恢复之下压着一个架构层面的事实，它重新框定了整整 88 天。伊朗最高网络空间委员会成员穆罕默德·萨拉夫拉兹（Mohammad Sarafraz）在 5 月披露——据 RFE/RL 报道——伊朗已进口中国的深度包检测硬件，意图对普通用户永久封锁全球互联网，只允许少数受严密监控的用户接入。

这次断网不只是一次紧急状态。它是一套永久性架构的建设与演示阶段。

那个总开关被证明可以关上 88 天。中国的硬件让节流成为永久的。断网结束并不能撤销那套架构。

架构本身才是目的。

百分之四十

这次恢复里最硬的一个数字是 40%。

那是峰值——按 Cloudflare Radar 的数据，5月26日的最高点上，伊朗的互联网流量也只达到 2026 年最高值的约 40%。这个数字还会变；一次峰值测量并不是一条固定不变的永久基线，在本文发表之后的几天里，连接性还可能继续爬升。但重点不在量。重点在形。

整个恢复过程中，过滤网始终完全在运行。定义了那场断网的同一套封锁，也定义着这次恢复；差别在于流经过滤器的流量有多大，而不在于过滤器还在不在。WhatsApp、YouTube、Instagram——仍然被封。VPN——仍然必需。被恢复的互联网就是被过滤的互联网，只是吞吐更高了。

断网期间建起来的分等级接入层级，如今作为常设基础设施留了下来。那个 "white SIM"（白 SIM 卡）层级，以及昂贵的 "Internet Pro" 层级——获批的、隶属伊斯兰革命卫队（IRGC）和 MCI 的专业人士以每 GB 约 0.20 欧元的价格拿到白名单带宽，而普通公众要为商业 VPN 接入每月付出约 75 欧元，大约 12.5 倍的差距——并没有随恢复一起被拆掉。它们被演示了一遍，被常态化，然后被保留下来。Quincy Institute 在 5月12日的一篇分析里把这套系统称作"数字种族隔离"。层级比断网活得更久。

这就是对这次恢复的结构性读法：断网结束并不能撤销它所建成的架构。这 88 天，正是总开关在全国规模上被测试、接入层级被立起来、中国硬件被安装到位的那段时间。恢复是这套系统上线——而不是这套系统被拆除。

流量数字还会上升。而接入的形状——受控的、分层的、由 DPI 中介的——就是新的基线。

永久的节流阀

深度包检测，是把一次断网变成一道节流阀的那套机制。

断网是钝器：连接性掉到正常水平的 4%，就像 NetBlocks 在伊朗测到的那样，所有人被同等地切断。它在经济上是灾难性的——18 亿美元的断网成本就是这份灾难的度量——在政治上也昂贵，因为切断 9,000 万人会产出 9,000 万份怨气。断网无法无限期维持下去。这就是这一次停在第 88 天的原因。

DPI 是精密器械。它不切断线路，而是在网络层检查每一个数据包，并逐连接、逐协议、逐目的地地决定什么可以通过。这正是中国防火长城的机制：在不掐断整张网络的前提下，识别并封锁加密流量。它让一个国家可以把互联网"开着"在 40%，同时无限期地永久封锁它所选择的内容，而经济与政治代价远低于一次断网。

萨拉夫拉兹的披露——出自一位具名的最高网络空间委员会成员，由 RFE/RL 报道——说的是伊朗正是为此进口了中国 DPI 硬件：对普通用户永久封锁全球互联网，同时让少数用户在严密监控下接入。这里的"永久"（permanent）是被披露的意图，还不是一种已在运行的稳定状态；据 TechTimes 报道，"已经就位"（already in place）说的是硬件的状态。这个区分很重要。被演示出来的是能力和意图。被建起来的是硬件。

这正是伊朗的国家信息网络多年来一直在趋近的东西：与全球互联网完全分离，代之以一张国内的、由国家控制的网络。ARTICLE 19 与伊朗分析人士的说法很精确——这个项目把互联网接入"从一项公民权利和发展工具，变成一种奢侈品、一种由安全部门管控的商品"。断网并没有打断这个项目。断网推进了它。

供应链本身就是一个监控面。中国 2017 年《国家情报法》第七条要求中国企业在被要求时配合国家情报工作。在网络层检查每一个数据包的硬件，来自负有这一法律义务的公司，那么它不只是进口国的审查工具——它对出口国而言还可能是一段情报采集关系。ARTICLE 19 已经把这件事记录为中国在伊朗的"压迫基础设施"。

防火墙是一件商品

对以上这一切的反驳是：伊朗是特例——一个处于战争状态、受制裁、有着特定政权的国家，因此不构成可以推广的模式。

硬件正是它能推广的原因。

防火长城不只是中国的国内系统。它是一个明确的出口模式。DPI 硬件是一条产品线，被出售、被发运；装备了伊朗的同一条供应链，可以装备任何一个买家。RFE/RL 关于萨拉夫拉兹披露的报道，以及 ARTICLE 19 对中国审查基础设施外流的记录，描述的是一套可转移的架构，而不是一次性事件。伊朗不是这条规则的例外。伊朗是那台演示机。

架构之所以能推广，恰恰因为硬件能推广。一个国家不需要像中国那样花十五年去自研一座防火长城。它可以把这项能力买下来、装上，然后——正如伊朗现在已经演示过的——在精密节流阀于其后接线就位的同时，跑一次为期 88 天的全国性总开关测试。

下一个买家是谁，是一个真问题，而现有报道并没有回答它。报道确实立住的是：这项能力是一件商品，这件商品至少多了一个国家规模的操作者，而这个操作者在让它上线的过程中，跑出了有记录以来最长的一次断网。

反制是一种协议属性

对深度包检测的反制不是一项政策。它是一种协议属性。

抗 DPI 的传输，正是为击败伊朗正在部署的那套机制而设计的。它们有效——中国境内每天有数百万人正是靠它们穿过防火长城够到全球互联网——而且它们的机制与这个威胁是对得上的：

VLESS + Reality 借用一个真实的、无关网站的 TLS 握手，因此在 DPI 设备看来，这条连接与发往该站点的普通 HTTPS 流量无法区分；没有一个独立的指纹可供封锁。

Shadowsocks-2022 产出的流量没有可识别的协议签名——在 DPI 看来它就是一串随机字节，没有可以拿去比对封锁列表的报文头或握手。

Trojan 模仿标准 HTTPS，像到了封锁它就意味着封锁 HTTPS。

obfs4 用一层可插拔传输的混淆把流量包起来，抹掉分类器会据以判定的统计签名。

URnetwork 的点对点覆盖网络把传输分散到一张由参与者构成的网状网络上，而不是一组固定的、可被封锁的端点；没有一份公共服务运营者登记册可供 DPI 设备查询。

这些都是已确立的协议属性，针对防火长城设计并在实战中检验过。这一点没有争议：DPI 是可以被击败的。而这恰恰是伊朗这次恢复之所以是一则警告、而不是一份安慰的原因。

因为这份"击败"有一个前提条件。

你没法事后再装

关于规避工具，最锋利的一条操作性事实是：节流落下之后，你就拿不到它了。

抗 DPI 的传输是软件。软件是通过网络分发的。当网络被节流——当应用商店被封、下载服务器无法抵达、把客户端指向一个可用网桥的配置无法获取——获取窗口就已经关上了。绕过节流阀的工具，长在节流阀的另一侧。

那 88 天在现场证明了这一点。断网期间在伊朗境内保住接入的人，压倒性地是那些已经预先部署好的人：屋顶上早就架好了 Starlink 终端，Briar 这类网状通信应用早就装好并配好对，VPN 与可插拔传输的配置早在连接掉线之前就已经加载并测试过。那些等到需要规避工具时才去找的人，发现连搜索本身都被封了。

这就是永久 DPI 阶段所逼出的操作性结论。预先部署不再是针对某个假想紧急状态的预防措施。当中国的 DPI 硬件已经就位、用于一道永久节流阀时，预先部署是一项常设要求。规避工具栈必须在网络还开着的时候就装好、配好、练熟，因为下一次收缩未必会有一个 88 天的结束日期。

用户侧原语栈，不是节流落下时你伸手去够的东西。它是在那之前你就住在里面的东西。

十五天

美国那只钟本周也在并行走着，而它不是伊朗的钟。

《涉外情报监视法》第 702 条将于 6月12日日落——距今天十五天。参议院将在 6月1日（周一）或 6月2日（周二）结束阵亡将士纪念日休会返回。涉外情报监视法庭 3月17日的意见书仍然涉密。国家情报总监办公室 5月21日表示，总监图尔西·加巴德正在"努力推进解密"；没有承诺任何日期。

报道中的这一步升级值得精确陈述，并附上它所要求的告诫。据关于那份仍涉密的 FISC 意见书的报道，法庭认定：即便在司法部关停了 FBI 于 2024 年使用的一款过滤工具之后，FBI 仍在使用另一款类似的过滤工具进行不遵守规定要求的检索——而且，据同一批报道，NSA 和 CIA 也在使用类似工具，在第 702 条数据中检索美国人的通信。这是对一份涉密文件的报道，不是一项经裁决的公开认定；"with DOJ's blessing"（得到司法部首肯）是该报道自己的措辞。若属实，它会把关切从一个局的检索做法，扩大到一种覆盖整个情报界的模式。

与伊朗过滤网的比较必须小心地做，因为两者并不等同，而把这一点直说出来是唯一诚实的框定方式。美国有令状法，有一个写下了争议中那份意见书的对抗制法庭，有推动其解密的国会监督，还有对那份涉密文件进行报道的自由媒体——这些伊朗的过滤网一个都没有。共通的那条线不是权利处境，二者在这上面完全不同。共通的那条线是架构方向：走向更多的中介控制。在美国那一栏，是国家检索它已经持有的通信数据。在伊朗那一栏，是国家在网络层检查通信流量。不同的机制，不同的法律宇宙，一个方向。

接下来十五天里围绕第 702 条的这场角力，将围绕一个国会至今还看不到其近期法庭裁定的项目展开。

你办公室里的一个 U 盘

本周最锋利的网络安全故事，是社会工程直接从正门走进来的那一个。

FBI 在 5月26日至27日发布了一份 FLASH 警报（TLP:Clear），警告 Silent Ransom Group——也被追踪为 Luna Moth、Chatty Spider 和 UNC3753，一个自 2022 年起活跃的犯罪勒索团伙，不是国家行为体——正在以登门造访的方式针对律师事务所。攻击链的起手很常规：一封钓鱼邮件引导目标去拨打假的 IT 支持电话；回拨过程中施压，逼一名员工打开远程桌面会话。但当这一步失败时，该团伙会升级到物理手段。一名行动人员出现在办公室，冒充 IT，声称因为与那封钓鱼邮件有关的 "possible issues"（可能存在的问题）需要备份或镜像某台系统，然后把一个 U 盘插进电脑。

没有通过网络投递的恶意软件。没有告警。一个人，一个 U 盘。已有 38 家以上的律所出现在该团伙的公开泄露网站上；研究人员估计攻击总数超过 100 起，并在 2026 年初激增。

这是伊朗那条教训在进攻侧的押韵。断网给出的防守教训是：那个不依赖运营商的层——那些不经由受控网络转发的东西——才是活下来的东西。它的进攻版本是：绕开网络的攻击者，也就绕开了网络的管控。一个把 U 盘走过防火墙的对手已经击败了防火墙，正如一个预先架好 Starlink 终端的防守方已经击败了断网。对双方而言，网络都不是全部边界。

本周网络安全栏目的其余部分，把同一种中心化保管者暴露的模式填满了。Carnival 确认一起影响近 600 万人的数据泄露——又一份由单一保管者持有的大型数据集，一次性丢光。5月28日披露的一个 Gitea 容器镜像漏洞让攻击者可以拉取私有容器镜像，暴露源代码、凭据和基础设施——这提醒我们，自托管层带着它自己的纪律负担；掌控是有责任伴随的。同一天还披露了开源会议工具 Pretalx 的一个账户接管漏洞。而微软 Exchange OWA 的 CVE-2026-42897 联邦文职行政部门（FCEB）修复期限明天，5月29日，就要到期——已是被活跃利用的第 14 天，仍然没有永久补丁，只有缓解措施。

层与管线

本周的接收国一层，在栈的每一级上都显示出一个被夺走的原语。

墨西哥——还剩 33 天，到 6月30日的 CURP Biométrica 期限，届时约 1.27 亿条未登记的移动号码面临停机。登记率仍低于 10%。被夺走的那一层是身份登记。

尼日尔——第 20 天，对九家国际媒体的禁令；布基纳法索——第 23 天，对 TV5 Monde 的永久禁令。被夺走的那一层是广播机构。

香港——《国安法》正在被实操用于对个人强制解密。被夺走的那一层是设备，就在合法程序施加强制的那一刻。这正是端到端加密触及其极限的地方，而这一点必须诚实说出：E2EE 保护一条消息不被平台披露，但它保护不了一部手机——当机主已被依法强制解锁时。对一个被胁迫的端点，设备层的反制不只是加密——它是一套硬化的操作系统（GrapheneOS、CalyxOS）加上运营安全，再加上在法律允许之处的可辩解隔离。协议不能替操作者免责。

针对每一个被夺走的层，协议管线都发出了一件反制，而且它本周照发不误，不看任何国家的日程表：

• 金融层：Monero 的 FCMP++ 在 5月22日完成了 Trail of Bits 审计（报告还有 2–6 周，主网目标为 2026 年下半年）；Zcash 的 NU7 同一天上线测试网。
• 通信层：Discord 的 DAVE 端到端加密继续向约 2 亿月活用户推开；Signal 的 Sparse Post-Quantum Ratchet 继续迭代。
• 匿名网络层：Tor Browser 15.0.14 在 5月19日发布，并配了一轮十个项目的众筹；URnetwork 覆盖网络运行着抗 DPI 的传输层。
• 设备层：GrapheneOS 2026050900 和 CalyxOS 7.2.1.0 仍是当前的硬化基线。

每一层一个被夺走的原语；每一层一件用户侧的反制。

扛过来的那个栈

对用户侧原语栈的诚实清算必须包含它的代价，而本周把代价也一并交了出来。

它依赖机构：Tor 的开发在很大程度上靠资助（Open Technology Fund、美国国务院）；Monero 的审计经由 Trail of Bits 和 MAGIC Monero Fund；Zcash 的升级经由 Shielded Labs。这条管线并非独立于机构输入。本系列所作的主张更窄，而且在让出这一步之后依然成立：这条管线不会围着任何单一国家的日程表压缩，而且这些原语一旦发出，就在用户自己的设备上运行，与中介无关。

它的可及性并不均等：在伊朗断网期间保住连接的人，是那些本来就有 Starlink 终端和预配好工具的人——那不是所有人，这份不平等是真实的。它还带着自己的纪律负担：Gitea 那个漏洞就是提醒，自托管和用户掌控是伴随着责任的，这个栈奖励被练熟的原语，惩罚被草率对待的原语。它不是魔法。它是一组要求能力的工具。

在把这一切都让出来之后，本周立住的是这一点：用户侧原语栈，就是那个扛过了 88 天彻底运营商管控的层。当国家为 9,000 万人切断网络、持续了有记录以来最长的一段时间时，那些保住连接的人是靠 Starlink、靠网状网络、靠预先部署的规避工具保住的——靠的是这个栈里那些不经由受控中介转发的部分。这是本刊在这一轮各期之中记录到的最有力的单项证明。现代史上最长的一次断网，也没能完全够到那个不依赖运营商的层。

八十八天证明了总开关可以关上，也建成了随后到来的那道节流阀。中国的 DPI 硬件已经就位。恢复是进到一张从未关掉的过滤网里的 40%。恢复不等于回归。

架构本身就是目的。

反制也是——而且它必须在下一次收缩之前就已经立着，因为绕过节流阀的工具，长在节流阀的另一侧。

八十八天。

开关留下了。把这个栈预先部署好。

URnetwork 是一个用于抗审查传输的点对点覆盖网络，其设计目标就是抵抗网络层的深度包检测。2026年2月19日发布的 MCP 服务器让具备智能体能力的客户端可以在这张点对点覆盖网络上建立 VPN 会话，把传输从运营商层抽离出来。URnetwork 没有出现在本文所提到的任何法规或系统的公共服务运营者登记册中。

https://ur.io

这个数字就是那次搜查。

2019 年，办理弗吉尼亚州米德洛锡安一起信用合作社抢劫案的执法部门拿到一张地理围栏令状，要求谷歌检索其整个 Sensorvault 数据库——约 5.92 亿个启用了位置历史（Location History）的个人账户——以指认在抢劫案前后一小时窗口内处于该银行 150 米范围内的每一台设备。

检索返回 19 个账户。谷歌把它收窄到 9 个。其中 3 个被提供了身份识别信息——包括奥克洛·查特里，他被捕并被定罪。

这个比例就是那个宪法问题。为指认一名嫌疑人而检索了 5.92 亿个账户。另外 591,999,999 个账户被检索时，没有针对个人的嫌疑，没有相当理由，也没有任何在先迹象表明他们与该案有关。他们被检索，只因为他们存在于一个数据库里，而这个数据库是可以被检索的。

最高法院于 2026年4月27日进行了言词辩论。裁决预计在本开庭期于 6 月下旬结束前作出——也就是未来三十天内。

反向令状

传统令状是朝一个方向运作的。执法部门锁定一名嫌疑人，确立相当理由，然后取得一张令状去搜查该嫌疑人的财产、记录或数据。令状点名那个人。搜查去找证据。

地理围栏令状把这一切颠倒过来。执法部门锁定一个地点和一个时间窗。令状要求科技公司检索每一个用户的数据，以确定当时谁在场。令状不点名任何人。搜查去找嫌疑人。

第五巡回法院在 United States v. Smith 一案中明确点破了这一反转：地理围栏令状是 "the exact sort of general, exploratory rummaging that the Fourth Amendment was designed to prevent"（第四修正案当初正是为防止这一类概括性的、探索式的翻检而设）。该法院把地理围栏令状与协助令直接连了起来——那是英国殖民当局所用的开放式搜查授权，允许官员在没有具体理由的情况下搜查任何地点。协助令正是第四修正案的直接导火索。

第四巡回法院面对查特里案中的同一个问题时，无法取得一致。全院以 7 比 7 分裂，产出了 126 页意见，却在任何一个重大问题上都没有形成多数立场。那份只有一句话的 per curiam 判决——维持定罪，却不解决那个宪法问题——是数字隐私法史上范围最广的一次未获解决的司法分歧。

最高法院为解决这一分歧而准予调卷。

150 米半径

查特里案中的那张令状划定了信用合作社周围 150 米的半径和一小时的时间窗。在这个半径之内：信用合作社、紧邻的一座教堂、教堂停车场、附近的酒店，以及居民物业。

位置数据被抓走的人包括：正在参加礼拜的教友、酒店住客、附近住宅的居民、相邻商铺的顾客，以及在那一小时里步行或驾车经过该区域的任何人。这些人没有一个是嫌疑人。没有一个与那起抢劫案有任何关联。他们的位置数据被检索，只因为他们身处地图上的一个圆圈之内。

这就是特定性问题。第四修正案要求令状 "particularly describe the place to be searched, and the persons or things to be seized"（详细描述将被搜查的地点，以及将被扣押的人或物）。一张地理围栏令状描述了一个地点——但它不描述任何一个人。它从该区域内所有人身上扣走数据，然后从结果里指认出可疑对象。指认发生在搜查之后，而不是之前。

大法官们说了什么

在 4月27日的言词辩论上，最高法院显出沿着熟悉分野的分歧，也带着一些意料之外的暗流。

首席大法官罗伯茨问，用户为什么不能干脆关掉位置追踪——把这个问题框定为自愿披露。大法官阿利托强调第三方原则（third-party doctrine），认为把位置数据分享给谷歌构成一次自愿转移，从而消灭了隐私的合理期待。

大法官索托马约尔对自愿性这一论点提出质疑，追问用户在设置手机时，是否理解自己正在同意的那些隐私控制项。大法官卡根问，为什么第四修正案会保护 "patterns of life"（生活模式），却不保护去一次政治集会或一家堕胎诊所的单次造访。

大法官戈萨奇提出了那个把本案推到位置数据之外的问题："如果我们裁定，向谷歌的自愿暴露允许政府不受限制地取用位置历史，那这一裁定是否同样适用于电子邮件？"申请人一方的律师确认，它会延伸到云端存储的数据。

大法官卡瓦诺称赞那名警探三步收窄的做法——从 19 个账户到 9 个再到 3 个——是"漂亮的警务工作"，暗示可能存在一条中间路径：令状的方法论可以缓和它的宽泛。

言词辩论透出的信号显示，最高法院不太可能采纳任何一种极端立场——既不会全面禁止地理围栏令状，也不会一概放行。最可能的结果是一份就事论事的裁定，为时间、空间和特定性确立宪法上的护栏。但哪怕是一份窄裁定，也会立下管辖此后一代人所有反向搜查令状的先例。

超出定位之外

Chatrie 案中提交的法庭之友意见书超过 29 份。ACLU、电子前哨基金会（EFF）、Brennan Center for Justice、民主与技术中心（CDT）、谷歌、微软和 X Corp. 都提交了意见。Cato Institute 和全国刑事辩护律师协会也提交了。

这些意见书警告说，Chatrie 案确立的宪法标准不会只限于位置数据。同一套"反向令状"逻辑适用于：

关键词令状——要求搜索引擎指认在某一特定时期内搜索过某一特定词的每一个人。谷歌已经收到过与纵火、炸弹威胁及其他犯罪相关的搜索词的关键词令状。

AI 聊天记录——要求某家 AI 公司指认问过某个特定问题、或谈论过某个特定话题的每一个用户。与 Claude、ChatGPT、Gemini 或任何其他 AI 助手的每一次对话，默认都被存在服务器端。

云端文档检索——要求某家云存储服务商指认文档中含有特定内容的每一个用户。Google Drive、iCloud、OneDrive 或 Dropbox 里的每一个文件，在反向令状这套理论之下都可能被检索。

视频观看历史——要求某个流媒体平台指认看过某个特定视频的每一个人。这牵涉到《视频隐私保护法》（Video Privacy Protection Act），但 Chatrie 案中的一项宪法认定可能凌驾于成文法的保护之上。

结构性的要点是：如果最高法院认定，把数据分享给一家科技公司就消灭了第四修正案的保护，那么每一次经由第三方服务器的数字交互，在宪法上都是不受保护的。反向令状将成为数字时代默认的侦查工具。

谷歌改了自己的架构

2023 年 12 月，谷歌宣布将把位置历史数据从其中心化的 Sensorvault 服务器迁到用户个人的设备上。到 2025 年年中，这次迁移完成。谷歌不再持有那个使查特里案地理围栏令状得以成立的聚合位置数据库。

这在架构上意义重大。谷歌解决了 Chatrie 案所摆出的问题——不是靠法律，不是靠政策，而是靠设计。把数据挪到用户设备上，谷歌就消灭了政府可以检索的那个中心化数据库。架构就是防御。

但那个宪法问题在架构变更之后依然存在。执法部门已经转向电信运营商——AT&T、T-Mobile、Verizon——去要基于基站的位置数据。《福布斯》在 2024 年初报道，在谷歌政策变更之后，执法部门转向了电信运营商。这些运营商所运行的架构，比谷歌的设备端模式更不利于隐私保护。

Chatrie 案的裁决将为所有反向位置检索设下宪法下限，而不只是针对谷歌的那些。而反向令状这条原则延伸到每一个数据库、每一个平台、每一类数据。谷歌把位置数据挪到了设备上。AI 对话记录、关键词搜索和云端文档，仍然留在服务器端。

搜不到的那种架构

Chatrie 案的宪法裁决——无论它是什么——将设下下限。它将界定第四修正案针对反向令状所提供的最低限度保护。

而在这条下限之上提供保护的那种架构，正是本刊一直在记录的东西。

端到端加密的通信，服务器只持有密文，无法回应一张基于内容的反向令状，因为内容不可获取。Signal 的协议。Matrix 的加密。Briar 的点对点传输。

本地推理的 AI，查询根本不离开用户设备。一张要"所有问过 X 的人"的反向令状，够不到一次从未抵达服务器的对话。

设备端的数据存储，位置历史、搜索历史和文档库都存放在用户掌控的硬件上。谷歌 2023 年 12 月那次架构变更——把位置历史挪到设备上——就是范本。不被集中起来的数据，无法用一张令状搜到。

自托管服务，服务器由用户掌控。送达用户自有基础设施的反向令状，就是一张常规搜查令状，需要针对个人的相当理由——而不是一次拉网。

点对点覆盖网络，传输不经过一个存储数据的中介。URnetwork 的覆盖网络不积累位置数据、对话记录或搜索记录，因为这套架构里没有为上述任何一类数据设置的中心化数据存储。

Chatrie 案的判决会告诉我们宪法要求什么。架构告诉我们无论如何什么是可能的。5.92 亿个账户之所以可被检索，是因为 5.92 亿个账户存在于同一个数据库里。那个数据库不存在的架构，就是令状什么也搜不到的架构——不是因为法院禁止了那次搜查，而是因为数据从来就不在那里。

URnetwork 是一个用于抗审查传输的点对点覆盖网络。URnetwork 覆盖网络不积累中心化的位置数据、对话记录或搜索记录。送达该覆盖网络的一张反向令状什么也找不到，因为这些数据在中介层根本不存在。

https://ur.io

这句话是十三个英文单词。它背后的工程学事实是绝对的。

"When you build a backdoor into an encrypted device, anyone can walk through."——当你在一台加密设备里造出一个后门，任何人都能从那里走进来。

Erik Neuenschwander，苹果负责用户隐私与儿童安全的高级总监，昨天傍晚在 C-22 法案（《2026 年合法接入法》）最后一场既定听证会上，向加拿大众议院公共安全与国家安全常设委员会作出了这一表述。

谷歌隐私、安全与保障高级总监 Katherine Charlet 补充说，该法案的权力"没有边界"，并且可能"产生全球性影响，因为加拿大人在与全世界的人打交道"。谷歌加拿大政府事务与公共政策总监 Jeanette Patell 表示："秘密命令与其他民主国家的做法脱节，并会严重限制企业就用户数据如何得到保护而向用户保持透明的能力。"

世界上最大的两家科技公司在正式记录在案的场合告诉加拿大议会：这部法案威胁到每一个使用其产品的人的安全。

C-22 法案做的是什么

C-22 法案没有使用 "encryption"（加密）这个词。它没有明确要求企业破解自己的加密。

它所做的，是创设一套法律框架，让政府可以在其中发出秘密的"技术能力通知"（technical capability notices）——那是一种要求电子服务提供者改造自身系统、以实现对通信的合法拦截的命令。该法案强制 "core providers"（核心提供者）将元数据保留最长一年。它为取用设定了 "reasonable suspicion"（合理怀疑）的门槛，低于美国所用的相当理由标准。

技术能力通知可以秘密发出。技术要求本身不受任何司法审查——只有拦截令状会受到司法审视。没有透明度义务。企业没有任何机制可以向用户披露自己已被命令改造系统。没有公开报告的要求。

公共安全部长 Gary Anandasangaree 把这部法案描述为"对加密保持中立"。苹果与谷歌昨天告诉议会，这一说法与法案的实操条文对不上。

Salt Typhoon

苹果的 Neuenschwander 昨天提出了一项此前委员会未曾处理过的具体举证论点：Salt Typhoon 网络攻击。

2024 年，来自被称为 Salt Typhoon 的团伙、由中国国家支持的黑客攻破了美国主要电信运营商的合法拦截基础设施——那些系统正是为遵守《执法通信协助法》（Communications Assistance for Law Enforcement Act）而专门搭建的。黑客利用的，正是因法律要求其存在而存在的那些接入点。他们拿到了实时通话数据、短信，以及政府高级官员和政治人物的通信。

苹果对委员会说：美国的合法接入立法"比 C-22 法案更窄"，而 Salt Typhoon 还是利用了它。为美国政府而建的那个后门，就是中国走进来的那个后门。

这项结构性论证不是假设。它是一个有据可查的案例：世界上技术最精深的情报体系，其合法接入基础设施被一个外国对手通过法律强制要求存在的那些接入点攻破了。

撤离的威胁

这些证词，来自隐私导向企业数周以来不断升级的警告。

Signal 战略副总裁 Udbhav Tiwari 表示，公司"宁可退出这个国家，也不愿被迫在我们对用户所作的隐私承诺上让步"。

总部位于多伦多的 VPN 提供商 Windscribe 确认，它会把总部迁出加拿大，而不是遵从元数据保留要求。Windscribe 的无日志政策在 2025 年希腊的一起法庭案件中得到了验证。

NordVPN 表示："不存在任何一种情形，会让我们在无日志架构或加密保护上让步。"

ExpressVPN 称其加密与无日志架构"没有商量余地"。

苹果与 Meta 都已公开表达关切。200 多位密码学专家和计算机科学家签署了一封公开信，反对该法案对待加密的做法。

渥太华大学互联网与电子商务法加拿大研究讲席教授 Michael Geist 把这部法案称作"合法接入的双头监控怪兽"（the Lawful Access Two-Headed Surveillance Monster），并把政府对业界警告的漠视比作那套"灾难性的 Online News Act 剧本"——指的是加拿大 2023 年那部促使 Meta 在加拿大屏蔽新闻内容的立法。

OpenMedia 要求委员会"撤回 C-22 法案，或者掏空它的监控条款"。

英国先例

英国的《调查权力法》（Investigatory Powers Act）含有类似的技术能力通知条款。2025 年，苹果依该法收到一道秘密命令，要求公司提供对加密 iCloud 数据的取用。

苹果的回应不是去造那个后门。而是把高级数据保护（Advanced Data Protection）功能整体撤出英国——为所有英国用户移除了 iCloud 备份的端到端加密。用户失去了这项安全功能。政府没有拿到它想要的取用权。而那些以英国用户为目标的对手，如今面对的是更弱的 iCloud 备份加密。

这就是后门架构的实际后果：拒绝在加密上让步的公司，会移除功能，而不是削弱它。用户失去保护。政府一无所得。对手得到一个更软的靶子。

被问及苹果是否会在加拿大采取同样行动时，Neuenschwander 拒绝作出推测，但表示公司正在与委员会接触，以争取"积极的修正"。

委员会那场听证

昨天的听证，是公共安全与国家安全常设委员会进入修正案程序之前最后一场既定的证人听证。委员会在三次会议中听取了数十位证人。

保守党议员 Frank Caputo 推动延长辩论，主张这部法案正被"硬塞着通过议会"。会议在修正案程序开始之前就休会了。

加拿大警察局长协会的一位代表告诉委员会，元数据保留三年会是"理想的"——比该法案目前规定的一年更长。

公共安全部长 Anandasangaree 表示他"对修正持开放态度"，并希望在议会夏休之前通过该法案。该法案已完成众议院三读中的两读，将交参议院作最终审议。

那个模式

C-22 法案不是一个孤立的立法事件。它是各民主国家同时推进的一波浪潮中的最新一例：强制对加密通信实行合法接入。

英国的《在线安全法》（Online Safety Act）含有可能要求扫描加密消息的条款。Signal 总裁 Meredith Whittaker 表示，公司会在削弱加密之前先离开英国。预计 Ofcom 会在 2026 年 4 月前敲定技术标准。

瑞典议会正在审议一部要求消息应用存储用户通信并提供取用的法律。瑞典武装部队自己的首席信息官已正式采用 Signal 用于非涉密通信——随后政府却提议强制取得对同一款工具的接入权。

澳大利亚 2018 年的《协助与接入法》（Assistance and Access Act）使其成为第一个通过削弱加密立法的民主国家。该法已被用于强制企业在不公开披露的情况下建造拦截能力。

美国目前不强制要求加密后门，但 FBI 一再呼吁实行能提供合法接入的 "responsible encryption"（负责任的加密）。Salt Typhoon 对美国合法拦截系统的攻破，削弱了 FBI 的论点。

在每一个案例中，立法机制都是同一套：授予政府发出秘密命令、要求作出技术改造以实现拦截的权力，不公开披露，且对技术要求本身的司法审查有限。在每一个案例中，隐私与安全界的回应也是同一句：为政府而建的后门可被每一个对手利用，而有据可查的证据——Salt Typhoon——证明了这一点。

没有后门的那种架构

针对后门强制令的用户侧回应，与本刊在互联网自由的每一个领域中记录到的回应是同一个。

端到端加密协议，密钥握在用户手里，而不在服务提供者手里。提供者无法遵从一道技术能力通知，因为提供者并不持有密钥。架构就是法律上的防御。

Signal 的协议。Matrix 的加密。Briar 的点对点传输。URnetwork 的点对点覆盖网络。每一种都把密钥分发到端点，并移除了中介解密的能力。一道下达给中介的政府命令什么也产不出，因为中介什么也没有握着。

开源实现，代码可审计，插入后门可被察觉。代码的透明性，就是对秘密改造命令的防御。如果代码是开放的，命令就无法保密——因为改动会被看见。

联邦式与自托管服务，服务器由用户掌控。送达用户自有服务器的技术能力通知，是一张搜查令状，而不是一个后门——它要求针对个人的司法程序，而不是一次一揽子的技术改造。

对 C-22 法案的架构性反制不是一项法律论证。它是一个设计选择。从不持有密钥的系统，无法被命令交出密钥。代码开放的系统，无法被秘密改动。服务器属于用户自己的系统，无法被一道下达给某家公司的命令悄悄攻破。

"When you build a backdoor into an encrypted device, anyone can walk through."——当你在一台加密设备里造出一个后门，任何人都能从那里走进来。

没有后门的那种架构，没有任何一扇门可供任何人走进来——政府不行，对手不行，造出它的那家公司也不行。

URnetwork 是一个用于抗审查传输的点对点覆盖网络。URnetwork 覆盖网络把加密密钥分发到端点。中介不持有任何密钥，也无法遵从一道技术能力通知，因为没有任何东西可以交出。

https://ur.io

今晚午夜就是期限。

美国网络安全和基础设施安全局（CISA）于 5 月 22 日星期五发布了约束性操作指令的修复指引，要求联邦民事行政部门（FCEB）各机构在 5 月 27 日星期三午夜前修补 Drupal Core SQL 注入漏洞 CVE-2026-9082。今天就是那一天。

这个期限如何落在今天，其中的算术就是本刊 5 月 24 日那期所说的“十天”框架。参议院于 5 月 22 日星期五因阵亡将士纪念日休会——正是 CISA 发布该指令的同一天。参议院将于 6 月 1 日星期一或 6 月 2 日星期二回归。阵亡将士纪念日落在 5 月 25 日星期一。今天，5 月 27 日星期三，是纪念日之后的第一个工作日。议院仍在休会。联邦民事机构的 IT 人力一直在一个长周末的过渡期中运转，而据本系列此前的报道，CISA 的人员规模在停摆之后据称已缩减约三分之一。

期限就落在那段压缩里。

这是 5 月 24 日那期所作结构性论证的操作化形态：机构按工作日日历运转；威胁一侧则持续不停；周五的补丁节奏与假期后周一至周二的响应周期之间那个不对称窗口，是一周里被利用得最多的窗口。Drupal 的 FCEB 期限，是本轮周期里第一个检验这道算术的具体联邦期限。

Exchange Server CVE-2026-42897 欺骗漏洞的 FCEB 期限是 5 月 29 日星期五——距今两天。微软 Defender 一对零日漏洞的 FCEB 期限是 6 月 3 日星期三——距今七天，也就是参议院回归的次日。§702 的日落条款在十六天后的 6 月 12 日到期。

休会从第 702 条重新授权的会后监督窗口中拿走了十个日历日。休会也从 Drupal、Exchange 与 Defender 的会后联邦打补丁周期中拿走了大致相同数量的工作日。两只时钟一起走。造成这两种压缩的，是同一本日历。

今天是这道算术的归零日。

Drupal 期限的细节

CVE-2026-9082 是 Drupal Core 的 PostgreSQL 数据库适配器中的一个 SQL 注入漏洞，由 Google/Mandiant 研究员 Michael Maturi 披露。该漏洞位于 Drupal 的数据库抽象 API 中，允许未经身份验证的远程攻击者通过针对 PostgreSQL 驱动的 Drupal 实例发送恶意请求来执行任意 SQL。利用成功可导致信息泄露、权限提升或远程代码执行。

Drupal 承载着联邦和企业网络基础设施中相当可观的一部分，而在以 PostgreSQL 为后端的 Drupal 部署中，美国联邦民事部门的占比很高。CISA 于 5 月 22 日星期五依据约束性操作指令 22-01 将该 CVE 加入已知被利用漏洞目录，要求 FCEB 机构在今晚午夜前完成修复。

利用的遥测数据是实打实的，而非理论上的。Imperva 观察到约 15,000 次攻击尝试，针对 65 个国家中约 6,000 个独立站点。攻击集中在游戏和金融服务行业——两者合计约占全部已观测攻击的一半。Shadowserver 追踪到全球约 670 个暴露在网上、尚未打补丁的 Drupal 实例；其中 272 个在北美，273 个在欧洲。

最简单的反驳是：Drupal 这个 CVE 只是今年到期的众多 CISA 强制修复期限之一。这话没错。我们的论点不是这个期限格外重要；我们的论点是，它是第一个落在阵亡将士纪念日后、被休会压缩的窗口里的 FCEB 期限。这个框架之所以重要，是因为把第 702 条重新授权推出议院十天的那种日历压缩，同样压缩了在假期过渡期值班的联邦 IT 人员的披露后修复窗口。

Drupal 的补丁已经交到运维人员手里。期限今晚到期。明天的报道会告诉我们，在休会约束下的联邦民事修复率是什么样子。

倒置：伊朗的 ATG 与伊朗的数字种族隔离

今天在架构上的洞见不是期限本身，而是这个期限所处的方向性模式。

CNN 于 5 月 15 日报道，美国官员怀疑与伊朗有关联的行为体是一系列入侵事件的幕后方，这些事件针对的是监测美国多个州加油站油罐液位的系统。攻击途径是：没有口令保护、直接联网的自动油罐液位计（ATG）系统。在某些情形中，攻击者能够修改油罐上的显示读数——改的不是实际燃油量，而是运维人员可见的那一层监测。这些入侵尚未造成经证实的物理损害。CNN 报道中引述的美国官员提出的安全担忧是：ATG 被攻陷，原则上可能让一次燃油泄漏无法被察觉。

归因的信源值得说准确。美国官员怀疑与伊朗有关联的行为体；CNN 的报道引用了多个官方信源。2021 年天空新闻关于伊斯兰革命卫队内部文件的报道，曾把 ATG 单独点名为具体的潜在破坏性网络攻击目标。2026 年的这些事件与此前报道的意图相符。按美国官员的说法，归因仍停留在“疑似”，尚未有定论。

今天是伊朗国内互联网等级制度的第 89 天。这套架构是：面向一般公众、只能访问国家批准服务的白名单域名“白色互联网”层；面向与伊斯兰革命卫队和 MCI 有关联的专业人士、每 GB 约 0.20 欧元的“Internet Pro”层；以及面向富裕用户、每月约 75 欧元的商业 VPN 层。Internet Pro 与商业 VPN 之间的费率差是 12.5 倍。昆西研究所在 5 月 12 日的一篇分析中把这套制度称为“数字种族隔离”。据经由 Donya-ye Eghtesad 报道的伊朗政府统计数据，累计估计经济损失超过 52 亿美元。

架构上的那个性质——同一个原语，两个方向——才是新闻。

在伊朗境内，中介层被国家完全俘获。运营商、平台、注册机构、广播机构，以及日益如此的终端设备，都归国家或与国家有关联的实体所有并运营。一般公众所能获得的互联网体验，取决于被俘获的中介选择放行什么。“数字种族隔离”这个说法，命名的正是拥有国家关联接入权的公民与没有这种接入权的公民之间由此产生的差距。

在伊朗境外——具体来说，在那些没有口令保护、直接联网的美国加油站 ATG 系统上——中介层则完全缺失。ATG 不是一个被俘获的运营方；它是一台无人值守的嵌入式设备。与伊朗有关联的行为体利用缺失的中介，方式与伊朗国内体系利用被俘获的中介如出一辙：把自己插入到监测物理基础设施的那一操作层。

同一个架构原语。境内是被俘获的中介。境外是缺失的中介，由对手来填补。

这个架构框架不带党派色彩。它并不要求你在伊朗国内政策或美国对 ATG 攻击的归因上选边站。它说的是：在伊朗境内产生数字种族隔离层级的那个结构性性质，与在伊朗境外产生 ATG 可被利用这一脆弱性的，是同一个结构性性质。中介层控制——某一方，无论是国家监管者、网络运营商还是敌对的网络行为体，把自己插入用户与服务之间的能力——才是那个操作变量。架构上的对策，是不依赖中介层来提供安全保证的用户侧原语栈。

十六天

《外国情报监视法》第 702 条将于 2026 年 6 月 12 日日落失效。

距今十六个日历日。

参议院正处于阵亡将士纪念日休会。议院将于 6 月 1 日星期一或 6 月 2 日星期二回归（参议院日程待定）。第 702 条重新授权在议场上采取行动的最早可能程序日是 6 月 2 日星期二。从 6 月 2 日到 6 月 12 日是十个日历日，其中在计入回归当天的半个工作日和中间的周末之后，约有八个工作日。

参议员罗恩·怀登 5 月 19 日承诺“下周我会就此再多说一些”——这个“下周”指的是 5 月 25 日至 29 日那一周——已被休会盖过。怀登在参议院内的最早程序日，同样是 6 月 2 日的回归日。

处于 4 月 30 日谈判达成的解密协议核心位置的那份外国情报监视法院意见书，仍属机密。为期 15 天的加急解密窗口已于 5 月 15 日至 16 日星期五失效。国家情报总监没有解密。司法部没有解密。国家情报总监办公室 5 月 21 日告诉 Breitbart，总监图尔西·加巴德“正在勤勉地推进解密”——没有承诺任何日期。参议院情报委员会主席汤姆·科顿（共和党，阿肯色州）自 5 月 15 日以来未公开置评。参议院情报委员会副主席马克·华纳（民主党，弗吉尼亚州）自期限失效以来未作评论。

5 月 23 日那期所记录的结构性断裂依然成立。重新授权的辩论距离一项硬性日落只有十六天，而国会看不到这项计划最近的法院裁定，议院在接下来的四个工作日里不开会，行政部门也未就解密日期作出承诺。

第 702 条这条线索不是今天的头条。昨天的头条是阵亡将士纪念日休会的算术。今天的新闻是这个具体的星期三 FCEB 期限。但 §702 的日落时钟仍在走，而 5 月 23 日那期所作的架构论证——参议院被要求为一项计划续期，而行政部门不肯把该计划最近的裁定给他们看——在整个休会后的工作窗口里都成立。

第 702 条是今天的专栏条目。归零日是头条。

两天，七天

阵亡将士纪念日后时钟上的另外两个联邦网络安全期限，分别在本周五和下周三到来。

Exchange OWA —— CVE-2026-42897 —— 今天第 13 天，距 FCEB 期限两天。

这个植根于跨站脚本的 Outlook Web Access 欺骗漏洞，自 5 月 14 日以来一直被主动利用。微软只为运行 Exchange EM Service 的客户提供了自动缓解；其余所有人只有手动缓解步骤。联邦民事行政部门的修复期限是 5 月 29 日星期五——距今两天。厂商的补丁周期已连续第三周落后于监管方的时钟。

微软 Defender 一对零日漏洞 —— CVE-2026-41091 + CVE-2026-45498 —— 距 FCEB 期限七天。

CVE-2026-41091 是一个提权漏洞。CVE-2026-45498 是一个拒绝服务漏洞。两者自 5 月 20 日起都在 CISA 的 KEV 目录中，联邦民事行政部门的期限是 6 月 3 日星期三——距今七天，也就是参议院休会归来的次日。

结构性的性质在于：安全工具本身进了联邦的主动利用目录。控制平面厂商的补丁，正被顶着主动利用的时钟推送到联邦民事部门赖以运行其端点防御的那个平台上。

今天的 Drupal 期限，周五的 Exchange 期限，下周三的 Defender 期限。三个 FCEB 网络安全期限落在一个八个工作日的窗口里。同一个窗口里，第 702 条的日落时钟从十六天走到八天。

机构这一层已经满载。

网络安全一周专栏

本周的操作图景，机构打补丁的周期只是一半。另一半是已披露入侵的周期。

ShinyHunters / Canvas / Instructure。 约 8,800 所教育机构的约 2.75 亿条记录被攻陷，其中包括哈佛、斯坦福、哥伦比亚、罗格斯、乔治城以及新加坡国立大学。被窃数据：3.65 TB，含用户名、电子邮件地址、课程名称、选课信息和站内消息。初始访问发生在 4 月 25 日，经由 Canvas Free-for-Teacher 支持工单系统中一个未具体说明的漏洞。4 月 29 日被发现。5 月 7 日再次被攻陷，登录页被替换为一条勒索软件消息。Instructure 于 5 月 11 日与 ShinyHunters 达成赎金协议，以阻止原定 3.65 TB 的泄露；该公司称被攻陷的数据已被销毁。联邦学生援助办公室于 5 月 12 日向高等教育机构发布了一份涵盖该事件的技术安全警报。

富士康 / Nitrogen。 8 TB / 1,100 万个文件。富士康于 5 月 12 日确认了针对其北美业务的网络攻击，涉及威斯康星州芒特普莱森特和得克萨斯州休斯敦的设施。运营中断：威斯康星工厂的工人被要求关闭电脑；考勤系统下线；改用纸质流程；部分员工被遣回家。Nitrogen 勒索软件团伙的数据泄露主张中，包括为苹果、英特尔、谷歌、戴尔和英伟达所作的机密项目文档与技术图纸。AppleInsider 于 5 月 20 日确认，被窃文件中包含苹果服务器设计图。一个转折：Coveware 的研究人员报告称，Nitrogen 的解密器存在一个编程错误，导致文件无法恢复——付了赎金也拿不回文件。

GitHub / TeamPCP / Nx Console。 5 月下旬，GitHub 正式确认，约 3,800 个内部代码仓库被入侵，是一台 GitHub 员工设备上安装的、被投毒的 Nx Console 微软 Visual Studio Code 扩展所致。这一途径沿袭了本系列此前各期所记录的 TanStack 供应链模式。按仓库数量计，3,800 个仓库的波及范围使其成为 2026 年迄今最大的一起以 SaaS 厂商员工凭据为入口的供应链攻陷事件。

CISA 自己的凭据泄露。 TechCrunch 5 月 19 日的报道记录了：CISA 在 GitHub 上的 Private-CISA 仓库曾在约六个月里处于公开可访问状态，提交历史中含有 AWS GovCloud 管理员凭据和明文数据库口令。从向 CISA 披露到完成轮换的这个 48 小时有效凭据窗口，就是这家机构在自己那份约束性操作指令 22-01 对联邦民事运营方所要求的纪律上，自己的修复节奏。

MFA 提示轰炸研究。 5 月 26 日的研究指出，攻击者已不再需要窃取第二认证因子；攻击模式正收敛为通过提示轰炸造成的疲劳，让用户自己把它交出来。控制界面本身，再一次成为目标。

五起披露周期事件，与 FCEB 打补丁期限和第 702 条重新授权时钟落在同一个八个工作日的窗口里。机构层的负载已满。

承接国这一层

本刊一直在记录的那个架构模式，独立于美国参议院的日历继续演进。

墨西哥——距 CURP Biométrica 期限 34 天。 约 1.27 亿条移动电话线路必须在 6 月 30 日前完成面部、指纹和虹膜生物识别 CURP 登记，否则将在 7 月 1 日被停机。据墨西哥记者 Ignacio Gómez Villaseñor 的报道，公开的登记数据仍低于 10%。此前报道中的分运营商数据：AT&T 29%，Bait 28%，Telcel 19%，Movistar 16%。Telcel 在 2026 年第一季度少增了 120 万条线路——这是来自拉美最大运营商的一个可测量的用户反弹信号。

俄罗斯——ISP VPN 检测强制令第 42 天。 据 Meduza 与 Roskomsvoboda 的持续追踪，4 月 15 日的强制令在 Yandex、VK、Sberbank、Gosuslugi、Ozon、Wildberries、Aviasales 和俄罗斯铁路继续生效。俄罗斯最受欢迎的 30 款安卓应用中，已有 22 款在应用层监测 VPN 状态。Telegram 仍被封锁。尽管有被记录在案的监控功能，国家通讯应用 MAX 仍在被继续推广。

尼日尔——第 19 天。 国家传播观察局 5 月 8 日对九家国际媒体——法国 24 台、法国国际广播电台、法新社、TV5 Monde、《非洲青年》、Mediapart、LSI Africa、TF1 Info、France Afrique Média——的停播令仍然有效。

布基纳法索——第 22 天。 5 月 5 日对 TV5 Monde 的永久禁令仍在生效。无国界记者组织 5 月 6 日的报道记录了持续的拘押，包括记者 Atiana Serge Oulon。

坦桑尼亚。 4 月 23 日关于 10 月 29 日大选后 518 起选举暴力致死事件的调查委员会报告，仍未向公众公布。X 仍被停用。

巴基斯坦。 据巴基斯坦新闻基金会的追踪，《防止电子犯罪法》（PECA）的执法仍在继续——截至 4 月已有 233 起以上事件。

香港国安法。 《国家安全法》现已开始对个人实际施行强制解密——设备层面的合法程序访问，正在持续扩大实际威胁模型。

每个体制都在自己的时钟上运行。它们共同的架构性质——对运营商、平台、注册机构、广播机构或设备的中介层控制——与那个让美国 ATG 攻击成为可能的性质是同一个，只不过后者攻击的是无人值守嵌入式设备上缺失的中介层。

协议流水线

两起共识层事件在 5 月 22 日星期五落地——正是参议院休会的同一天，也是 CISA 发布 Drupal 指令的同一天。

门罗币 FCMP++ 的 Trail of Bits 审计结束。 这次为期 11 天（5 月 12 日至 22 日）、针对 monero-project/monero 中 FCMP++ 1a/1b 生产集成的审计，结束时未立即公开任何发现。Trail of Bits 的标准做法是在审计结束后有一个 2 至 6 周的发布窗口。这项协议变更以全链成员证明取代 16 个诱饵的环签名，其匿名集是整个 UTXO 集合，约 1.5 亿个交易输出——发送方匿名性约扩大 940 万倍。主网硬分叉目标为 2026 年下半年，取决于审计放行所需的整改。

Zcash NU7 测试网启动。 Shielded Labs 激活了 NU7 测试网——这是 Crosslink 里程碑 4 之后的下一次共识升级。维塔利克·布特林 2 月 6 日对 Shielded Labs 的捐赠支持了这项升级工作。从测试网到主网的时间表预计在 2026 年晚些时候。

Tor 浏览器 15.0.14 —— 5 月 19 日发布，含安全更新。Tor 项目支持十个互联网自由项目的众筹仍在进行。

Discord DAVE 端到端加密 —— 面向约 2 亿月活跃用户的默认开启推送在各地区继续。这是 2026 年面向非小众用户群体的最大单周 E2EE 基础设施部署。

Anthropic Claude Managed Agents —— 5 月新增了 MCP 隧道（私有网络路由）与自托管沙箱（运营方控制的执行环境）。Anthropic 的 Project Glasswing 有所扩展，Claude Security 进入公开测试，并为符合条件的安全团队提供了新的网络安全验证工具。架构上的性质是：智能体的运行可以经由运营方控制的基础设施，而不是厂商控制的默认路径。

比特币 BIP352 静默支付 —— 在 Core 28.0+ 的部署中继续推开。BIP324 v2 加密 P2P（自 Core 27.0 起默认开启）现已占全球比特币点对点流量的多数。

eIDAS 2.0 的 BBS+ 选择性披露 —— IETF 的定稿工作正在进行。W3C 可验证凭据 2.0 自 2025 年 5 月起处于推荐标准状态。

GrapheneOS / CalyxOS —— 月度发布节奏继续。GrapheneOS 2026050900（5 月 9 日）与 CalyxOS 7.2.1.0（5 月 4 日）仍是当前基线。

密码敏捷性 —— ML-KEM、ML-DSA、SLH-DSA 这些后量子原语自 2024 年 8 月起已是生效标准。FIPS 140-2 于 9 月 21 日日落。Signal 的三重棘轮（稀疏后量子棘轮 + 双棘轮 + PQXDH）仍在迭代。

对“协议流水线”这个框架最诚实的批评是：协议项目同样依赖机构层。Tor 的资金有相当部分来自开放技术基金和国务院拨款。Claude Managed Agents 是 Anthropic 的产品。门罗币的审计依赖 Trail of Bits 的人力以及 MAGIC Monero Fund 这个 501(c)(3) 组织的协调。协议层并非不受机构输入影响。

本系列的论点不是协议流水线独立于机构。论点是：协议流水线不会按本文所描述的那种休会窗口动态，围绕联邦日历压缩。门罗币周五结束了一次审计。Zcash 周五启动了一个测试网。Tor 在前一周发布了一个版本。Discord 继续推进其 E2EE 铺开。协议一侧的周五节奏，与威胁一侧的周五节奏相互映照，而机构一侧正准备休会。

用户侧原语栈

用户侧原语栈——密钥握在用户手里的开放客户端、跑在用户可查验芯片上的开放固件、FIDO2 硬件认证、抗审查传输、隐私保护型货币、本地推理 AI、带选择性披露的联邦身份、自托管服务、网状网与卫星、后量子密码敏捷性——在审计流水线式的架构上持续运转。

这一层不取决于参议院是否开会。

Drupal 的 FCEB 期限今晚午夜到来。Exchange 的 FCEB 期限周五到来。Defender 的 FCEB 期限下周三到来。第 702 条的日落在 6 月 12 日到来。墨西哥 CURP Biométrica 的期限在 6 月 30 日到来。欧盟《人工智能法案》的通用人工智能义务在 8 月 2 日开始执行。FIPS 140-2 的日落在 9 月 21 日到来。Q 日的目标年份是 2029 年。

每一个机构期限都在自己的时钟上跑。每一只时钟都由一家机构设定。每一只时钟都随着围绕它的机构日历而压缩或舒张。

用户侧原语栈没有一只与之平行的时钟。门罗币的审计在审计结束时结束。Zcash 的测试网在升级就绪时启动。Tor 的版本在安全补丁集成完毕时发布。Discord 的推送按平台自己的节奏进行。Signal 的后量子棘轮在密码原语就绪时发布。审计流水线式的架构，本身就是节奏。

5 月 18 日至 27 日这一系列各期所作的结构性论证，不是说机构不重要。它们重要。CISA 发布 KEV 目录。参议院就第 702 条重新授权进行表决。司法部起诉勒索软件运营者。微软数字犯罪部门端掉 Fox Tempest。欧洲刑警组织协调 Operation Saffron。这些机构是真实的，它们的工作也是真实的。

论点关乎不对称的日历。机构按日历运转。威胁一侧持续不停。伊朗的 ATG 攻击、Megalodon 供应链攻陷、ShinyHunters 的 Canvas 入侵、富士康的 Nitrogen 数据抽取、Coinbase Cartel 的发布周期——这些都没有为阵亡将士纪念日停下来。用户侧原语栈同样没有为阵亡将士纪念日停下来。持续运转的这两半，是威胁一侧和协议流水线一侧。

围绕休会压缩的，是机构那一层。

休会之后

参议院于 6 月 1 日星期一或 6 月 2 日星期二回归。Defender 的 FCEB 期限落在 6 月 3 日星期三。Exchange OWA 的期限是 5 月 29 日星期五——议院回归前三天。Drupal 的期限今晚到期。

今天是 5 月 24 日那篇休会文章所描述的那个 FCEB 周期的第零天。明天是第 +1 天。无论我们处在阵亡将士纪念日的哪一侧，这个模式都在继续。

5 月 18 日至 27 日各期所建立的架构论证，才是那个经得住时间的论证。厂商打补丁的流水线有十八年的长尾。Verizon 的《数据泄露调查报告》发现，漏洞利用以 31% 成为新的头号泄露入口。审计流水线按自己的节奏收工。用户侧原语栈穿过假日、休会以及那个不对称的周末非值班窗口继续运转。

今天是归零日。

架构挺得过日历。

URnetwork 是一个用于抗审查传输的点对点覆盖网络。2026 年 2 月 19 日发布的 MCP 服务器，让智能体客户端可以在这个点对点覆盖网络上建立 VPN 会话，把传输从运营商层抽象出来。URnetwork 未出现在本文所提及的任何一部法规的公共服务运营者登记名录中。

https://ur.io

这个数字，是不可见操作的次数。

自 2022 年底以来，监控行为体通过全球移动信令网络发出了 15,700 多次追踪查询，利用在它所触及的每一个网络看来都像是合法漫游流量的电信基础设施，在多个国家针对个人下手。目标的手机没有显示任何通知。他们的消息记录没有留下任何事件。追踪在设备层是不可见的，因为它运行在设备层之下的信令层。

多伦多大学的公民实验室于 2026 年 4 月 23 日发布了这些发现，报告题为 "Bad Connection"，作者是 Gary Miller 与 Swantje Lange。报告记录了两场不同的监控行动，点名了三家基础设施充当入口的电信实体，并指出了让这些行动成为可能的那个结构性性质：全球电信互联系统建立在一套信任模型之上，而这套模型从来就不是为核验信令流量是否名副其实而设计的。

幽灵运营商

被点名的三家实体不是情报机构。它们不是传统的监控供应商。它们是持有合法牌照的电信公司。

019Mobile 是一家以色列私人持有的移动虚拟网络运营商，对外品牌为 Telzar 019。它在 Partner Communications 的无线接入网上运营自己的核心网。公民实验室发布之后跟进的《国土报》调查——标题为 "Ghost Operators: How Israeli Telecoms Were Exploited to Track Citizens Worldwide"（幽灵运营商：以色列电信企业如何被利用来追踪全球公民）——记录了数十次经由 019Mobile 基础设施路由的追踪尝试。该公司的 IT 与安全负责人表示，“未发现对我们客户构成的风险”，并且无法确认那套基础设施是否属于 019Mobile。

Tango Networks UK 是一家英国 MVNO，是总部设在得克萨斯州的 Tango Networks Inc. 的子公司。它在 2022 年由 Ofcom 分配了英国移动网络码 53。据公民实验室，它“在数年间被用于监控活动”。该公司拒绝置评。

Airtel Jersey 是一家海峡群岛运营商，如今归 Sure 所有，而 Sure 本身属于 Beyon 集团，该集团部分由巴林王国持有。Sure 的首席执行官表示，公司“不会直接地、也不会在知情的情况下把信令接入权租给用于定位或追踪个人的组织”。

这些实体在纸面上都不是监控公司。每一家都持有合法的电信牌照。每一家都通过了其司法辖区内所存在的那种监管审查。“幽灵运营商”这个称呼来自它们的功能：真实的公司，其基础设施被用作——无论知情与否——监控流量的可信入口，而目标网络之所以接受这些流量，是因为它们看起来来自一个合法的对等方。

行动一：轮转的身份

第一场行动同时利用了 SS7 与 Diameter 协议，采取协同交替接入。当 SS7 查询被目标网络的防火墙拦截时，系统会自动切换到 Diameter。当 Diameter 被拦截时，它又退回 SS7。

监控流量在十个国家之间轮换使用 11 个运营商身份。被冒用运营商身份的国家包括柬埔寨、中国、以色列、意大利、列支敦士登、摩洛哥、波兰、瑞士、泰国和英国。为掩盖真实来源，使用了三种不同的路由模式：经 Tango Networks UK 直接接入 BICS 的 IPX 网络；经 019Mobile 直接接入 Comfone 的 IPX；以及一条伪造身份的路径——把 AIS Thailand 的主机名与中国联通的网络域标识符组合起来，经 019Mobile 送入 Syniverse 的 IPX。

IPX，即 IP 包交换网（IP Packet Exchange），是国际漫游流量所流经的互联结构。BICS、Comfone、Syniverse 这类公司运营着 IPX 网络。幽灵运营商把监控流量注入这些网络，网络再把它当作合法的漫游查询转发给目标运营商。IPX 提供方未必会核验穿过它们的流量是否真与漫游有关。

公民实验室研究员 Gary Miller 评估认为，行动一背后的供应商“很可能是一家总部位于以色列的商业地理情报供应商”，并可能与 Circles、Cognyte 和 Rayzone 存在关联。

行动二：不可见的指令

第二场行动在性质上不同。它不是向网络查询目标的位置，而是命令目标的 SIM 卡自己上报位置。

这项技术被称为 SIMjacker，2019 年由 AdaptiveMobile Security 的 Cathal Mc Daid 首次记录。它利用嵌入在 SIM 卡中的 S@T Browser 应用——一个用于让移动运营商向手机发送服务消息的遗留组件。攻击向目标的 SIM 卡发送一条特殊格式的二进制短信。SIM 卡处理这条指令时，不向用户显示任何通知，不在消息记录中留下任何事件，也不需要任何交互。随后 SIM 卡把手机的位置数据回传出去。

公民实验室记录了自 2022 年底以来 15,700 多次这样的追踪尝试。从单个全球码（Global Title，一种信令标识符）出发，在 2023 年 10 月至 2025 年 4 月之间记录到 1,700 多次隐私攻击。来自该标识符的流量中，有 92% 与位置追踪相关。

SIMjacker 的攻击面就是 SIM 卡本身。它不需要互联网接入。它不需要安装应用。它不需要用户交互。它只要求目标在一部连接到任意移动网络的手机里插着一张 SIM 卡。每一部插着 SIM 卡的手机都在攻击面之内，不是因为配置错误，而是因为设计如此。

用户做不到的事

结构性的发现是：SS7、Diameter 或 SIMjacker 监控的目标，无法通过自身行动来缓解这一风险。

用 VPN 没用。攻击运行在 IP 栈之下的信令层。VPN 加密的是数据流量；上报位置的信令流量与数据流量是分开的，对 VPN 不可见。

用加密通讯没用。Signal、WhatsApp 和 Matrix 保护的是消息内容。SS7 与 SIMjacker 攻击并不访问内容。它们提取的是位置。加密在这里无关紧要，因为攻击根本不与数据层打交道。

换手机没用。攻击针对的是 SIM 卡和电话号码，不是手机本身。

用注重隐私的浏览器没用。攻击不与浏览器、操作系统或任何应用打交道。

唯一的用户侧缓解手段是彻底拔掉 SIM 卡——那会切断蜂窝连接，对依赖手机生活的数十亿人来说算不上一种可行的防御。

架构上的教训是：当攻击面就是运营商层本身时，防御就必须在那一层之外运行。

本该修好这件事的那个协议

Diameter 是 2000 年代作为 SS7 的替代者设计的，正是为了解决那些让信令层攻击成为可能的安全弱点。Diameter 包含 SS7 所缺乏的身份验证机制、加密能力和访问控制。

公民实验室的发现是，运营商“基本上没有实施”这些保护。4G 与 5G 网络上的 Diameter 部署，继续依赖那套让 SS7 变得脆弱的对等信任模型。建起新网络的运营商，把旧的信任模型一并搬了过来。

这意味着，从 3G 到 4G 再到 5G 的迁移——那次本应堵上信令脆弱性的基础设施升级——并没有把它堵上。协议变了。信任模型没变。幽灵运营商利用的是信任模型，不是协议。

移动运营商的全球标准机构 GSMA 在公民实验室报告的两年前，发布了《全球码租赁行为准则》。这份准则是自愿性的。公民实验室发现，它“没有实质意义上的签署方”。

与间谍软件的平行

就在公民实验室发布 "Bad Connection" 的同一个月，间谍软件生态也在延续它自己那套中介层利用的模式。

5 月 22 日，国土安全部向 NPR 表示，ICE 与 Paragon Solutions“没有任何关系”——这家以色列商业间谍软件厂商的 Graphite 工具，能在目标不点击任何链接的情况下远程侵入设备并读取加密消息。但国土安全部拒绝澄清 ICE 是否仍能通过第三方获取由 Paragon 开发的工具。在联邦采购记录中，与 Paragon 的合同于 1 月 20 日被标记为 "closed out"（已结项）。但它此前曾在一次暂停之后被重新激活过一次——2024 年 8 月，在特朗普政府治下。

ICE 代理局长 Todd Lyons 在 4 月 1 日的一封信中承认，他批准了将“尖端技术工具”用于反恐与芬太尼执法。国土安全部的表态——"ICE has no relationship with Paragon Solutions, Inc. or with the company that acquired them"（ICE 与 Paragon Solutions, Inc. 或收购它的那家公司没有任何关系）——措辞审慎，只回应了直接合同，却把第三方访问的问题晾在一边。

幽灵运营商的模式与间谍软件采购的模式共享一个结构性性质：看起来合法的实体充当中介，承载着最终目标无法察觉、无法屏蔽、也从未被告知的监控能力。幽灵电信商把追踪查询送进信令网络。间谍软件供应商把访问权绕经一个合同中介。两种情形里，中介层都是攻击面。

信令网络看到的是什么

全球移动信令网络——连接着世界上每一家移动运营商的 SS7 与 Diameter 基础设施——把这些监控查询当作常规漫游流量来处理。当一部手机从一个网络移动到另一个网络时，被访问网络会向归属网络发送信令消息，以认证用户并路由通话。这是信令系统的正当功能。

幽灵运营商注入的查询，与合法的漫游查询看起来一模一样。网络无法区分一次合法的漫游认证和一次伪装成漫游认证的监控查询。信任模型假定：每一个拥有信令接入权的实体，都是一家有正当运营需要去查询另一网络用户的合法运营商。

拥有信令接入权的实体数量庞大且仍在增长。每一家移动运营商、每一家 MVNO、每一个接入 IPX 网络的信令枢纽，都有可能注入查询。攻击面随着每一个获得信令接入权的新实体而扩大。GSMA 那份自愿性的行为准则并没有约束住这种扩张。

架构上的回应

对抗信令层监控的防御，与本刊针对运营商层审查、强制平台泄露和服务端追踪所记录的防御是同一个：在中介层之外运行。

不需要 SIM 卡的网状组网。不经由运营商信令基础设施路由的点对点覆盖网络。完全绕开移动网络的卫星传输。不与 SS7/Diameter 系统交互的基于 Wi-Fi 的通信。

Briar 通过蓝牙和 Wi-Fi 通信，不需要蜂窝连接。Meshtastic 在 LoRa 电台上搭建网状网络。Reticulum 提供独立于运营商层的密码学网络。URnetwork 的点对点覆盖网络把传输从运营商中抽象出来。

这些工具都不需要 SIM 卡。它们对信令网络都不可见。它们都无法通过 SS7 或 SIMjacker 被追踪，因为它们根本不经过那些系统所监视的基础设施。

公民实验室记录的那 15,700 次追踪尝试，全都经由运营商层运作。在那一层之外运行的传输，对其中的每一次都是不可见的。

信任模型就是那个漏洞

结论是结构性的，不是技术性的。

SS7 缺乏身份验证，是一个 1970 年代的设计选择，它之所以延续至今，是因为替换它的成本超过了任何单一运营商行动的动力。Diameter 那些未被强制执行的安全控制，是一个 2000 年代的设计，运营商拒绝实施，因为信任模型早已就位。GSMA 那份自愿性行为准则是一个 2020 年代的回应，运营商拒绝签署，因为不遵守的后果为零。

幽灵运营商所利用的这套信任模型，被记录为脆弱已有十余年，自 2018 年以来一直是多份公民实验室报告的主题，也曾被 GSMA 自己的工作组标记出来，而它在结构上依然未变。这个脆弱性之所以持续存在，不是因为无人知晓，而是因为修好它需要全球网络中的每一家运营商都在信令层强制执行身份验证——这是一个没有任何单一行为体能解决、也没有任何监管机构有权强制的协调问题。

一万五千七百次追踪尝试。任何目标的手机上都没有通知。任何消息记录里都没有痕迹。任何目标通过他们所能采取的任何行动，都得不到任何防御。连接着全世界每一通移动通话的那套信令基础设施，就是那套监控基础设施。让网络得以运转的那套信任模型，就是让监控得以运转的那套信任模型。

在那套信任模型之外运行的架构，就是不在攻击面之内的架构。

URnetwork 是一个用于抗审查传输的点对点覆盖网络。URnetwork 覆盖网络不经由 SS7 或 Diameter 信令基础设施路由。它不需要 SIM 卡。它对幽灵运营商所利用的那个信令网络不可见。

https://ur.io

这个数字很简单。它的规模不简单。

2026 年 4 月 25 日，网络犯罪团伙 ShinyHunters 利用了 Instructure 旗下 Canvas 的 Free-For-Teacher 层级中的一个漏洞。Canvas 是约 100 个国家的大学、学区和教育部门所使用的学习管理系统。这次入侵拿走了 3.65 TB 数据：姓名、电子邮件地址、学号，以及 8,809 所机构中师生之间的私人消息。

Instructure 的首次公开披露是在 5 月 1 日。到 5 月 7 日，ShinyHunters 已经升级：他们篡改了约 330 所机构的 Canvas 登录门户页面，贴上赎金要求，第二次攻入了系统。攻击正落在期末周。宾夕法尼亚大学、奥本大学以及数百所其他院校无法组织考试。CNN 形容学生在学期中途被“撂在半路”。

5 月 11 日——比 ShinyHunters 公布被窃数据的最后期限早一天——Instructure 达成了赎金协议。据报道，黑客归还了数据，并提供了 "shred logs"（销毁日志）作为数据已被销毁的数字确认。赎金金额未被披露。

两亿七千五百万，大约相当于印度尼西亚的人口。它比 2025 年在美国报税的所有人加起来还多。它是有记录以来最大的教育数据泄露事件，比第二名高出一个数量级。

你离不开的平台

Canvas 不是一款消费产品。学生不选择它。是机构选择了它，而学生被要求使用它——提交作业、查收成绩、与教师沟通、获取课程材料、参加考试。没有退出机制。没有另一条通往学位的路。

这就是把强制平台泄露与消费级数据泄露区分开来的那个结构性性质。2017 年 Equifax 被攻破时（1.47 亿条记录），消费者本来也没法“退出”拥有信用记录这件事——但他们理论上可以冻结自己的档案、换一家征信机构，或者提起诉讼。而 Canvas 被攻破时，受影响的 2.75 亿用户此前没有选择，同期没有替代方案，事后也没有出口。这场泄露是通过一个他们被服务于自己的那家机构强制要求使用的系统，落到他们头上的。

强制平台有一个会颠倒正常市场动态的结构性性质。当一款消费产品被攻破时，用户可以离开，公司会承受声誉和收入上的后果。当一个强制平台被攻破时，用户无法离开，公司也就不会受到任何用户驱动的市场约束。唯一的后果来自监管机构、诉讼，或与各机构之间的合同罚则——而这些都不以数据泄露的速度运转。

ShinyHunters 明白这种筹码。对 Instructure 的初次勒索失败后，该团伙转向逐校施压：逐个篡改大学登录门户，再分别威胁每一所机构。强制平台的用户——正在期末考试中途的学生——成了施压的机制。

销毁日志

Instructure 支付了赎金，并收到了 "shred logs"（销毁日志）——一些声称能证明 ShinyHunters 已从其系统中删除被窃数据的记录。

网络安全界对销毁日志的共识毫不含糊。在数据被窃取到声称被删除之间的任意时点，数字数据都可以被复制到任意数量的系统中。一份销毁日志能证明的是数据从某一个特定存储位置被删除。它无法证明数据没有被复制到别处、没有被分享给第三方、没有在赎金支付前就被出售，或者没有留存在该日志未覆盖的某个系统上。要核实删除，就需要访问攻击者控制的每一个系统，而攻击者不会提供这种访问。

联邦调查局的立场仍然是：组织不应支付赎金。支付会激励未来的攻击，为犯罪运作提供资金，也不保证数据被销毁。Instructure 支付的决定——据报道是在公布期限前一天做出的——是在 2.75 亿条记录、数千所机构期末周被打乱，以及不断升级的逐校篡改行动所形成的压力之下做出的。

先例才是那个面向未来的隐忧。如果支付赎金给 Instructure 及其机构客户带来了一个还算满意的结果，那么教育、医疗和政府领域的每一个强制平台，都会成为同一套剧本的候选目标：攻破用户离不开的平台，在时间压力下勒索运营方，然后用一个无法核实的承诺换来付款。

Inside Higher Ed 的标题精准地捕捉了这个动态："Pay or Leak"（付钱，否则泄露）。

Free-For-Teacher 这道门

让这次入侵得以发生的漏洞位于 Canvas 的 Free-For-Teacher 层级——这是一种免费账户类型，设计用途是让教师个人无需走机构采购流程就能试用 Canvas。Free-For-Teacher 层级与机构层级处在同一套基础设施中。该漏洞让 ShinyHunters 得以从免费层级横向进入更广的 Canvas 基础设施，访问全部 8,809 个机构部署中的数据。

架构上的教训是：在一个强制平台生态里，一个免费层级的入口所形成的攻击面，与它背后的数据之间没有任何比例关系。Free-For-Teacher 层级服务的是教师个人。它背后的数据服务的是 2.75 亿名学生，而这些学生所在的机构合计支付着数以百万计的授权费，换取他们相信这个平台已经提供的安全保障。

5 月 7 日的第二次入侵——发生在 Instructure 5 月 1 日披露之后——表明最初的遏制并不彻底。ShinyHunters 再次进入系统，篡改登录门户，并把赎金消息直接注入用户界面。想要登录参加期末考试的学生，看到的是攻击者的要求，而不是自己的课程。

这个模式

Canvas 不是本月唯一被攻破的强制平台。这个模式延伸到用户没有选择的每一个机构层面。

雇主。 东北大学数据文化研究组于 5 月 21 日发表的一项研究——由美国联邦贸易委员会前首席技术官 Stephanie Nguyen 领衔——测试了九款“bossware”（监工软件）员工监控平台。九款全部把可识别身份的员工数据分享给了第三方。九款全部把员工的在线活动，包括 IP 地址、设备信息和访问过的网页，传送给了 145 个以上的外部域名。接收方包括谷歌、Facebook、领英、Yandex，以及市值超过 1000 亿美元的移动广告平台 AppLovin。

雇主要求员工安装这些平台。员工没有任何有意义的同意机制——拒绝就意味着失业。监控数据从雇主的强制令流向员工设备，再流向广告网络，而员工在每一个环节都是被出售的商品。欧盟自 2025 年 2 月 2 日起禁止在雇佣场景中使用情绪识别。美国没有同等的限制。

政府。 政府效率部把社会保障局的 NUMIDENT 数据库——其中包含有史以来提交过的每一份社会保障号申请，覆盖 3 亿多美国人——复制到了一台云服务器上，没有遵循规定的安全流程。举报人、社保局前首席数据官 Charles Borges 指称，这些数据被放在了一个未经授权的 Cloudflare 实例上。社保局自己的内部风险评估估计，这些访问做法导致 "catastrophic adverse effect"（灾难性不利影响）级数据泄露的概率在 35% 至 65% 之间。

最高法院以 6 比 3 裁定允许该访问。司法部承认在关于 DOGE 数据访问范围的法庭文件中存在“不准确与不实陈述”。至少十二起联邦诉讼指称违反了《1974 年隐私法》。

美国人无法退出社会保障。NUMIDENT 数据库之所以存在，是因为政府强制参与。当这个强制系统的数据库被复制到一台未经授权的服务器上、并带着 35% 至 65% 的灾难性泄露概率时，数据处于风险中的那 3 亿人此前没有选择，事后也没有救济。

AI 搜索。 以尊重隐私为卖点的搜索工具 Perplexity AI，据称在其代码中直接嵌入了 Meta Pixel、Google Ads、Google DoubleClick 以及 Meta 的服务端 Conversions API。3 月 31 日在加利福尼亚北区联邦地区法院提起的一份 135 页集体诉讼指称，用户对话——包括提示词、回复、电子邮件地址、IP 地址和设备信息——被传送给 Meta 和谷歌用于广告定向。据称，即便用户启用了 Perplexity 的 “Incognito mode”（无痕模式），追踪仍在发生；诉状称该模式是一个“幌子”。

Meta 的 Conversions API 是服务器对服务器运行的。没有任何基于浏览器的隐私工具——无论是广告拦截器、追踪保护还是 VPN——能够检测或阻止这种传送。据称，采取了一切可用隐私预防措施的用户，仍被一种对他们的防御工具不可见的机制追踪了。

开发者工具。 TrapDoor 供应链攻击活动最早于 5 月 22 日被观察到，它用零宽 Unicode 字符把隐藏指令植入 .cursorrules 和 CLAUDE.md 配置文件。这些指令诱使 AI 编码助手——如 Cursor 和 Claude Code——执行一个看似“安全扫描”、实则窃取凭据、SSH 密钥、加密货币钱包数据和 API 令牌的操作。该活动通过 npm、PyPI 和 Crates.io 上的 34 个恶意包，瞄准加密货币、DeFi 和 AI 社区的开发者。

另有一起事件：一名 GitHub 员工于 5 月 18 日安装了一个被投毒版本的 Nx Console VS Code 扩展，导致 GitHub 约 3,800 个内部私有代码仓库被窃取，其中包括 Copilot 内部实现、CodeQL 工具和安全基础设施。TeamPCP 与 LAPSUS$ 把被窃数据挂出，以 95,000 美元联合出售。这次攻击源自七天前经由 TanStack npm 供应链攻陷窃得的一份凭据——一次从供应链递归到平台的入侵，每一次攻陷都为下一次铺路。

结构性论证

这些泄露事件共同的性质，不是一个共享的漏洞、一个共享的攻击者，也不是一套共享的技术栈。它是一种共享的架构：强制平台。

当一个平台是强制的——由学校、雇主、政府所要求，或由专业工具链的现实必要性所要求——用户就无法离开。用户继续留在平台上，并不是信任或满意的信号；那是参与该平台所服务的那个机构的条件。泄露不会产生那种能约束自愿平台的市场后果。

结果是一种不对称。攻击者的筹码与强制的强度成正比。ShinyHunters 明白，8,809 所机构的期末周会造成无法抗拒的时间压力。DOGE 明白，社会保障系统没有竞争性的替代品。监工软件厂商明白，员工无法拒绝安装。Perplexity 明白，在 AI 工具中寻求隐私的用户不会料到服务端追踪。

在每一个案例里，用户无法退出，都是这场泄露之所以有杀伤力的前提条件。

不需要许可的那种架构

面对强制平台风险的用户侧回应，与本刊在互联网自由的每一个领域中一直记录的回应是同一个：让用户握有密钥、让传输不穿过中介层、让平台的泄露不至于危及用户数据——因为平台从来就没有持有过它。

端到端加密的通讯，服务器只看得到密文。自托管的学习管理系统，机构掌控自己的数据。带选择性披露的联邦身份，由凭据持有者决定把什么分享给谁。本地推理的 AI，查询从不离开用户设备。硬件认证令牌，无法通过设备码流程被钓走。后量子密码敏捷性，让协议栈的演进跑在威胁前面。

这些工具都不需要机构的许可就能部署。它们都不依赖某个强制平台的安全实践。它们都不会产生一个攻击者可以在一次入侵中一并窃走的数据仓库。

Canvas 泄露暴露了 2.75 亿条记录，是因为 Canvas 把 2.75 亿条记录放在一个集中式系统里，而这个系统可以通过单一漏洞访问。把控制权分发到端点的那种架构——学生握着密钥，学校只保留最低限度，平台从不积累起 ShinyHunters 所找到的那 3.65 TB——并不能消除风险。但它消除了让 Canvas 泄露能达到这种规模的那个结构性性质：一扇门，门后 2.75 亿条记录。

两亿七千五百万人别无选择

强制平台是一种强制的架构。学生用 Canvas，因为大学要求。员工装监控应用，因为雇主要求。公民有一个社会保障号，因为政府要求。开发者用那个 IDE 扩展，因为工作流要求。

在每一层，强制制造了集中，集中制造了目标，而泄露制造了任何个体用户都无法防止、缓解或退出的后果。

两亿七千五百万名学生，对自己的数据是否交由 Canvas 保管没有选择。对 Free-For-Teacher 漏洞是否存在没有选择。对 Instructure 是否支付赎金没有选择。他们也无从核实那些销毁日志到底意味着什么。

能给他们一个选择的那种架构，并不需要他们所在机构的许可。它需要的是不经由强制平台路由的传输层。它需要的是握在学生手里的那把密钥。它需要的是不会在单一漏洞背后积累起 3.65 TB 的那种协议。

强制平台是问题所在。分布式架构是答案。这 2.75 亿人没有选择这个问题。架构让他们能够选择这个答案。

URnetwork 是一个用于抗审查传输的点对点覆盖网络。URnetwork 覆盖网络把控制权分发到端点，而不是在平台层积累控制权。用户握有自己的密钥。

https://ur.io

伊朗的互联网今天闪烁着重新亮起。

在与国际网络近乎完全隔绝 2,093 小时之后，NetBlocks 确认出现部分恢复——88 天，现代史上最长的全国性互联网关闭。实测连通水平不到断网前的 10%。

总统马苏德·佩泽什基安于 5月25日命令通信部把互联网接入恢复到 1 月之前的状态。新设立的网络空间监管与治理特别工作组由第一副总统穆罕默德·礼萨·阿雷夫主持，以 9 票对 2 票赞成恢复。

两张反对票来自伊朗国家广播机构负责人佩曼·杰贝利，以及网络空间最高委员会秘书穆罕默德-阿明·阿加米里——“兵营互联网”方案的主要设计者之一。

5月26日——也就是今天——行政正义法院中止了设立该网络空间机构的文件的执行，并受理了要求撤销该文件的申诉。恢复所依据的法律基础，在恢复被确认的同一天遭到挑战。

这次闪烁是真的。闪烁背后的架构才是新闻。

88 天遮住了什么

断网始于 1月8日，当时正值由货币崩溃与通胀引发的大规模抗议。这场黑暗期与当局镇压最致命的阶段重合。联合国特别报告员估计至少有 5,000 人被杀。Iran International、《时代》与《卫报》援引当地卫生官员的说法，报道称在 1月8日至9日的黑暗掩护下，遇难抗议者的估计数在 30,000 至 36,500 人之间。

人权观察记录到，断网在军事行动进行期间限制了对救命信息的获取——袭击地点、医疗、食物与住所。它切断了武装冲突期间与亲人的联系。它阻止了对杀戮与虐待证据的记录。它削弱了国际社会对国家暴力的监督。

按伊朗通信部长本人的估计，经济代价为每天 3,570 万美元。NetBlocks 认为直接成本最高达每天 3,700 万美元，计入间接损失则为每天 7,000 万至 8,000 万美元。线上销售下滑 80%。德黑兰证券交易所四天内跌去 450,000 点。200 万人直接或间接失去工作。伊朗最大的电商公司 DigiKala 裁员 200 人。另一家电商平台 Kamva 宣告破产。其创始人写道：“在经历两场战争和数月的互联网关闭之后，我们再也绕不过这场危机了。”

求职平台记录到，仅 4月25日一天就有 318,000 份简历投递——比此前的单日纪录高出 50%。移民中介应接不暇。

这场断网不是防御措施。它是用于遮蔽的基础设施。

断网开关

5月23日，网络空间最高委员会成员、国家广播机构 IRIB 前负责人穆罕默德·萨拉夫拉兹对《Faraz》报表示，中国硬件已经进入伊朗。用途是：为永久性限速互联网做铺垫，在 9,000 万人口中只有少数选定用户能获得受严密监控的接入。

萨拉夫拉兹的比喻：“这就像生活在一片水源充沛的土地上，却要为解渴而被迫花一大笔钱买一瓶水。”

“断网开关”数据中心位于德黑兰东北约 20 公里的帕尔迪斯信息技术园区，建在 Fanap 行政楼地下。设计上力求难以被导弹击中。容量：约 400 个服务器机柜。造价：估计 7 亿至 10 亿美元。设备：由华为提供，装在十二日战争之后运抵的 24 个集装箱中。相关文件里不出现华为的名字。该设施由 ArvanCloud 通过 Ayandeh Afzay-e Karaneh 公司管理。Fanap 首席执行官沙哈布·贾万马尔迪因与情报部和革命卫队的关系，于 2025 年 8 月受到美国财政部制裁。

佩泽什基安总统曾于 2025 年 3 月视察该工地。

该系统在网络底层使用深度包检测来识别并阻断加密的国际流量。技术目的是把伊朗国内网络与全球互联网永久分离——即只允许白名单访问这一模式的基础设施。

三个等级

从这场黑暗期中浮现出来的架构不是一次关停。它是一套阶级制度。

第一级——“白色互联网”。为高级官员和通过安全审查的精英提供完整、不过滤的访问。约 16,000 人持有“白色 SIM 卡”，这种卡至少自 2013 年起就存在。政府各部委、银行和关键基础设施。这一级约 200 万人。断网期间不受影响。

第二级——Internet Pro。资费：每 GB 40,000 土曼，约合 0.20 欧元。面向注册公司、记者、律师、学者和医疗专业人员开放。可访问约 10 个国际平台。Telegram 与 WhatsApp 大体稳定；Instagram、YouTube 和 X 不稳定。这一级约 500 万人。

第三级——标准级。面向普通公众。资费：每 GB 500,000 土曼，用于维持 VPN 接入——按每天 1 GB 计算约合每月 75 欧元。是 Internet Pro 资费的 12 倍以上。仅限基本的纯文本服务。这一级约 4,500 万伊朗人。

政府发言人法特梅·穆哈杰拉尼表示，接入“永远不会回到此前的形态”。

第一级计划于 6月1日在政府机构铺开。第三级在 9 月底前覆盖普通公众。今天的闪烁不是回到 1 月之前的互联网。它是分级体系第一次可见的运行。

俄罗斯这一层

过滤基础设施跑在俄罗斯的深度包检测技术上。总部位于圣彼得堡、在爱沙尼亚和约旦设有分支机构的 STC Protei 提供这套 DPI 平台。营收约 4,300 万美元。客户覆盖：横跨中亚、中东、非洲和南亚，全球超过 3 亿用户。

2024 年，俄罗斯国有的 Rostelecom 与 Protei 成立合资公司，并预期最终完全收购——这实际上让 Protei 成了一家国家控制的监控技术公司。

Protei 的平台提供对特定服务与协议的识别和选择性阻断、URL 黑名单与白名单、DNS 过滤，以及应用层流量检测——不按 IP 阻断，而按流量类型阻断。公民实验室 2023 年发现，Protei 向伊朗电信运营商 Ariantel 提供了核心网络组件，包括用户认证系统和 DPI 基础设施。

俄伊伙伴关系已通过条约正式化。2025 年的更新确立了“全面战略伙伴关系”，其中载有“通过监管国际公司来强化互联网主权”以及“在国家网段管理方面交流经验”的条款。

俄罗斯的 DPI 帮助伊朗安全部队识别抗议者的协调中心、追踪通信模式，并在抗议发生之前而非之后实施定点抓捕。

盒装的墙

中国的出口模式有据可查。

2025 年 9 月，中国网络安全公司 Geedge Networks 的 500 GB 泄露暴露了 100,000 多份文件，其中包含 DPI 与过滤技术的蓝图。泄露证实了出口目的地：埃塞俄比亚、缅甸、哈萨克斯坦、巴基斯坦。面向海外工程师的招聘启事明确点名巴基斯坦、巴林、印度、马来西亚、阿尔及利亚。中国公司向至少 63 个国家提供 AI 监控技术。仅华为一家就供应 50 个以上。

4月8日，一份泄露的陕西电信通知要求所有 IP 地址停止与任何外部网络的连接——VPN 服务与代理路由被清除。违规后果：立即停止服务、永久失去 IP 分配、不予退款。中国正在基础设施层面消除进行国际连接的技术能力。

“盒装防火长城”不是比喻。它是一件产品。接收国已被指认。蓝图已被记录。这项技术与伊朗正在帕尔迪斯信息技术园区部署的是同一套架构。

汇合

白名单互联网正在多个国家同时建造。

俄罗斯。白名单已在约 70 个地区部署。VPN 附加费——每月超出 15 GB 之后，国际流量每 GB 收 150 卢布——被推迟到 9 月选举之后，因为运营商无法配置计费系统，政治敏感度也太高。当局转而改用应用层执行：包括 Gosuslugi、Sberbank、Ozon、Wildberries 和 Yandex 在内的俄罗斯主要平台，现在拒绝为开着 VPN 的用户提供服务——此前数字发展部曾威胁取消它们的白名单地位。俄罗斯联邦通信监督局（Roskomnadzor）的目标是到 2030 年达到 92% 的 VPN 屏蔽有效率，为此每年拨款 200 亿卢布。俄罗斯在 4月6日至9日封禁了“VPN 交通灯”项目——一个追踪哪些 VPN 仍然可用的网站。审查关于如何规避审查的信息。

土耳其。议会于 4月22日通过社交媒体身份验证法，要求所有社交媒体账号注册都通过 e-Devlet 门户完成与政府身份证件绑定的验证。15 岁以下儿童被完全禁止使用社交媒体。另一部 VPN 牌照法案预计即将出台。已有 27 项 VPN 服务被封。DPI 被用来识别并丢弃 OpenVPN、WireGuard 和 IPSec 流量。

缅甸。军政府把中国支持的监控基础设施投入运行。2025 年 1 月 1 日生效的《网络安全法》规定，未经批准提供 VPN 可处 1 至 6 个月监禁。“人员审查与监控系统”部署了 AI 人脸识别与生物特征数据库。警察在街头拦下民众，搜查是否持有启用了 VPN 的设备。有报道称存在受贿以及警察以拘留相威胁的腐败行为。

这三个国家加上伊朗共同的模式是：默认屏蔽一切，只放行获批准的内容，在授予访问权之前验证身份，并把让用户绕过这套架构的工具入罪。

民主国家的平行线

白名单互联网并不只以威权形式出现。

犹他州。3月19日签署的参议院第 73 号法案宣告，任何从犹他州境内访问网站的人都属于在该州访问，"regardless of whether they use a VPN, proxy server, or other means to disguise their geographic location"（无论其是否使用 VPN、代理服务器或其他手段掩饰自己的地理位置）。托管成人内容的商业实体不得为 VPN 的使用提供便利，甚至不得提供如何使用 VPN 的说明。电子前哨基金会（EFF）称之为“责任陷阱”——迫使网站要么在全球范围封禁 VPN 的 IP，要么强制推行普遍的年龄验证。在 Pornhub 母公司 Aylo 提起法律挑战后，执法被暂停至 9月3日。英国儿童事务专员称 VPN 是“一个需要堵上的漏洞”。法国人工智能与数字事务部长表示，VPN 是“我清单上的下一个议题”。

加拿大。C-22 法案，即《合法访问法》，将允许政府秘密命令企业削弱加密或设置后门。Signal 负责战略的副总裁表示，公司“宁可退出这个国家，也不愿被迫在我们对用户作出的隐私承诺上妥协”。总部位于多伦多的 VPN 服务商 Windscribe 表示将迁走总部。NordVPN 警告说会考虑跟进。

英国。《在线安全法》的相关条款若由监管机构 Ofcom 落实，将要求对加密消息进行扫描。Signal 总裁梅雷迪思·惠特克表示，公司会在牺牲加密之前先行退出。瑞典议会正在审议一部法律，要求即时通讯应用存储用户通信并提供访问权限。

机制不同。效果趋同。无论是通过把 VPN 入罪、年龄验证强制令、加密后门法，还是身份验证准入要求，民主与威权司法辖区的立法产出在结构上是相似的：用户与目的地之间的中间层不再中立。

机构缺口

就在伊朗传来闪烁的这个阵亡将士纪念日周末，负责捍卫开放互联网的机构架构继续在收缩。

网络安全和基础设施安全局（CISA）目前在编岗位约 2,300 个——低于 3,400 的峰值。在 2月14日国土安全部停摆期间，2,341 名雇员中有 1,453 人被强制休假；888 人留守——占 38%。选举安全项目被整个取消。利益相关方参与司——负责与州、地方政府和私营企业协调关键基础设施网络安全的团队——被关闭。多州信息共享与分析中心失去联邦资金，转为付费模式；只有 24 个州参与。

Axios 今天报道，在应对由 AI 助燃的网络安全威胁时，CISA 已被推到次要位置。消息人士称，尽管肩负法定职责，该机构并没有“很大的角色”。5月14日，一个由 CISA 承包商创建的公开 GitHub 仓库被发现暴露了 844 MB 的明文密码、AWS GovCloud 密钥和 SSH 证书——已经开放了六个月。

CISA 代理局长今年 2 月对国会说：“政府会停摆，我们的对手不会。”

NBC News 与 TechCrunch 今天报道，伊朗黑客在 3 月入侵了洛杉矶县大都会交通局——700 GB 的邮件、备份和文件被窃。这次入侵是由一家以色列网络安全公司发现的，而不是美国联邦机构。攻击使到站显示屏失效，并让乘客无法给交通卡充值。

机构的日历会放假。威胁那一侧不会。

在伊朗境内什么管用

面对 88 天的白名单互联网，用户侧的应对就是那套不依赖总统令的架构的实操证据。

断网期间，Psiphon 的伊朗日活用户峰值达到 960 万。Psiphon Conduit——一款让海外用户中转流量的带宽共享工具——记录到来自伊朗的每日 2,600 万次连接。40 万名海外伊朗人作为志愿中继共享了 Conduit 带宽。

Noghteha 是 Bitchat 的一个分支，支持不依赖互联网基础设施的蓝牙网状通信，上线后 48 小时内被下载 72,000 次。

星链在伊朗境内维持着约 50,000 台走私入境的终端——多数经由连接伊拉克库尔德地区与伊朗库尔德斯坦省的山路进入。星链在伊朗免费提供服务。当局通过 GPS 干扰使约 40,000 台终端失效，造成 30% 至 80% 的丢包率。侦测车沿天线信号追踪以便没收。已有 108 台终端被查扣——同比增加 881%。使用者可判 10 年监禁。一名因使用星链被捕的男子在遭安全部队殴打后死亡。

arXiv 上的技术分析确认，所有依托常规本地互联网连通性的规避技术都被这种白名单做法挡住了。与以往使用 BGP 路由撤回的断网不同，2026 年的这次断网发生在更高的协议层——尽管连通性近乎全失，98% 的 IPv4 前缀仍在全球范围内被路由。这使传统的 VPN 规避在很大程度上失效。

管用的是：卫星（星链）、网状网络（Noghteha、Briar）、基于中继的规避（Psiphon Conduit），以及通过非正式市场买到自定义配置的 V2Ray。不管用的是：任何依赖当局所控制的运营商层的规避手段。

结构性的教训是：当互联网被白名单化，只有不穿过中间层的传输方式才能抵达开放网络。

穿过闪烁持续交付的原语栈

就在伊朗互联网闪烁的同一周，用户侧原语栈继续在交付。

Anthropic 的 Glasswing 项目在 5月22日报告了首批结果：Claude Mythos Preview 在 1,000 个开源项目中标记出 23,019 个漏洞，其中 90.6% 经确认为真阳性。Mozilla 依据一次 Mythos 审计就在 Firefox 150 中修复了 271 个漏洞——相比上一代模型提升 10 倍。wolfSSL 的 CVE-2026-5194 是这个嵌入在约 50 亿台设备中的 TLS 库里的证书伪造缺陷，由一名 Anthropic 研究员发现，并已于 4月8日修复。

Signal 在 5月12日发布反钓鱼功能——对可疑链接的应用内提示，仅在本地处理，零知识架构保持不变。Proton VPN 宣布了后量子加密的前期工作以及面向 Linux 的 Stealth 协议。Mullvad 部署了自研的、基于 Rust 的 WireGuard 引擎 GotaTun。Tails 7.8 于 5月21日发布。Tor Browser 15.0.14 于 5月19日发布。

开源栈正在以前 AI 时代无法企及的速度被加固。规避工具正被造成在中间层之外运行的样子。点对点覆盖网络不会出现在任何白名单或黑名单里，因为它并不经由白名单所控制的基础设施路由。

闪烁就是架构

今天来自德黑兰的闪烁不是恢复。它是新架构变得可见的时刻。

“断网开关”数据中心存在。三级资费在运行。中国设备已装好。俄罗斯的 DPI 在过滤。法院在总统令发布的同一天挑战了它。与伊斯兰革命卫队关系密切的秘书投票反对恢复。白名单互联网才是计划，断网不是。

同一套架构正在被出口。Geedge Networks 的 500 GB 泄露记录下了蓝图。缅甸、埃塞俄比亚、哈萨克斯坦、巴基斯坦正在接收这项技术。俄罗斯正在 70 个地区部署它。土耳其正在强制推行经身份验证的接入。在民主国家，同样的架构模式采取立法形式：加密，我们就退出；验证，我们就遵从；规避，我们就禁止。

结构性结论很简单。互联网正在分裂。一半在做白名单。另一半在交付。

用户侧原语栈——用户自持密钥的开放客户端、可被用户检查的芯片上的开放固件、FIDO2 硬件认证、抗审查传输、保护隐私的货币、本地推理 AI、带选择性披露的联邦身份、自托管服务、运营商层的网状网络与卫星、后量子密码敏捷性——跑在交付的那一半上。它不需要一纸总统令。它不取决于一纸法院裁定。它不穿过白名单所控制的中间层。

闪烁是过去的 10%。架构是未来的 100%。选择在传输层。

URnetwork 是一个用于抗审查传输的点对点覆盖网络。URnetwork 覆盖网络不会出现在本文所点名的任何一个政权的白名单基础设施中，因为它并不经由那些白名单所控制的运营商层路由。

https://ur.io

算术很简单。

5月22日星期五，参议院进入阵亡将士纪念日休会。该院 6月2日星期二复会。《外国情报监视法》第 702 条于 6月12日星期五日落失效。

6月2日到 6月12日是十个日历日。其中两天是周末。有一天——6月2日——是该院敲槌复会的日子，按惯例是用于程序性表决和委员会组织事务的半个工作日。§702 重新授权在议场上可用的有效工作窗口约为八天。

本刊周六版以《二十天，一份机密意见书》记录的那个 20 天倒计时，在参议院复会的那一刻就变成了十天。

参议员罗恩·怀登 5月19日的声明承诺“我下周会就此再多说一些”，而这个下周始于 5月25日星期一——阵亡将士纪念日。怀登在院内最早的程序机会是 6月2日星期二。怀登所承诺的“下周”与真正能据此行动的程序机会之间，相隔十四个日历日。

日期为 2026年3月17日的外国情报监视法庭意见书——那笔促成 4月30日 45 天延期的解密交易的核心文件——仍属机密。十五天的加速解密窗口已于 5月15日至16日星期五失效。国家情报总监没有解密。司法部长没有解密。据 ODNI 5月21日对 Breitbart 的声明，国家情报总监图尔西·加巴德“正在勤勉地推进解密”。没有承诺任何日期。

接下来十个工作日里的重新授权辩论，将针对一个国会看不到其近期法院裁定的项目展开。

休会，以及那个失效的期限

这些算术事实背后经过谈判达成的架构，值得清楚地讲明。

2026年4月20日是第 702 条原定的到期日。参议院以一致同意的方式谈成了一次 45 天的重新授权延期，延至 6月12日。参议员怀登撤回其搁置的代价——也就是让一致同意得以通过的条件——是对 3月17日 FISC 意见书的十五天加速解密窗口。参议院情报委员会主席汤姆·科顿（共和党－阿肯色州）与副主席马克·华纳（民主党－弗吉尼亚州）于 5月1日联名致函国家情报总监和司法部长，要求按约定时间表解密。

15 天的时钟在 5月15日至16日走完。意见书仍属机密。行政部门没有发出任何延期信号。它只是没有行动。

从 5月19日往后的参议院日程表就是可操作的事实。阵亡将士纪念日休会从 5月22日星期五开始。形式性会议会挡住任何有争议的一致同意请求——任何一名议员都可以反对并使议事停下。休会期间推进 §702 审议的程序路径并不存在。该院 6月2日星期二复会。

怀登 5月19日星期二作出的“下周”承诺，自然指的是 5月25日至29日那个工作周。25 日的阵亡将士纪念日以及贯穿整周的休会，意味着怀登在参议院内最早的程序性日子是 6月2日。

行政部门选择不在谈定的期限内解密，制造出一个窗口，而在这个窗口之内，休会把 §702 的监督对话整个搬出了议场。等参议院回来时，FISC 意见书可能仍属机密，留给议场行动的只有十天，而这项目的底层法院裁定国会看不到。

这才是今天的结构性新闻。

质疑者的论证

关于阵亡将士纪念日休会的批评，值得以其最强形式来对待。

这一论证的最强版本建立在四项主张上。

其一：阵亡将士纪念日休会是参议院的正常日程。每一届参议院会期都会为阵亡将士纪念日那一周暂停。这并不反常；它是制度节律。

其二：2024 年的 §702 重新授权是在参议院正常的休会日程之间完成的。参议院围绕休会处理 §702 是有先例的。这个模式并非没有前例。

其三：形式性会议原则上可以容纳程序性动议；如果参议院情报委员会想行动，路径是存在的。

其四：日落过渡机制会把授权延续到 2027年3月31日。6月12日这个硬日期是一个倒逼事件，而不是该项目在运行上的关停。

以上每一条都是这一论证最干净的形式。每一条也都有回应。

对第一项主张的回应：论点并不是说休会反常。论点是，那扇经过谈判的 15 天解密窗口，本就是设计成在休会之前结束的，好让参议院能在一个工作期内审议 FISC 的裁定。这一期限结构假定了行政部门会遵守。行政部门对谈定期限的不遵守，与正常休会叠加，产生了一个可行动窗口——6月2日起的八个工作日——而这对于审议一份刚刚披露的法院裁定来说短得要命。

对第二项主张的回应：2024 年的情况不同。2024 年的重新授权辩论是在另一种 FISC 裁定处境下发生的。2026 年这一轮里经过谈判的 15 天解密窗口，是 2024 年没有的结构性杠杆。这根杠杆已经失效。

对第三项主张的回应：形式性会议会挡住有争议的一致同意请求。任何一名议员的反对都会使议事停下。在形式性会议期间推进第 702 条审议的程序路径并不存在。参议院情报委员会领导层没有表示要动用任何此类路径，而科顿自 5月15日以来的沉默——来自相关委员会主席、来自行政部门自己所属政党的沉默——正是本刊周六记录下的那道结构性断裂。

对第四项主张的回应：日落过渡条款是一项程序事实，而不是对错过解密期限的辩护。一次干净的日落会让这套架构重新回到辩论之中；而一次按行政部门条件、不带谈定解密的对其有利的延期，则会把辩论关上。让 §702 失效——哪怕只是落进过渡窗口——在政治上的分量，正是怀登想要够到的杠杆。“行政部门按自己的条件迫使延期”与“国会让 §702 日落、过渡进 2027 年 3 月并重新考虑”之间的结构性选择，就是这十天窗口要解决的问题。

质疑者的论证是真实的。回应是结构性的。重新授权取决于国会能否看到法院裁了什么。

法院发现了什么

FISC 意见书的实质内容——国会想要解密、而公众仍然看不到的东西——是这场休会倒计时之下承重的新闻。

通过《纽约时报》4月9日的报道浮出水面、并经布伦特·斯科鲁普 5月11日在《美国展望》上的文章进一步刻画的报道，勾勒出了关键发现：联邦调查局用于查询第 702 条数据的“过滤工具”，其运行方式使得针对美国人的查询没有按重新认证的程序承诺被计数、追踪或审计。司法部在 2024 年 8 月获知了这一问题。3月17日的 FISC 意见书批准了该项目的重新认证，同时记录了对 FBI 查询做法的担忧。

怀登 5月19日的声明点出了被报道的具体模式：超过 14,000 项针对美国人的通信在没有搜查令的情况下被查询，其中包括美国记者、国会议员和大陪审团成员的通信。斯科鲁普搭起的概念框架抓住了法律问题：针对 §702 数据库的所有 FBI 查询是否都应计入 §702 的监督数字，还是只有返回美国人信息的查询才算。较窄的定义一直是情报界历来的报告实践。较宽的定义才是那个真正起作用的法律问题。FISC 意见书正是决定哪一种定义成立的那份文件。

公众被告知的是：FISC 对 FBI 如何进行查询提出了担忧。公众没有被告知的是：法院对这一模式的裁定究竟说了什么。

这就是保密从第 702 条重新授权辩论中挡下来的东西。从 6月2日起的十天，就是那份裁定要么公开、要么一路保密到日落表决的窗口。

补丁浪潮

就在参议院休会的同一个星期五，机构性的厂商流水线这一层记录下了本刊一直在追踪的、逐周比较中的上界节奏。

三个 CVSS 10.0 的 UniFi 漏洞。Ubiquiti 星期五为 UniFi OS 中三个最高严重级别的缺陷发布了紧急安全更新，涉及约 100,000 个面向互联网的网络网关。这些漏洞允许对网关管理平面进行未认证的远程代码执行。UniFi 设备在中小企业网络、高端家庭网络以及大型企业的边缘站点中广泛部署。补丁已可获取；部署节奏取决于运维方是否动手。

Drupal CVE-2026-9082 遭活跃利用。CISA 于 5月22日星期五把 Drupal CVE-2026-9082 加入已知被利用漏洞目录，联邦文职行政部门的整改期限为 5月27日星期二——而其中有一天（星期一）是阵亡将士纪念日。已观察到大规模利用：在披露窗口内约有 15,000 次尝试，涉及 65 个国家。Drupal 支撑着相当一部分联邦与企业的网站基础设施。

Exchange OWA 第 10 天。微软 Exchange Server 的 CVE-2026-42897——根源在跨站脚本的 Outlook Web Access 欺骗缺陷——仍处于被活跃利用的第 10 天，且没有永久补丁。联邦文职行政部门的期限是 5月29日，距今五天。微软只为启用了 Exchange EM 服务的客户提供了自动缓解；其余所有人都要手动执行缓解步骤。厂商的补丁周期已经连续第三周落后于监管时钟。

微软 Defender 的一对零日。CVE-2026-41091（提权）和 CVE-2026-45498（拒绝服务）都已进入 CISA KEV，FCEB 期限为 6月3日——距今十天。安全工具本身进了联邦的活跃利用目录。微软的补丁正在推送。

思科 Secure Workload CVE-2026-20223——CVSS 10.0。5月21日星期四披露。思科 PSIRT 的计划外通告；同日发布紧急补丁。

Megalodon 供应链攻击。5月18日的这次 GitHub 供应链入侵——本周稍早首次被报道，到星期五报道深度补齐——通过被攻陷的维护者账号，在六小时窗口内向 5,561 个 GitHub 仓库推送了 5,718 个恶意提交。攻击手法是一次自动化的提交喷射作业，利用了 GitHub Actions 的工作流令牌。受影响的仓库多数是小型开源项目；真正令人担心的是下游的爆炸半径。

Laravel-Lang 供应链入侵。在周五和周六两天里，攻击者为这个流行的 Laravel 国际化包发布了 700 多个恶意版本。攻击链一路伸进整个 Laravel 生态的 PHP 应用依赖。缓解需要每一个下游运维方手动审计依赖。

Coinbase Cartel 公布受害者。5月22日星期五，勒索团伙 Coinbase Cartel 在其暗网泄露门户上把松下航空电子公司和 Robinsons Singapore 列入新受害者。这一模式与 ShinyHunters / Anodot / TeamPCP 的节奏吻合：SaaS 厂商被攻陷，进而导致下游租户被入侵。

周五到周六这一波是上界，不是常态。两家厂商三个 CVSS 10.0 的披露，加上第四个被联邦强制整改的 CVE 正遭大规模活跃利用，加上一次 5,718 个提交的供应链攻击，加上 Laravel-Lang 700 多个恶意版本的入侵，再加上 Coinbase Cartel 的公布周期——当机构以工作日为锚而对手是连续作业时，一个“非值班周末”就是这个样子。

这波集中对应的 FCEB 期限是：Drupal 5月27日（且要扣掉阵亡将士纪念日）、Exchange 5月29日（休会复会后的星期五）、Defender 6月3日（休会之后）。这三个整改窗口，全都落在 §702 重新授权辩论同样身处的那个复会后十天的工作期之内。

机构层面的正面消息

这一周机构架构并非全面失灵。有三项正面消息与补丁浪潮并行。

藏红花行动。一次十六国的执法协同行动查封了 First VPN 服务的基础设施，包括跨多个司法辖区的 33 台服务器。约 5,000 个用户账号被牵连。通过 FBI FLASH-20260521-001（5月21日）向各国执法机构共享了 506 份用户情报包。一名乌克兰管理员被捕。存在与 Phobos 勒索软件即服务的运营关联。这次捣毁是 2026 年第二起 VPN 服务查封——其法律框架是：该服务是已知的勒索软件附属基础设施，而不是隐私工具。

微软捣毁 Fox Tempest。5月19日星期二，微软数字犯罪部门瓦解了一个运营约一年、以签名即服务方式售卖伪造代码签名证书的犯罪团伙。捣毁时吊销了 1,000 多张伪造证书。客户每张证书支付 5,000 至 9,000 美元。与 Rhysida 和 Vanilla Tempest 勒索软件附属团伙存在运营关联。微软的查封令涉及约 92 个互联网域名。

Kimwolf 僵尸网络逮捕。Krebs on Security 在 5月21日星期四率先报道：23 岁的雅各布·巴特勒因涉 Kimwolf 僵尸网络被捕，该僵尸网络制造了 2025 年底那次创纪录的 30 Tbps DDoS 攻击。联邦起诉书已解封。Cloudflare 记录到的这次 30 Tbps 单源 DDoS 事件，是有记录以来最大的单源攻击。

机构架构一旦运转起来，是能产出跨辖区协同捣毁的。不对称之处在于：捣毁需要以数周乃至数月为单位的多辖区协调，而威胁那一侧在两次捣毁之间的窗口里不断迭代。结构性模式是：正面成果通过机构合作缓慢交付；失败则以不对称的节奏持续交付。

承接国这一层

本刊一直在记录的那种架构模式，无论美国参议院的日程如何都在累积。

伊朗——第 86 天。Internet Pro / 商业 VPN 的三级架构继续运行。获批准的、与伊斯兰革命卫队及 MCI 有关联的专业人士，以每 GB 约 0.20 欧元获得白名单带宽。普通公众被迫使用商业 VPN，每月约 75 欧元——按单位带宽计约为前者的 12.5 倍。“数字种族隔离”这一说法继续在国际媒体中流传。《时代》周刊本周（5月21日）以“霍尔木兹海峡”的框架发表了一篇关于伊朗互联网成本的文章。按伊朗政府统计，累计经济损失超过 10 亿美元；昆西研究所的估计则接近累计 52 亿美元。白色互联网白名单层——只能访问国内经国家批准的服务——仍在大规模运行。

墨西哥——距 CURP Biométrica 还有 37 天。约 1.27 亿条移动电话线路必须在 6月30日前登记面部、指纹和虹膜的生物识别 CURP，否则将在 7月1日被停用。本周没有公布新的登记统计。墨西哥公民社会的违宪挑战仍在进行，但未取得有效的中止令。电信运营商的合规姿态依旧参差：按最近报道的数字，AT&T 以 29% 的登记率领先，Bait 28%，Telcel 19%，Movistar 16%。Telcel 在 2026 年第一季度少了 120 万条新增线路——这是拉美最大运营商身上一个可测量的用户反弹信号。

俄罗斯——ISP 层 VPN 检测执法第 39 天。据 Meduza 和 Roskomsvoboda 的持续追踪，4月15日的强制令在各大服务商处继续运行。俄罗斯最受欢迎的 30 款安卓应用中，已有 22 款在应用层监测 VPN 状态。Telegram 仍被封锁；国家消息应用 MAX 继续被推广。Telegram 4 月那次把流量伪装成浏览器流量的更新，仍是用户手里可用的反制。

尼日尔——第 16 天。5月8日国家传播观察局（Observatoire Nationale de la Communication）对九家国际媒体的停播令——法国 24 台、法国国际广播电台、法新社、TV5 Monde、《非洲青年》、Mediapart、LSI Africa、TF1 Info 和 France Afrique Média——仍然有效。按保护记者委员会 2025年12月1日的统计，尼日尔是撒哈拉以南非洲监禁记者第二多的国家。

布基纳法索——第 19 天。5月5日对 TV5 Monde 的永久禁令仍在生效。无国界记者 5月6日的报告记录了持续的拘押，包括记者阿蒂亚纳·塞尔日·乌隆。

巴基斯坦——PECA 689 起案件。巴基斯坦新闻基金会持续追踪。4月29日 Freedom Network 的报告记录了新闻自由的持续收缩。

坦桑尼亚——调查委员会报告被扣下。4月23日的调查委员会报告——2025年10月29日选举后暴力中 518 人死亡，其中平民 502 人、安全人员 16 人、儿童 21 人——仍未向公众公布。X（Twitter）在坦桑尼亚仍处于停用状态。

香港——国安法下的强制解密。香港的国家安全法现已把针对个人的强制解密投入实际运用。其架构属性是：在合法程序这一层取得对加密内容的设备级访问。

每个政权各按自己的时钟。每种模式都在累积。共同的架构属性是：对运营商、平台、登记册、广播机构、设备或报告的中间层控制。

协议流水线

就在参议院休会的同一个星期五，用户侧协议层交付了两件有分量的事。

Trail of Bits 的门罗币 FCMP++ 审计在 5月22日星期五收工。这次为期 11 天的工作（5月12日至22日）针对 monero-project/monero 中 FCMP++ 1a/1b 的生产集成，收工时未立即公开发现——按标准做法，收工后有 2 至 6 周的发布窗口。这项协议变更用全链成员证明取代了 16 个诱饵的环签名，其匿名集是整个 UTXO 集合，约 1.5 亿个交易输出——发送方匿名性约扩大 940 万倍。主网硬分叉目标为 2026 年下半年，取决于审计问题整改是否通过。

Zcash NU7 测试网在 5月22日星期五上线。Shielded Labs 启用了 NU7 的测试网——这是该协议此前几次重大变更之后的下一次共识升级。Crosslink 里程碑 4 架构（PoW + BFT 终局性，维塔利克·布特林 2月6日的捐赠支持了这次升级）仍在推进。测试网启用是预计于 2026 年晚些时候主网启用的操作性前置步骤。

Tor Browser 15.0.14——5月19日发布。标准节奏的安全发布。Tor 项目在同一时期还为十个互联网自由项目发起了众筹——由捐赠资助的抗审查传输层开发持续进行。

Discord 的 DAVE 端到端加密。5月19日面向约 2 亿月活用户的默认开启推送继续按区域铺开；这是自 Signal 默认开启以来，面向非小众用户群的最大单周 E2EE 基础设施部署。

比特币 BIP352 静默支付——Core 28.0+ 的采用。2026 年春季系列继续铺开。BIP324 v2 加密 P2P（自 Core 27.0 起默认开启）现已占全球比特币点对点流量的多数。

Signal 的稀疏后量子棘轮（SPQR）+ PQXDH + 双棘轮——三重棘轮。Signal 的后量子加固持续迭代。

npm 分阶段发布——5月22日合入。这条带 2FA 关口的发布流水线，堵住了催生 Megalodon 与 Laravel-Lang 两波攻击的那一类维护者账号失陷攻击。这是在包仓库这一层对补丁浪潮专栏所记录的供应链攻击作出的防御。

GrapheneOS 的月度发布继续。GrapheneOS 2026050900（5月9日），以及 5月4日的 CalyxOS 7.2.1.0 基线。

其他在进行中的。YubiKey 5.8 固件。eIDAS 2.0 的 BBS+ 选择性披露在 IETF 的定稿工作进行中。ML-KEM、ML-DSA、SLH-DSA 标准自 2024 年 8 月起生效。

协议流水线在参议院休会的同一个星期五交付了两项重大的共识层进展（门罗币审计收工、Zcash NU7 测试网）。用户侧原语栈在审计流水线架构上、在这个星期五的节奏里持续运转，与机构日历无关。

周末的非值班窗口

本周这种不对称模式——补丁浪潮集中在周五、休会从周五开始、FCEB 期限扎堆在复会前后——正是本刊已经点名过好几期的一项结构属性的运行形态。

机构以工作日为锚。厂商补丁周期、CVE 披露流程、联邦 IT 人力、国会会期、监管期限、法院程序——全都集中在周一到周五，一到周末和假日就陡然下滑。CISA 的员工规模在政府停摆之后减少了约三分之一；周末值守本来就已极少，如今更是吃紧。

威胁那一侧没有对应的约束。按业界的追踪数据，勒索软件的投放偏重周末，而周五补丁节奏收尾与周一响应周期启动之间那段不对称的利用窗口，是一周中被利用得最多的窗口。本周 Sysdig 关于 PraisonAI CVE-2026-44338 的研究——在一个周末窗口里，从披露到可用利用代码只花了 3 小时 44 分钟——就是这一模式中的一个实操数据点。

平均利用时间与平均修复时间之间的差距，在周末最大。星期天是威胁那一侧最高杠杆的一天。

当机构日程以不寻常的方式收拢时，这一模式会叠加。阵亡将士纪念日休会从 §702 重新授权窗口里拿走了整整一个工作周。Drupal（5月27日）的 FCEB 期限把阵亡将士纪念日算进了整改日历。6月2日复会之后，距 §702 日落只剩十个日历日。

结构性结论是：不依赖机构日程的那套架构，才是能穿过这个不对称窗口而不掉节奏的架构。

不依赖日程表的架构

收尾的论证很简单。

国会在休会。行政部门不会解密。FCEB 的时钟在走。补丁浪潮在跑。供应链入侵在扩散。就在参议院敲槌休会的时候，Megalodon 攻击在六小时内向 5,561 个仓库推送了 5,718 个提交。

用户侧原语栈在同一个星期五窗口里持续运转。

用户自持密钥的开放客户端。Signal、Tuta、Proton、Threema、Briar 1.5.17、Cwtch、Session、Matrix 自建服务器、面向约 2 亿月活的 Discord DAVE。端到端加密这一层对 Anodot 或 Megalodon 这类经由 SaaS 供应链的服务端数据外泄所形成的防御，是结构性的。

可被用户检查的芯片上的开放固件。GrapheneOS 的 Pixel 6+ Android 16。CalyxOS Android 16。e/OS。LineageOS。OpenWRT。这是闭源固件所不允许的、对运营商层攻击面的检查能力。

FIDO2 硬件认证。5月7日 FIDO 联盟世界通行密钥日，已部署 50 亿个通行密钥。YubiKey 累计出货 3,000 万以上。在纽约市健康与医院集团 180 万份指纹泄露这类事件之后，用硬件绑定的凭据取代生物识别。

抗审查传输。Tor Browser 15.0.14（5月19日）。URnetwork 点对点覆盖网络。V2Ray VLESS+Reality。Shadowsocks-2022。Trojan。带 obfsproxy 的 WireGuard。URnetwork 2月19日发布的 MCP 服务器，让智能体客户端可以在这个点对点覆盖网络上建立 VPN 会话，把传输从运营商层抽象出来。这个覆盖网络不出现在任何公共服务运营者登记名录中——不在 §702 里，不在伊朗的 Internet Pro 层里，也不在俄罗斯 4月15日的 ISP VPN 检测法里。

建立在用户自托管原语上的隐私货币。比特币 BIP324 v2 默认开启的加密 P2P 流量现已占全球比特币的多数。比特币 BIP352 静默支付进入 Core 28.0+。门罗币 FCMP++ 的 Trail of Bits 审计在周五收工——主网目标 2026 年下半年。Zcash 的 Crosslink 里程碑 4 / NU7 测试网在周五上线。

跑在用户可控算力上的本地推理 AI。DeepSeek V4 Pro（MIT 许可，可在浏览器中运行）。Mistral Medium 3.5。Qwen 3.6 Max Preview。GLM-5.1。OpenAI Privacy Filter（Apache 2.0，可通过 transformers.js + WebGPU 在浏览器中运行）。这是对云托管服务的架构性反制——在那些服务里，第三方日志路径正是法律程序的攻击入口。

带选择性披露的联邦身份。W3C 可验证凭据 2.0（自 2025 年 5 月起为推荐标准）。eIDAS 2.0 BBS+ 的 IETF 定稿。Privacy Pass。墨西哥 CURP Biométrica 的威胁模型。

自托管服务。Matrix 自建服务器。Forgejo。Mailcow。Jitsi。Nextcloud。Mautic。SuiteCRM。Moodle。Open edX。联邦化把供应链的爆炸半径限定住——对应《数据泄露调查报告》中供应链事件 +60% 的趋势。

运营商层的网状网络与卫星。Briar（蓝牙、Wi-Fi、Tor）。Bridgefy。Meshtastic。Reticulum。GoTenna PRO。星链。这是对抗伊朗第 86 天、尼日尔第 16 天、布基纳法索第 19 天、俄罗斯第 39 天的、与运营商无关的一层。

密码敏捷性。ML-KEM。ML-DSA。SLH-DSA。Signal 三重棘轮（稀疏后量子棘轮 + 双棘轮 + PQXDH）。FIPS 140-2 于 9月21日退役——距今 120 天。Q 日目标为 2029 年。

这一周两条流水线都在跑。机构那一层在失败中跑——解密没有发生，FCEB 期限被休会压缩，补丁浪潮处在上界节奏。用户侧这一栈在交付中跑——门罗币审计收工，Zcash NU7 测试网上线，Tor 15.0.14 发布，Discord DAVE 铺开，npm 分阶段发布合入。

接下来十天里的 §702 之争，是参议院能否看到一项行政部门不愿出示的项目的裁定。架构是那个不需要开口请求的答案。

十天。

参议院 6月2日星期二复会。

FISC 意见书可能仍属机密。

用户侧原语栈照样交付。

URnetwork 是一个用于抗审查传输的点对点覆盖网络。2026年2月19日发布的 MCP 服务器，让智能体客户端可以在这个点对点覆盖网络上建立 VPN 会话，把传输从运营商层抽象出来。URnetwork 未出现在本文所提及的任何一部法规的公共服务运营者登记名录中。

https://ur.io

2026年5月15日星期五，是第十五天。

那是从 2026年4月30日开始走的一个时钟的第十五天——那天，参议员罗恩·怀登撤回了他对一项以一致同意通过的 45 天第 702 条重新授权延期的搁置，条件是特朗普政府在十五天内解密 2026年3月17日的外国情报监视法庭意见书。窗口在 5月15日至16日星期五关闭。意见书仍属机密。

参议员怀登，2026年5月19日：

“我预计，当这份意见书被解密时，我的同僚——以及美国公众——会对 FISC 的发现感到震惊。 “每一位国会议员在未来几天审议第 702 条重新授权法案时，都应当把这一点记在心里…… “在最近一次重新授权之后，第 702 条被用来在没有搜查令的情况下访问超过 14,000 名美国人的通信——其中包括美国记者、国会议员和大陪审团成员的通信。美国人民应当知道，这个法庭已经记录下 FBI 在进行这些查询时对法律的严重违反。 “关于这件事，我下周会再多说一些。”

今天是 2026年5月23日星期六。下周从 5月25日星期一开始——距现在两天。6月12日的硬性日落还有二十天。

国家情报总监没有解密。司法部没有解密。参议院情报委员会主席汤姆·科顿（共和党－阿肯色州）自 5月15日至16日的期限以来没有公开表态。参议院情报委员会副主席马克·华纳（民主党－弗吉尼亚州）没有表态。重新授权辩论，正针对一个国会看不到其近期法院裁定的项目展开。

这就是本文的导语。其余一切都是它背后的架构语境。

法院发现了什么

处在这次错过期限中心的 FISC 意见书，是关于第 702 条的标准年度重新认证裁定，日期为 2026年3月17日，经《纽约时报》4月9日的报道浮出水面。法院批准了第 702 条的重新认证——意味着该项目继续在法院的授权下运行——同时对 FBI 针对第 702 条语料库的查询做法提出了重大关切。

布伦特·斯科鲁普 5月11日在《美国展望》上撰文，搭起了概念框架：争论在于，针对 §702 数据库的所有 FBI 查询是否都应计入 §702 的监督数字，还是只有返回美国人信息的查询才算。这个区分是承重的。情报界历来使用较窄的定义来报告查询数量。公民社会的改革派则主张，较宽的定义才是真正起作用的法律问题。按怀登的说法，FISC 意见书处理的正是这一点——FBI 在什么条件下可以用美国人的标识符去查询 §702 数据库。

怀登 5月19日的声明点出了被报道的具体模式：超过一万四千项针对美国人的通信在没有搜查令的情况下被查询，其中包括美国记者、国会议员和大陪审团成员的通信。这个数字来源于上一轮重新授权周期中变得可见的法庭文件。3月17日的意见书看来正是在结构上处理这一模式。

公众被告知的是：FISC 对 FBI 如何进行查询提出了关切。公众没有被告知的是：法院对这一模式的裁定究竟说了什么。

这就是这场解密之争的实质。

那笔交易

促成这次错过期限的 4月29日至30日的那笔交易，本身就是结构性新闻。

第 702 条原定于 2026年4月15日到期。参议院以一致同意的方式谈成了一次延至 6月12日的 45 天重新授权延期。怀登撤回搁置的代价——也就是让一致同意得以通过的条件——是对 3月17日 FISC 意见书的十五天加速解密窗口。参议院情报委员会主席科顿（共和党－阿肯色州）与副主席华纳（民主党－弗吉尼亚州）于 5月1日联名致函国家情报总监和司法部长，要求按约定时间表解密。

期限在 5月15日至16日到来。意见书仍属机密。行政部门没有发出任何延期信号。它只是没有行动。

对这类错过期限，默认的回应是主张 FISC 意见书本来就通常保密——这在体系层面上是真的，而在本案中不相干。这次解密是延期经谈判确定的价码。默认保密不构成对违背一项立法承诺的辩护。

更干净的读法，是怀登 5月19日留在记录上的那句：行政部门选择不遵守参议院据以给予重新授权的那个条件。参议院情报委员会主席科顿此后并未为行政部门的选择辩护。沉默才是那道结构性断裂——两党达成的交易签了，行政部门无视了，而相关参议院委员会的主席不肯公开说这笔交易是否仍然有约束力。

这就是那项架构事实。重新授权辩论将在接下来二十天里继续，而没有 FISC 对 FBI 查询做法的看法。

质疑者的论证

§702 重新授权辩论已经进行得够久，久到双方最强的版本都已经在记录上。本文必须直面维持 §702 现状的最强论证，否则读起来就是倡导而不是分析。

最强的论证建立在三项主张上。

其一：第 702 条产出了总统每日简报中相当大的一部分。情报界历来把这一份额描述为约六成——这个数字在历次重新授权周期中被报道、被质疑、被修订，但其数量级在参议院情报委员会的密级简报中并无争议。论点是：一个产出如此体量情报的项目，不可能被削弱而不付出运行代价。

其二：把查询当作搜查令来批评，混淆了对一个合法收集的数据库的查询与为新的收集申请搜查令。情报界的框架是：§702 的收集是在法院批准的认证之下针对外国目标进行的；查询则是对已经合法收集的材料的检索。要求为针对美国人的查询在一个合法数据库上申请搜查令，只会新增一层摩擦，而不会纠正底层的收集问题。

其三：即使 6月12日的日落在没有重新授权的情况下到来，§702 的授权也会在既有的延期架构下过渡到 2027年3月31日。让 §702 失效在政治上的分量，更多是表演性的而非运行性的。

以上每一条都是这一论证最干净的形式。每一条也都有来自另一方的回应。

对 PDB 份额论证的回应：情报界所报告的份额，会随着由哪一届政府来陈述而变化。这个数字在密级简报之外无法被国会审计；公民社会的分析者指出，这一份额的计算方式存在很大歧义。从效用出发的论证，并不构成反对监督改革的论证。

对“查询即搜查令”框架的回应：这恰恰是 FISC 意见书所处理的问题。改革派的立场在多轮周期中已被打磨：为针对美国人的查询要求一份基于合理根据的搜查令，而不是为 §702 的收集本身要求搜查令。2026 年在议的改革方案，比情报界回应时惯用的“把 §702 改造成国内搜查令制度”那种框架要窄得多。FISC 意见书是那份起决定作用的文件。没有解密，公众就无法评估情报界的回应是否触及了法院真正发现的东西。

对过渡条款论证的回应：过渡条款是一项程序事实，而不是对错过解密期限的辩护。一次干净的日落会让这套架构重新回到辩论之中；一次按行政部门条件、不带谈定解密的延期，则会把它关上。让 §702 失效在政治上的分量，正是怀登在他“下周”的时机把握中想要够到的杠杆。

第 702 条最强的辩护立足于该项目的产出效用。第 702 条最强的批评立足于：FISC 已在一份具体的意见书中裁定，FBI 的查询做法不符合法律。接下来二十天的重新授权辩论，将取决于国会能看到哪一种框架——而解密就是那道闸门。

承接国专栏

当华盛顿争论参议院能否看到一份机密意见书时，承接国这一层正在被大规模建造。

伊朗——第 85 天。Internet Pro / 商业 VPN 的三级架构继续运行。获批准的、与伊斯兰革命卫队及 MCI 有关联的专业人士，以每 GB 约 0.20 欧元获得白名单带宽。普通公众被迫使用商业 VPN，每月约 75 欧元——按单位带宽计约为前者的 12.5 倍。昆西研究所的西纳·图西在 5月12日的一篇分析中称这套体系为“数字种族隔离”。据《Donya-ye Eghtesad》报，累计经济损失估计超过 52 亿美元。白色互联网白名单层——只能访问国内经国家批准的服务——仍在大规模运行。

墨西哥——距 CURP Biométrica 还有 38 天。约 1.27 亿条移动电话线路必须在 6月30日前登记面部／指纹／虹膜生物识别 CURP，否则将被停用。据墨西哥记者伊格纳西奥·戈麦斯·维利亚塞尼奥尔的报道，总体登记率不到 10%。分运营商看：AT&T 29%，Bait 28%，Telcel 19%，Movistar 16%。Telcel 在 2026 年第一季度少了 120 万条新增线路——一个可测量的用户反弹信号。一家联邦法院在 3月16日推翻了此前的一项中止令。墨西哥公民社会的违宪挑战仍在推进，但尚未取得中止令。

俄罗斯——4月15日的 ISP 层 VPN 检测强制令已在运行。据 Meduza 与 Roskomsvoboda 的报道，该法律正在各大服务商处被执行：Yandex、VK、Sberbank、Gosuslugi、Ozon、Wildberries、Aviasales 以及俄罗斯铁路。据同样这些媒体的 5 月追踪，俄罗斯最受欢迎的 30 款安卓应用中已有 22 款在应用层监测 VPN 状态。5月1日的移动 VPN 流量附加费被推迟，但用于执行它的架构性基础设施已经就位。国家控制的消息应用 MAX 尽管被记录有监控功能，仍在继续被推广。

尼日尔——第 15 天。5月8日国家传播观察局（Observatoire Nationale de la Communication）对九家国际媒体的停播令——法国 24 台、法国国际广播电台、法新社、TV5 Monde、《非洲青年》、Mediapart、LSI Africa、TF1 Info 和 France Afrique Média——仍然有效。按保护记者委员会 2025年12月1日的统计，尼日尔是撒哈拉以南非洲监禁记者第二多的国家。

布基纳法索——第 18 天。5月5日对 TV5 Monde 的永久禁令仍在生效。无国界记者 5月6日的报告记录了持续的拘押，包括记者阿蒂亚纳·塞尔日·乌隆。

巴基斯坦——PECA 浪潮仍在继续。巴基斯坦新闻基金会追踪到 2025 年 1 月至 2026 年 4 月间的 233 起事件。4月29日 Freedom Network 的报告记录了新闻自由的持续收缩。

坦桑尼亚——调查委员会报告被扣下。4月23日的调查委员会报告——2025年10月29日选举后暴力中 518 人死亡，其中平民 502 人、安全人员 16 人、儿童 21 人——仍未向公众公布。X（Twitter）在坦桑尼亚仍处于停用状态。

这些政权共同的架构属性是中间层控制。国家控制着运营商、平台、登记册、广播机构，或者那份报告。用户侧原语栈——抗审查传输、端到端加密、网状网络与卫星、保护隐私的货币、带选择性披露的联邦身份——就是运行层面的反制。

当华盛顿在争论一份 FISC 裁定能否被解密时，它所属的那套架构正在被大规模部署。

网络安全一周专栏

就在 §702 解密期限失效的同一周，机构性的凭据与供应链这一层记录下了叠加的失败。

CVE-2026-20223——思科 Secure Workload——CVSS 10.0。5月21日星期四披露。思科的边界防御产品，是在联邦文职与企业网络中广泛部署的集中式策略执行与分段平台。CVSS 10.0 是最高严重级别。思科 PSIRT 的计划外通告；同日发布紧急补丁。

微软 Defender for Endpoint 的一对零日——CVE-2026-41091 + CVE-2026-45498。5月20日星期三被加入 CISA 已知被利用漏洞目录。安全工具本身进了联邦活跃利用目录——提权与拒绝服务缺陷，与五个 2008 至 2010 年的老 CVE 一同披露。Defender 团队与思科的紧急补丁同期推送补丁。

Exchange OWA——CVE-2026-42897——今天第 9 天，仍无永久补丁。自 5月14日起遭活跃利用。FCEB 整改期限为 5月29日——距今六天。微软为启用了 Exchange EM 服务的客户提供了自动缓解；其余所有人都要手动执行缓解步骤。厂商的补丁周期已经连续第二周落后于监管时钟。

GitHub TeamPCP——3,800 个内部仓库被外泄——5月21日确认。入侵路径是：一名 GitHub 员工安装了 Nx Console 的 VS Code 扩展供应链（TanStack → 被投毒的 Nx Console），从而以带凭据的规模访问内部仓库。在暗网勒索市场上标价 50,000 美元。按仓库数量计，这是 2026 年迄今最有分量的 SaaS 厂商供应链入侵。

微软捣毁 Fox Tempest——5月19日。数字犯罪部门瓦解了一个运营约一年的签名即服务犯罪团伙。捣毁时吊销了 1,000 多张伪造代码签名证书。客户每张证书支付 5,000 至 9,000 美元。与 Rhysida 和 Vanilla Tempest 勒索软件附属团伙存在运营关联。

藏红花行动——5月19日至20日。一次多国执法行动查封了 First VPN 服务、33 台服务器和约 5,000 个用户账号。与 Phobos 勒索软件即服务存在关联。十六国协同。这次查封是 2026 年第二起 VPN 服务捣毁。

架构属性是：在 96 小时之内，两家主要厂商出现三个并发的、CVSS ≥7.8 且正遭活跃利用的零日，加上一次 3,800 个仓库的 SaaS 供应链入侵，加上两次针对犯罪基础设施的行动，再加上 CISA 的凭据泄露（见下一节）。本刊过去一周一直在记录的厂商打补丁流水线，在中位数、长尾和当下这场危机上同时失灵。

CISA 的倒置

5月19日星期二，TechCrunch——随后是 5月19日至20日的《连线》——报道称，CISA 自己在 GitHub 上的 Private-CISA 仓库被公开可访问了约六个月，提交历史中包含 AWS GovCloud 管理员凭据、明文数据库密码以及其他运行机密。

按 CISA 自己的事件报告，凭据有效窗口从披露到修复约为 48 小时。CISA 员工在确认暴露后立即轮换了凭据并撤下了仓库。这 48 小时的凭据有效窗口——从披露到完成轮换之间——正是该机构自己的《具有约束力的操作指令 22-01》对联邦文职运营者所要求的。

架构层面的反驳自己就写好了。这个发布已知被利用漏洞目录——那份驱动整个行政部门 FCEB 整改的联邦活跃利用清单——的机构，自己也没做到它以指令要求别人做到的凭据管理纪律。这次失败并非恶意。这次失败是结构性的：同一条厂商打补丁的流水线，既产生了 CVE-2008-4250 那条 18 年的长尾，也在负责收拾局面的那个机构内部产生了凭据暴露。

“就相信情报界吧”——这是 §702 维持现状论证的最强版本——正是同一周的平行论证。第 702 条重新授权辩论所要求延展的那份机构信任，与产生了 CISA 凭据泄露、经由 GitHub 员工安装的扩展造成的 TeamPCP 入侵、长达一年的 Fox Tempest 运营窗口，以及第 9 天仍未修补的 Exchange OWA 活跃利用的，是同一份机构信任。

结构性的答案不是反对每一个机构。结构性的答案是要认识到：这些机构跑在同一条厂商流水线架构上，而这条架构本周在每一个时间尺度上都在失灵；而用户侧原语栈——同一周交付的那些东西——是运行层面的替代方案。

协议流水线

在机构那一层失灵的同一周，有五项用户侧隐私原语交付或收工一轮审计。

Discord DAVE——5月19日。端到端加密向 Discord 的所有语音与视频通话推出。DAVE（Discord Audio/Video End-to-end）协议经过 Trail of Bits 审计并在规范上完成 IETF 标准化——该协议已预览数月；5月19日的公告使其在全平台默认开启。架构上的变化体现在用户基数上：Discord 约有 2 亿月活用户。全球最大的消费级语音／视频平台之一转向默认端到端加密，是自 Signal 默认开启以来面向非小众用户群的最大单周 E2EE 基础设施部署。

Tor Browser 15.0.14——5月19日。带安全更新的标准节奏发布。上一个版本是 Tor Browser 15.0.13 在 5月7日的紧急补丁；15.0.14 针对后续攻击向量做了加固。Tor 项目持续的发布节奏本身就是架构范例——开源、公开审计、捐赠资助的开发、多方验证。

门罗币 FCMP++——5月22日星期五。为期 11 天的 Trail of Bits 工作针对 FCMP++ 1a/1b 生产集成收工。这是继 Veridise 2025 年之后第二家独立公司审查这项协议——它用全链成员证明取代了 16 个诱饵的环签名，约 1.5 亿的 UTXO 匿名集，约扩大 940 万倍。报告将在 2 至 6 周内发布。主网硬分叉目标为 2026 年下半年，取决于审计问题整改是否通过。

比特币 BIP352 静默支付。在 Core 28.0+ 的部署中继续铺开。2026 年春季系列的采用指标处于标准的推广曲线上。BIP324 v2 加密 P2P 协议（自 Core 27.0 起默认开启）现已占全球比特币点对点流量的多数。

Cashu / BOLT12 / Nostr 私信。Cashu 铸币方继续联邦化；BOLT12 报价编码在闪电网络中继续被采用；Nostr 上的 NIP-44 / NIP-17 / NIP-59 加密私信现已是 Damus 与 Amethyst 客户端的默认。

模式是：五项协议层的隐私原语在 96 小时的窗口内，通过审计驱动的开源社区治理交付，跑在与厂商打补丁流水线不同的架构上。协议流水线不需要机构解密才能交付。

政策悬顶

§702 的日落并不是本季度塑造这套架构的唯一政策期限。

《TAKE IT DOWN 法案》——今天第 5 天。联邦贸易委员会的执法今天，5月23日，进入第 5 天。5月11日警告函中点名的十五个平台仍处于合规姿态；另有十二个“脱衣”工具平台在 5月20日收到警告函。对未经同意的私密影像有 48 小时的下架义务，每次违规民事罚款 53,088 美元。takeitdown.ftc.gov 的消费者举报门户自 5月20日起上线。来自电子前哨基金会（EFF）、美国公民自由联盟（ACLU）、民主与技术中心（CDT）、R Street Institute 和 Free Speech Center 的公民自由批评仍然是结构性的：下架义务这一原语如今已在成文法上可用，可供未来扩大适用范围；而端到端加密的平台在结构上无法遵从。

欧盟《人工智能法案》执法——距 8月2日还有 72 天。通用人工智能提供者的义务自 2026年8月2日起执行。基础模型部署方的合规姿态参差不齐——OpenAI／Anthropic／谷歌／Meta 已发布各式透明度文档框架；Mistral 与阿里巴巴尚未发布同等披露。欧盟委员会的执法架构，是下个季度的考验。

欧盟“走向黑暗”／ProtectEU。2026 年夏季的立法提案窗口将在数周内开启。Netzpolitik 拿到的 2025 年 11 月理事会文件，提议对在线服务实行为期一年的强制元数据留存，部分成员国还提议把 VPN 纳入其中。欧盟委员会宣示的 2030 年目标是："lawful access to encrypted data"（对加密数据的合法访问）。架构上的反制是用户控制的覆盖网络（URnetwork、Tor、V2Ray VLESS+Reality、Shadowsocks-2022、WireGuard），它们不出现在任何公共服务运营者登记名录中。

英国《在线安全法》执法。Ofcom 的执法动作在整个 5 月窗口中继续——不过 5月20日至23日窗口内的具体动作不是今天的头条。该法与端到端加密平台之间的相互作用，仍是悬而未决的架构问题。

巴基斯坦 PECA + 坦桑尼亚调查委员会。见承接国专栏。

跨政策的模式是：每一个主要司法辖区都在同一个架构表面上叠加针对中间人的责任监管，而用户侧这一栈正在让这个表面在密码学上无法触及。§702 之争是同一个架构问题的美国版本。

周六的技术栈

周六的新闻周期权重不同。补丁节奏偏重工作日。勒索软件投放偏重周末——那是周五补丁节奏结束与周一响应周期开始之间那段不对称的利用窗口。用户侧原语栈——开放客户端、开放固件、硬件认证、抗审查传输、保护隐私的货币、本地推理 AI、联邦身份、自托管服务、网状网络与卫星、后量子密码敏捷性——的架构属性在于：它不依赖工作日的补丁节拍。审计流水线架构按自己的时间尺度批准升级。

这一周，这套栈交付了默认开启的 Discord DAVE、Tor Browser 15.0.14、门罗币 FCMP++ 审计收工、比特币 BIP352 的持续采用，以及 Cashu / BOLT12 / Nostr NIP-44 的联邦化扩张。厂商流水线交付的是：思科 CVSS 10.0、进入 KEV 的微软 Defender 一对零日、第 9 天仍无补丁的 Exchange OWA、带 48 小时有效密钥窗口的 CISA 凭据泄露、GitHub TeamPCP 的 3,800 个仓库、Fox Tempest 捣毁，以及藏红花行动的查封。

这一周，机构那一层在失败中跑。这一周，用户侧这一栈在交付中跑。

两条流水线都在跑。架构就是那个选择。

接下来二十天的 §702 重新授权辩论，将取决于参议院能否看到一份记录着行政部门的机构层在实践中如何运行的机密意见书。而对这个问题的结构性答案——无论“我们能不能看到那份裁定”的答案是能还是不能——是那个不需要开口请求的架构。用户侧这一栈通过开源社区治理、审计驱动的验证、捐赠资助的开发持续交付。机构那一层则通过厂商打补丁、机密裁定和行政特权来交付。

怀登，5月19日：“每一位国会议员在未来几天审议第 702 条重新授权法案时，都应当把这一点记在心里。”

今天是 5月23日星期六。

怀登的“下周”在星期一到来。

距 6月12日还有二十天。

参议院将看到行政部门选择解密的那些东西。

用户侧这一栈照样交付。

URnetwork 是一个用于抗审查传输的点对点覆盖网络。2026年2月19日发布的 MCP 服务器，让智能体客户端可以在这个点对点覆盖网络上建立 VPN 会话，把传输从运营商层抽象出来。URnetwork 未出现在本文所提及的任何一部法规的公共服务运营者登记名录中。

https://ur.io

这个数字就是结构性的新闻。

今天的门罗币协议建立在一种 2014 年的匿名原语之上，叫做环签名。交易签名者构造一个诱饵环，目前是 16 个。真正签名者的身份，在计算上无法与环中任何其他成员区分开。匿名集是 16。十年来，这一直是门罗币发送方隐私的结构性天花板。

FCMP++ 协议——带扩展的全链成员证明（Full-Chain Membership Proofs with extensions）——用一种密码学原语替换环签名，该原语可以证明成员身份属于整个当前 UTXO 集合。截至撰稿时约为 1.5 亿个交易输出。匿名集大致上就是链上曾经存在过、且仍未被花费的每一个交易输出。

扩张倍数约为 940 万倍。

这是有史以来交付到一条活跃、有价值的加密货币上的、可公开验证的最大一次匿名集扩张。

只有在它交付之后，它才会成为最大的那一次。截至今天 5月22日，它尚未交付到主网。今天发生的，是两次独立第三方审计中第二次的收工——Trail of Bits 为期 11 天的委托（5月12日至22日），针对的是生产环境的集成代码（monero-project/monero 中的 FCMP++ 1a/1b），此前 Veridise 在 2025 年审计的是 FCMP++ 算法本身。

那个两家机构、两年的审计周期，就是新闻由头。

这篇文章写的是这个周期代表着什么。

两条流水线

本刊对 5月18日至22日这一周的报道，一直是对规模化运行的厂商打补丁流水线的报道。

5月19日：Verizon《数据泄露调查报告》2026 版发布。十九年来第一次，漏洞利用超过被窃凭据，成为头号泄露入口。占全部泄露事件的 31%。修补一个关键漏洞的时间中位数，从 2024 年的 32 天升到 2025 年的 43 天——增加了 34%。到 2025 年，CISA 已知被利用漏洞目录中的关键条目只有 26% 被完全整改，低于前一年的 38%。第三方供应链泄露同比上升 60%，如今占全部泄露事件的 48%。AI 把漏洞从曝光到被武器化的时间从数月压缩到数小时。

5月20日：CISA 向 KEV 目录新增七个漏洞。七个里有五个来自 2008 至 2010 年。最老的 CVE-2008-4250——一个微软 Windows 缓冲区溢出——已经 18 岁。剩下两个是微软 Defender 的 CVE（CVE-2026-41091 提权，CVE-2026-45498 拒绝服务）。安全工具本身进了联邦的活跃利用目录。

5月19日：微软数字犯罪部门打掉了 Fox Tempest，一个出售伪造代码签名证书的签名即服务犯罪行动，已经运行了约一年。收网时有 1,000 多张伪造证书被吊销。客户为每张证书支付 5,000 至 9,000 美元。

5月19日至20日：GitHub TeamPCP 泄露事件浮出水面——3,800 个内部仓库通过一名 GitHub 员工安装的投毒 VS Code 扩展被外泄。在暗网勒索市场上标价 50,000 美元。

今天：微软 Exchange Server 的 CVE-2026-42897 进入活跃利用的第 8 天，仍无永久补丁。联邦文职行政部门的整改期限是 5月29日——距今七天。

那就是规模化运行的厂商流水线。

规模化运行的审计流水线，在结构上看起来不一样。

门罗币 FCMP++ 这条流水线已经可见了好几年。最初的论文可以追溯到 2024 年的社区工作；正式的协议论文经历了五次修订。Veridise 对算法的审计在 2025 年结束，并发布了报告。Trail of Bits 对生产集成代码的审计于 5月12日开启，今天收工。两家独立机构。两年。一项协议变更。审计流水线以审计通过为闸门——主网硬分叉的目标是 2026 年下半年，但取决于任何审计发现是否得到整改。

厂商流水线的结构属性：单一厂商掌控披露、打补丁、分发和整改，面对的是数以百万计、打补丁节奏各不相同的运营者。18 年长尾就是稳态。

审计流水线的结构属性：独立机构公开发布其发现；协议变更以整改为闸门；共识机制强制执行这道闸门；用户可以通过查阅已发布的报告和整改后的代码来自行验证。

同一个工程问题——在把一项软件变更交付到实际使用之前，验证它的安全性。解决它的架构不同。

今天收工的这次 Trail of Bits 委托，是审计流水线执行其序列的一个实例。

资金流水线

审计流水线依赖一条资金流水线。

门罗币的审计由 MAGIC Monero Fund 出资，那是 MAGIC Grants 非营利组织的 501(c)(3) 子机构（母机构同时也资助比特币和其他面向隐私的自由软件工作）。捐赠是公开协调的。2025 年 Veridise 审计周期通过一轮公开募捐筹资；2026 年 Trail of Bits 委托通过另一轮筹资。这些报告是由全球捐赠协调所产生、供全球受益的公共品。

这种治理形态，就是本刊所说的审计流水线。

它不是厂商出资的。它不是协议基金会垄断出资的（门罗币出了名地没有基金会、没有预挖、没有内部人分配）。它是通过一个 501(c)(3) 组织协调捐赠的，该组织公开发布审计招标、以竞争方式挑选机构，并把交付物交给公众。

诚实的批评是：捐赠流水线在收入上是脆弱的。2025 和 2026 这两个周期，在一个协议的审计需求上连续两年展示了一种可持续的资金模式。2027 年那一轮，是这个模式能否放大的结构性考验。本轮的捐赠者包括通过小额捐款参与的全球门罗币社区，以及少数几位较大额的个人捐赠者；下一轮的捐赠者尚未确定。

捐赠模式在治理上也是诚实的。不存在这样一个厂商：它的商业利益要靠限制审计范围、扣下报告或者赶工打补丁来保护。审计方的工作是发布发现。出资方的工作是协调这项工作，并让报告公开。

这就是审计流水线在资金侧的结构。

它与厂商流水线有一处持久的差别：没有中心化的商业守门人。

审计不能告诉你什么

审计不能告诉你门罗币是完美私密的。

FCMP++ 提供全链成员证明，把发送方身份隐藏在整个 UTXO 集合之中。相对现有的 16 诱饵环签名，那是约 940 万倍的结构性改进。它并没有解决一笔交易面临的所有隐私威胁。

关于审计能验证什么、不能验证什么，诚实的清单是：

审计能验证：该协议的密码学构造与其形式化规范相符；生产集成代码与协议相符；证明系统没有已知的可靠性或知识提取缺陷；在标准威胁模型下，实现中没有会破坏该隐私属性的已知内存安全、侧信道或输入验证缺陷。

审计不能验证：未来的密码分析不会揭示某个原语的弱点；实现面对未知的对抗性输入是无缺陷的；技术栈的其他层（钱包软件、RPC 节点、网络层对手）不会泄露在实践中破坏交易隐私的元数据；已部署的主网用户群会正确使用该协议。

审计流水线处理的是第一组。审计流水线本身无法处理第二组。处理第二组的是其他原语——钱包设计、网络层隐私（Dandelion++、I2P、Tor）、节点-RPC 架构、用户操作安全。每一项都有自己的审计与开发流水线。

审计流水线并不能替代其中任何一项。它是一种结构形态：密码学协议层的变更可以如何在交付之前被验证。

这篇文章写的就是那条流水线。它不是在主张 FCMP++ 就是完美隐私。它主张的是：这条流水线通过开源社区治理产出可验证的密码学协议变更，其架构方案不同于那条制造出 18 年长尾的厂商流水线。

诚实的评估是：两条流水线都有失效模式。审计流水线的失效模式是捐赠可持续性、审计机构可获得性，以及从审计报告到主网激活之间的那段空档。厂商流水线的失效模式是 18 年长尾、43 天中位数、供应链被攻陷。

架构上的选择，是人愿意生活在哪一组失效模式之下。

这对用户意味着什么

Trail of Bits 的委托今天收工。Trail of Bits 的报告今天不会出现。惯常做法是 2 至 6 周的整改迭代之后再发布，最终报告会包含发现、严重程度、厂商回应和整改状态。

接着：门罗币研究实验室和核心开发者整合任何必要的整改。beta 压力测试网（自 5月6日起在区块 2,997,100 运行）继续对集成做实战演练。主网硬分叉的目标是 2026 年下半年，取决于审计通过和压力测试网的稳定性。

对今天持有 XMR 的用户来说：今天什么都不变。在硬分叉激活之前，现有的 16 诱饵环签名仍然是实际生效的匿名集。激活之后，FCMP++ 证明将成为新交易的强制要求，匿名集扩张到整个 UTXO 集合。钱包软件会更新以支持新的交易格式。与 FCMP++ 一同打包的新地址方案 Carrot，其设计与现有地址向后兼容，因此用户不需要迁移资金。

在今天的新闻（审计收工）和实际收益（匿名集扩张）之间，存在一段可测量的用户侧空档。本文不把这段空档合并掉。本文把它指认为任何密码学协议变更都具有的属性。

厂商流水线也有同样的属性——微软在 2008 年 10 月发布了 CVE-2008-4250 的补丁，而 CISA 在本周三把未打补丁的系统群体加入了活跃利用目录。在某些运营部门，厂商发布与用户侧收益之间的空档是十八年。

审计流水线在今天的新闻与用户侧收益之间的空档，是等报告的若干周，加上等共识激活的若干个月。从今天到匿名集实际扩张，大约是六到十二个月，取决于整改。

两条流水线都有空档。审计流水线的空档以审计与共识的时间表为界。厂商流水线的空档以运营者行为的长尾为界。

架构上的反制

审计流水线今天收工，其背景是一系列朝相反架构方向推进的国家政策动作。

美国 —— TAKE IT DOWN 法案今天进入执法的第四天（5月19日开始执法）。5月11日警示信中点名的十五家平台仍处于合规姿态。联邦贸易委员会的消费者举报门户 takeitdown.ftc.gov 于 5月20日上线。该法案对非自愿私密影像规定的 48 小时下架义务，在第 230 条豁免基线上切出了一种新的法定下架原语。来自 EFF、ACLU、CDT、R Street Institute 和 Free Speech Center 的公民自由批评依然成立：下架义务比刑事 NCII 定义更宽；端到端加密平台（Signal、Matrix、Briar、Threema、Tuta、Proton）在结构上无法遵守。架构上的看法是这构成先例——下架义务这一原语，如今在法律上已经就位，可供未来扩大适用范围。

《外国情报监视法》第 702 条将在 21 天后日落失效——2026年6月12日。外国情报监视法庭 3月17日关于 FBI 第 702 条查询做法的意见书仍属机密。参议员怀登谈成的那扇 15 天加速解密窗口——4月30日作为同意 45 天延期的条件而谈成——大约在 5月15日关闭，没有发布。司法部没有解密。国家情报总监没有解密。参议员科顿对附带解密条款的一致同意通过所提的反对，站住了。国会正在没有 FISC 对 FBI 查询做法之看法的情况下重新授权监视。

欧盟 —— 在 2025年11月26日输掉 Chat Control 2.0 之后，欧盟委员会转向了“Going Dark”/ ProtectEU 路线图，其明示的 2030 年目标是 "lawful access to encrypted data"（对加密数据的合法访问）。Netzpolitik 获得的 2025 年 11 月理事会文件提议，对在线服务实行为期一年的强制元数据留存制度，部分成员国提议把 VPN 纳入。2026 年夏天是预期的立法提案窗口。欧盟《人工智能法案》针对通用人工智能义务的执法期限 2026年8月2日还有 72 天。

墨西哥 —— CURP Biométrica 的期限还有 39 天。2026年6月30日。约 1.27 亿条移动电话线路必须在那之前登记生物特征 CURP（人脸、指纹、虹膜），否则面临停机。5月18日纽约市 Health + Hospitals 的泄露事件——180 万份指纹和掌纹落入对手之手——就是那个威胁模型。

在这些已提出或正在执行的制度中，架构方向是朝着国家对通信、身份和元数据有更多可见性、可用的匿名原语更少的方向走。

门罗币审计收工，是相反那个架构方向的一个实例——协议层的密码学隐私原语，以独立验证为闸门，通过社区治理交付。

共同的视角是：两个方向都是架构选择。哪一个都不是注定的。两者都有代价。

承接国这一层

架构上的反制，在承接国这一层有着最锋利的部署。

伊朗——今天第 84 天（锚定在 2月28日与打击相关的断网加剧；底层的限制性制度可追溯到 2026年1月8日的起点）。只放行境内白名单服务的“白色互联网”等级仍在运行。面向伊斯兰革命卫队和 MCI 关联白名单人员的“Internet Pro”等级仍在继续，德黑兰各办事处有记录的 SIM 卡转换排队时间为 3 至 4 小时。面向富裕用户的商业 VPN 等级体系依然存在。经济成本估计每天约 2.5 亿美元。自最初起点以来的累计损失超过 50 亿美元。

俄罗斯 —— 4月15日 Roskomnadzor 要求 ISP 检测并报告 VPN 使用的强制令，仍在 Yandex、VK、Sberbank、Gosuslugi、Ozon、Wildberries、Aviasales 和俄罗斯铁路运行。据 Meduza，俄罗斯最受欢迎的 30 款安卓应用中，如今有 22 款在应用层监测 VPN 状态。国家控制的 MAX 通讯应用尽管有记录在案的监控功能和有限的实际使用量，仍在被持续推广。Telegram 仍被封锁（没有 VPN 时 95% 的 Telegram 连接失败），不过 4 月那次把流量伪装成标准浏览器流量的更新，在数小时内恢复了访问。

尼日尔——今天第 14 天，起于 5月8日至9日全国传播观察局对九家国际媒体的停播令：France 24、Radio France International、Agence France Presse、TV5 Monde、Jeune Afrique、Mediapart、LSI Africa、TF1 Info、France Afrique Média。这些禁令仍然有效。据保护记者委员会 2025年12月1日的普查，尼日尔是撒哈拉以南非洲关押记者第二多的国家。

布基纳法索——5月5日永久封禁 TV5 Monde 的第 17 天。无国界记者组织 5月6日的报告记录了布基纳法索记者 Atiana Serge Oulon 被拘押一事。

墨西哥——距 CURP Biométrica 还有 39 天。

坦桑尼亚 —— 关于 2025年10月29日选举后暴力（518 人死亡，其中平民 502 人、安全人员 16 人、儿童 21 人）的调查委员会报告，仍未向公众发布。X（推特）仍处于停用状态。

在所有这些制度里，审计流水线这套架构之所以重要，是因为已部署的替代方案是内容可见和身份暴露。默认隐私的协议架构（Tor、门罗币、Signal、Matrix、GrapheneOS、URnetwork 点对点覆盖网络）是对已部署监控制度的实际对冲。架构上的反制不是等到政策环境有利时才变得可能——它之所以可能，是因为这套架构已经存在。

门罗币审计收工，是这套架构以协议节奏被维护下去的一个实例。

门罗币之外的流水线模式

审计流水线并非密码学协议工作所独有。其他领域也已开始交付可比的治理形态。

微软 AI 红队的 RAMPART（AI 红队风险评估与缓解流程）框架于 5月20日随微软的 Clarity 工具包一同开源。RAMPART 把这样一种理念编码进流程：AI 安全是一门持续的工程学科，而不是一次周期性的检查点。其形态与密码学审计流水线是平行的：持续评估、方法论公开、独立于厂商的可复现性。实现方式与密码学审计不同；治理形态是可比的。

NIST 人工智能风险管理框架剖面（2026年4月7日发布）在 AI RMF 1.0 的基础上，把厂商和独立审计方都能应用的模型级评估方法论固定下来。

微软 Semantic Kernel 中的 CVE-2026-25592 —— 5 月中旬公布，SQL 数据适配器中的一个 SQL 注入，允许由提示词控制的 SQL 执行。这个缺陷是智能体架构风险的示范案例；产生这次披露的流水线遵循标准的 CVE / 协调披露形态。智能体架构扩大了攻击面；披露流水线至少还遵循已知的模式。

欧盟《人工智能法案》的通用人工智能义务自 2026年8月2日起执行——还有 72 天。欧盟的执法流水线是审计流水线的一个由监管者驱动的类比；它能否针对实际的能力主张真正执行下去，是下个季度的考验。

这种架构模式——对安全性主张进行持续、公开、多方参与的验证——正在密码学协议、智能体 AI 安全和监管执法这几个领域中普遍化。实现方式不同。结构形态是可比的。

用户侧这一栈

今天、本周，在厂商流水线之外的用户侧跑着什么：

Tor Browser 15.0.14 于 5月19日发布，在 5月7日紧急版本的基础上带来安全更新。

GrapheneOS 2026050900 于 5月9日发布，其 2026030501 预览版支持 Android 16 上的 Pixel 6+（2026 年 4 月至 8 月的 Android 安全公告）。

CalyxOS 7.2.1.0 测试版于 5月4日发布，同样是 Android 16。

Signal 一直在持续发布更新；稀疏后量子棘轮（SPQR）与既有的双棘轮和 PQXDH 结合，构成了 Signal 的“三重棘轮”后量子加固。2026 年春季系列一直在增量发布。

FIDO2 硬件认证在 5月7日的 FIDO 联盟世界通行密钥日跨过了全球 50 亿个通行密钥。YubiKey 的累计出货量超过 3,000 万。

比特币 BIP352 静默支付在 Core 28.0+ 的部署中继续推开。BIP324 v2 加密的 P2P 流量自 Core 27.0 起就默认开启（如今已占全球比特币点对点流量的多数）。

Zcash Crosslink 里程碑 4（PoW + BFT 终局性）仍在开发中；Vitalik Buterin 于 2月6日对 Shielded Labs 的第二笔捐赠支持了这项升级工作。

闪电网络 BOLT12 报价编码标准化仍在推进；nostr 私信 / NIP-44 / Cashu 的采用在更广的比特币隐私生态中继续。

URnetwork 点对点覆盖网络运行着抗审查的传输层；2026年2月19日发布的 MCP 服务器，让智能体客户端可以在这个点对点覆盖网络上建立 VPN 会话，把传输从运营商层抽象出来。

W3C 可验证凭证 2.0（自 2025 年 5 月起为推荐标准）；eIDAS 2.0 BBS+ 选择性披露的 IETF 定稿工作正在进行。

Briar 1.5.17（2026年3月12日发布）运行在蓝牙、Wi-Fi 和 Tor 之上，作为网状网络层的替代方案。

ML-KEM、ML-DSA、SLH-DSA 后量子原语——标准自 2024 年 8 月起生效。FIPS 140-2 于 2026年9月21日日落失效（还有 123 天）。Q 日目标 2029 年。

用户侧的原语栈跨协议地跑在审计流水线这套架构上。同样的治理形态——开放代码库、公开审阅、多方验证、由捐赠协调或社区协调的开发——产出了厂商流水线之外的可用替代方案。

收尾

Trail of Bits 对门罗币 FCMP++ 1a/1b 集成的审计今天收工。

报告即将到来。整改流水线开始运转。主网激活还有数月之遥。

架构上的论证，跨过这段空档依然成立。

在本刊的报道里，5月18日至22日这一周记录了厂商流水线在每一个时间尺度上的失灵——长尾处的十八年（5月20日 CISA KEV）、中位数处的四十三天（5月19日 Verizon DBIR）、当前危机处距 FCEB 期限的七天（今天 Exchange OWA 第 8 天）、被打掉之前运行了约一年的签名即服务（5月19日微软 Fox Tempest）。

审计流水线今天让一次委托收工。这个结构性的模式跨越两年被记录下来——Veridise 2025 年的算法审计、Trail of Bits 2026 年的集成审计、MAGIC Monero Fund 这个 501(c)(3) 组织在两个周期里的协调、公开的报告、以整改为闸门的共识、取决于稳定性的主网激活。

两条流水线都在跑。两条都有失效模式。架构上的选择就在两者之间。

承接国这一层里那一栏已部署的架构——伊朗第 84 天、俄罗斯 ISP 层 VPN 检测、尼日尔第 14 天、布基纳法索第 17 天、墨西哥 39 天、坦桑尼亚被扣下的报告——证明了架构上的选择并不抽象。国家级监控制度正在大规模部署。

用户侧的原语栈——开放客户端、开放固件、硬件密钥、抗审查传输、保护隐私的货币、本地推理 AI、联邦身份、自托管服务、网状网络与卫星、密码敏捷性——今天就跑在审计流水线这套架构上。

门罗币审计收工，是这套架构执行其序列的一个实例。

更大的故事是：这套架构存在着，今天记录了它被维护的一次节拍，而用户拥有一个不依赖部署方的选项，可以替代那条制造出十八年长尾的厂商流水线。

审计流水线今天收工。

架构上的反制持续运转。

URnetwork 是一个用于抗审查传输的点对点覆盖网络。2026年2月19日发布的 MCP 服务器，让智能体客户端可以在这个点对点覆盖网络上建立 VPN 会话，把传输从运营商层抽象出来。URnetwork 未出现在本文所提及的任何一部法规的公共服务运营者登记名录中。

https://ur.io

只有在存在野外利用的取证证据时，网络安全与基础设施安全局才会把漏洞加进其已知被利用漏洞目录。这份目录是联邦政府关于正在遭受主动攻击之漏洞的权威清单。约束性操作指令 22-01 为其中每一个条目给联邦文职行政部门机构规定了整改期限。CISA 的新增就是操作信号。

昨天，2026年5月20日星期三，CISA 向 KEV 目录新增了七个漏洞。

七个里有五个来自 2008、2009 或 2010 年——年龄在十六到十八年之间。

CVE-2008-4250 —— 微软 Windows 缓冲区溢出漏洞。最初披露：2008 年 10 月。十八岁。

CVE-2009-1537 —— 微软 DirectX 空字节覆写漏洞。最初披露：2009 年。十七岁。

CVE-2009-3459 —— Adobe Acrobat 与 Reader 基于堆的缓冲区溢出漏洞。最初披露：2009 年。十七岁。

CVE-2010-0249 —— 微软 Internet Explorer 释放后使用漏洞。最初披露：2010 年。十六岁。

CVE-2010-0806 —— 微软 Internet Explorer 释放后使用漏洞。最初披露：2010 年。十六岁。

CVE-2026-41091 —— 微软 Defender 提权漏洞。2026 年披露。

CVE-2026-45498 —— 微软 Defender 拒绝服务漏洞。2026 年披露。

这五个旧 CVE 横跨 Windows、DirectX、Adobe Acrobat 和 Internet Explorer。五个的厂商补丁都是很多年前发布的——最老的那个是十八年前。它们不是新漏洞。CISA 掌握了取证证据，表明它们今天正被用来主动攻击那些从未部署过补丁的系统。

这里的解读是结构性的。厂商打补丁的流水线制造出了一条未打补丁的老旧系统长尾，长到在 2026 年利用一个 18 年前的 Windows 缓冲区溢出仍然是一种可行的攻击策略。攻击者已经摸清了哪些系统仍然脆弱，对它们做了规模化的自动攻击，于是 CISA 现在必须把这个 2008 年的 CVE 放进联邦的活跃利用清单。

打补丁的流水线有一条十八年的长尾。

七分之五是老漏洞

七分之五这个分布不是 CISA KEV 新增的正常模式。这份目录通常是靠近期漏洞增长的——当季或当年披露、并已在取证上与野外利用行动挂上钩的漏洞。一天之内加入五个 2008 至 2010 年的漏洞，说明 CISA 的威胁情报图景发生了变化。

三种可能的解读：

其一，某个与国家关联的威胁行为体或商业间谍软件厂商重新发现了这些旧 CVE，并大规模用来攻击那些从未打过补丁的系统。旧漏洞的攻击库存被翻新了。

其二，某个犯罪勒索团伙对这些旧 CVE 做了自动化，以便攻陷那批未打补丁的系统——那些十五年以上没有维护过自己软件的实体。

其三，CISA 的取证可见度扩大了——该机构改进了在联邦网络中检测旧 CVE 被利用的遥测能力，5月20日的新增反映的是本来就在发生的事，而不是一场新的攻击行动。

无论哪一种解读成立，操作层面的含义都一样。联邦 IT 机构——以及推而广之，每一个把 CISA KEV 目录纳入漏洞管理合规的组织——现在都必须整改那些在今天某些 IT 员工够年龄开车之前就已经拿到厂商补丁的漏洞。

Verizon 2026 年《数据泄露调查报告》于 5月19日星期二发布——比 CISA 那件事早两天——发现修补一个关键漏洞的时间中位数从 2024 年的 32 天升到了 2025 年的 43 天。增加 34%。DBIR 量的是中位数。5月20日的 CISA KEV 新增量的是长尾：打补丁流水线在规模上跑得有多慢的第 99 百分位刻度。十八年。

Defender 自己

昨天新增进 KEV 的那两个非老旧 CVE，都是微软 Defender 的缺陷：CVE-2026-41091（提权）和 CVE-2026-45498（拒绝服务）。

微软 Defender 是微软的企业端点防护平台。它是微软作为安全解决方案卖出去的那个东西。它是检测恶意软件、阻断横向移动、向安全运营中心报告事件的那个代理。5月12日微软宣布 Microsoft Defender for AI Agents 时，公司把 Defender 定位为智能体 AI 时代的安全基础设施——带基于 webhook 的实时拦截、按智能体的资产上下文映射，以及运行时防护。同一周推出的微软多模型智能体扫描框架（MDASH），编排了 100 多个专门的 AI 智能体，在 CyberGym 基准上拿到 88.45%，并找出了 16 个新的 Windows 漏洞。

微软 Defender——那个用来检测漏洞的工具——如今自己有两个 CVE 进了联邦的活跃利用目录。

这种递归式的讽刺是结构性的。当安全工具本身就是一个漏洞面时，这套架构就要指望安全工具的厂商去给自己的工具打补丁。DBIR 发现跑在 43 天修补中位数上的那条流水线，正是必须交付 Defender 修复的同一条流水线。微软会交付。它们会被装到大多数系统上。它们不会被装到某些系统上。

十八年长尾会递归地成立。2026 年的某些 Defender 安装，到 2044 年仍会在没有打补丁的状态下面对 CVE-2026-41091。

DBIR 这个背景

Verizon《数据泄露调查报告》是网络安全行业运行时间最长的年度基准数据集。2026 年版于 5月19日星期二发布，分析了 145 个国家的 22,000 多起确认泄露和 31,000 多起安全事件，取自 2024年11月1日至 2025年10月31日的报告窗口。

头号发现：在 DBIR 发布的十九年里第一次，利用漏洞超过了被窃凭据，成为头号泄露入口。2025 年 31% 的泄露事件始于漏洞利用。此前连续十九年居首的被窃凭据，降到第二位。

整改方面的发现：到 2025 年，CISA 已知被利用漏洞目录中的关键条目只有 26% 被完全整改——低于 2024 年的 38%。一年内下降十二个百分点。58% 被部分整改；16% 无人处理。修补一个关键漏洞的时间中位数升到了 43 天——比 2024 年的 32 天上升三十四个百分点。

供应链方面的发现：第三方供应链泄露同比跳升 60%。如今占全部泄露事件的 48%。

AI 方面的发现：威胁行为体正在利用 AI，把从披露到实战武器化之间的时间从数月压缩到数小时。员工使用 AI 工具的比例一年内从 15% 猛增到 45%。AI 机器人流量正以每月 21% 的速度增长。

5月20日的 CISA KEV 事件是 DBIR 这三项发现在操作上的示范。漏洞利用是新的头号入口——而目录必须收进 18 年前的 CVE，因为打补丁的流水线跟不上。打补丁的危机从今天（Exchange OWA，在活跃利用的第 7 天仍无补丁）一直延伸到 2008 年（披露十八年后仍在被利用）。供应链的危机则贯穿每一家交付了未打补丁依赖的厂商。

二十个月未被发现

制造出十八年长尾的那种模式，有其可见的操作形态。2026年5月12日——九天前——英国信息专员办公室就 2022 年 Cl0p 勒索软件泄露事件，对 South Staffordshire Plc 及其母公司 South Staffordshire Water Plc 合计罚款 963,900 英镑（约 130 万美元）；那次事件危及这家关键基础设施水务企业的 633,887 名客户与员工。

ICO 公布的关于什么促成了这次泄露的调查结论，是一幅打补丁流水线在规模上失灵的画像：

• 初始访问途径是一封钓鱼邮件；收件人打开了一个附件，附件装上了恶意软件
• 该恶意软件在公司的 IT 环境中二十个月未被发现
• IT 环境中只有 5% 处于被监控状态
• 陈旧软件仍在实际使用，其中包括 Windows Server 2003——微软最后一次支持它是在 2015 年，十一年前
• 漏洞管理不到位，包括未打补丁的关键系统
• 攻击者在控制措施有限的情况下提权到了管理员权限
• 633,887 人的个人信息于 2022 年 8 月被发布在暗网上

2022 年，Windows Server 2003 还跑在关键基础设施的运营系统上。Server 2003 的生命周期终止日是 2015年7月14日。这个操作系统若要防住 CVE-2008-4250——昨天新增进 KEV 的那一个——所需要的补丁，在 2008 年就已经有了。在被攻陷的那一刻，这套系统落后于打补丁流水线二十年。

这就是十八年长尾的成因。

罚单在泄露发生四年之后才落地。这个模式在全世界数不清的关键基础设施运营者身上重复着：他们跑着自己无人维护的老旧技术栈，面对着多年之后才追上来的监管时钟，也面对着今天就找到他们的攻击者时钟。

Exchange 的第七天

十八年长尾是打补丁危机的老旧那一端，而同一场危机的当下那一端，本周正在运转。

微软 Exchange Server 的 CVE-2026-42897——一个根源于跨站脚本的关键 Outlook Web Access 欺骗缺陷，CVSS 8.1——由微软在 5月14日披露。披露中包含一项声明：该漏洞在第一天就已经在野外被主动利用。CISA 第二天，也就是 5月15日，把它加进了已知被利用漏洞目录，联邦文职行政部门的整改期限定在 5月29日。

今天是活跃利用的第 7 天。整改期限还有 8 天。

仍然没有永久补丁。微软发布了一项自动缓解措施，但只对启用了 Exchange EM 服务的客户生效。没有 EM 服务的客户必须手动执行缓解步骤。联邦 IT 运营部门必须靠缓解而不是打补丁来满足 5月29日的 FCEB 期限。

这个模式与 5月9日至13日的 Palo Alto PAN-OS CVE-2026-0300 一案相同：CISA 约束性操作指令 22-01 的期限跑在了厂商补丁前面。联邦文职机构只能缓解，不能打补丁。厂商的补丁周期在结构上落后于监管周期和攻击节奏。

Verizon DBIR 关于 AI 把漏洞从曝光到武器化的时间从数月压缩到数小时的发现，在这里成立。微软在同一天发布漏洞披露并确认活跃利用。根本没有“先打补丁”的窗口。攻击者跑在比防守方更紧的时钟上。

Anodot 模式

Verizon DBIR 的第三项发现——供应链泄露同比上升 60%，如今占全部泄露事件的 48%——正通过一个 SaaS 分析平台被攻陷的认证令牌得到示范。

2026 年 4 月，ShinyHunters 勒索团伙利用被攻陷的 Anodot 分析平台认证令牌，凭那些被盗的、可授予 BigQuery 访问权限的 Anodot 令牌，访问了多家下游客户的云数据。其中两起下游泄露落在 5 月：

Zara——197,400 个电子邮件地址曝光。 Zara 的母公司 Inditex 在 2026 年 4 月披露，有未经授权的行为体访问了由一家 "former technology provider"（前技术服务商）托管的数据库。Have I Been Pwned 确认了 197,400 个唯一电子邮件地址，以及产品 SKU、订单 ID 和用于客服工单的市场标识符。ShinyHunters 随后把 Zara 挂上了自己的暗网泄露门户，给 Inditex 定下 4月21日的联络期限，赎金谈判破裂后泄出了一个 140 GB 的压缩包。

Vimeo——119,000 名用户。 2026年5月5日，Vimeo 确认黑客在 4 月通过同一个 Anodot 集成窃取了约 119,000 名用户的个人信息。攻击者是经由那个集成拿到访问权限的，而不是直接攻破 Vimeo。赎金谈判崩掉后，ShinyHunters 放出了一个 106 GB 的压缩包。

单一一次 Anodot 攻陷，在多家大客户那里产生了下游泄露。这就是供应链模式：打 SaaS 服务商，就能横向拿到每一个下游租户。DBIR 关于供应链泄露如今占全部泄露事件 48% 的发现是宏观视角；Anodot 事件是一次操作层面的微观示范。

5月14日至15日的 node-ipc 供应链劫持——每周 1,000 万次下载，经由维护者恢复邮箱所在的过期域名被劫持账号而遭攻陷——是另一次。5月17日至18日 Grafana / Coinbase Cartel 对 GitHub Actions pull_request_target 配置错误的利用是另一次。5月18日披露的纽约市 Health + Hospitals 涉及 180 万人的生物特征泄露（经由一家未具名的第三方供应商）是另一次。

其中每一次，都是同一项 DBIR 发现在操作形态上的显影。

距审计收工二十四小时

在中心化厂商打补丁流水线既跟不上 AI 加速的漏洞利用流水线（DBIR 的发现）、又无法整改十八年前发布的漏洞（CISA KEV 的发现）的同时，开源社区那条审计驱动的密码学升级流水线，将在明天完成一次重大升级的核验。

门罗币 FCMP++ 的 Trail of Bits 审计正处于其 11 天窗口的第 11 天。审计将在 5月22日收工——距现在二十四小时。

FCMP++ 用全链成员证明替换环签名。匿名集从每笔交易 16 个诱饵扩张到整个 UTXO 集合——超过 1.5 亿个交易输出。一份干净的审计，会为共识升级扫清道路，并消除对门罗币协议层隐私主张的最后一项重大技术异议。

结构性的考验是：协议层的密码学升级，能否通过审计驱动的开源社区治理，以可与中心化厂商打补丁模式相比的严谨度被核验，同时又没有那条中心化厂商打补丁流水线的 43 天中位数、26% 整改率和 18 年长尾？

答案明天揭晓。

比特币 BIP324 v2（自 Core 27.0 起默认开启的加密 P2P）和 BIP352 静默支付（在 Core 28.0+ 中，2026 年又加上了 BIP376 PSBTv2 tweak 数据和 BIP392 描述符格式）跑在同样的审计驱动开源治理上。Zcash Crosslink 里程碑 4（PoW + BFT 终局性已整合；Vitalik Buterin 于 2月6日对 Shielded Labs 的第二笔捐赠支持了这项升级）也是。审计驱动的密码学升级流水线，在结构上不同于 DBIR 发现正在失灵的那条中心化厂商打补丁流水线。

都有什么在跑

联邦的打补丁危机和这条十八年长尾，并不会让全球承接国这一层停下来。

伊朗——第 83 天。伊朗的互联网中断今天进入第 83 天。总计约 1,992 小时。有记录以来最长的互联网断网。据 CBC News 的分析，经济成本每天约 2.5 亿美元。自 2026年1月8日起点以来的累计损失：约 57.5 亿美元以上。线上销售下跌 80%。德黑兰证券交易所总指数在四天内跌去 450,000 点。面向伊斯兰革命卫队 / MCI 的 Internet Pro 白卡等级体系仍在实际运行，德黑兰的 SIM 卡转换办事处排队时间为三到四小时。

俄罗斯——Telegram 封锁 + MAX 继续。俄罗斯于 2026年3月17日封锁了 Telegram。没有 VPN 时，95% 的 Telegram 连接失败。Telegram 4 月那次把流量伪装成正常浏览器流量的更新，在数小时内恢复了访问。克里姆林宫继续推它那款“主权”的国家控制通讯应用 MAX，该应用有 1.07 亿注册用户，但因监控功能而实际使用量有限。土耳其的 BiP、韩国的 KakaoTalk 和中国的微信，3 月在俄罗斯的用户增长达到 +60%。4月15日的 ISP 层 VPN 检测法仍在 Yandex、VK、Sberbank、Gosuslugi、Ozon、Wildberries、Aviasales 和俄罗斯铁路运行。5月1日的移动 VPN 附加费被推迟。据 Meduza，俄罗斯最受欢迎的 30 款安卓应用中，如今有 22 款在应用层监测 VPN 状态。

中国——大拔线继续。4 月对数以千计代理服务服务器的物理断连，仍在限制中国用户的翻墙选项。只有基于 TLS 的混淆能可靠地活下来。

尼日尔——国际媒体封禁第 13 天。十三天前的 5月8日，尼日尔军方控制的全国传播观察局下令停播九家国际媒体：France 24、Radio France International、Agence France Presse、TV5 Monde、Jeune Afrique、Mediapart、LSI Africa、TF1 Info、France Afrique Média。这些禁令仍然有效。据保护记者委员会 2025年12月1日的普查，尼日尔是撒哈拉以南非洲关押记者第二多的国家。

布基纳法索——TV5 Monde 封禁第 16 天。无国界记者组织 5月6日的报告记录了布基纳法索记者 Atiana Serge Oulon 被关押在瓦加杜古一处别墅，在数周里被树枝殴打。

巴基斯坦——PECA 浪潮继续。4月29日 Freedom Network 的报告记录了新闻自由持续收缩。巴基斯坦新闻基金会追踪到 2025 年 1 月至 2026 年 4 月的 233 起事件。

坦桑尼亚——调查委员会报告被扣下。4月23日的报告：2025年10月29日选举后暴力中 518 人死亡（平民 502 人、安全人员 16 人、儿童 21 人）。报告仍未向公众发布。X（推特）在坦桑尼亚仍处于停用状态。

墨西哥——距 CURP Biométrica 40 天。2026年6月30日期限。约 1.27 亿条移动电话线路必须在那之前完成生物特征 CURP（人脸、指纹、虹膜）登记，否则面临停机。5月18日纽约市 Health + Hospitals 的泄露事件——180 万份指纹和掌纹永久落入对手之手——就是那个威胁模型。

TAKE IT DOWN 进入第三天

今天是联邦贸易委员会执行 TAKE IT DOWN 法案第 3 条的第 3 天。这套强制下架框架对覆盖平台规定了收到有效受害者通知后的 48 小时窗口，每一次违规、每一个未清除的实例处以 53,088 美元民事罚款。昨天 5月20日，FTC 上线了 takeitdown.ftc.gov 作为公开的消费者举报门户。5月11日警示信中点名的十五家平台——Amazon、Alphabet、Apple、Automattic、Bumble、Discord、Match Group、Meta、Microsoft、Pinterest、Reddit、SmugMug、Snapchat、TikTok、X——仍是 FTC 的优先级地图。

来自 EFF、ACLU、CDT、R Street Institute 和 Free Speech Center 的公民自由批评依然成立：下架条款比刑事 NCII 定义更宽；48 小时期限逼着平台先合规、后调查；该法案对轻率或恶意的请求没有任何保障措施；合法的讽刺、新闻报道和政治言论可能被误删；端到端加密平台（Signal、Matrix、Briar、Threema、Tuta、Proton）在结构上无法遵守。特朗普总统 2025年5月19日的签署声明——“我自己也要拿那部法案来用。在网上没有谁比我被对待得更差了”——仍然是那个政治风险。

距第 702 条日落二十二天

今天，FISA 第 702 条距日落失效还有二十二天——2026年6月12日。

外国情报监视法庭 2026年3月17日关于 FBI 第 702 条查询做法的意见书仍属机密。参议员怀登谈成的那扇 15 天加速解密窗口——4月30日作为同意 45 天延期的条件而谈成——大约在 5月15日关闭，没有发布。司法部没有解密。国家情报总监没有解密。参议员科顿对附带解密条款的一致同意通过所提的反对，站住了。

关于查询侧改革的辩论，在缺少法院那份结构性看法的情况下继续。《美国展望》5月11日的报道描述了“AI 正在给监控国家加满马力”——针对 §702 语料库运行的自动化下游分析链条。国会正在没有 FISC 对 FBI 查询做法之看法的情况下重新授权监视。

6月12日的日落是下一个逼迫性事件。

一年的日志

就在 §702 重新授权之争在华盛顿上演的同时，欧盟正在准备一项立法，会在用户侧强加一套平行的大规模留存制度。

据德国媒体 Netzpolitik 于 2025 年 11 月拿到的一份泄露的欧洲理事会文件，多数欧盟成员国已就一套新的数据留存框架的轮廓达成一致。该框架宣称的抱负是：由每一家在线服务强制记录连接元数据——IP 地址、时间戳、会话时长、流量大小。提议的最短留存期是一年。一些成员国希望该提案把 VPN 服务纳入，并具有 "the broadest possible scope of application"（尽可能最广的适用范围）。实际上，这项提案会让“无日志”VPN 在欧盟境内变成非法。

立法提案预计在 2026 年夏天，在“Going Dark”/ ProtectEU 倡议之下推出——那是欧盟委员会在 2025年11月26日输掉 Chat Control 2.0 之战后的转向。欧盟在更广的 Going Dark 路线图下宣示的目标是：到 2030 年 "to enable law enforcement authorities to access encrypted data in a lawful manner"（使执法机关能够以合法方式访问加密数据）。

Mullvad VPN 已公开表示，它宁可退出欧盟市场也不会留存日志。Signal 总裁梅雷迪思·惠特克已表示，如果削弱加密的法律通过，Signal 将离开欧洲市场。

对欧盟一年留存提案的架构反制，是用户控制的覆盖网络——URnetwork 点对点覆盖网络、Tor、V2Ray VLESS+Reality、Shadowsocks-2022、Trojan、带 obfsproxy 的 WireGuard——它并不作为公共服务运营者出现在登记名录里。用户控制的覆盖网络在法规上是不可见的。

用户侧原语栈

对 Verizon DBIR 三项发现、CISA KEV 十八年长尾、微软 Defender 的 CVE、Exchange OWA 第 7 天无补丁的活跃利用、Anodot 供应链模式、South Staffordshire Water 二十个月未被发现的泄露、第 702 条日落、欧盟一年留存提案、承接国的国家行动，以及智能体面部署的架构反制，就是用户侧原语栈。它不依赖那条制造出十八年长尾的中心化厂商打补丁流水线。

用户自持密钥的开放客户端。Signal。Tuta。Proton。Threema。Briar 1.5.17（2026年3月12日的版本跑在蓝牙、Wi-Fi 和 Tor 之上；它在运营商层断网期间仍能工作，因为它不依赖运营商层来转发消息）。Cwtch。Session。Matrix 家庭服务器。架构属性是：开放代码库获得社区审计的速度，快过老旧闭源代码库在十八年里获得厂商补丁的速度。Signal 协议已经经受了十一年以上的公开审视。端到端加密把服务器侧的数据外泄面，从 Anodot 那类供应链攻击路径中拿掉了。

跑在用户可查验芯片上的开放固件。GrapheneOS（2026030501 预览版中的 Pixel 6+ 搭 Android 16，含 2026 年 4 月至 8 月的 Android 安全公告）。CalyxOS Android 16 测试版 7.2.1.0，2026年5月4日发布。/e/OS。LineageOS。OpenWRT。公民实验室 4月23日的“Bad Connection”报告记录了两场闭源固件操作系统看不见的运营商侧监控行动：STA1（横跨九个幽灵运营商国家的 Diameter 降级到 SS7）和 STA2（经由老旧 S@T 浏览器 SIM 小程序的 SIMjacker 零点击）。开放固件把缓存和通知数据库的行为暴露给用户查验。

FIDO2 硬件认证。2026年5月7日——FIDO 联盟世界通行密钥日——全球已部署 50 亿个通行密钥。YubiKey。Nitrokey。SoloKey。Yubico 累计出货硬件密钥超过 3,000 万把。纽约市 Health + Hospitals 的泄露事件暴露了 180 万人的指纹和掌纹——那是无法重新签发的生物标识。在任何接受它们的场景里，硬件绑定的凭据都可以取代生物特征作为第二因素。

抗审查传输。Tor Browser 15.0.13 和 16.0a6（5月7日紧急版本）。V2Ray VLESS + Reality。Shadowsocks-2022。Trojan。带 obfsproxy 的 WireGuard。URnetwork 点对点覆盖网络。URnetwork 于 2026年2月19日发布的 MCP 服务器，让智能体客户端可以在这个点对点覆盖网络上建立 VPN 会话，把传输从运营商层抽象出来。伊朗的 Internet Pro 等级、俄罗斯 4月15日的 ISP 层 VPN 检测法（以及被推迟的 5月1日移动附加费）、中国的大拔线、欧盟 Going Dark / ProtectEU 的 2026 年夏季提案——这些法规都没有点到这个覆盖网络的名，因为它不作为公共服务运营者出现。

建立在用户自托管原语上的保护隐私的货币。比特币 BIP324 v2（自 Core 27.0 起默认开启；如今全球比特币点对点流量的多数已加密）。比特币 BIP352 静默支付（Core 28.0+，2026 年加上 BIP376 + BIP392）。门罗币 FCMP++——Trail of Bits 审计明天 5月22日收工；审计干净的话就是 1.5 亿输出的匿名集。Zcash Crosslink 里程碑 4（Vitalik 2月6日的第二笔捐赠支持了这项升级）。Samourai Wallet 联合创始人 Keonne Rodriguez 于 5月7日从摩根敦联邦惩教所寄出的信——为 200 万美元的法律债务求援，赦免的希望已经消退——就是用户自托管原语被刑事化之后会发生什么的威胁模型。

跑在用户控制算力上的本地推理 AI。DeepSeek V4 Pro（4月22日，MIT 许可，1.6 万亿 / 490 亿激活参数，100 万 token 上下文，SWE-Bench Verified 80.6%，GPQA Diamond 90.1%）。DeepSeek V4 Flash（2,840 亿 / 130 亿激活）。Mistral Medium 3.5（4月29日，1,280 亿，SWE-Bench 77.6%）。Qwen 3.6 Max Preview（4月27日，201 种语言）。GLM-5.1（7,440 亿混合专家，开源 LMArena 排名第一）。OpenAI Privacy Filter（4月22日，Apache 2.0，可经由 transformers.js + WebGPU 在浏览器里跑）。据 DBIR，员工使用 AI 工具的比例一年内从 15% 猛增到 45%——而其中绝大部分增长发生在云托管服务上。本地推理就是那个架构反制。

带选择性披露的联邦身份。W3C 可验证凭证 2.0（自 2025 年 5 月起为推荐标准；七份规范）。eIDAS 2.0 BBS+ 选择性披露（IETF 定稿工作进行中）。Privacy Pass。墨西哥 6月30日的 CURP Biométrica 期限（距今 40 天，把 1.27 亿条移动线路绑定到人脸、指纹和虹膜生物特征上）就是那个威胁模型。别把身份上传给厂商。

自托管服务。Matrix 家庭服务器。Forgejo。Mailcow。Jitsi。Nextcloud。Mautic。SuiteCRM。Moodle 社区版。Open edX。联邦化把任何单一厂商被攻陷的爆炸半径限制住。每一台家庭服务器都要对自己的打补丁节奏负责——但联邦化分散了 DBIR 发现同比增长 60% 的那种第三方供应链风险。Grafana / Coinbase Cartel 对 pull_request_target 的利用就是那个架构提醒。

运营商层的网状网络与卫星。Briar（蓝牙、Wi-Fi、Tor）。Bridgefy。Meshtastic。Reticulum。GoTenna PRO。Starlink。伊朗的 Internet Pro 等级、苏丹喀土穆基站断电、俄罗斯胜利日前 21 个州的切断，以及那场让 2025年10月29日选举后暴力中 518 人以上死亡成为可能的坦桑尼亚五天完全断网——不依赖运营商的那一层就是结构性的对冲。

在 9月21日 FIPS 日落和 2029 年 Q 日之前的密码敏捷性。ML-KEM（FIPS 203）。ML-DSA（FIPS 204）。SLH-DSA（FIPS 205）。标准自 2024 年 8 月起生效。以 2024 年初为基线，FIPS 140-3 的平均验证周期约为 542 天。先发制人地部署后量子安全原语，是穿过 FIPS 日落的唯一路径。谷歌的 2029 年量子迁移期限和 Cloudflare 与之匹配的承诺，框住了接下来的 1,228 天。先收割、后解密的威胁模型今天就在运转。Signal 的稀疏后量子棘轮（SPQR），与既有的双棘轮和 PQXDH 密钥协商结合，构成了“三重棘轮”——Signal 的后量子加固。

收尾

十八年。

那是 CVE-2008-4250 存在的时间。2008 年 10 月披露。微软补丁 2008 年发布。加进 CISA 已知被利用漏洞目录：昨天，2026年5月20日——十八年之后。

厂商补丁是有的。整改没有发生。

那就是打补丁流水线的十八年长尾。

昨天 CISA KEV 新增的七个里有五个来自 2008 至 2010 年。两个是微软 Defender 的 CVE——安全工具自己进了目录。四十八小时前 Verizon DBIR 的发现是宏观背景：漏洞利用以 31% 成为头号入口，26% 的整改率（下降 12 个百分点），43 天的修补中位数（上升 34%），供应链跳升 60%（如今占全部泄露事件的 48%），AI 把漏洞利用窗口从数月压到数小时。

这一周的示范案例，从昨天那批十八年的新增，一路回溯到 5月12日 South Staffordshire Water 的 963,900 英镑罚单（二十个月未被发现、Windows Server 2003 仍在实际使用、IT 环境只有 5% 被监控）、5月14日 Exchange OWA 在第 7 天仍无永久补丁的活跃利用、5月14日至15日 node-ipc 每周 1,000 万次下载的供应链攻陷、5月17日至18日 Grafana / Coinbase Cartel 的 pull_request_target 源码外泄、5月18日纽约市 Health + Hospitals 涉及 180 万人的生物特征泄露，以及 4 至 5 月 Anodot 令牌所促成的 Zara（197,400）和 Vimeo（119,000）下游泄露。

门罗币 FCMP++ 的 Trail of Bits 审计将在二十四小时后收工。

第 702 条将在二十二天后日落失效。FISC 意见书仍属机密。

墨西哥 CURP Biométrica 的期限还有四十天。

伊朗正处于有记录以来最长互联网中断的第 83 天。

欧盟“Going Dark”一年留存提案将在 2026 年夏天落地。

FIPS 140-2 日落还有 123 天。

Q 日还有 1,228 天。

用户侧的原语栈——开放客户端、开放固件、硬件密钥、抗审查传输、保护隐私的货币、本地推理 AI、联邦身份、自托管服务、网状网络与卫星、密码敏捷性——运转在那条制造出十八年长尾的中心化厂商打补丁流水线之外。

十八年是那条长尾。

这一栈是那个回应。

URnetwork 是一个用于抗审查传输的点对点覆盖网络，未出现在上文所提及的任何一部法规的公共服务运营者登记名录中。URnetwork 于 2026年2月19日发布的 MCP 服务器，让智能体客户端可以在这个点对点覆盖网络上建立 VPN 会话，把传输从运营商层抽象出来。

https://ur.io

昨天，2026年5月19日，Verizon 发布了 2026 年《数据泄露调查报告》。DBIR 是网络安全行业运行时间最长、被引用最多的年度基准数据集。它自 2008 年起每年发布。它分析上报给 Verizon 调查团队和全球执法伙伴机构的确认泄露与安全事件。2026 年版取自 145 个国家、报告窗口为 2024年11月1日至 2025年10月31日的 22,000 多起确认泄露和 31,000 多起安全事件。

头号发现是一次结构性转变。在 DBIR 发布的十九年里第一次，利用漏洞超过了被窃凭据，成为头号泄露入口。在 2025 年的报告窗口里，31% 的泄露事件始于漏洞利用。此前连续十九年居首的被窃凭据，降到第二位。

这个行业的提问框架，不再是“攻击者对你的密码知道些什么？”提问框架变成了“攻击者对你的补丁知道些什么？”

四十三天

打补丁的危机就是这次转变背后的架构事实。

据 DBIR：

• 到 2025 年，CISA 已知被利用漏洞（KEV）目录中列出的漏洞只有 26% 被完全整改
• 2024 年这个可比数字是 38%
• 目录中 58% 被部分整改；16% 无人处理
• 修补一个关键漏洞的时间中位数，从 2024 年的 32 天升到 2025 年的 43 天——增加 34%

CISA KEV 目录是联邦政府关于已知正在野外遭主动利用之漏洞的权威清单。只有当取证证据确认了野外利用时，CISA 才会往里加。按定义，它就是最高优先级的漏洞集合。被列入该目录，就意味着对联邦文职行政部门机构施加一条约束性操作指令 22-01 的整改期限。整改率一年内下降了十二个百分点——而修补时间的中位数延长了十一天。

原因是结构性的。威胁行为体正在利用 AI，加速从漏洞公开披露到实战武器化之间的时间。据 DBIR，漏洞从曝光到被武器化的窗口已从数月压缩到数小时。AI 在自动化漏洞利用开发、把公开的概念验证对已部署软件做模糊测试、以及在互联网范围内扩大侦察方面提供帮助。防守方仍在按旧的打补丁节奏运作——按月、按季度，带测试和分阶段推送。这种不对称，在旧节奏上已经无法应付。

DBIR 的说法是：“威胁行为体正在利用 AI 来加速利用已知漏洞的速度，把防御窗口从数月压缩到仅仅数小时。”

百分之六十

第二项结构性发现：第三方供应链泄露同比跳升 60%。如今占全部泄露事件的 48%。

供应链是新的边界。

这个模式是：各组织花了十五年加固自己的边界——端点检测、网络分段、零信任身份、多因素认证。攻击者转向了上游。第三方软件厂商、SaaS 服务商、CI/CD 流水线、开源库、代工厂——所有这些如今都是攻击面。加固受害者自己的边界，挡不住一个被受害者授权访问内部系统的上游依赖被攻陷。

5月12日至19日这一周示范了这个模式。

五个示范案例

其一：5月12日的微软补丁星期二。微软交付了 120 个漏洞修复——横跨 Windows、Office、Azure、SharePoint、Hyper-V、Edge 及相关产品。其中 17 个被评为关键级。关键级中有 14 个是远程代码执行。这 120 个里，没有一个在发布时被披露为已公开的零日。业界观察者称之为“平静的补丁星期二”。

其二：CVE-2026-42897 —— Exchange OWA，5月14日。补丁星期二两天之后，微软披露了一个关键的 Exchange Server Outlook Web Access 漏洞——CVE-2026-42897——CVSS 评分 8.1，归类为根源于跨站脚本的欺骗缺陷。该缺陷影响本地部署的 Exchange Server 2016、2019 和订阅版。（Exchange Online 不受影响。）攻击途径是：在 OWA 中打开一封特制邮件，在满足某些交互条件时，会在浏览器上下文中执行任意 JavaScript。微软确认该漏洞从第一天起就在野外遭活跃利用。第二天，5月15日，CISA 把 CVE-2026-42897 加进了它的 KEV 目录。约束性操作指令 22-01 的联邦整改期限定在 5月29日。

截至今天 5月20日，仍没有永久补丁。微软发布了一项自动缓解措施，但只对启用了 Exchange EM 服务的客户生效。没有 EM 服务的客户必须手动执行缓解步骤。联邦 IT 运营部门必须靠缓解而不是打补丁来满足 5月29日的 FCEB 期限。这个模式与 5月9日至13日的 Palo Alto PAN-OS CVE-2026-0300 一案相同：监管期限跑在厂商补丁前面。DBIR 那句“AI 把漏洞利用窗口从数月压到数小时”在这里成立。厂商披露即已遭活跃利用的这种循环，就是新的运作现实。

其三：node-ipc，5月14日至15日。5月14日，node-ipc npm 包的三个恶意版本——node-ipc@9.1.6、node-ipc@9.2.3 和 node-ipc@12.0.1——被发布到 npm 注册表。node-ipc 是一个基础性的 Node.js 进程间通信库，每周有 1,000 万次下载——被全世界相当一部分 Node.js 应用使用。原维护者是 Brandon Nozaki Miller（网上叫 RIAEvangelist）。

真正要紧的是攻击机制。Miller 的 npm 账号恢复邮箱托管在域名 atlantis-software.net 上。该域名在 2025年1月10日过期。它闲置未被注册约十六个月。2026年5月7日——恰好是恶意版本上传前一周——一名攻击者重新注册了这个过期域名。域名一旦落入攻击者手中，他们就为 Miller 的账号触发了一次标准的 npm 密码重置。重置邮件落进了攻击者如今控制的邮箱。攻击者截获了重置链接，设了新密码，拿到了一个每周被下载一千万次的包的发布权限。

这三个恶意版本外泄了九十类开发者凭据，包括 Amazon Web Services、Google Cloud 和 Microsoft Azure 云凭据；SSH 密钥；Kubernetes 令牌；GitHub CLI 配置；Claude AI 设置；Kiro IDE 设置；Terraform 状态；数据库密码；环境变量；以及 shell 历史。恶意代码经过重度混淆。外泄是通过向 sh.azurestaticprovider.net 发起 DNS TXT 查询完成的——那是一个刻意做得像 Azure 基础设施的域名。

架构事实是：每一个在账号恢复链条上留着过期或即将过期域名的开源维护者，都是一个潜在的供应链攻击面。npm 注册表并不强制要求 MFA 或硬件密钥恢复。Verizon DBIR 那条“供应链 +60%”的发现，在操作上就是 node-ipc 劫持所示范的东西：新的边界是第三方，而第三方是某个你可能从没听说过的人的恢复邮箱域名。

其四：Grafana / Coinbase Cartel，5月17日至18日。5月15日，与 ShinyHunters、Scattered Spider 和 Lapsus$ 有关联的犯罪辛迪加 Coinbase Cartel，把 Grafana Labs 挂上了自己的暗网泄露站点。5月17日至18日，Grafana 确认了这次泄露。攻击途径是一个众所周知危险的 GitHub Actions 模式：pull_request_target。攻击者 fork 了一个 Grafana 的公开仓库，往 fork 后的代码里注入了一条恶意 curl 命令，有缺陷的 pull_request_target 工作流就在 Grafana 受信任的 CI 环境中运行了这段注入代码，转储了环境变量，提取出一个高权限的 GitHub 令牌。凭这个令牌就能下载源代码。

Grafana 确认源代码被下载。没有客户数据或个人数据被访问。Grafana 拒绝支付赎金。源代码预计会被泄出。架构上的教训是：即便是那些公开发布代码的开源相邻公司，也会因工作流配置错误而承担供应链 CI 风险。

其五：纽约市 Health + Hospitals，5月18日。全美最大的公立医疗系统纽约市 Health + Hospitals 披露，有未经授权的行为体在 2025年11月25日至 2026年2月11日之间访问了第三方供应商的系统，拷走了 180 万名患者和员工的记录。被暴露的数据包括：指纹、掌纹、病历、账单信息、精确地理位置、社会保障号、护照号和驾照。

生物特征的问题是永久性的。与社会保障号、信用卡或密码不同，指纹和掌纹无法重新签发。对这 180 万人来说，生物特征已经在对手手里，余生都是如此。

这个模式是：第三方供应商访问，十周潜伏时间，从初始访问到公开披露七个月。DBIR 那条“供应链 +60%、第三方占泄露事件 48%”的发现，正是这一类事件在规模上的样子。

这五个示范案例——Exchange CVE、node-ipc、Grafana、纽约市 H+H，加上延续下来的富士康——干净地对应到 DBIR 的三项发现上。漏洞利用是头号入口。供应链是新的边界。打补丁的危机让两者都更糟。

Q 日定在 2029

DBIR 处理的是当下的打补丁危机。前瞻性的打补丁危机是 Q 日——量子计算机能够攻破经典公钥密码的那一刻。

2026年3月25日，谷歌公布了一个后量子密码迁移期限：2029 年。所引的理由：

• 量子硬件研发持续推进（Willow 芯片的量子比特数、相干时间和纠错改进）
• 量子纠错研究取得进展
• 量子分解的资源估计——针对 RSA 和椭圆曲线密码的 Shor 算法式攻击——相对于此前的预测“正在比预期更快地耗尽”

Cloudflare 在 2026 年 4 月跟进，与谷歌的 2029 年目标对齐。Cloudflare 的分阶段路线图：

• 2026 年中：用 ML-DSA 为 Cloudflare 到源站的连接做后量子认证
• 2027 年中：经由 Merkle 树证书，为访客到 Cloudflare 的连接做后量子认证
• 2028 年初：Cloudflare One SASE 套件中的后量子
• 2029 年：全面后量子安全网络

CNN 5月17日的报道描述了一场“网络安全危机”，其时间线正从 2030 年代的预期收窄到 2029 年的估计。以太坊基金会在谷歌宣布的同一天（3月25日）作出回应，启动了后量子以太坊资源中心，目标是到 2029 年通过协议层的 PQC 保护网络中数十亿美元的价值。

NIST 的后量子密码标准自 2024 年 8 月起生效：

• ML-KEM（FIPS 203）—— 密钥封装机制
• ML-DSA（FIPS 204）—— 数字签名算法
• SLH-DSA（FIPS 205）—— 无状态哈希签名算法

FIPS 140-2 于 2026年9月21日日落失效——距今 124 天。以 2024 年初为基线，FIPS 140-3 的平均验证周期约为 542 天。先发制人地部署后量子安全原语，是穿过 FIPS 日落的唯一路径。

Signal 的稀疏后量子棘轮（SPQR），与既有的双棘轮和 PQXDH 密钥协商结合，构成了“三重棘轮”——Signal 针对“先收割、后解密”攻击的后量子加固。威胁模型是：对手今天截获加密流量，等 Q 日之后再解密。架构上的反制是从现在就开始的前量子迁移。

Verizon DBIR 的发现关于的是当下的打补丁危机。Q 日的时间线关于的是打补丁流水线更没准备好的下一类漏洞。两种压力汇合到同一个架构结论上：在需要之前就具备密码敏捷性。

TAKE IT DOWN 法案执法的第二天

昨天，2026年5月19日星期二，联邦贸易委员会开始执行 TAKE IT DOWN 法案第 3 条。这套联邦强制下架框架，对覆盖平台规定了收到有效受害者通知后的 48 小时移除窗口。每次违规的民事罚款是 53,088 美元——FTC 经通胀调整后的上限。5月11日，十五家平台收到了 FTC 主席安德鲁·弗格森的合规提醒信：Amazon、Alphabet、Apple、Automattic、Bumble、Discord、Match Group、Meta、Microsoft、Pinterest、Reddit、SmugMug、Snapchat、TikTok 和 X。

今天 5月20日，FTC 上线了 takeitdown.ftc.gov——一个公开的消费者举报门户，个人可以在上面举报那些未能移除违禁内容或未能提供移除请求机制的覆盖平台。联邦下架执法现在有了统一的受理面板。

公民自由方面的批评依然成立。电子前哨基金会、民主与技术中心、美国公民自由联盟、R Street Institute 和 Free Speech Center 继续主张：第 3 条的下架触发条件比第 2 条的刑事 NCII 定义更宽；48 小时期限逼着平台先合规、后调查；对轻率或恶意的请求没有任何保护；合法的讽刺、新闻报道和政治言论可能被误删；端到端加密平台（Signal、Matrix、Briar、Threema、Tuta、Proton）在结构上无法遵守，因为它们无法扫描内容。

特朗普总统 2025年5月19日的签署声明——“我自己也要拿那部法案来用”——仍然是那个操作风险。FTC 主席是特朗普任命的。解释上的裁量权归于单一行政首长。

TAKE IT DOWN 法案刑事条款（第 2 条）下的第一次定罪发生在 2026 年 4 月，案件针对的是 AI 生成的深度伪造。第 3 条——平台下架义务——才是昨天进入执法的那一条。

二十三天

今天，2026年5月20日，FISA 第 702 条距日落失效还有二十三天。6月12日。

FISC 2026年3月17日关于 FBI 第 702 条查询做法的意见书仍属机密。参议员怀登谈成的那扇 15 天加速解密窗口——4月30日作为同意第 702 条 45 天延期的条件而谈成——大约在 5月15日关闭，没有发布。司法部没有解密。国家情报总监没有解密。参议员科顿对附带解密条款的一致同意通过所提的反对，站住了。

关于查询侧改革的辩论，在缺少法院那份结构性看法的情况下继续。《美国展望》5月11日的报道描述了“AI 正在给监控国家加满马力”——针对 §702 语料库运行的自动化下游分析链条。国会正在没有 FISC 对 FBI 查询做法之看法的情况下重新授权监视。

6月12日的日落是下一个逼迫性事件。

都有什么在跑

联邦的打补丁危机、联邦的强制下架执法和联邦级的智能体 AI 部署，并不会让全球承接国这一层停下来。

伊朗——第八十二天。伊朗的互联网中断今天进入第 82 天。总计约 1,968 小时。有记录以来最长的互联网断网。经济成本：据 CBC News 的分析，每天约 2.5 亿美元。自 2026年1月8日以来的累计损失：约 57 亿美元以上。线上销售下跌 80%。德黑兰证券交易所总指数在四天内跌去 450,000 点。面向伊斯兰革命卫队 / MCI 的 Internet Pro 白卡等级体系仍在实际运行，德黑兰的 SIM 卡转换办事处排队时间为三到四小时。

俄罗斯——Telegram 封锁继续。俄罗斯于 2026年3月17日封锁了 Telegram——比预期的 4 月部署提前了两周。没有 VPN 时，95% 的 Telegram 连接失败。Telegram 4 月那次把流量伪装成正常浏览器流量的更新，在数小时内恢复了访问。克里姆林宫继续推 MAX——它那款“主权”的国家控制通讯应用，有 1.07 亿注册用户，但因监控功能而实际使用量有限。替代效应：土耳其的 BiP、韩国的 KakaoTalk 和中国的微信合计，2026 年 3 月在俄罗斯的用户增长达到 +60%。

4月15日的 ISP 层 VPN 检测法仍在 Yandex、VK、Sberbank、Gosuslugi、Ozon、Wildberries、Aviasales 和俄罗斯铁路运行。5月1日的移动 VPN 附加费被推迟；运营商要求时间来配置计费系统。据 Meduza 4月10日的研究，俄罗斯最受欢迎的 30 款安卓应用中，如今有 22 款在应用层监测 VPN 是否启用。Roskomnadzor 宣示的 2030 年目标仍是 92% 的 VPN 封锁有效率。

中国——大拔线继续。2026 年 4 月对数以千计代理服务服务器的物理断连，仍在限制中国互联网用户的翻墙选项。只有基于 TLS 的混淆能可靠地活下来。

尼日尔——国际媒体封禁第十二天。十二天前的 5月8日，尼日尔军方控制的全国传播观察局下令停播九家国际媒体：France 24、Radio France International、Agence France Presse、TV5 Monde、Jeune Afrique、Mediapart、LSI Africa、TF1 Info、France Afrique Média。这些禁令仍然有效。据保护记者委员会 2025年12月1日的普查，尼日尔是撒哈拉以南非洲关押记者第二多的国家。

布基纳法索——TV5 Monde 封禁第十五天。无国界记者组织 5月6日的报告记录了布基纳法索记者 Atiana Serge Oulon 被关押在瓦加杜古一处别墅，在数周里被树枝殴打。

巴基斯坦——PECA 浪潮继续。4月29日 Freedom Network 的报告记录了新闻自由持续收缩。伊斯兰堡地区法院确认了记者 Rizwan Ghalzai 和 Aqil Hussain Bagri 在 PECA 下的保释。巴基斯坦新闻基金会追踪到 2025 年 1 月至 2026 年 4 月的 233 起事件。

坦桑尼亚——调查委员会报告被扣下。4月23日的报告：2025年10月29日选举后暴力中 518 人死亡（平民 502 人、安全人员 16 人、儿童 21 人）。政府没有向公众发布完整报告。X 在坦桑尼亚仍处于停用状态。

墨西哥——距 CURP Biométrica 四十一天。2026年6月30日期限。约 1.27 亿条移动电话线路必须在那之前完成生物特征 CURP（人脸、指纹、虹膜）登记，否则面临停机。

帕维尔·杜罗夫。2026年5月17日巴黎检察官声明：针对 Telegram 创始人的法国调查尚未结案。十二项指控。司法监管仍然有效。俄罗斯 2026 年 2 月以“协助恐怖主义”为由的 FSB 刑事调查仍然开着。两国并行起诉。

智能体这一面

Microsoft Agent 365 于 2026年5月1日正式上市——每用户每月 15 美元。这个“智能体的统一控制平面”，让 IT、安全和业务团队可以跨微软 AI 平台和生态伙伴观察、治理并保护 AI 智能体（公开预览版可与 AWS Bedrock 和 Google Cloud 做注册表同步）。

5月12日，微软安全博客公布了微软安全多模型智能体扫描框架（MDASH）——编排 100 多个专门的 AI 智能体——它在覆盖 1,500 多个真实世界漏洞的 CyberGym 基准上拿到 88.45%。MDASH 主导的研究已经在 Windows 网络与认证栈中找出 16 个新漏洞。微软 Defender 现在实时监控 AI 智能体，带有在动作执行前基于 webhook 的拦截、按智能体的资产上下文映射（设备、MCP 服务器、身份、云资源），以及运行时防护。

昨天，谷歌推出了 Gemini Spark——一个全天候的云端个人 AI 智能体，对 Gmail、Docs、Sheets、Slides、Canva、OpenTable 和 Instacart 拥有常开访问权限。泄露的引导页写着 Spark "may do things like share your info or make purchases without asking."（可能会做一些事，比如分享你的信息或者不经询问就下单购买。）下周向 Google AI Ultra（每月 100 美元）订阅者开放。

横跨企业、中小企业和消费者的智能体部署面仍在扩大。据 DBIR，员工使用 AI 工具的比例一年内从 15% 猛增到 45%——而这 45% 代表着一股从组织流向大模型服务商的、可观的新增数据外流。

距审计收工两天

今天是门罗币 FCMP++ Trail of Bits 审计的第十天。审计将在 5月22日收工——距现在四十八小时。

FCMP++ 用全链成员证明替换环签名。匿名集从每笔交易十六个诱饵扩张到整个 UTXO 集合——超过 1.5 亿个交易输出。一份干净的审计，会为共识升级扫清道路，并消除对门罗币协议层隐私主张的最后一项重大技术异议。

这次审计的意义对应到 Verizon DBIR 的发现上：中心化厂商打补丁流水线跟不上 AI 加速的威胁。门罗币的协议层密码学升级是用户自托管的那一面对应物——一个审计结论要么让协议层的隐私升级得以交付，要么让它延后。在协议层，这套架构是单一流水线；在钱包层，它是用户自托管。DBIR 关于第三方供应链的发现，并不像适用于企业 IT 基础设施那样适用于门罗币——这里没有第三方 SaaS 依赖层。

比特币 BIP324 v2（加密 P2P，自 Core 27.0 起默认开启）和 BIP352 静默支付（在 Core 28.0+ 中，2026 年又加上 BIP376 和 BIP392）按平行的逻辑运作。Zcash Crosslink 里程碑 4（PoW + BFT 终局性已整合）也按平行的逻辑运作。这三种保护隐私的货币都是用户自托管的原语，不依赖第三方打补丁流水线。

用户侧原语栈

对 Verizon DBIR 三项发现——漏洞利用以 31% 成为头号泄露入口、供应链泄露同比上升 60%（如今占总数的 48%）、修补时间中位数 43 天——外加 2029 年 Q 日时间线、外加智能体部署面、外加联邦强制下架执法、外加承接国的国家行动的架构反制，就是用户侧原语栈。它不依赖中心化的厂商打补丁流水线。

用户自持密钥的开放客户端。Signal。Tuta。Proton。Threema。Briar 1.5.17（2026年3月12日的版本跑在蓝牙、Wi-Fi 和 Tor 之上）。Cwtch。Session。Matrix 家庭服务器。架构属性是：平台运营者没有明文访问权。端到端加密把服务器侧的数据外泄面从供应链攻击路径中拿掉了。密钥在用户手里。

跑在用户可查验芯片上的开放固件。GrapheneOS（2026030501 预览版中的 Pixel 6+ 搭 Android 16，含 2026 年 4 月至 8 月的 Android 安全公告）。CalyxOS Android 16 测试版 7.2.1.0，2026年5月4日发布。/e/OS。LineageOS。OpenWRT。公民实验室 4月23日的“Bad Connection”报告记录了两场闭源固件操作系统看不见的运营商侧监控行动：STA1（横跨九个幽灵运营商国家的 Diameter 降级到 SS7）和 STA2（经由老旧 S@T 浏览器 SIM 小程序的 SIMjacker 零点击）。开放固件把缓存和通知数据库的行为暴露给用户查验。

FIDO2 硬件认证。2026年5月7日——FIDO 联盟世界通行密钥日——全球已部署 50 亿个通行密钥。YubiKey。Nitrokey。SoloKey。Yubico 累计出货硬件密钥超过 3,000 万把。纽约市 Health + Hospitals 的泄露事件暴露了 180 万人的指纹和掌纹——那是无法重新签发的生物标识。硬件绑定的凭据取代生物特征作为第二因素。第二因素待在用户口袋里，而不是第三方厂商的数据库里。

抗审查传输。Tor Browser 15.0.13 和 16.0a6（5月7日的紧急版本，修复了关键的 Linux 内核、Tor Browser 和 Tor 客户端漏洞）。V2Ray VLESS + Reality。Shadowsocks-2022。Trojan。带 obfsproxy 的 WireGuard。URnetwork 点对点覆盖网络。URnetwork 于 2026年2月19日发布的 MCP 服务器，让智能体客户端可以在这个点对点覆盖网络上建立 VPN 会话，把传输从运营商层抽象出来。伊朗的 Internet Pro 等级、俄罗斯 4月15日的 ISP 层 VPN 检测法、5月1日（被推迟的）移动附加费、中国 4 月的大拔线、欧盟 Going Dark / ProtectEU 提案——这些法规都没有点到这个覆盖网络的名，因为它不作为公共服务或注册运营者出现。用户控制的覆盖网络在法规上是不可见的。

建立在用户自托管原语上的保护隐私的货币。比特币 BIP324 v2（自 Core 27.0 起默认开启；如今全球比特币点对点流量的多数已加密）。比特币 BIP352 静默支付（Core 28.0+，2026 年加上 BIP376 + BIP392）。门罗币 FCMP++ 正在集成中——Trail of Bits 审计 48 小时后收工；成功的话就是 1.5 亿输出的匿名集。Zcash Crosslink 里程碑 4（Vitalik Buterin 2月6日对 Shielded Labs 的第二笔捐赠支持了这项升级）。

跑在用户控制算力上的本地推理 AI。DeepSeek V4 Pro（4月22日，MIT 许可，1.6 万亿 / 490 亿激活参数，100 万 token 上下文，SWE-Bench Verified 80.6%）。DeepSeek V4 Flash（2,840 亿 / 130 亿激活）。Mistral Medium 3.5（4月29日，1,280 亿，SWE-Bench 77.6%）。Qwen 3.6 Max Preview（4月27日，201 种语言）。GLM-5.1（7,440 亿混合专家，开源 LMArena 排名第一）。OpenAI Privacy Filter（4月22日，Apache 2.0，15 亿 / 5,000 万激活，可经由 transformers.js + WebGPU 在浏览器里跑）。哪里没有第三方日志，哪里就既没有东西可供传票调取，也没有东西可供云 AI 服务商挪作他用。据 DBIR，如今 45% 的员工使用 AI 工具——压倒性地是云托管的。本地推理就是那个架构反制。

带选择性披露的联邦身份。W3C 可验证凭证 2.0（自 2025 年 5 月起为推荐标准；七份规范）。eIDAS 2.0 BBS+ 选择性披露（IETF 定稿工作进行中）。Privacy Pass。墨西哥 6月30日的 CURP Biométrica 期限——距今 41 天，把 1.27 亿条移动线路绑定到人脸、指纹和虹膜生物特征上——就是那个威胁模型。

自托管服务。Matrix 家庭服务器。Forgejo。Mailcow。Jitsi。Nextcloud。Mautic。SuiteCRM。Moodle 社区版。Open edX。联邦化把供应链的爆炸半径限制住——每一台家庭服务器都要对自己的打补丁节奏负责，但没法被一纸针对整个联邦的下架义务送达。Grafana / Coinbase Cartel 对 pull_request_target 的利用，是昨天留下的提醒：即便是开源相邻的基础设施也有供应链 CI 风险；架构上的反制是基于 OpenID Connect 的 runner 认证，以及自托管的 Forgejo 或 Gitea CI 环境。

运营商层的网状网络与卫星。Briar（蓝牙、Wi-Fi、Tor）。Bridgefy。Meshtastic。Reticulum。GoTenna PRO。Starlink。伊朗的 Internet Pro 等级、苏丹喀土穆基站断电、俄罗斯胜利日前 21 个州的切断，以及那场让 2025年10月29日选举后暴力中 518 人以上死亡成为可能的坦桑尼亚五天完全断网——不依赖运营商的那一层就是结构性的对冲。

在 9月21日 FIPS 日落之前的密码敏捷性。ML-KEM（FIPS 203）。ML-DSA（FIPS 204）。SLH-DSA（FIPS 205）。标准自 2024 年 8 月起生效。以 2024 年初为基线，FIPS 140-3 的平均验证周期约为 542 天。先发制人地部署后量子安全原语，是穿过 FIPS 日落的唯一路径。Signal 的稀疏后量子棘轮（SPQR），与既有的双棘轮和 PQXDH 密钥协商结合，构成了“三重棘轮”——Signal 针对“先收割、后解密”攻击的后量子加固。2029 年 Q 日目标是那个前瞻性的架构反制。

收尾

百分之三十一。

那是 2025 年始于漏洞利用的泄露事件所占的份额。在 Verizon DBIR 发布的十九年里第一次，漏洞利用成为头号泄露入口。打补丁的危机就是那个架构事实。2025 年修补一个关键漏洞的时间中位数升到了 43 天——增加 34%。CISA KEV 目录上的整改率从 38% 跌到 26%。第三方供应链泄露同比跳升 60%，如今占全部泄露事件的 48%。AI 正在把漏洞利用窗口从数月压到数小时。

5月12日至19日这一周示范了这个模式。Exchange OWA 的 CVE-2026-42897 在一个“平静的”补丁星期二之后四十八小时内被披露并已遭活跃利用，截至今天仍无永久补丁。每周 1,000 万次下载的 node-ipc npm 包，通过一条过期域名的账号恢复链条被劫持。Grafana / Coinbase Cartel 的 pull_request_target CI 攻陷。纽约市 Health + Hospitals 的 180 万份生物特征记录经第三方供应商被外泄。

联邦贸易委员会对 TAKE IT DOWN 法案的执法今天进入第二天，takeitdown.ftc.gov 上线。第 702 条将在二十三天后日落失效。伊朗处于第八十二天。俄罗斯的 Telegram 封锁继续。尼日尔对九家国际媒体的封禁处于第十二天。墨西哥 CURP Biométrica 的期限还有四十一天。

门罗币 FCMP++ 的 Trail of Bits 审计将在四十八小时后收工。谷歌和 Cloudflare 已把 2029 年定为后量子迁移期限。FIPS 140-2 日落还有 124 天。

用户侧的原语栈——开放客户端、开放固件、硬件密钥、抗审查传输、保护隐私的货币、本地推理 AI、联邦身份、自托管服务、网状网络与卫星、密码敏捷性——不依赖中心化的厂商打补丁流水线。

百分之三十一是那份报告。这一栈是那个回应。

URnetwork 是一个用于抗审查传输的点对点覆盖网络，未出现在上文所提及的任何一部法规的公共服务运营者登记名录中。URnetwork 于 2026年2月19日发布的 MCP 服务器，让智能体客户端可以在这个点对点覆盖网络上建立 VPN 会话，把传输从运营商层抽象出来。

https://ur.io

今天，2026 年 5 月 19 日星期二，联邦贸易委员会开始执行《Tools to Address Known Exploitation by Immobilizing Technological Deepfakes on Websites and Networks Act》——即 TAKE IT DOWN 法案——的第 3 条。

该法由特朗普总统于 2025 年 5 月 19 日签署。刑事条款——第 2 条——自签署之日起即可执行。联邦强制下架条款——规范平台义务的第 3 条——则设有 12 个月宽限期，让平台有时间搭建合规系统。宽限期今天到期。

这套强制下架的架构，对美国而言是新事物。执法者是 FTC。每次违规的罚款为 53,088 美元——这是 FTC 经通胀调整后的民事罚款上限。罚款可以叠加：按每一份未清除的实例计算，按每一份已知的相同副本计算。一个平台上托管着同一张被举报图片的十份副本，就面临十次违规。

48 小时的窗口异常紧。受管辖平台——定义为任何主要提供用户生成内容论坛的公共网站、在线服务、应用程序或移动应用程序，或主要为发布非自愿私密视觉描绘而设计的平台——自收到有效受害者通知起，有 48 小时删除相关内容。平台还必须删除 "known identical copies"（已知的相同副本）。

覆盖范围横跨两类结构上完全不同的内容：

• 可识别身份者从事性行为的真实私密视觉描绘
• AI 生成的、针对可识别个人的合成私密描绘（"deepfakes"，深度伪造）

两者触发同一项删除义务。

2026 年 5 月 11 日，FTC 主席 Andrew Ferguson 向 15 家主要科技平台发出合规提醒函：Amazon、Alphabet（Google）、Apple、Automattic（WordPress / Tumblr）、Bumble、Discord、Match Group（Tinder / Hinge）、Meta（Facebook / Instagram / WhatsApp / Threads）、Microsoft（LinkedIn / Xbox）、Pinterest、Reddit、SmugMug（Flickr）、Snapchat、TikTok 和 X。信函逐条列明了各项要求与罚款结构，并提醒收件方：今天就是执法开始之日。

这份十五家的名单，是 FTC 的优先级地图。名单涵盖大型用户生成内容托管方（Meta、X、TikTok、Reddit）、约会平台（Bumble、Match Group）、发布平台（Automattic、Pinterest、SmugMug），以及平台之上的平台（Apple、Microsoft、Alphabet、Amazon、Discord、Snapchat）。名单上明显缺席、但在技术上同样受管辖的，是 Mastodon、Pixelfed、互联网档案馆（Internet Archive）、维基百科、GitHub，以及联邦式的 Matrix homeserver 网络。

今天，是联邦强制下架时钟启动的日子。

五万三千美元

民事罚款是每次违规 53,088 美元。

这是《Federal Civil Penalties Inflation Adjustment Act Improvements Act》下经通胀调整的上限，适用于 FTC 的大多数监管场景。就 TAKE IT DOWN 法案而言，它是可叠加的：按每一份未清除的副本，按每一份已知的相同副本。

这道算术是结构性的。一个平台托管的一张图片在 48 小时期限后仍未下架，构成一次违规：53,088 美元。同一张图片在同一平台上出现在十处：十次违规，530,880 美元。一个内容去重能力差的平台，每一份副本都可能自成一次违规。

这项罚款的设计意图，是让大平台无法忽视。经通胀调整的上限意味着 FTC 可以叠加违规次数：Meta 若在收到通知后仍托管着 1,000 张被举报图片，面临的潜在民事责任是 53,088,000 美元——这还没算上“已知的相同副本”。

结构性风险却在别处：在大平台与小平台之间的不对称上。Meta 和 Alphabet 有合规预算。Automattic、SmugMug、Bumble 以及联邦式的 Matrix homeserver 网络没有。对一个小型或联邦式平台来说，哪怕只有几次违规叠加，也可能是生死问题。48 小时期限逼迫平台选择照办而非调查。电子前哨基金会在 2025 年 2 月的预测是，小平台要么过度删除，要么关闭其美国业务。今天，就是这个预测进入运行状态的日子。

十五家平台

FTC 的十五家警告函收件方，是该机构认为最可能面对第一波受害者通知的平台。这一选择反映出三个类别：

大型用户生成内容托管方。 Meta（Facebook、Instagram、WhatsApp、Threads）、X（前身为 Twitter）、TikTok、Reddit。这些是私密影像分享与 AI 生成合成内容大规模流通的平台。合规预算存在。48 小时期限义务在运营上是可承受的。

约会平台。 Bumble、Match Group（Tinder、Hinge、Match.com、OkCupid、PlentyOfFish）。平台特有的风险在于：图片分享发生在一条以恋爱为语境的通道里，而同意机制在其中处于核心位置。FTC 把约会平台纳入名单，是承认这样一种结构性风险——在约会情境中分享的私密图片，可能被再分发到该情境之外。

发布与创作者平台。 Automattic（WordPress、Tumblr）、Pinterest、SmugMug（Flickr）。这些平台上，大规模图片分发与编辑裁量权相遇。TIDA 义务与平台自身既有的社区标准框架并行运行。

平台之上的平台。 Apple、Microsoft、Alphabet、Amazon、Discord、Snapchat。Apple 运营 App Store 和 iCloud。Microsoft 运营 LinkedIn 和 Xbox。Alphabet 运营 Google Photos、YouTube 和 Drive。Amazon 运营 AWS 托管基础设施。Discord 运营服务器。Snapchat 运营私信加公开 Stories。每一层都为 TIDA 义务呈现出不同的作用面。

在 FTC 的优先级地图上明显缺席的：

• Mastodon 与更广义的 Fediverse。 Mastodon 的联邦式属性意味着每一个实例在技术上都是受管辖平台。FTC 尚未在规模上与这个联邦体打交道。
• 互联网档案馆、维基百科、GitHub。 每一个在技术上都受管辖。FTC 没有点名它们。
• 加密即时通讯层。 Signal、Matrix、Threema、Briar、Session、Wire。与 TIDA 的结构性不相容见下文。

这份缺席就是隐含的信号：FTC 从执法上可操作的中心化平台开始。联邦化、去中心化和端到端加密，是 FTC 尚未触及的架构面。

公民自由一方的论证

电子前哨基金会、民主与技术中心、美国公民自由联盟、R Street Institute、Free Speech Center，以及其他若干公民自由与言论自由组织，用该法签署至今天开始执法之间的整整一年，以第一修正案和正当程序为由反对这部法律。

核心论点是结构性的。TAKE IT DOWN 法案的第 2 条——刑事条款——对非自愿私密影像（NCII）作了狭窄而明确的定义。第 3 条——平台下架条款——对触发条件的定义则宽得多："intimate visual depictions"（私密视觉描绘），且不带那些约束刑事责任的、更狭窄的前提要件。其结果是：一份受害者通知可以为并非刑事意义上 NCII 的内容触发 48 小时下架义务——那可能是合法言论，只是请求者个人觉得不舒服。

EFF 的具体反对意见：

下架条款过宽。 删除强制令所适用的内容类别，远比刑事条款的 NCII 定义宽泛。恶意行为者可以利用该法宽泛的定义，删除并非 NCII、甚至可能不含任何性内容的合法言论。

对无理请求没有任何防护。 该法对轻率或恶意的下架请求不设任何保障。虚假通知没有惩罚。请求者不需要证明自己与内容存在任何特定关系。内容提供者没有正当程序的申诉机制。

合法言论面临风险。 讽刺、新闻报道、政治言论、公众人物的新闻摄影、戏仿、评论——全都可能被该法宽泛的定义捕获。48 小时期限让平台没有时间调查。

紧迫的时限逼出过度合规。 48 小时短得反常。平台无法合理地核实请求、确认请求者身份，或评估内容是否如请求者所称。结构性压力指向过度删除。

端到端加密平台无法合规。 Signal、Matrix、Briar、Threema、Session 以及其他 E2EE 通讯工具无法扫描内容。它们对用户发送或接收的内容没有服务器端的感知能力。该法没有为 E2EE 平台设置任何豁免。结果是：要么加密通讯层面临结构性的不合规责任，要么该法的适用范围事实上把它们排除在外——究竟是哪一种，取决于 FTC 的解释裁量。

特朗普自陈的意图。 2025 年 5 月 19 日签署该法时，特朗普总统在讲话中说：“我也打算把这部法案用在自己身上。在网上没有谁比我受到更糟的对待。”Free Speech Center、EFF 和 CDT 都援引这句话，作为该法可能被权势者用来对付正当批评性言论的证据。今天的 FTC 主席 Andrew Ferguson 是特朗普任命的。解释裁量权归于单一行政权。

公民自由一方的批评，并不是说 NCII 侵害不是真实而严重的伤害。研究一再发现，NCII 影响约八分之一的女性，以及约四分之一的 LGBTQ+ 成年人。刑事条款那种有针对性的进路，正是公民自由组织所支持的。他们反对的是第 3 条——平台下架条款——的结构设计：他们主张它的校准范围比 NCII 所指的更宽，没有任何防止武器化的保障，期限极其紧迫，且不为 E2EE 留出例外。

TAKE IT DOWN 法案的首例定罪出现在 2026 年 4 月——一起针对 AI 生成深度伪造的案件。刑事条款自签署之日起即可执行。今天开始可执行的，是平台下架条款。

并不存在的加密豁免

Signal、Matrix、Briar、Threema、Session、Wire、Cwtch、Tuta、Proton——整个端到端加密的即时通讯与电子邮件层——在技术上都被 TAKE IT DOWN 法案的 "covered platform"（受管辖平台）定义所涵盖。48 小时删除义务适用。每次违规 53,088 美元的罚款适用。

这些平台在结构上无法合规。

端到端加密意味着平台运营方对用户发送或接收的内容没有任何感知。内容在离开发送者设备前就已加密，只有在接收者设备上才被解密。平台——Signal Foundation、Matrix Foundation、Briar Project、Threema GmbH——只运营消息路由基础设施。它没有密钥。它没有明文访问权。它无法扫描。它无法判断什么是私密的、什么是合成的、什么可被识别为哪个人。

TIDA 第 3 条的义务要求服务器端的内容感知能力——平台必须下架内容、识别“已知的相同副本”，并在 48 小时内作出响应。每一步都要求平台知道内容是什么。对一个 E2EE 平台来说，这在结构上不可能。

电子前哨基金会在 2025 年 2 月参议院通过该法案时就标出了这一不相容，2025 年 4 月众议院通过时又说了一次，2025 年 5 月总统签署时再说了一次。EFF 当时预见的结构性答案至今未变：要么 E2EE 通讯层面临结构性的不合规责任，实际上迫使它要么削弱加密、要么退出美国市场；要么 FTC 放弃对 E2EE 平台执行 48 小时义务；要么国会修改法条。

FTC 必须作出的第一个解释性选择，是 E2EE 平台是否在执法意义上受管辖。该机构尚未公开披露其立场。Signal 总裁 Meredith Whittaker 此前曾在欧盟平行的 Chat Control 法规语境下表示，Signal 会退出任何强制内容扫描的市场，而不会削弱其加密。

E2EE 层是用户侧原语栈的地基层。其架构属性在于：密钥握在用户手里。平台没有可供执法的作用面。今天，就是这一属性撞上一套并不承认它的联邦强制下架制度的日子。

不对称：生成与删除

TAKE IT DOWN 法案处理的是删除。联邦执法时钟今天启动。而生成一侧——那些制造出该法所针对的合成私密描绘的 AI 工具——只受自愿性的内容溯源标准约束。

内容溯源与真实性联盟（C2PA）是主要的技术标准。C2PA 在数字内容中嵌入可验证的溯源元数据：谁创建的、什么时候、用了什么工具、是否有 AI 参与、每一次有意义的编辑。Adobe、Microsoft、Google、Meta 和 OpenAI 支持该标准。DALL-E 3 支持它。Microsoft 画图的 AI Image Creator 会添加可选的清单。字节跳动的 Seedance 2.0 出厂即内置 C2PA 水印。

C2PA 并不检测深度伪造。它记录来源。一个出自实现了 C2PA 的 AI 工具的深度伪造，会携带一份有效清单，写明 "created by [AI tool]"（由〔某 AI 工具〕创建）——但这份清单是提供信息的，不是拦截性的。内容可以经过 C2PA 签名，同时仍然违反 TIDA 第 2 条的刑事条款。

Durable Content Credentials 在 C2PA 之上扩展了不可见水印和内容指纹，以应对元数据被剥离的问题。溯源痕迹能在部分篡改后存活。但底层的生成工具——那个 AI 模型——并不被要求实现溯源。开源 AI 模型往往不实现。实现了溯源的商业模型，也没有被要求在提示词明显意图产出深度伪造类输出时拒绝生成。

亚利桑那州的 SB 1786 目前正等待众议院表决，该法案将要求在该州经营的 AI 工具制造商添加不可见水印。联邦层面的立法尚未通过。

不对称是结构性的：生成一个深度伪造，比把它删掉容易得多。TIDA 的执法从今天起在删除一侧启动。生成一侧继续在自愿标准下运行。今天也是 Google I/O 2026 主题演讲日。

清晨的 Spark

在华盛顿以西三个时区之外，当 FTC 发布其执法通告时，Sundar Pichai 走上 Google I/O 2026 的舞台。

今天的发布：Gemini Spark。

一个 7×24 小时运行的云端个人 AI 代理。运行在 Google 的 Gemini 3.5 与 Gemini 3.5 Flash 模型上。Google Cloud 上的云端虚拟机在后台持续运转。集成对象包括：

• Gmail —— 电子邮件
• Docs —— 文档
• Sheets —— 电子表格
• Slides —— 演示文稿
• Canva —— 创意设计
• OpenTable —— 餐厅预订
• Instacart —— 生鲜配送

"Personal Intelligence" 隐私开关被定位为一项隐私控制项。它让用户可以在应用界面中关闭上下文追踪。而数据访问权限——横跨 Gmail、Docs、Photos、Drive，经由 Deep Research——是选择加入（opt-in）的。

一次 beta 测试中泄露的入门引导页面写着："Spark may do things like share your info or make purchases without asking."（Spark 可能会做出诸如分享你的信息或未经询问就下单购买之类的事。）用户被告知要监督这个代理。

将于“下周”向 Google AI Ultra 订阅者开放。AI Ultra 定价今天下调至 100 美元。

I/O 2026 上的配套发布：

• Android XR 眼镜预览
• Chrome 自动浏览与更智能的表单填写
• Gboard 中的 AI 生成小组件
• Gboard Rambler 口述整理
• Android Auto 情境感知回复
• 贯穿 Android 的 Gemini Intelligence

架构上的事实是：一个 7×24 小时常开、对 Gmail、Docs、Sheets、Slides、Photos、Drive、Canva、OpenTable 和 Instacart 拥有常开访问权限的代理式助手，在结构上就是一条从用户个人云到 Google Cloud 虚拟机的常开数据外流通道。“个人 AI 代理”这一说法，是覆盖在云端数据访问权限大幅扩张之上的一层用户体验包装。

Gemini Spark 加入的队列包括：ChatGPT Atlas（OpenAI；macOS 正式版）、OpenAI Workspace Agents（Slack、Drive、Microsoft 应用、Salesforce、Notion、Atlassian Rovo）、Anthropic Claude Cowork（5 月 12 日正式发布，接入 SCIM、OpenTelemetry、Intune，用于企业身份与设备管理）、Anthropic Claude for Small Business（5 月 14 日，接入 QuickBooks、PayPal、HubSpot、Canva、DocuSign）、Microsoft Copilot Studio（5 月 14 日治理更新），以及 Perplexity Comet（浏览器）。

代理式作用面在六周内翻了一倍。企业、中小企业和消费者——三个层级——现在都有了对用户主要生产力与通讯云拥有访问权的常开云端 AI 代理。

在联邦强制下架时钟于内容删除一侧启动的同一天，具备用户云访问权的联邦级代理式部署，在内容生成与内容访问一侧扩张。生成作用面与删除作用面是不对称的。今天是这一运行状态的标记点。

昨天的两起泄露

5 月 18 日的两起并行披露，锚定了 TAKE IT DOWN 法案没有处理的那些类别。

NYC Health + Hospitals —— 180 万人的生物识别数据泄露。 纽约市健康与医院系统——全美最大的公立医疗系统——昨天披露，一名未经授权的行为者在 2025 年 11 月 25 日至 2026 年 2 月 11 日期间访问了第三方供应商系统，复制了 180 万名患者与员工的记录。被访问的数据包括：

• 指纹与掌纹 —— 无法重新签发的生物识别标识符
• 病历：诊断、用药、化验、影像
• 医疗保险计划与保单信息
• 账单、理赔与支付信息
• 精确地理位置数据
• 社会安全号码
• 护照号码
• 驾照
• 姓名、住址、联系方式

泄露时间线：

• 访问窗口：2025 年 11 月 25 日 —— 2026 年 2 月 11 日（约 10 周）
• 检测：2026 年 2 月 2 日（由 NYC H+H 发现）
• 通报卫生与公众服务部（HHS）：2026 年 3 月 24 日
• 公开披露：2026 年 5 月 18 日 —— 昨天

根本原因：一家拥有 NYC H+H 系统访问权限的第三方供应商被攻陷。NYC H+H 尚未公开点名该供应商。

架构上的问题在于，生物识别数据无法重新签发。被泄露的社会安全号码、信用卡或密码可以更换。被泄露的指纹或掌纹不能。对这 180 万人而言，生物识别特征如今已永久落入对手之手，而他们的物理标识符不会改变。凡是接受指纹或掌纹作为认证方式的地方——门禁系统、智能手机解锁、移民关卡、医疗准入——受影响的个人从此终生都有一个处于对手掌握中的认证因子。

Grafana / Coinbase Cartel —— pull_request_target。 5 月 15 日，Coinbase Cartel 网络犯罪团伙——一个与 ShinyHunters、Scattered Spider 和 Lapsus$ 相关联的犯罪集团——在其泄露网站上挂出了 Grafana Labs。昨天，5 月 18 日，Grafana 确认了这次泄露。

攻击途径是一个已知危险的 GitHub Actions 模式。攻击者分叉了一个 Grafana 的公开仓库，然后向分叉代码中注入了一条恶意 curl 命令。Grafana CI 中那个脆弱的 pull_request_target 工作流针对分叉代码执行了该命令，但使用的是可信 CI 环境的高权限以及对仓库机密的访问权。这条命令导出了环境变量。环境变量中含有一个高权限的 GitHub token。该 token 使源代码下载成为可能。

结果：

• Grafana 的源代码被下载
• 没有客户数据或个人数据被访问
• Grafana 拒绝支付赎金
• 源代码预计将被泄露

Coinbase Cartel 团伙自 2025 年 9 月起活跃，不使用加密文件的勒索软件。它实施的是纯粹的数据窃取与敲诈。Grafana 是一连串大型科技与开发者基础设施目标中最新的一个。

pull_request_target 模式是最广为人知的危险 GitHub Actions 配置之一。至少从 2021 年起它就被记录为高风险。这一模式之所以延续，是因为它对那些需要访问仓库机密的构建与测试工作流很方便，但它运行的是仓库维护者未曾审阅过的分叉代码。架构上的对策是基于 OpenID Connect（OIDC）的 runner 认证，它不需要在 CI 环境中保存长期有效的机密。

这两起泄露锚定了 TAKE IT DOWN 法案没有处理的两个不同类别：身份（生物识别问题）与基础设施（供应链 CI 问题）。TIDA 处理的是内容删除。今天的 TIDA 执法触及不到昨天的这两起事件。

二十四天

FISA 第 702 条的日落还有 24 天。2026 年 6 月 12 日。

外国情报监视法庭 2026 年 3 月 17 日关于 FBI 第 702 条查询实践的意见书仍属机密。俄勒冈州参议员 Ron Wyden 在 4 月 30 日以此作为 45 天第 702 条延期条件而谈成的 15 天加急解密窗口，已经过去而未见公布。该窗口大约在 5 月 15 日关闭。司法部没有解密。国家情报总监没有解密。据报道，司法部正在就 FISC 意见书中查询一侧的裁定提起上诉。

Wyden 这笔交易的机制是：4 月 30 日参议院以一致同意方式通过 45 天第 702 条延期时（众议院同日以 261 票对 111 票通过），Wyden 从参议院情报委员会两党领导人处争取到一项承诺——FISC 意见书将在 15 天内公开发布。阿肯色州参议员 Tom Cotton 反对在附带 Wyden 解密条款的情况下以一致同意方式通过。这项反对意味着国家情报总监与司法部在形式上可以拒绝委员会的请求——而事实上，正是以沉默的方式发生了这一结果。

6 月 12 日第 702 条日落是下一个强制节点。国会可以再次延期、可以通过完整的重新授权（很可能附带某些改革），也可以让该项目失效。此前四次重新授权窗口，都以延期或部分改革告终。FISC 意见书本可为之提供依据的那种结构性改革——收窄针对美国人的 "query"（查询）定义、对特定查询类型强制要求法院批准——在此前任何一个窗口都没有发生。

围绕查询一侧的改革辩论，在缺少法院意见的情况下继续：

• 参议员 Cotton：不收窄 "query" 的定义
• 参议员 Wyden：在查询层面为美国人提供保护
• 弗吉尼亚州参议员 Mark Warner：中间立场

《美国展望》（The American Prospect）5 月 11 日报道称，“AI 正在给监控国家装上涡轮增压”（AI is supercharging the surveillance state）——自动化的下游分析链条正在针对第 702 条语料库运行。重新授权的辩论，正是在从这个数据库中提取的分析价值不断增长的背景下展开的；而本可为辩论提供依据的 FISC 意见书，并不在桌面上。

早已在运行的那些事

联邦强制下架时钟与联邦级代理式 AI 部署，并不会让全球接收国一侧的图景暂停。

伊朗 —— 第 81 天。 NetBlocks 今天，5 月 19 日，确认伊朗互联网停摆进入第 81 天，已超过 1,920 小时。这是有记录以来最长的互联网中断。经济代价：据加拿大广播公司（CBC News）的分析，约为每天 2.5 亿美元。自 2026 年 1 月 8 日停摆开始以来的累计损失：约 55 亿美元或更多。停摆期间线上销售下降了 80%。德黑兰证券交易所总指数在四天窗口内下跌了 450,000 点。Internet Pro 层级——与伊斯兰革命卫队（IRGC）关联的伊朗移动通信公司（MCI）的白卡种姓层级——仍在实际运营中。德黑兰各 SIM 卡转换网点三到四小时的排队时间仍在持续。

俄罗斯 —— 移动 VPN 附加费推迟。 俄罗斯的移动 VPN 附加费——每月国际流量超过 15 GB 的部分，每 GB 收取 150 卢布——原定 2026 年 5 月 1 日生效。它没有按期生效。运营商要求推迟，以便配置计费系统。4 月 15 日的 ISP VPN 检测法继续在 Yandex、VK、Sberbank、Gosuslugi、Ozon、Wildberries、Aviasales 和俄罗斯铁路运行。据 Meduza 4 月 10 日的研究，俄罗斯 30 款最热门 Android 应用中已有 22 款在应用层监测是否启用了 VPN——VPN 检测已经迁入应用代码。俄罗斯联邦通信监督局（Roskomnadzor）宣称的目标仍是到 2030 年实现 92% 的 VPN 封锁有效率，每年拨款 200 亿卢布用于永久性 VPN 审查基础设施。

中国 —— 大拔线仍在继续。 中国当局 2026 年 4 月对数千台代理服务器的物理断线（“拔线潮”）继续压缩中国互联网用户的翻墙选项。只有基于 TLS 的混淆——V2Ray VLESS + Reality、Shadowsocks-2022、Trojan、配合 obfsproxy 的 WireGuard——能够可靠存活。

尼日尔 —— 国际媒体禁令第 11 天。 十一天前的 5 月 8 日，尼日尔军方控制的国家传播观察局（Observatoire Nationale de la Communication）下令暂停九家国际媒体：France 24、法国国际广播电台（RFI）、法新社（AFP）、TV5 Monde、《非洲青年》（Jeune Afrique）、Mediapart、LSI Africa、TF1 Info、France Afrique Média。禁令仍然有效。根据保护记者委员会（CPJ）2025 年 12 月 1 日的普查，尼日尔是撒哈拉以南非洲监禁记者第二多的国家。

布基纳法索 —— 5 月 5 日封禁 TV5Monde。 布基纳法索最高传播委员会在十四天前封禁了 TV5Monde。无国界记者组织 5 月 6 日的报告记录了布基纳法索记者 Atiana Serge Oulon 在瓦加杜古一处别墅中的秘密关押，他在那里连续数周遭到树枝抽打。

巴基斯坦 —— PECA 执法持续。 2026 年 4 月 29 日的 Freedom Network 报告记录了 PECA 所导致的新闻自由空间进一步收缩。伊斯兰堡地区法院确认了记者 Rizwan Ghalzai 和 Aqil Hussain Bagri 依 PECA 案件的保释。巴基斯坦新闻基金会追踪到 2025 年 1 月至 2026 年 4 月间的 233 起新闻自由事件——67 起袭击、11 起逮捕、11 起拘留、67 起刑事控告。

坦桑尼亚 —— 调查委员会报告被扣压。 2026 年 4 月 23 日关于 2025 年 10 月 29 日选举后暴力的调查委员会报告——518 人确认死亡，其中包括 21 名儿童——在官方层面仍未公开发布。X（Twitter）在坦桑尼亚仍处于封禁状态。

墨西哥 —— 距生物识别 CURP 还有 42 天。 墨西哥生物识别 CURP（CURP Biométrica）的期限是 2026 年 6 月 30 日——距今天 42 天。约 1.27 亿条移动电话线路必须在期限前完成与生物识别 CURP（人脸、指纹、虹膜）的登记绑定，否则将被停机。墨西哥将成为第一个要求每一条移动电话线路都必须绑定政府签发的生物识别标识符的主要国家。

全球接收国一侧的图景，不因今天发生在华盛顿和山景城的事而改变。架构模式是同一个：国家控制运营商层或平台层；运营商层或平台层使停网、监控或强制删除成为可能；除非用户拥有一条在结构上与运营商或平台不同的路径，否则他们没有任何架构上的替代选项。

期限连环

今天是六月—七月—八月这段密集时钟连环的开端。

• 5 月 22 日： Monero FCMP++ 的 Trail of Bits 审计结束（距今 3 天）
• 6 月 12 日： 第 702 条日落（24 天）
• 6 月 26 日： 微软 Secure Boot UEFI 证书悬崖（38 天；涉及约 15 亿台 Windows 设备）
• 6 月 30 日： 墨西哥生物识别 CURP 期限（42 天）
• 7 月 1 日： 欧盟 MiCA 全面执行（43 天；罚则为全球营业额的 12.5%）
• 7 月 1 日： Apple Declared Age Range API 在路易斯安那州和犹他州开始执行
• 8 月 2 日： 欧盟《AI 法案》通用目的 AI（GPAI）执法权限启动（75 天；1,500 万欧元或全球营业额的 3%）
• 9 月 21 日： FIPS 140-2 日落（126 天；要求后量子密码原语）
• 10 月 5 日至 12 日： Roman Storm 的 Tornado Cash 重审
• 2026 年底： 欧盟数字身份钱包铺开期限

这一连环是政策、固件与监管时钟落进彼此重叠的月度窗口。今天的 TIDA 执法是第一个事件。三天后 Monero FCMP++ 审计的结束是第二个。二十四天后的第 702 条日落是第三个。到 8 月 2 日，将有六个结构性事件在七十六天内落地。

用户侧原语栈

对今天的联邦强制下架执法、今天的联邦级代理式 AI 部署、昨天的生物识别数据泄露、昨天的供应链 CI 攻陷，以及前方这串期限连环，架构上的对策是用户侧原语栈。它并不取决于今天的时钟往哪个方向走。

用户自持密钥的开源客户端。 Signal。Tuta。Proton。Threema。Briar 1.5.17——2026 年 3 月 12 日发布的版本可在蓝牙、Wi-Fi 和 Tor 上运行，在运营商层停网期间仍能工作。Cwtch。Session。Matrix homeserver。端到端加密是其架构属性：平台运营方对内容没有感知能力。TIDA 第 3 条的义务要求服务器端的感知能力。这种架构上的不相容就是对策。用户自持的密钥，在任何有意义的层面上都无法被送达一份下架通知。

可供用户检视芯片上的开源固件。 GrapheneOS——Pixel 6 及以上机型，Android 16 处于 2026030501 预览版，已纳入 2026 年 4 月至 8 月的 Android 安全公告。CalyxOS 的 Android 16 测试版 7.2.1.0 于 2026 年 5 月 4 日发布。/e/OS。LineageOS。OpenWRT。公民实验室（Citizen Lab）2026 年 4 月 23 日的 "Bad Connection" 报告记录了两场运营商侧的监控行动——STA1，在九个“幽灵运营商”国家实施的 Diameter 到 SS7 降级；以及 STA2，通过老旧的 S@T browser SIM 小程序实施的 SIMjacker 零点击攻击——这两者对闭源固件的操作系统都是不可见的。开源固件把缓存与通知数据库的行为暴露给用户检视。

FIDO2 硬件认证。 2026 年 5 月 7 日——FIDO 联盟的世界通行密钥日——全球生态中已部署 50 亿个通行密钥。YubiKey。Nitrokey。SoloKey。Yubico 累计出货超过 3,000 万把硬件密钥。昨天的 NYC H+H 泄露暴露了 180 万人的指纹与掌纹——那是无法重新签发的生物识别标识符。在任何接受硬件绑定凭证的场景中，它都可以取代生物识别作为第二因子。第二因子在用户的口袋里，而不在第三方供应商的数据库里。

抗审查传输。 Tor Browser 15.0.13 与 16.0a6——5 月 7 日的紧急版本，修复了 Linux 内核、Tor Browser 和 Tor 客户端的严重漏洞。V2Ray VLESS + Reality。Shadowsocks-2022。Trojan。配合 obfsproxy 的 WireGuard。URnetwork 点对点覆盖网。 URnetwork 于 2026 年 2 月 19 日发布的 MCP 服务器，让代理式客户端能够在这张点对点覆盖网上建立 VPN 会话，把传输从运营商层抽象出来。伊朗的 Internet Pro 层级、俄罗斯 4 月 15 日的 ISP VPN 检测法、中国 4 月的大拔线“拔线潮”——这些法规没有一条点到这张覆盖网的名字，因为它并不以公共服务或注册运营商的形态出现。用户控制的覆盖网对法条是不可见的。

建立在用户自托管原语上的隐私保护货币。 Bitcoin BIP324 v2，自 Core 27.0 起默认开启；全球比特币点对点流量的大多数如今已被加密。Bitcoin BIP352 静默支付——Core 28.0+ 支持收付，2026 年又加入了 BIP376 的 PSBTv2 tweak 数据字段与 BIP392 的描述符格式。Monero FCMP++ 正在积极集成中；Trail of Bits 审计于 5 月 11 日开始，持续到 5 月 22 日——目前是 11 天中的第 8 天——它以全链成员证明取代环签名，其匿名集是整个 UTXO 集合，超过 1.5 亿个交易输出。Zcash Crosslink 里程碑 4——Vitalik Buterin 于 2026 年 2 月 6 日向 Shielded Labs 的第二笔捐赠支持了这次升级。

在用户控制的算力上做本地推理的 AI。 DeepSeek V4 Pro——4 月 22 日以 MIT 许可证发布，总参数 1.6 万亿 / 激活参数 490 亿，100 万 token 上下文，SWE-Bench Verified 80.6%，GPQA Diamond 90.1%。DeepSeek V4 Flash——总参数 2,840 亿 / 激活参数 130 亿。Mistral Medium 3.5——4 月 29 日，1,280 亿参数，SWE-Bench Verified 77.6%。Qwen 3.6 Max Preview——4 月 27 日，支持 201 种语言。GLM-5.1——7,440 亿参数的混合专家模型，开源阵营在 LMArena 上排名第一。OpenAI Privacy Filter——4 月 22 日，Apache 2.0 许可，总参数 15 亿 / 激活参数 5,000 万，可通过 transformers.js 加 WebGPU 在浏览器中运行。哪里没有第三方日志，哪里就既没有可供传票调取的东西，也没有可供云端 AI 提供商再利用的东西。今天发布的 Gemini Spark——对 Gmail、Docs、Sheets、Slides、Canva、OpenTable、Instacart 拥有常开访问权限，外加经由 Deep Research 对 Gmail、Docs、Photos、Drive 的访问——正是云端 AI 访问的威胁模型。本地推理是架构上的对策。

带选择性披露的联邦式身份。 W3C 可验证凭证（Verifiable Credentials）2.0——自 2025 年 5 月起为正式推荐标准，家族中共有七份规范。eIDAS 2.0 的 BBS+ 选择性披露——IETF 定稿工作正在进行。Privacy Pass。W3C 可验证凭证工作组 2026 年 4 月的新章程，目标是在 2026 年 9 月前完成 Render Method 与 Confidence Method 两份推荐标准。墨西哥 6 月 30 日的生物识别 CURP 期限——距今 42 天，将约 1.27 亿条移动线路绑定到人脸、指纹和虹膜生物识别上——正是威胁模型。不要把身份上传到中心化的国家生物识别登记库。

自托管服务。 Matrix homeserver。Forgejo。Mailcow。Jitsi。Nextcloud。Mautic。SuiteCRM。Moodle 社区版。Open edX。联邦化把任何单一供应商被攻陷时的爆炸半径限定住。每个 homeserver 对自己的内容负责，但无法被送达一份针对整个联邦体的下架义务。昨天 Grafana / Coinbase Cartel 的 pull_request_target 利用表明，即便是开源相邻的基础设施也存在供应链 CI 风险。架构上的对策是基于 OpenID Connect 的 runner 认证，以及自托管的 Forgejo/Gitea CI 环境。

运营商层的网状网与卫星。 Briar——蓝牙、Wi-Fi、Tor。Bridgefy。Meshtastic。Reticulum。GoTenna PRO。Starlink。伊朗的 Internet Pro 层级、苏丹喀土穆的基站断电、俄罗斯胜利日前夕 21 个州的断网、5 月 9 日莫斯科的移动网络与短信停摆、坦桑尼亚为期五天的完全互联网停摆——后者使 2025 年 10 月 29 日选举后暴力中 518 人以上的死亡成为可能——运营商无关的那一层，是结构性的对策。

赶在 9 月 21 日 FIPS 日落之前的密码敏捷性。 ML-KEM（FIPS 203）。ML-DSA（FIPS 204）。SLH-DSA（FIPS 205）。标准自 2024 年 8 月起生效。以 2024 年初为基准，FIPS 140-3 认证周期平均约为 542 天。抢先部署抗量子的密码原语，是穿过 FIPS 日落的唯一路径。Signal 的稀疏后量子棘轮（Sparse Post-Quantum Ratchet，SPQR），结合既有的双棘轮与 PQXDH 密钥协商，构成了“三重棘轮”（Triple Ratchet）——Signal 协议的后量子加固。

结语

今天，2026 年 5 月 19 日星期二，联邦贸易委员会开始执行 TAKE IT DOWN 法案第 3 条。联邦强制下架时钟启动。48 小时。每次违规 53,088 美元。15 家平台被点名。

今天，Google 发布 Gemini Spark。横跨企业、小微企业和消费者的代理式作用面翻了一倍。

昨天，NYC Health + Hospitals 披露，180 万人的指纹与掌纹如今已永久落入对手之手。

昨天，Coinbase Cartel 证明了，仅仅一处 pull_request_target 配置错误，就能攻陷一家大型开源相邻公司的源代码。

从今天起 24 天后，第 702 条日落。FISC 意见书仍属机密。

伊朗处于第 81 天。俄罗斯的移动 VPN 附加费被推迟。尼日尔的国际媒体禁令进入第 11 天。墨西哥距生物识别 CURP 还有 42 天。

密集的六月—七月时钟连环——5 月 22 日、6 月 12 日、6 月 26 日、6 月 30 日、7 月 1 日、7 月 1 日、8 月 2 日、9 月 21 日——正在运行。

开源客户端。开源固件。硬件密钥。抗审查传输。隐私保护货币。本地推理 AI。带选择性披露的联邦式身份。自托管服务。网状网与卫星。密码敏捷性。

今天时钟启动。用户侧原语栈并不取决于它往哪个方向走。

URnetwork 是一张用于抗审查传输的点对点覆盖网，它不出现在上文所提及的任何一部法规的公共服务运营商登记册中。URnetwork 于 2026 年 2 月 19 日发布的 MCP 服务器，让代理式客户端能够在这张点对点覆盖网上建立 VPN 会话，把传输从运营商层抽象出来。

https://ur.io

2026 年 5 月 14 日星期四，是企业 AI 部署、AI 补偿模板、可编程货币基础设施与监控监督的程序汇合点。AI 与金融问责体系中的四扇结构性大门，在从太平洋时间上午到中欧时间傍晚的同一个 8 小时窗口内关上（或者说被推向关闭）。故事的重点不在于哪几扇关上、哪一扇没关——重点在于这些日历对齐了。

第一扇门——Bartz 公平性听证。 法官 Araceli Martínez-Olguín 主持，加利福尼亚北区联邦地区法院，旧金山联邦法院 12 号法庭，太平洋时间下午 2 点。这笔 15 亿美元的和解覆盖 482,460 件已登记版权作品，每件约 3,000 美元。听证当日申领率达到 92.77%，447,576 件作品被申领。法官把提问集中在和解的成本结构与律师费上，而不是交易本身的轮廓或已解封的异议——外国作品排除、集体登记少计、每件 3,000 美元是否公平，以及强制性通知论点。据 Words and Money 的观察者，听证会“似乎正顺畅驶向”最终批准；Authors Alliance 则报告说，法官几乎没有质询这笔交易的结构。法官没有当庭裁定。最终批准令预计在 2 至 6 周内作出。Bartz 模板将成为 OpenAI、Google、Meta、Cohere、Mistral 以及开源方 AI 训练数据和解的结构性基准——而这类案件有数十件正在待决。

第二扇门——代理式运营平面进入小企业。 5 月 14 日，Anthropic 发布了 The Founder's Playbook，主张 AI 已经“重启”了创业公司的生命周期，并推出 Claude for Small Business——一套预建工作流，直接接进每一支精简团队和单人创业者的运营栈：QuickBooks 管账务与财务，PayPal 管支付与应收，HubSpot 管 CRM 与营销，Canva 管创意与品牌，DocuSign 管法务与协议。这次发布是 Anthropic 代理式部署平面在中小企业一侧的扩张：Claude Cowork（5 月 12 日正式可用，接入企业身份与设备管理所需的 SCIM、OpenTelemetry 与 Intune），以及 5 月 4 日 Anthropic 与 Blackstone、Hellman & Friedman、Goldman Sachs 成立的合资公司（估值 15 亿美元，每家基石投资方承诺 3 亿美元）。OpenAI 一侧的对应动作是 Workspace Agents——4 月 22 日面向 ChatGPT Business、Enterprise、Edu 与 Teachers 套餐推出，由 Codex 驱动，连接 Slack、Google Drive、Microsoft 应用、Salesforce、Notion 与 Atlassian Rovo——OpenAI Development Company 合资公司（募资 40 亿美元，估值 100 亿美元）同样于 5 月 4 日宣布。代理式平面如今已在企业、中小企业与消费者三端投入生产，而这正是 AI 补偿模板被批准的同一周。

第三扇门——数字欧元 PSP 申请截止。 5 月 14 日星期四中欧夏令时间 17:00，欧洲中央银行关闭了数字欧元支付服务提供商参与的意向征集。该征集于 2026 年 3 月 5 日发布。ECB 将挑选 10 至 30 家 PSP，用于 2027 年下半年启动、为期 12 个月的试点，开发阶段自 2026 年第三季度开始。其架构是可编程的、由中央银行发行的零售货币——“可编程”（programmable）这一要素意味着 PSP 可以在协议层用软件对单笔交易施加额度、条件与可追溯性。该架构在根本上的可监视性，就是这里的架构事实。配套的监管框架：MiCA 于 2026 年 7 月 1 日进入全面执法，罚则最高可达全球年营业额的 12.5% 并附带高管个人责任；《资金转移条例》中的旅行规则自 2024 年 12 月起已对 CASP 之间的转账实行零门槛。美国一侧的对照点：2026 年 3 月 17 日 SEC 与 CFTC 的联合解释，明确把 Bitcoin、Ethereum、Solana、XRP 与 Chainlink 列为数字商品——一种结构上截然不同的监管哲学，恰好在欧盟一侧可编程欧元基础设施成形的同一个月出现。

第四扇门——没有关上的那个窗口。 2026 年 4 月 30 日，在参议院一致同意通过之后，众议院以 261 票对 111 票通过了 45 天的第 702 条延期。参议员 Wyden 与参议院情报委员会领导层达成一项交易，保证在延期通过后 15 天内对 FISC 2026 年 3 月 17 日的意见书加速解密。该意见书据信涉及 FBI 的第 702 条查询实践——具体是那些在外国情报收集数据库中触及美国人的回溯查询。司法部目前正在对该意见书提起上诉，因为它封堵了 FBI 用来查询该数据库的某些分析工具。当参议院试图以一致同意方式、并附带 Wyden 的解密条款通过延期时，参议员 Cotton 提出了反对——这意味着国家情报总监与司法部在形式上可以拒绝委员会的请求。这个 15 天窗口：2026 年 4 月 30 日至 5 月 15 日。截至今天、2026 年 5 月 18 日，FISC 的意见书尚未解密。该窗口在 3 天前实际届满。查询一侧的改革辩论仍在没有法院结构性观点的情况下继续——而第 702 条的日落如今只剩 25 天，2026 年 6 月 12 日。

三扇门关上了。第四扇没有。这种程序汇合并非巧合。Bartz 的初步批准发生在 2025 年末；标准的六个月公平性听证窗口正好落在 2026 年 5 月。Anthropic 面向企业的 Claude Cowork GA 是 5 月 12 日；中小企业一侧的扩张是顺理成章的下一周动作。ECB 征集的 70 天窗口 3 月 5 日打开、5 月 14 日关闭。Wyden 交易的 15 天窗口 4 月 30 日打开、5 月 15 日关闭。这些日历之所以对齐，是因为企业周期、法院周期、监管机构周期和立法周期都跑在互相重叠的月度节拍上——而 2026 年 5 月，正是 AI 与金融问责体系正在汇聚的那个节拍。

第一扇门——15 亿美元的模板

按结构性口径衡量，Bartz 诉 Anthropic 的和解所覆盖的，是 Anthropic 在大约 2021 至 2023 年间训练 Claude 时，从美国版权局已登记的图书中所摄入的语料。和解金额为 15 亿美元。覆盖作品数量 482,460 件。每件作品的赔付约 3,000 美元。

周四的公平性听证处理了四项已解封的异议。

第一项异议——外国作品排除——认为和解被美国版权局的登记范围所限定。许多作品被摄入 Anthropic 训练语料的作者持非美国国籍，并在本国司法辖区的制度下登记版权。该异议主张，外国作品排除造成了一个被低估的申领人群，和解结构应扩展到覆盖在外国登记的作品。法官没有在庭上处理这项异议。

第二项异议——集体登记少计——认为许多在美国登记的作品，是以选集、期刊、课程材料和学术汇编等集体著作结构进行集体登记的。和解结构把每件作品的赔付归属于登记的权利主张人，而在集体登记的情形下，这个主张人可能是出版商或机构性权利人，而非底层作者。该异议主张，这在和解分配中造成了偏向出版商的倾斜。法官没有在庭上处理这项异议。

第三项异议——每件 3,000 美元是否公平——认为相对于 Anthropic 在训练 Claude 时从被摄入语料中提取的价值，每件作品的金额过低。这是法官重点关注的那一项，她就成本结构与律师费向律师提问。听证并没有给出实质性的答案。

申领率一直是和解管理过程中的意外。Authors Alliance 在 5 月 14 日上午报告该比率为 91.3%。等到律师 Justin Nelson 当天下午走上讲台时，比率已升至 92.77%，共有 447,576 项针对不同作品的个别申领。这一异常之高的比率与两种解读都相容：要么作者们强烈地在 Anthropic 训练语料中辨认出了自己的作品，要么登记名册在一开始就过于宽泛。两种解读都有利于批准；两种都不利于重构。

法官没有当庭裁定。最终批准令预计在 2 至 6 周内作出。若获批准，Bartz 模板将成为数十起待决 AI 训练数据集体诉讼的结构性基准——OpenAI、Google（多起 Bard / Gemini 训练诉讼）、Meta（Llama / LibGen 诉讼）、Cohere、Mistral，以及训练语料同样包含已登记版权作品的开源提供方。

若被驳回——而目前没有任何程序信号显示法官会驳回——这一模板将退回谈判。

Bartz 模板是企业 AI 产业就追溯性使用已登记版权作品进行训练所确立的补偿先例。通行价是每件作品 3,000 美元。通行总额是每次主要前沿级训练运行 15 亿美元。通行申领率是 92.77%。

第二扇门——代理式运营平面

就在 Bartz 模板为过去的训练追溯性地获得批准的同一天，Anthropic 正在把自己的代理式平台前瞻性地部署进每一家小企业的运营栈。

Claude for Small Business——5 月 14 日推出——把 5 套预建工作流直接接进精简团队和单人创业者的运营栈：

• QuickBooks——账务、记账、开票
• PayPal——支付、应收
• HubSpot——客户关系管理、营销自动化
• Canva——品牌、创意、社交媒体制作
• DocuSign——法律协议、合同

这 5 项集成合起来，构成了估计 5000 万家美国小企业在财务、客户、创意与法务方面的日常工作流。代理式平台如今已经进入运营栈。

中小企业一侧的发布，是 Anthropic 代理式部署扩张的第三层：

• 企业（5 月 12 日 GA）——Claude Cowork 接入 SCIM 身份管理平面、OpenTelemetry 遥测与 Microsoft Intune 设备管理——让 Claude 在企业身份基础设施中成为与人类对等的实体。
• 中小企业（5 月 14 日发布）——Claude for Small Business 覆盖 QuickBooks / PayPal / HubSpot / Canva / DocuSign 工作流。
• 消费者——在消费者套餐上持续进行 ChatGPT 级别的部署。

OpenAI 一侧的对应部署在结构上高度相似。Workspace Agents——4 月 22 日宣布——面向 ChatGPT Business、Enterprise、Edu 与 Teachers 套餐，由 Codex 驱动的常驻代理连接 Slack、Google Drive、Microsoft 应用、Salesforce、Notion 与 Atlassian Rovo。Workspace Agents 在 5 月 6 日之前免费，自该日起改为按额度计费。5 月 4 日成立的 OpenAI Development Company 合资公司，从 19 家投资者处以 100 亿美元估值募得 40 亿美元。

两家主要的企业 AI 提供方，正把各自的代理式平台接进美国经济在财务、通信、客户关系、创意与法务上的日常工作流——而这正是构建起这些平台的训练语料，其 Bartz 15 亿美元补偿模板正在获批的同一个窗口。

架构上的风险面，是微软 5 月 7 日的披露所固化下来的：Microsoft 365 Copilot 中的三个严重级信息泄露（Information Disclosure）漏洞——CVE-2026-26129、CVE-2026-26164 与 CVE-2026-33111——都会让敏感信息经由 Copilot 对邮件、文档与 Teams 会话的聚合跨信任边界外泄。微软于 5 月 7 日披露并完全修复了这三个 CVE。此前 1 月 21 日 M365 Copilot Chat 的一个缺陷，曾允许 Copilot 绕过 DLP 策略与敏感度标签去总结机密邮件。这个模式是：当代理式 AI 跨信任边界聚合内容时，聚合者本身就是漏洞面。

Anthropic 的 Claude Cowork 与 Claude for Small Business 提出了同样的架构问题。当代理式 AI 把 QuickBooks 的财务记录、PayPal 的支付数据、HubSpot 的 CRM 联系人与 DocuSign 的法律协议聚合到一起时，聚合者就是漏洞面。Anthropic 的部署目前还没有已发布的信息泄露 CVE 目录——但架构在结构上是等价的。

第三扇门——可编程欧元

5 月 14 日星期四中欧夏令时间 17:00，欧洲中央银行就数字欧元 PSP 试点参与的意向征集关闭。该征集自 3 月 5 日起开放——一个 70 天的申请窗口。ECB 将挑选 10 至 30 家 PSP，用于 2027 年下半年为期 12 个月的试点。

开发阶段自 2026 年第三季度开始——距今约 4 个月。

其架构是可编程的、由中央银行发行的零售货币。“可编程”这一要素就是这里的结构性事实。PSP 可以在协议层用软件对单笔交易施加额度、条件与可追溯性。这些交易并不匿名——每一笔转账对 PSP 而言都是可识别的，并且（经过法律程序）对当局也是可识别的。选择性披露机制存在于技术规范之中，但在欧盟各成员国的实现之间既未被完全强制，也不完全可互操作。

配套的监管框架，是欧盟更广泛的货币可追溯性体系：

• MiCA——2026 年 7 月 1 日起全面执法，罚则最高可达全球年营业额的 12.5%，并附带高管个人责任。任何未持牌而服务欧盟客户的加密资产服务提供商，必须在 7 月 1 日前停止运营。
• 《资金转移条例》（旅行规则）——对 CASP 之间的转账实行零门槛，自 2024 年 12 月起运行。每一笔转账都要附带发起人与受益人数据。
• 欧盟数字身份钱包——根据条例 2024/1183，各成员国必须在 2026 年年底前提供至少一款 EUDI 钱包。
• 欧盟 AI 法案 GPAI 执法——执法权限自 2026 年 8 月 2 日启动，罚则最高可达 1500 万欧元或全球年营业额的 3%。

跨大西洋的结构性差异：美国一侧 2026 年 3 月 17 日 SEC 与 CFTC 的联合解释，明确把 Bitcoin、Ethereum、Solana、XRP 与 Chainlink 列为数字商品——一种在欧盟一侧可编程欧元基础设施成形的同一个月抵达的监管确定性。不同的架构哲学。相同的月度节拍。

第四扇门——没有关上的那个窗口

外国情报监视法庭 2026 年 3 月 17 日关于 FBI 第 702 条查询实践的意见书，本应在 2026 年 5 月 15 日之前公开——即 4 月 30 日 45 天第 702 条延期通过后的 15 天内。参议员 Ron Wyden 以支持延期为条件，从参议院情报委员会领导层拿到了一项承诺：该意见书将在 15 天的加速审查窗口内解密并公开。

截至今天、5 月 18 日星期一，该意见书尚未解密。该窗口在 3 天前实际届满。

该意见书据信涉及 FBI 针对第 702 条收集数据库中美国人的查询实践。这项被称为 "lookback queries"（回溯查询）的标准做法，自第 702 条颁行以来一直是争议的核心来源。该法院据信部分地否定了 FBI 对查询的宽泛解释；司法部一直在对该裁定提起上诉，因为它封堵了 FBI 认为在运营上至关重要的某些分析工具。

当参议院试图以一致同意方式、并附带 Wyden 的解密条款通过 45 天延期时，参议员 Cotton 提出了反对。这项反对意味着国家情报总监与司法部在形式上可以拒绝委员会的请求——而这正是已经发生的事，以沉默的方式实现。

第 702 条的日落如今只剩 25 天。2026 年 6 月 12 日。

FISA 第 702 条允许对位于美国境外的外国目标进行无令状监控。这种收集会经由附带收集——外国目标与美国人之间的通信——经常性地触及美国人。所谓 "query"（查询）实践，就是 FBI 为访问这些收集所做的事：在外国情报收集数据库中检索美国人的标识符。FISC 的意见书，是关于哪些查询可被允许的结构性法院观点。在该意见书未公开的情况下，国会正在没有法院对 FBI 查询实践之看法的前提下辩论重新授权。

6 月 12 日的日落是下一个强制事件。国会可以再次延长第 702 条，可以通过完整的重新授权（很可能带有某些改革），也可以让它失效。此前四个重新授权窗口都以延期或部分改革收场；那种 FISC 意见书本可为之提供依据的结构性改革，并未发生。

25 天。FISC 的观点不在桌面上。

本来就在走的时钟

周四的四扇门，是在一批从未停摆的政策与接收国时钟的背景下关上的。

伊朗——第 80 天。 截至 2026 年 5 月 18 日，伊朗已进入有记录以来最长断网的第 80 天。NetBlocks 在 5 月 11 日确认为第 73 天；此后天数逐日递增。按 Iran HRM 的直接口径计算，经济损失约为每天 3570 万美元；按纳入间接影响的 CBC 分析计算，约为每天 2.5 亿美元。Internet Pro 层级——由与伊斯兰革命卫队（IRGC）关联的伊朗移动通信公司（MCI）发行的白卡种姓层级——已投入运营生产。德黑兰 SIM 卡转换办事处 3 至 4 小时的排队时间仍在持续。转换后的一级白卡已出现溢价的灰市转售。据 Unit 42 / Palo Alto Networks 威胁情报，伊朗国家行为体在大约第 66 天（5 月 4 日）转向 Starlink 与 VSAT 服务以维持连接。这场始于 2026 年 1 月 8 日的断网，已经产出了在运营商层永久性双层互联网的第一个生产案例。

俄罗斯——移动 VPN 附加费已生效。 2026 年 5 月 1 日，俄罗斯的移动 VPN 附加费开始施行：每月超出 15 GB 的国际流量，每 GB 收取 150 卢布（约 1.60 美元）。4 月 15 日的 ISP VPN 检测法已在 Yandex、VK、Sberbank、Gosuslugi、Ozon、Wildberries、Aviasales 与俄罗斯铁路上线运行——这是一次有组织的动员，把主要私营平台征为执法代理，在应用层执行 VPN 检测。胜利日前的移动网络关停从 5 月 4 日一直滚动到 5 月 9 日，波及 21 个以上的州（oblast），并在 5 月 9 日以莫斯科全境移动与短信全面关停达到顶峰。受影响地区的 ATM 因依赖蜂窝回传而停摆。俄罗斯联邦通信监督局（Roskomnadzor）宣称的目标是到 2030 年实现 92% 的 VPN 封锁有效率，每年约拨款 200 亿卢布用于建设永久性的 VPN 审查基础设施。超过 1,000 项 VPN 服务已被封锁；截至 1 月 22 日，Roskomnadzor 公开点名了 439 项服务。2026 年 3 月，莫斯科与圣彼得堡的治安法院开始对允许流量绕过 TSPU 的互联网服务商作出定罪判决。

中国——大拔线。 2026 年 4 月，中国当局把数以千计的代理服务服务器从数据中心机架上物理断开——切断用于转发 VPN 流量的机器的电源线与网线。这场在中国社交媒体上被称为“拔线潮”的行动，在架构上与以往的整治截然不同：过去的执法针对逐个用户的追诉，而大拔线针对的是基础设施。4 月 8 日陕西电信的通知要求清除 "any form of circumvention business"（任何形式的绕过管制业务）——一个宽泛的类别，涵盖 VPN 服务与代理路由。行动之后，只有基于 TLS 的混淆方案（V2Ray VLESS + Reality、Shadowsocks-2022、Trojan、带 obfsproxy 的 WireGuard）仍能可靠工作。数以千计的用户一夜之间失去了访问能力。

尼日尔——9 家国际媒体被停播。 2026 年 5 月 8 日，尼日尔由军方控制的国家传播观察局（Observatoire Nationale de la Communication）下令暂停 9 家国际媒体：France 24、Radio France International、Agence France Presse、TV5 Monde、Jeune Afrique、Mediapart、LSI Africa、TF1 Info 与 France Afrique Média。所述理由是——"jeopardise public order, national unity, social cohesion and the stability of state institutions."（危害公共秩序、国家统一、社会凝聚力以及国家机构的稳定。）根据 CPJ 2025 年 12 月 1 日的统计，尼日尔是撒哈拉以南非洲监禁记者第二多的国家。

布基纳法索——TV5Monde 被禁，记者遭树枝抽打。 2026 年 5 月 5 日，布基纳法索最高传播委员会封禁了 TV5Monde。5 月 6 日，无国界记者组织的调查确认，知名调查记者 Atiana Serge Oulon——于 2024 年 6 月 24 日被绑架——曾被关押在瓦加杜古一栋改作临时监狱的别墅内，在数周时间里遭到树枝抽打。马里、布基纳法索与尼日尔共同构成了萨赫勒的“信息沙漠”——12 家以上的媒体被迫停业或关闭；记者被强制征召进军政府的军事行动。

巴基斯坦——依 PECA 逮捕 13 人。 2026 年 5 月 6 日，巴基斯坦国家网络犯罪调查局旁遮普分局在拉合尔、古杰兰瓦拉、费萨拉巴德与木尔坦逮捕了 13 人，指其涉嫌参与反国家的社交媒体运动。这些逮捕依《电子犯罪预防法》起诉。2025 年的 PECA 修正案已把这部法律改造成主要的国家监控与控制机制。针对巴基斯坦记者已记录在案的 67 起刑事控告中，有 34 起援引 PECA。

坦桑尼亚——518 人死亡。 2026 年 4 月 23 日，针对 2025 年 10 月 29 日大选后暴力事件的调查委员会向总统 Samia Suluhu Hassan 提交了报告。委员会确认了 518 人死亡——502 名平民与 16 名安全人员，死者中有 21 名儿童。达累斯萨拉姆地区死亡人数最多，为 182 人。西方外交官与反对党估计实际死亡人数在 1000 至 2000 人之间。暴力发生在一场为期 5 天的全面断网期间。委员会的完整报告尚未公开发布。CHADEMA 与 ACT-Wazalendo 于 4 月 24 日拒绝接受该报告。人权观察 5 月 5 日的 "Missed Opportunity" 报告批评了持续的隐瞒。X（原 Twitter）在坦桑尼亚仍处于停用状态。

伊朗—俄罗斯—中国—尼日尔—布基纳法索—巴基斯坦—坦桑尼亚这条弧线，是同一个架构模式在不同强度上的呈现。每一个都是国家针对开放互联网的运营商层、应用层或记者层采取行动的生产案例。在运营商层，用户没有任何架构上的替代方案。

接下来会发生什么

在周四的三扇门之后，贯穿 6 月与 7 月的截止日期瀑布，就是运营现实。

5 月 22 日——Monero FCMP++ 的 Trail of Bits 审计结束。 这个 11 天的审计窗口于 5 月 11 日开启。截至 5 月 18 日，审计处于第 7 天（共 11 天）。FCMP++ 以全链成员证明取代环签名，其匿名集是整个 UTXO 集合——约 1.5 亿个交易输出，而今天使用的环签名只有 16 个诱饵。一次干净的审计将消除针对 Monero 协议级隐私主张的最后一项重大技术异议；若出现严重发现，则会推迟共识升级并打压市场情绪。

5 月 28 日——PAN-OS CVE-2026-0300 的完整补丁窗口关闭。 Palo Alto 在 5 月 13 日发布了针对 User-ID 认证门户缓冲区溢出（可获得 root 远程代码执行）的修复。联邦 IT 部门花了 4 天时间运行配置层面的缓解措施，因为厂商补丁比 CISA 5 月 9 日的 FCEB 截止日晚了 4 天。完整补丁窗口——延续到 5 月 28 日——将在 10 天后关闭。

6 月 12 日——第 702 条日落。 距今 25 天。45 天延期在 6 月 12 日到期。FISC 的意见书尚未解密。查询一侧的改革辩论仍在没有法院观点的情况下继续。国会将通过一次延期、一次重新授权，或者让它失效。“重新授权而不改革”的模式已经在四个窗口中成立。第五个窗口有可能打破这一模式；但更可能不会。

6 月 26 日——微软安全启动证书悬崖。 距今 39 天。大多数在 2012 至 2025 年间制造的 Windows 设备所使用的 2011 年原始安全启动证书将过期。约有 15 亿台 Windows 设备在受影响范围内。没有收到 2023 年替换证书的设备将失去安全启动保护；有些将完全无法启动。微软已经准备就绪更新推送了大约两年；5 月的补丁星期二（5 月 12 日，137 个 CVE，零个零日）专门发布了 KB5089593、KB5087544 与 KB5087594 来为这道悬崖做准备。长尾——离线设备、工控系统、自助终端、嵌入式设备——是尚未被处理的风险面。

6 月 30 日——墨西哥 CURP Biométrica 截止日。 距今 43 天。墨西哥约 1.27 亿条移动电话线路必须在 6 月 30 日前完成生物特征 CURP 登记——面部、指纹、虹膜。未登记的线路面临停机。1 月 9 日起新开通的线路必须在 30 天内登记。墨西哥将成为第一个要求每一条移动电话线路都与政府签发的生物特征标识符绑定的主要国家。所述目的：打击勒索、寻找失踪人口。结构性效果：在运营商层持续识别每一位用户的位置与活动。

7 月 1 日——MiCA 全面执法。 距今 44 天。任何未持牌而服务欧盟客户的 CASP 必须停止运营。罚则最高可达全球年营业额的 12.5%，并附带高管个人责任。

7 月 1 日——Apple Declared Age Range API 执法（路易斯安那州、犹他州）。 同一天。对于截至 2026 年 7 月 1 日在路易斯安那与犹他两州持有新 Apple 账户的用户，年龄区间将在开发者的应用通过 Declared Age Range API 请求时被共享。处于测试阶段的 Significant Update Action 则允许开发者就应用的重大更新通知这些辖区的成年人。

8 月 2 日——欧盟 AI 法案 GPAI 执法。 距今 76 天。针对 GPAI 提供方的执法权限启动，包括 Anthropic、OpenAI、Google、Meta、Mistral、Cohere，以及规模超过 GPAI 门槛的开源提供方。行为准则的自愿签署窗口正在收窄。罚则最高可达 1500 万欧元或全球年营业额的 3%。

9 月 21 日——FIPS 140-2 日落。 距今 126 天。ML-KEM（FIPS 203）、ML-DSA（FIPS 204）与 SLH-DSA（FIPS 205）这些抗量子安全原语，自 2024 年 8 月起就已作为标准生效。以 2024 年初为基线，FIPS 140-3 的平均验证周期约为 542 天。先发制人地部署抗量子安全原语，是穿过 FIPS 日落的唯一路径。

2026 年年底——欧盟数字身份钱包上线截止日。 各成员国必须在 2026 年年底前提供至少一款 EUDI 钱包。eIDAS 2.0 的 BBS+ 选择性披露正处于 IETF 的定稿阶段。W3C 可验证凭证 2.0 自 2025 年 5 月起已成为 Recommendation。

2026 年夏季——Going Dark / ProtectEU 出台。 这是欧盟委员会在 2025 年 11 月 26 日 Chat Control 2.0 受挫之后的转向。Going Dark 提案以 "the broadest possible scope of application"（尽可能最广的适用范围）针对 VPN 服务。Mullvad 已表示，若 Going Dark 通过，它将退出欧盟市场；Signal 总裁 Meredith Whittaker 已表示，如果加密被强制削弱，Signal 将离开欧洲市场。

密集的 6 月至 7 月窗口——6 月 12 日、6 月 26 日、6 月 30 日、7 月 1 日、7 月 1 日、8 月 2 日——就是周四所显影出的那种程序对齐在运营层面的瀑布。

还没有了结的事

在周四三扇门关上的同时，泄露事件的态势在结构上依然敞开。

Sysco / Qilin——在 Qilin 发布三份内部文件作为已获取访问权的证明（5 月 12 日）之后 6 天，尚未提交任何 SEC 第 1.05 项披露；没有付款确认；没有完整泄露。Sysco 是全球最大的餐饮供应服务商——供应餐厅、医院、学校与酒店。

Foxconn / Nitrogen——已确认对威斯康星州 Mount Pleasant 与得克萨斯州休斯敦厂区的网络攻击，据称被窃取 8 TB / 1100 万个文件，其中包括 Intel、Apple、Nvidia、Google 与 Dell 的项目数据。5 月 12 日确认。这是代工厂聚合者模式：一次 Foxconn 被攻破，就同时触及每一个 OEM 客户的产品路线图。

Salt Typhoon——据 FBI 2026 年 5 月的表态，“仍然非常、非常地在持续中”。200 多个目标，遍及 80 多个国家。Verizon、AT&T、T-Mobile、Spectrum、Lumen、Consolidated Communications、Windstream，以及加拿大顶级电信运营商。参议员 Cantwell 于 2026 年 2 月要求召开的参议院商业委员会听证会尚未安排。

DragonForce——M&S / Co-op / Harrods——M&S 的业务中断预计将持续到 7 月，利润损失约 3 亿英镑；英国已有 4 人被捕。Scattered Spider / The Com / DragonForce 的附属结构仍在运作。

Cushman & Wakefield——ShinyHunters 经由 Salesforce 下手；超过 500,000 条记录，含个人身份信息与内部企业数据。

朝鲜模式——Drift Protocol 4 月 1 日损失 2.95 亿美元；Kelp DAO 4 月 18 日损失 2.92 亿美元。两次攻击合计 5.87 亿美元。TRM Labs 4 月 30 日的判定：朝鲜 Lazarus 占 2026 年至今全部加密货币被盗金额的 76%。Drift 于 5 月 5 日宣布了一项回收计划——与经核实损失挂钩的回收代币，资金池初始 380 万美元，目标最高 1.51 亿美元，来自收入、Tether 的支持与合作方。Ripple 于 5 月 5 日向加密公司开放了朝鲜威胁情报共享。

泄露态势有自己的时钟。它不会因为部署平面正在走向市场而停下。

代理式部署的风险

就在 Anthropic 的 Claude for Small Business 接入 QuickBooks、PayPal、HubSpot、Canva 与 DocuSign 的同一周——以及与之平行的 OpenAI Workspace Agents 在 Slack、Google Drive、Microsoft 应用、Salesforce、Notion 与 Atlassian Rovo 中继续爬坡的同一周——微软披露并修复了 Microsoft 365 Copilot 中的三个严重级信息泄露 CVE。

CVE-2026-26129。CVE-2026-26164。CVE-2026-33111。

三个都是严重级。三个都属于信息泄露类别。三个都在 5 月 7 日被完全修复。这个模式是：当代理式 AI 跨信任边界聚合内容时，聚合者本身就是漏洞面。M365 Copilot 聚合邮件、文档与 Teams 会话；对特殊元素或注入指令的处理缺陷，会让敏感信息跨信任边界外泄。此前 1 月 21 日 M365 Copilot Chat 的一个缺陷，曾允许 Copilot 绕过 DLP 策略与敏感度标签去总结机密邮件。

Anthropic 的 Claude Cowork 企业部署（SCIM、OpenTelemetry、Intune）与 Claude for Small Business 中小企业部署（QuickBooks、PayPal、HubSpot、Canva、DocuSign），跨越的是结构上等价的信任边界。架构问题是相同的。Anthropic 尚未为 Claude Cowork 或 Claude for Small Business 发布过信息泄露 CVE 目录——目前还没有。这套架构值得密切审视。

代理式平面已在生产。信息泄露面也已在生产。两个时钟都在走。

用户侧原语栈

用户侧原语栈，是对这四扇门、加上运营商层的国家行动、加上泄露态势的、与部署无关的对冲。

用户自持密钥的开放客户端。 Signal、Tuta、Proton、Threema、Briar 1.5.17（3 月 12 日的版本可运行在蓝牙、Wi-Fi 与 Tor 之上；它在运营商层断网期间仍能工作，因为它不依赖运营商层来转发消息）、Cwtch、Session、Matrix homeserver。其架构属性是：用户自持的密钥不具备可供监管强制的着力面。2026 年 5 月 8 日 Meta 终止 Instagram 端到端加密（end-to-end encryption）一事表明，即便是已经存在的端到端加密，也可能被监管强制从一个大平台上撤除；而用户自持密钥的开放客户端，并不具备承受这种强制的架构着力面。

运行在用户可检视芯片上的开放固件。 GrapheneOS（Pixel 6+ 搭配 2026030501 预览版中的 Android 16）、5 月 4 日发布的 CalyxOS Android 16 测试版 7.2.1.0、/e/OS、LineageOS、OpenWRT。Citizen Lab 2026 年 4 月 23 日的 "Bad Connection" 报告记录了两场运营商侧的监控行动——STA1 在 9 个国家实施的 Diameter 到 SS7 降级，充当 "ghost operators"（幽灵运营商）；以及 STA2 通过老旧 S@T browser SIM 小程序实施的 SIMjacker 零点击攻击——它们对运行在闭源固件 iOS 或原厂 Android 上的 Mobile Verification Toolkit、iVerify 与 Lookout 都是不可见的。开放固件把缓存与通知数据库的行为暴露给用户检视。

FIDO2 硬件认证。 2026 年 5 月 7 日——FIDO 联盟世界通行密钥日——全球生态中已部署 50 亿个通行密钥。YubiKey。Nitrokey。SoloKey。Yubico 累计出货超过 3000 万把硬件密钥。OpenAI 于 5 月 4 日为 ChatGPT 加入通行密钥与硬件密钥支持，并推出约 68 美元的联名 YubiKey C NFC / C Nano 双装。硬件绑定的凭证能在 SIM 卡被攻破后存活；STA1 与 STA2 无法桥接到受硬件密钥保护的账户，因为第二因子并不驻留在 SIM 卡上。

抗审查传输。 Tor Browser 15.0.13 + 16.0a6（5 月 7 日的版本——修复 Linux 内核、Tor Browser 与 Tor 客户端严重漏洞的紧急发布）。V2Ray VLESS + Reality。Shadowsocks-2022。Trojan。带 obfsproxy 的 WireGuard。URnetwork 点对点覆盖网络。 URnetwork 2 月 19 日发布的 MCP 服务器，让代理式客户端可以在点对点覆盖网络之上建立 VPN 会话，把传输层从运营商层彻底抽象出去。伊朗的 Internet Pro 层级、俄罗斯 4 月 15 日在 Yandex / VK / Sberbank / Gosuslugi 上线运行的 VPN 检测法、5 月 1 日的移动 VPN 附加费、中国 4 月的大拔线（拔线潮）、欧盟将于 2026 年夏季出台的 Going Dark 提案——用户控制的覆盖网络没有出现在这些法规中的任何一部里，因为它并不以公共服务或注册运营商的形态出现。

建立在用户自托管原语之上的隐私保护货币。 Bitcoin BIP324 v2（自 Core 27.0 起默认开启；全球 Bitcoin 点对点流量的大多数如今已被加密）。Bitcoin BIP352 静默支付（Core 28.0+ 支持收发，2026 年新增 BIP376 PSBTv2 tweak 数据字段与 BIP392 描述符格式；Cake Wallet 是首个移动端实现；BlueWallet 已发布支持）。Monero FCMP++ 正在积极集成中；Trail of Bits 的审计自 5 月 11 日开始、持续到 5 月 22 日——目前处于第 7 天（共 11 天）——以全链成员证明取代环签名，其匿名集是整个 UTXO 集合（超过 1.5 亿个交易输出）。Zcash Crosslink 里程碑 4（正在开发质押与代币经济学，PoW + BFT 最终性已经集成）；Vitalik Buterin 于 2026 年 2 月 6 日向 Shielded Labs 作出第二笔捐赠，专门支持 Crosslink 升级。

运行在用户可控算力上的本地推理 AI。 DeepSeek V4 Pro（4 月 22 日以 MIT 许可发布，1.6 万亿总参数 / 490 亿激活参数，100 万 token 上下文，SWE-Bench Verified 80.6%，GPQA Diamond 90.1%）。DeepSeek V4 Flash（2840 亿总参数 / 130 亿激活参数）。Mistral Medium 3.5（4 月 29 日，1280 亿参数，SWE-Bench Verified 77.6%）。Qwen 3.6 Max Preview（4 月 27 日，支持 201 种语言）。Qwen 3.6 27B（SWE-Bench Verified 77.2%）。GLM-5.1（7440 亿参数的专家混合模型，开源模型中 LMArena 排名第一）。Kimi K2.6。OpenAI Privacy Filter（4 月 22 日，Apache 2.0，15 亿总参数 / 5000 万激活参数，可经由 transformers.js 加 WebGPU 在浏览器中运行）。哪里没有第三方日志，哪里就没有可被传票调取的东西。法官 Sidney Stein 于 1 月 5 日签发的 OpenAI 诉《纽约时报》案中 2000 万条日志的提交令仍然有效。Anthropic 5 月 12 日的 Claude Cowork GA 与 5 月 14 日的 Claude for Small Business 发布，正是促成本地推理对冲的企业侧代理式平面部署。

带选择性披露的联邦式身份。 W3C 可验证凭证 2.0（自 2025 年 5 月起为 Recommendation；该家族共 7 份规范）。eIDAS 2.0 BBS+ 选择性披露（IETF 定稿进行中）。Privacy Pass。W3C VC 工作组 2026 年 4 月的新章程，目标是在 2026 年 9 月前把 Render Method 与 Confidence Method 推进到 Recommendation。墨西哥 6 月 30 日的 CURP Biométrica 截止日（距今 43 天，把约 1.27 亿条移动线路与面部、指纹、虹膜生物特征绑定）就是威胁模型。Apple Wallet 的移动驾照推广（截至 2026 年 5 月 1 日已有 13 个州加波多黎各上线；250 多个机场接受 TSA 验证）则是更贴近本土的威胁模型。不要把身份上传给厂商。

自托管服务。 Matrix homeserver。Forgejo。Mailcow。Jitsi。Nextcloud。Mautic。SuiteCRM。Moodle 社区版。Open edX。联邦化限定了任何单一厂商被攻破时的爆炸半径。Instructure 于 5 月 11 日支付赎金的 Canvas / Instructure 单一边界事件，波及 8,809 家机构，就是威胁模型。

运营商层的网状网络与卫星。 Briar。Bridgefy。Meshtastic。Reticulum。GoTenna PRO。Starlink。伊朗的 Internet Pro 层级、苏丹喀土穆的基站断电、俄罗斯 21 个州的胜利日切断、坦桑尼亚那场使 518 人以上死亡成为可能的 5 天全面断网——不依赖运营商的层，就是结构性的对冲。

赶在 9 月 21 日 FIPS 日落之前的密码敏捷性。 ML-KEM（FIPS 203）、ML-DSA（FIPS 204）、SLH-DSA（FIPS 205）标准自 2024 年 8 月起生效。以 2024 年初为基线，FIPS 140-3 的平均验证周期约为 542 天。先发制人地部署抗量子安全原语，是穿过 FIPS 日落的唯一路径。

道德锚点

2026 年 5 月 7 日——微软修复三个严重级 M365 Copilot CVE 的同一天，Tor Browser 15.0.13 与 16.0a6 发布紧急安全更新的同一天，通行密钥部署量达到 50 亿个里程碑的同一天——Keonne Rodriguez 从 FPC Morgantown 联邦监狱营发出了一封信。Rodriguez 是 Samourai Wallet 的联合创始人，这个 Bitcoin 隐私钱包如今已经关停。他 60 个月刑期中已服 5 个月。他的联合创始人 William Lonergan Hill 正在服刑 48 个月。两人被没收了约 637 万美元，来自 Samourai 的 Whirlpool 与 Ricochet 隐私业务所收取的费用。Rodriguez 这封写给 Bitcoin 社区的信，请求帮助偿还累积的 200 万美元法律债务。他承认，对总统特赦的希望实际上已经消退。

Samourai Wallet 一案，是对用户自托管隐私原语进行刑事化的生产案例。Tornado Cash 一案是与之平行的案例：Roman Storm 于 2025 年 8 月被判合谋经营无牌照资金传输业务罪；陪审团在合谋洗钱与违反制裁两项指控上陷入僵局；2026 年 10 月的重审待决；法官 Failla 自 4 月 9 日口头辩论以来一直在审议 Storm 的无罪判决动议。

对用户自托管原语运营者的刑事化，并不能消除用户自托管原语本身。Bitcoin BIP352 静默支付、BIP324 v2 加密点对点通信，以及 Monero 的 FCMP++ 升级，都是协议层面而非运营者层面的东西。协议无法被起诉。但维护它的开发者可以。

在瓦加杜古的那栋别墅里，Atiana Serge Oulon 在数周时间里遭到树枝抽打。

在坦桑尼亚，518 人死于一场 5 天的全面断网期间。

在伊朗，自运营商层的 Internet Pro 层级把人口切分为白卡种姓与其余人以来，已经过去了 80 天。

用户侧原语栈并不抽象。它是对部署平面、运营商层、泄露面、出口辖区、接收国、被起诉的运营者，以及那些没有写下来的政策时钟的架构性对冲。

结语

周四关上了三扇门。第四扇没有。

Bartz 模板算是获批了——那个正一路驶向批准的模板：15 亿美元的 AI 训练数据补偿，每件已登记版权作品 3,000 美元，申领率 92.77%。Claude for Small Business 被接进了每一家小企业的 QuickBooks / PayPal / HubSpot / Canva / DocuSign 运营栈。数字欧元 PSP 申请在中欧夏令时间 17:00 关闭，将挑选 10 至 30 家 PSP，用于 2027 年下半年为期 12 个月的可编程零售中央银行货币试点。

FISC 第 702 条 3 月 17 日意见书的 15 天加速解密窗口，在没有公开的情况下过去了。第 702 条的日落只剩 25 天。

5 月 22 日、6 月 12 日、6 月 26 日、6 月 30 日、7 月 1 日、7 月 1 日、8 月 2 日、9 月 21 日——时钟在走。

把这种程序汇合叫出名字，是新闻业的问责回应。用户侧原语栈，是技术上的问责回应。二者并行。

开放客户端。开放固件。硬件密钥。抗审查传输。隐私保护货币。本地推理 AI。带选择性披露的联邦式身份。自托管服务。网状网络与卫星。密码敏捷性。

周四关上的，是企业 AI 部署、AI 补偿模板、可编程货币基础设施与监控监督在互相重叠的日历上的程序对齐。

用户侧原语栈并不取决于它们走向哪一边。

URnetwork 是一个用于抗审查传输的点对点覆盖网络，它不出现在上文所述任何一部法规的公共服务运营商登记册中。URnetwork 于 2026 年 2 月 19 日发布的 MCP 服务器，让代理式客户端可以在该覆盖网络之上建立 VPN 会话，把传输从运营商层抽象出去。

https://ur.io

2026 年 5 月 12 日星期二，人权观察发布了 54 页的报告《Looking the Other Way: EU Failure to Prevent Surveillance Exports to Rights-Abusing Governments》。报告可在 hrw.org/report/2026/05/12/looking-the-other-way 获取。

报告的核心发现是：自 2021 年欧盟《两用物项条例》（Regulation EU/2021/821）通过以来，六个欧盟成员国——保加利亚、波兰、芬兰、丹麦、爱沙尼亚和捷克共和国——一直是该条例框架下主要的商业间谍软件出口国。2021 年条例对法律文本所称的 "cyber-surveillance items"（网络监控物项）设立了授权要求——包括 Pegasus 级间谍软件、移动通信截取设备、IMSI 捕捉器、合法监听平台，以及某些网络遥测设备。授权要求由各成员国的主管机关执行，欧盟委员会和其他成员国作为磋商方参与。

人权观察的文件性发现是：自 2021 年以来，六个被点名的成员国没有一个公开否决过 "cyber-surveillance items" 的出口申请，尽管有记录显示出货流向了 20 多个目的地国家，包括沙特阿拉伯、阿联酋、埃及、墨西哥、匈牙利、土耳其、印度、印度尼西亚、摩洛哥、巴林，以及另外约 10 个国家。这份目的地清单被对照自由之家《Freedom in the World 2025》评级和美国国务院年度《Country Reports on Human Rights Practices》进行了映射——结果是，按人权观察的解读，这些目的地国家正是那些已有取证记录、商业间谍软件被用于针对记者、律师、反对派政治人物和人权捍卫者的国家。

被点名的供应商包括此前已由公民实验室（Citizen Lab）、国际特赦组织安全实验室（Amnesty International Security Lab）和 Access Now 的 Pegasus Project 工作所识别的公司——Intellexa（其总部设在希腊的业务拥有一家捷克运营公司和数家在保加利亚注册的中间商）；Memento Labs，即 Hacking Team / RCS Lab 的更名实体，其首席执行官 Paolo Lezzi 于 5 月 9 日承认，2025 年 10 月 28 日卡巴斯基 ForumTroll 披露中点名的 "Dante" 商业间谍软件是其公司的产品；以及此前未被点名、被人权观察与 Pegasus 级工具的转口关联起来的保加利亚和爱沙尼亚空壳实体。

报告的结构性框架是：2021 年欧盟条例是一只纸老虎。这套协调一致的框架要求在成员国层面获得授权，但并不要求统一的拒绝标准、统一的人权审查、统一的最终用途核查，也不要求统一的公开报告。条例要求成员国向欧盟委员会报告出口情况，但委员会的汇总报告延迟约三年，且不点名目的地或接收实体。

人权观察的建议包括：在成员国授权环节设立具有约束力的人权审查要求；建立被否决出口申请的公开登记册；由欧盟委员会牵头制定统一的拒绝清单；由独立机构强制进行最终用途审计；以及对向自由之家指数评为 "Not Free"（不自由）的国家出口商业间谍软件实施临时禁令。

报告点名了六座欧洲首都：索非亚（保加利亚）、华沙（波兰）、赫尔辛基（芬兰）、哥本哈根（丹麦）、塔林（爱沙尼亚）和布拉格（捷克共和国）。

5 月 12 日发生了什么

这是第 06 期那四个时钟到期之后的第一天。回顾是结构性的。

FISC § 702 意见书没有公布。 尽管 4 月中旬 Wyden / Cotton / Warner 之间的交易确立了一个由法院下令、以 5 月 12 日为目标的公布日期，用于外国情报监视法庭 2026 年 3 月 17 日关于 FBI 第 702 条查询做法的意见书，解密审查仍在进行。意见书仍属机密。§ 702 日落如今只剩 30 天——2026 年 6 月 12 日。FBI 继续依据第二次短期第 702 条补丁式续授权运作至日落，而据信该 FISC 意见书所针对的回溯查询做法，仍在以“外国情报数据库中的美国人”为基础运行。Wyden、Cotton 和 Warner 三人的办公室于 5 月 12 日晚发表联合声明，对 FISC 意见书未能按期公开表示关切；参议院情报委员会主席 Mark Warner 称这一失约“与春季续授权辩论期间作出的公共监督承诺不相容”。

微软补丁星期二发布了 137 个 CVE、零个零日漏洞——自 2024 年 6 月以来第一个不含零日漏洞的补丁星期二。重点 CVE 包括 CVE-2026-41089（Netlogon 远程代码执行，CVSS 9.8）、CVE-2026-41096（DNS 客户端远程代码执行，CVSS 9.8）、CVE-2026-42898（Dynamics 365 远程代码执行，CVSS 9.9），以及 CVE-2026-41097（一个安全启动绕过漏洞，同时也是为 6 月 26 日微软安全启动 UEFI 证书到期而滚动推进的证书悬崖部署的一部分）。微软把这一轮形容为“今年最平静的补丁星期二”，Defender Cloud 遥测显示，5 月 12 日的 CVE 清单中没有任何一项存在野外利用。

富士康确认遭 Nitrogen 勒索软件攻击，同样是 5 月 12 日。披露内容：8 TB、约 1100 万份文件被窃取。Nitrogen 勒索团伙声称，这批数据包含英特尔、苹果、英伟达、谷歌和戴尔的项目数据——代工制造图纸、供应商工程规格、内部项目排期，以及未经删节的邮件往来。富士康在北美的工厂曾中断运营约一周，至 5 月 9 日结束。其含义是：代工制造这一层是一个跨客户的聚合点——一次入侵同时触及多家 OEM 客户的边界，就像 Itron 的智能电表泄露事件触及每一家使用 Itron 的公用事业公司的每一个客户一样（第 06 期）。

Instructure 在 5 月 12 日最后期限的前一天付款给 ShinyHunters。 5 月 11 日，据报道 Instructure 转账了一笔尚未公开披露的款项，换取 ShinyHunters 所称的 3.65 至 6.65 TB 数据的 "shred logs"（销毁日志）。这批数据覆盖 8,809 家教育机构的约 2.75 亿条记录。这是美国教育行业首次就如此规模的数据泄露向一个具名勒索团伙支付赎金。美国众议院网络安全、信息技术与政府创新小组委员会宣布将于 5 月 18 日举行听证会，审视“教育行业向勒索团伙支付赎金在运营与政策层面的影响”。

Sysco / Qilin 勒索仍未了结。 Qilin 于 5 月 12 日发布了三份内部文件样本作为入侵证明。未有付款确认。未发布完整泄露数据。截至今天 5 月 13 日，Sysco 尚未提交 SEC Item 1.05（Form 8-K）网络安全事件披露。

今天

今天，2026 年 5 月 13 日，Palo Alto 发布了 PAN-OS CVE-2026-0300 的修复。

晚了四天。

网络安全和基础设施安全局（CISA）针对联邦文职行政部门机构的紧急已知被利用漏洞（KEV）最后期限是 5 月 9 日——刚过去的那个星期六的前一天。联邦 IT 部门用这四天的空档，在面向互联网的防火墙上部署仅靠配置的缓解措施：禁用 User-ID 组件、限制 Captive Portal 暴露面、把边界防火墙彻底从公网路径上移除。Palo Alto 的修复——以热修补丁形式为 PAN-OS 11.1.x 和 10.2.x 发布——封堵了那个可导致 root 权限远程代码执行的未认证缓冲区溢出。

这四天的空档，是 CISA 约束性操作指令 22-01 历史上最激进的已知被利用漏洞期限节奏。联邦文职行政部门靠配置缓解措施运行了四天，因为厂商补丁当时还不存在。监管时钟在结构上跑在了厂商补丁时钟的前面。

今天也是 Dirty Frag 的第七天。由 Hyunwoo Kim 于 5 月 7 日披露的 Dirty Frag 漏洞链中，CVE-2026-43500（Linux 内核 RxRPC）这一半仍未修补。微软安全博客 5 月 8 日的野外利用确认依然成立：主动利用仍在继续。kernel.org 上 rxrpc 子系统的提交日志显示，5 月 9 日至 12 日之间有三个补丁处理了相关问题，但并未封堵该漏洞链所利用的 rxrpc_io_thread 路径中那个特定的释放后使用（use-after-free）漏洞。上游修复仍待落地。发行版层面的向后移植补丁——Ubuntu、RHEL、CentOS Stream、AlmaLinux、openSUSE Tumbleweed、Fedora——尚未发布。

这一模式是：“今年最平静的补丁星期二”与一个未修补的通用 Linux 本地提权漏洞正在被野外主动利用并存，与富士康同日确认 8 TB 勒索软件数据外泄并存，与 Palo Alto 在联邦合规期限之后四天才发布关键边缘防火墙 RCE 修复并存。整个生态的运营现实是：厂商补丁周期仍然落后于威胁周期和监管周期。

明天

明天，2026 年 5 月 14 日，两个时钟落地。

Araceli Martínez-Olguín 法官将主持 Bartz 诉 Anthropic 案的公平性听证会，太平洋时间上午 9:00，地点为旧金山联邦法院 12 号法庭。这份 15 亿美元的和解方案覆盖约 50 万件已登记版权作品，每件约 3,000 美元。4 月提交、现已解封的异议指出三项结构性关切：

• 外国作品被排除。 和解结构以美国版权局的登记为边界。许多作品被纳入 Anthropic 训练语料的作者持非美国国籍，并已在其本国司法辖区的制度下登记版权。异议主张，排除外国作品造成了被低估的索赔总体，和解结构应当扩展到在外国登记的那部分。

• 集体登记导致少计。 许多美国已登记作品是在集体作者身份结构（选集、期刊、课程材料）下集体登记的。和解结构把每件作品的赔付归属于登记权利人，而在集体登记的情形中，登记权利人可能是出版商或机构权利人，而不是背后的作者。异议主张，这在和解分配中制造了偏向出版商的倾斜。

• 胁迫性通知。 相对于确认某位作者的作品是否被纳入 Anthropic 训练语料这一结构性难题，集体和解的退出窗口太短。异议主张，这一通知具有胁迫性，因为在窗口期内无法确定自己是否被纳入的作者会默认被纳入，并丧失提起个人侵权诉讼的权利。

听证会的结果将为 OpenAI、谷歌、Meta、Cohere、Mistral 以及开源生态今后必须谈判或诉讼的同类 AI 训练数据和解结构确立先例。如果 Martínez-Olguín 法官批准这一结构，它就成为模板。如果她不批准，模板就回到谈判桌。

欧洲央行于中欧夏令时 17:00 关闭数字欧元支付服务提供商申请。 申请公告于 2026 年 3 月 5 日发布。欧洲央行已表示，将遴选 10 至 30 家 PSP，参加 2027 年下半年启动、为期 12 个月的试点。数字欧元被设计为一种可编程的央行发行零售货币。“可编程”这一要素意味着，PSP 可以在协议层用软件对单笔交易施加额度、条件和可追溯性。

配套的监管框架：MiCA 于 2026 年 7 月 1 日进入全面执法，届时任何服务欧盟客户的未持牌加密资产服务提供商必须停止运营。旅行规则的零门槛条款自 2024 年 12 月起已生效，要求每一笔 CASP 转账都提供完整的发起人与受益人数据。MiCA 下的罚则最高可达全球年营业额的 12.5%，并附带高管个人责任。

美国证券交易委员会与商品期货交易委员会于 2026 年 3 月 17 日发布联合解释，明确将比特币、以太坊、Solana、XRP 和 Chainlink 列为数字商品——美国一侧的加密货币监管明确性，与欧盟一侧可编程欧元监管基础设施的正式化出现在同一个月。

接收方一侧的对冲手段——在政策时钟走得并不均匀的地方——是开放基础原语栈。

接收国

人权观察的报告点名了出口国。接收国则是被出口工具落地部署的地方。今天，接收方的图景是：

伊朗。 断网第 75 天。有记录以来最长的互联网中断。Iran HRM 于 5 月 9 日发布的《Infrastructure of Silence》报告记录了由与伊斯兰革命卫队关联的伊朗移动通信公司（MCI）发行的 "Internet Pro" 白名单 SIM 卡等级——一种白名单 SIM 卡种姓，持有者可访问一批经国家批准的网站和政府服务。二级 SIM 卡（默认等级）完全失去对全球互联网的访问。经济损失约为每天 3570 万美元；自 1 月 30 日开始以来的累计损失约为 52 亿美元。CNN 于 5 月 10 日对 "Internet Pro" 的深度报道描述，德黑兰 SIM 卡转换办事处的排队时间为三到四小时，并出现了以高价倒卖已转换的一级 SIM 卡的平行灰色市场。

俄罗斯。 2026 年 4 月 15 日的 ISP VPN 检测法已在运行。Yandex、VK、Sberbank 和 Gosuslugi 都在应用层拦截经 VPN 隧道传输的流量——这是对主要私营平台的协同征用，要求它们执行 VPN 检测要求。胜利日前的移动通信中断从 5 月 4 日到 5 月 9 日席卷了 21 个以上的州，并在 5 月 9 日以莫斯科移动通信和短信全面中断达到顶峰。受影响地区的 ATM 机停摆，因为它们依赖蜂窝回传。俄罗斯联邦通信监督局给出的理由——防御无人机袭击——遭到流亡独立媒体 Meduza 的质疑，后者指出无人机协同使用的是专用的 FPV 控制协议，而非 GSM 语音或短信。

巴基斯坦。 5 月 3 日至 5 月 7 日期间，NCCIA 旁遮普分部依据《电子犯罪预防法》（PECA）修正案立案 41 人、逮捕 13 名记者、博主和活动人士。巴基斯坦新闻基金会 5 月 5 日的报告记录了 2025 年 1 月至 2026 年 4 月期间的 233 起新闻自由事件。

布基纳法索。 无国界记者组织 5 月 6 日的报告记录了记者 Atiana Serge Oulon 被秘密关押在瓦加杜古一处秘密设施中，《世界报》、《华盛顿邮报》和 Africanews 已相互印证，他在数周时间里被树枝殴打。布基纳法索 4 月 15 日解散 118 家 NGO，尼日尔 4 月 23 日暂停 4,700 家已注册 NGO 中的 2,900 家，共同构成萨赫勒地区公民空间收缩的框架。

坦桑尼亚。 针对 2025 年 10 月大选后暴力事件的调查委员会报告——国际特赦组织 4 月 23 日的披露确认，在为期五天的完全断网期间有 518 人死亡、2,390 人受伤——仍被坦桑尼亚政府正式扣留不发。人权观察 5 月 5 日的《Missed Opportunity》报告批评了这种持续扣留。X 在坦桑尼亚仍处于停用状态。

埃及、阿联酋、沙特阿拉伯、巴林、摩洛哥。 人权观察报告中点名的这五个阿拉伯目的地国家，继续作为大规模商业间谍软件部署环境运作。公民实验室、国际特赦安全实验室和 Access Now 的 Pegasus Project 自 2018 年以来的记录，覆盖了这些司法辖区内数以千计的被针对设备。

接收国没有运营商层面的替代方案。接收国的用户无法接触到那个本可批准或否决欧盟一侧出口申请的监管者。接收国的用户就是部署目标。

架构上的对策是用户控制的基础原语栈。

用户这一侧

点名出口方是监管问责。用户控制的基础原语栈是技术层面的问责回应。两者并行运行。

用户自持密钥的开放客户端。 Signal、Tuta、Proton、Threema、Briar 1.5.17（2026 年 3 月 12 日发布——可在蓝牙、Wi-Fi 和 Tor 上运行；在网络中断期间仍能工作）、Cwtch、Session、Matrix homeserver。在接收国无法接触欧盟一侧监管者的地方，接收国的用户可以接触到用户自持加密密钥的开源客户端。Meta 于 5 月 8 日终止 Instagram 端到端加密（end-to-end encryption）表明，即使是已经存在的端到端加密，也可能被监管强制从一个大型平台上撤下。用户自持密钥的开放客户端不具备承受这种强制的架构接口。

用户可检视芯片上的开放固件。 GrapheneOS、CalyxOS（Android 16 测试版于 2026 年 5 月 4 日发布）、/e/OS、LineageOS、OpenWRT。公民实验室 4 月 23 日的《Bad Connection》报告记录了两起运营商侧监控行动——STA1 在九个国家实施的 Diameter 到 SS7 降级，STA2 通过遗留 S@T 浏览器 SIM 小程序实现的 SIMjacker 零点击攻击——两者对 Mobile Verification Toolkit、iVerify 和 Lookout 均不可见。5 月 9 日 Memento Labs 首席执行官承认 "Dante" 商业间谍软件是其公司产品，印证了设备侧的现实。开放固件的移动设备把缓存和通知数据库行为暴露给用户检视。封闭固件的操作系统不会。

FIDO2 硬件认证。 2026 年 5 月 7 日——FIDO 联盟世界通行密钥日——FIDO 公布，全球生态中已部署 50 亿个通行密钥。YubiKey、Nitrokey、SoloKey 持续出货。Yubico 累计出货量已超过 3000 万把硬件密钥。OpenAI 于 5 月 4 日为 ChatGPT 增加了通行密钥和硬件密钥支持，并推出约 68 美元的联名 YubiKey C NFC / C Nano 双件装。硬件绑定的凭证能在 SIM 卡被攻陷后幸存；SS7 和 Diameter 幽灵运营商攻击无法桥接到受硬件密钥保护的账户，因为第二因子并不存在于 SIM 卡上。

抗审查传输。 Tor Browser 15.0.13 于 2026 年 5 月 7 日发布。V2Ray VLESS+Reality。Shadowsocks-2022。Trojan。搭配 obfsproxy 的 WireGuard。URnetwork 点对点覆盖网络。URnetwork 于 2026 年 2 月 19 日发布的 MCP 服务器，让智能体客户端能够在点对点覆盖网络上建立 VPN 会话，把传输层从运营商层彻底抽象出去。伊朗的 "Internet Pro" 等级和俄罗斯 4 月 15 日的 VPN 检测法就是威胁模型。

建立在用户自托管原语上的隐私保护货币。 比特币 BIP324 v2 自 Core 27.0 起默认开启；全球比特币点对点流量的大多数如今已加密。BIP352 静默支付（Core 28.0+）正在积极部署中。门罗币正处于 FCMP++ 的 Trail of Bits 审计中；审计从 5 月 11 日开始，持续到 5 月 22 日。FCMP++ 用全链成员证明取代环签名，其匿名集就是整个 UTXO 集合——截至审计开始时超过 1.5 亿个交易输出。根据 5 月 10 日的 ZecHub 摘要，Zcash Crosslink 里程碑 5 已完成。

在用户控制的算力上做本地推理的 AI。 DeepSeek V4 Pro（4 月 22 日以 MIT 许可发布，1.6 万亿参数 / 490 亿激活参数，100 万 token 上下文，SWE-Bench Verified 80.6%）。Mistral Medium 3.5（4 月 29 日，1280 亿参数）。Qwen 3.6 Max Preview（4 月 27 日）。GLM-5.1（4 月 7-8 日，7440 亿参数的混合专家模型，LMArena 开源榜首）。OpenAI Privacy Filter（4 月 22 日，Apache 2.0，总参数 15 亿 / 激活参数 5000 万，可通过 transformers.js 加 WebGPU 在浏览器中运行）。哪里没有第三方日志，哪里就没有可以传票调取的东西。5 月 11 日启动的 OpenAI Deployment Company 和 5 月 12 日全面可用的 Anthropic Claude Cowork，是企业侧把智能体 AI 部署进 SCIM / OpenTelemetry / Intune 身份与设备管理平面。用户侧对企业 AI 部署的对策，是在用户控制的算力上做本地推理的 AI。

支持选择性披露的联邦化身份。 W3C 可验证凭证 2.0（2025 年 5 月进入 Recommendation 状态）；eIDAS 2.0 的 BBS+ 选择性披露（IETF 定稿仍在进行中）；Privacy Pass；W3C VC 工作组依据 2026 年 4 月的新章程运作，目标是在 2026 年 9 月让 Render Method 和 Confidence Method 达到 Recommendation；欧盟数字身份钱包的部署截止日期为 2026 年 12 月（全部 27 个成员国都必须提供）。墨西哥 CURP Biométrica 的 6 月 30 日期限——把约 1.27 亿条移动号码与人脸、指纹和虹膜生物特征绑定——就是威胁模型。

自托管服务。 Matrix homeserver、Forgejo、Mailcow、Jitsi、Nextcloud、Mautic、SuiteCRM、Moodle 社区版、Open edX。联邦化把任何单一厂商被攻陷的爆炸半径限定住了。Canvas / Instructure 覆盖 8,809 家机构的单一边界赎金事件就是威胁模型——联邦化不存在单厂商、单边界的暴露面。

运营商层的网状与卫星通信。 Briar、Bridgefy、Meshtastic、Reticulum、GoTenna PRO、Starlink。伊朗的 "Internet Pro" 等级、苏丹喀土穆基站断电、俄罗斯胜利日期间 21 个州的断网，就是威胁模型。坦桑尼亚 518 人死亡的调查委员会结论是道德锚点。

赶在 9 月 21 日 FIPS 140-2 日落之前的密码敏捷性。 ML-KEM（FIPS 203）、ML-DSA（FIPS 204）、SLH-DSA（FIPS 205）标准自 2024 年 8 月起生效。先发制人地部署抗量子的安全原语，是穿过 FIPS 日落而不倒退回未经验证状态的唯一路径。

正在走的时钟

| 日期 | 事件 | |---|---| | 5 月 13 日，今天 | Palo Alto PAN-OS CVE-2026-0300 修复发布（比 FCEB 期限晚 4 天） | | 5 月 14 日 | Bartz 诉 Anthropic 公平性听证会（15 亿美元）；数字欧元 PSP 申请关闭 | | 5 月 18 日 | 美国众议院小组委员会就 Canvas 赎金支付举行听证会 | | 5 月 19 日 | TAKE IT DOWN 法案平台 48 小时下架合规 | | 5 月 22 日 | 门罗币 FCMP++ Trail of Bits 审计结束 | | 5 月 26 日 | 英国《在线安全法》咨询期结束 | | 5 月 27 日 | Meta 年度股东大会（NLPC 的 AI 隐私提案） | | 6 月 12 日 | 第 702 条日落 | | 6 月 26 日 | 微软安全启动 UEFI 证书到期 | | 6 月 30 日 | 墨西哥 CURP Biométrica 期限 | | 7 月 1 日 | 苹果 Declared Age Range API 在路易斯安那州生效；MiCA 对 CASP 全面执法 | | 8 月 2 日 | 欧盟 AI 法案 GPAI 执法权限启动 | | 2026 年 12 月 2 日 | 欧盟 AI 法案第 5 条（CSAM / NCII 禁令）依《数字综合法案》合规 | | 9 月 21 日 | FIPS 140-2 认证 → 转为历史状态（PQC 日落） | | 10 月 5-12 日 | Roman Storm 的 Tornado Cash 重审 | | 2026 年 12 月 | 欧盟数字身份钱包部署期限（27 个成员国） | | 2027 年 12 月 2 日 | 欧盟 AI 法案附件 III 高风险义务（自 2026 年 8 月推迟） | | 2028 年 8 月 2 日 | 欧盟 AI 法案附件 I 高风险义务（自 2026 年 8 月推迟） |

结语

索非亚。华沙。赫尔辛基。哥本哈根。塔林。布拉格。

六座欧洲首都如今在一份人权观察报告中被点名，成为在失败的 2021 年欧盟两用物项条例下运作的主要商业间谍软件出口方。20 多个目的地国家——沙特阿拉伯、阿联酋、埃及、墨西哥、匈牙利、土耳其、印度、印度尼西亚、摩洛哥、巴林，以及另外十个或更多国家——接收这些出口。

昨天就是我们在星期六写到的那个星期二。FISC 意见书没有公布。Canvas 付了钱。Sysco 还卡着。富士康确认了 8 TB。补丁星期二很平静，但 Dirty Frag 仍在运行，而 Palo Alto 的修复今天才发布，晚了四天。

明天，Martínez-Olguín 法官将就那份 15 亿美元的和解方案作出裁定，它会或不会成为 AI 训练数据如何获得补偿的模板。明天，欧洲央行关闭数字欧元 PSP 申请窗口。

接收国——第 75 天的伊朗、21 个州的俄罗斯、逮捕 13 人的巴基斯坦、有瓦加杜古那栋别墅的布基纳法索、扣下调查委员会报告的坦桑尼亚，以及处在索非亚—华沙—赫尔辛基—哥本哈根—塔林—布拉格这条管道接收端的埃及、阿联酋、沙特阿拉伯、巴林和摩洛哥——都接触不到欧洲的监管者。它们的用户没有运营商层的替代方案。

用户控制的基础原语栈就是架构层面的回应。

开放客户端。开放固件。硬件密钥。抗审查传输。隐私保护货币。本地推理 AI。支持选择性披露的联邦化身份。自托管服务。网状与卫星通信。密码敏捷性。

点名出口方是一种问责。基础原语栈是另一种。

两者都在运行。

2026年5月12日星期二，四个彼此无关的时钟在同一天到期。

第一个是一道法院命令。2026年3月17日，外国情报监视法院——十五年来对《外国情报监视法》第 702 条项下 FBI 监控拥有法律管辖权的同一家法院——就该局的查询做法出具了一份意见书。据参议员 Wyden 于4月27日在媒体上披露，这份意见书依法院命令须在5月12日之前公开。这个时钟是六十天。周二是第六十天。意见书在公开前会被涂黑，但涂黑本身由 FISC 而非行政部门决定。

第二个是一个安全补丁周期。微软补丁星期二——5月12日发布的累积安全更新——落在 Zecurit 漏洞追踪器所称的 "final comfortable deployment window"（最后一个从容部署窗口）之内，之后就是 2026年6月26日微软安全启动 UEFI 证书的到期，而该证书自 2012 年以来一直串起数十亿台 Windows 安装的启动完整性。安全启动证书不是一个软件缺陷。它是硬件锚定启动完整性的加密信任根。更换它需要在数亿台设备上做固件层面的变更，而 6月26日之前的操作窗口，随着证书更换项目从第一季度拖到第二季度，已被 IT 团队逐步压缩。

第三个是一个赎金期限。2026年5月8日，ShinyHunters 勒索团伙为 Instructure 设定了5月12日当日结束前的新期限；Instructure 是 Canvas 的运营方——这套学习管理系统被全球 8,809 家机构使用，并且据维基百科的追踪条目，是有记录以来最大的教育行业安全泄露事件。声称掌握的数据：3.65 TB，约 2.75 亿条记录，其中包括师生私信、成绩和行为记录。5月6日至7日约 330 个 Canvas 登录页面被篡改——经由 Free-For-Teacher 途径——就是入侵证明。截至5月9日，Instructure 尚未付款。

第四个同样是一个赎金期限。2026年5月6日，Qilin 勒索软件团伙把 Sysco 挂了出来——这是全球最大的餐饮服务分销商，为餐厅、医院、学校、监狱和军事基地供货——期限定在5月12日。Sysco 年营收约 770 亿美元，运营着约占美国机构餐饮市场百分之十五的餐饮冷链。作为证据，内部文件被一并附上。

这不是四个相关的事件。这是四个不相关的事件，恰好抵达同一个周二。

今天

今天是 2026年5月9日星期六。联邦网络安全日程上，今天另有一个期限。

2026年5月6日，网络安全和基础设施安全局把 Palo Alto PAN-OS CVE-2026-0300 加入已知被利用漏洞目录。该缺陷——User-ID / 强制门户中一个无需认证的缓冲区溢出，CVSSv4 评分 9.3——可在 PA 系列和 VM 系列防火墙硬件上产生 root 远程代码执行。CISA 具约束力的操作指令 22-01 要求联邦文职行政部门各机构完成修复的期限是今天，5月9日。

Palo Alto 的厂商修复计划在5月13日。CISA 的期限比厂商修复早四天。

这是 CISA 在 BOD-22-01 计划四年历史中发布过的最激进的已知被利用漏洞期限。其操作层面的含义是：FCEB 各机构没有补丁可装。他们被要求在星期六之前，在面向互联网的边缘防火墙上部署纯配置层面的缓解措施——禁用 User-ID 组件或强制门户功能、把管理访问限制在非互联网网络、或者干脆把防火墙从边界上撤下。在整个联邦文职行政部门范围内，这至少是数百台有名有姓的设备。缓解在监管方一侧；补丁在厂商一侧；用户（此处即联邦 IT 运维）夹在中间。

2026年5月8日，CISA 又添了一条。Ivanti Endpoint Manager Mobile CVE-2026-6973——需认证的管理员远程代码执行，CVSS 7.2，据 Help Net Security 报道已在“非常有限”的环境中被利用——FCEB 期限为5月10日（星期日）。

模式是 48 小时内两个激进的 KEV 期限。

Diameter 降级

今天也是一个商业间谍软件的日子。

在今天发表的、对卡巴斯基 2025年10月28日 ForumTroll APT 披露的 Tech Generation 重述报道中，Memento Labs 首席执行官 Paolo Lezzi 公开承认，Securelist 分析中点名的 Dante 商业间谍软件是他公司的产品。他把责任归于“一个使用旧版本、不够谨慎的政府客户”。Securelist 中识别出的 Chrome 零日攻击目标位于俄罗斯和白俄罗斯。Memento Labs——这家意大利间谍软件厂商此前名为 Hacking Team，后来叫 RCS Lab——加入了被公开点名的间谍软件厂商名单：NSO Group、Paragon Solutions、Intellexa、Variston（2025 年结业）、Memento Labs。

公民实验室（Citizen Lab）2026年4月23日的《Bad Connection》报告点出两场并行的行动。STA1——研究团队对一个国家关联行为体的代号——通过滥用“combined attach”（联合附着）流程执行 Diameter 到 SS7 的降级攻击，在九个国家伪造运营商身份，在受害者会话上充当 “ghost operator”（幽灵运营商）。STA2——团队对另一个行为体的代号——通过至今仍存在于数百万张旧 SIM 卡上的 S@T（SIM 应用工具包）浏览器小程序，执行 SIMjacker 零点击短信攻击。公民实验室把这场合并行动描述为“很可能影响数千台设备”。5月3日，《国土报》（Haaretz）报道称，被 STA1 伪造身份的运营商中包括数家以色列电信运营商。移动验证工具包（MVT）、iVerify 和 Lookout——调查记者与高风险用户可用的三种主要取证工具——无法检测 Diameter 层或 SS7 层的攻击。它们检测的是设备侧的入侵。而 STA1 与 STA2 是运营商侧的入侵。

2026年4月28日，TechCrunch 报道，Paragon Solutions——如今以一份 200 万美元的合同在运作层面嵌入美国移民与海关执法局（ICE）内部——一年过去，仍未答复意大利检方就 Graphite 间谍软件针对已确认受害者（记者 Francesco Cancellato、Luca Casarini、Giuseppe Caccia）的部署所提出的正式信息请求。该正式请求是按通常的司法互助流程经由以色列政府转交的。

2026年4月24日，参议员 Ron Wyden 带头，30 名议员联名就商业间谍软件发出监督函。该函尚未收到答复。

商业间谍软件行业不是被“俘获”了。它是被整合进去了。

移动的国家

在没有运营商替代选项的司法辖区里，移动运营商层是国家的首要控制面。

伊朗为期 120 天的断网已固化为 “Internet Pro”。伊朗人权观察5月9日的报告《Infrastructure of Silence》记录了这项政策：二级 SIM 卡（默认档）完全失去访问全球互联网的能力；一级 “Internet Pro” SIM 卡——由 Tasnim 及另外三家与国家关联的电信商在申请人出示国民身份证件、营业文件和书面用途说明后签发——被白名单放行至一小部分获批站点，包括官方媒体和政府服务。报告称的代价是数字经济活动损失每天 3570 万美元。自 2026年1月30日断网开始以来的累计损失约为 52 亿美元。白名单本身由一个成员名单不公开的国家过滤委员会管理。5月初提交给 Access Now 的报告描述，德黑兰和马什哈德的 SIM 卡转换办事处排队时间为三到四小时。

俄罗斯自5月4日至5月9日在 21 个以上地区推行了胜利日前夕的移动网络关停。俄罗斯联邦通信监督局（Roskomnadzor）给出的理由是防御无人机袭击——移动网络可被用于协调地面发射的 FPV 无人机。路透社、Meduza 和半岛电视台俄罗斯分社均报道，受影响地区的自动柜员机因依赖蜂窝回程而停摆。俄罗斯 2026年4月15日的法律要求所有互联网服务提供商和移动运营商在网络层实施 VPN 检测，正式启动了国家一侧对“运营商即边界”态势的执行。

2026年5月5日，苏丹的 MTN Sudan 因燃料和电力停用了喀土穆全部中继站。互联网协会 Pulse 报告称喀土穆在运营商无线层已中断。停网恰逢中学考试窗口期。

在巴基斯坦，国家网络犯罪与网络调查局（NCCIA）旁遮普分局在截至5月7日的一周内，依据《电子犯罪防治法》修正案对 41 名记者、博主和活动人士立案、逮捕其中 13 人。巴基斯坦新闻基金会5月5日的报告记录了 2025年1月至 2026年4月期间的 233 起新闻自由事件。

无国界记者组织5月6日的调查报道记录了布基纳法索记者 Atiana Serge Oulon 被秘密关押在瓦加杜古一处别墅中；《世界报》、《华盛顿邮报》和 Africanews 共同佐证，他在数周时间里遭树枝殴打。

各国的架构模式是一样的：对普通居民而言，运营商层没有架构上的替代品。国家控制无线电。国家控制 SIM 卡。国家控制 VPN 检测中间盒。除非用户手里有一条在架构上与运营商不同的通路，否则没有退路。

教育

Canvas / Instructure 泄露事件是有史以来公开披露的最大教育行业安全事件。

5月8日 ShinyHunters 滴灌式释出给出的数字：3.65 TB，约 2.75 亿条记录，8,809 家机构。ShinyHunters——自4月起被归因于后 Salesforce 途径链的第三方 SaaS 聚合器勒索浪潮的同一团伙——在5月6日至7日篡改了约 330 个 Canvas 实例的登录页面，作为入侵证明的展示。CNN 的 Brian Fung 于5月7日太平洋夏令时下午 1:20 首次公开报道这些篡改，此前密西西比州一名大学生把一张 Canvas 登录页的截图发到了 TikTok，页面上以红色 Arial 字体写着："Mr. Cannon, sorry for the inconvenience this caused, but our offer is fair. — ShinyHunters."（“Cannon 先生，为造成的不便致歉，但我们的报价是公道的。——ShinyHunters。”）

到5月8日，被披露的数据规模得到 KrebsOnSecurity 的确认。Krebs 通过把 ShinyHunters 的文件清单与 Instructure 公布的客户名单交叉核对，验证了机构数量，找到 8,809 个不同的机构标识符——包括整个加州大学系统、康奈尔、布朗、斯坦福、麻省理工（其用 Canvas 承载跨学段的 K-12 外展项目），以及加州、得州、佛州和纽约州约百分之七十五的具名 K-12 公立学区。《时代》杂志5月8日的拆解指出：“就每一家机构而言，此次泄露暴露了师生私信、成绩历史、行为记录，以及 IEP / 504 残障便利安排的备注。”

ShinyHunters 设定的新期限是5月12日当日结束前。截至5月9日，Instructure 尚未付款。这个节奏——5月6日错过期限、5月7日页面篡改、5月8日抛出数据、5月12日新期限——正是 ShinyHunters 自4月下旬以来在 Cushman & Wakefield（商业地产）、Pitney Bowes（邮务物流）、Canada Life（保险）、嘉年华（邮轮）、Zara（服饰）、7-Eleven（零售）、Mytheresa（奢侈品）和 Hallmark（消费品）身上跑过的剧本。

Sysco

2026年5月6日，Qilin 勒索软件团伙——2024 至 2025 年那波攻击中打掉 Synnovis、伦敦 NHS 和 Change Healthcare 的同一团伙——把 Sysco 挂上了自己的泄露站点，赎金期限为5月12日。

Sysco 是全球最大的餐饮服务分销商：年营收约 770 亿美元，业务遍及 90 个国家，为餐厅、酒店、医院、K-12 学校食堂、高校餐饮服务、监狱小卖部和美军伙食运营提供餐饮冷链。美国机构餐饮市场约百分之十五依赖 Sysco 的物流。Qilin 附上作为证据的内部文件包括发货排期和供应商关系记录。

Qilin 在5月8日和9日仍在继续：Imex International（埃及航运）、Exco Technologies（加拿大汽车制造）、CAD-IT UK（工业工程）、DL Cohen Construction（美国建筑），以及5月9日的 Lindabury（新泽西律所）。

Akira 团伙在5月7日并行放出一批受害者：Grau GmbH（汉堡零售与制造）、Elia Law Firm APC（圣迭戈）、Punch & Associates Investment Management（美国资产管理）、Réseau Radiologique Romand（瑞士放射网络）、Clinical Registry Solutions（美国医疗数据服务）和 Pipestone（美国农业）。

PEAR 勒索团伙——一个在5月6日至9日窗口中才出现的新名字——据《HIPAA Journal》出现在四起医疗行业披露中：Western Orthopaedics（科罗拉多）、Community Health Systems（加州）、Tri-Cities Gastroenterology（田纳西）和 Integrated Pain Associates（得州）。

据 SecurityWeek，与伊朗国家关联的威胁团伙 MuddyWater（被归因于伊朗情报与安全部）正在运作一场伪装成 “Chaos ransomware” 的行动——用 Microsoft Teams 社会工程取得初始访问权限，再投放在受害者看来像是犯罪勒索软件的东西。意图是可否认性：受害者看到的是勒索软件，行为体拿到的是情报访问权。

勒索软件经济的节奏没有放慢。

Dirty Frag

2026年5月7日，安全研究员 Hyunwoo Kim 公布了一条名为 “Dirty Frag” 的概念验证利用链——把 CVE-2026-43284（Linux 内核 xfrm-ESP 路径中的释放后使用）和 CVE-2026-43500（RxRPC 实现中的逻辑缺陷）串起来——在 6.4 到 6.11 版 Linux 内核上做到一条命令从无特权提权到 root。该链影响 Ubuntu、Red Hat Enterprise Linux、CentOS Stream、AlmaLinux、openSUSE Tumbleweed 和 Fedora。在通用硬件上，这条链约两秒即可跑完。

5月8日，微软安全博客确认了在野利用。其检测叙述是：“在最初通过 Dirty Frag 取得 root 之后，出现了使用 su 命令的有限在野活动。”微软的信号之所以重要，是因为微软并不是 Linux 厂商；该检测来自部署了 Microsoft Defender for Endpoint 的企业环境中 Linux 服务器的遥测数据。

“Linux 是安全的”这套说法，此前已被4月23日的 RxRPC 入侵（同一子系统）和 2 月的 PaperHexagon glibc 利用链削弱。Dirty Frag 是 90 天内披露的第二条通用 Linux root 链。

架构上的教训是：内核侧的特权边界是一个关于难度的假设，不是一个保证。仅用户态的沙箱（容器、seccomp、AppArmor、SELinux）是用户侧的回应，但前提是真的用上——大多数已部署的 Linux 服务器为了运维省事都跑在 root 权限下。

换个名字的俘获

2026年5月4日，联邦贸易委员会（FTC）与 Kochava 达成最终和解——这家爱达荷州的数据经纪商五年来一直是检验 FTC 能否把位置数据买卖纳入第 5 条“不公平或欺骗性行为”职权的试金石。和解内容：对 Kochava 敏感类别位置数据销售的永久禁令。没有金钱罚款。FTC 要求吐出非法所得的职权，在本案中没有行使。

2026年5月7日，欧盟理事会与欧洲议会就“数字综合修正案”（Digital Omnibus）达成临时协议——这是一揽子对《欧盟人工智能法案》的修订。该修正案把高风险义务的期限从 2026年8月2日推迟到 2027年12月2日，并把通用人工智能义务的期限推迟到 2028年8月2日。议会在委员会反对之下写入了欧盟法律层面首次出现的对 AI 脱衣应用的禁令——这在很大程度上是对去冬 Grok 深度伪造风波的回应——合规日期为 2026年12月2日。

2026年5月4日，丹麦轮值主席国下的欧盟 CSAR / 聊天管控条例第三轮三方谈判，取消了该条例中最具争议的强制客户端扫描要求。第四轮三方谈判定于 2026年5月11日。据电子前沿基金会（EFF）的评论，条例目前的文本只要求在非端到端加密的通道上自愿检测儿童性虐待材料，任何主动探测都须经司法授权。

2025 年 10 月，美国联邦地区法院法官 Phyllis Hamilton 把 WhatsApp 诉 NSO 案的惩罚性赔偿从 1.672 亿美元降到约 400 万美元，理由是 9:1 的比例上限。该判决现处于第九巡回上诉法院的上诉状态。NSO Group 现由一个美国投资者集团控制，前特朗普政府大使 David Friedman 担任执行董事长；2026 年 1 月的透明度报告删去了客户终止数据。2025 年 12 月，财政部悄然把三名 Intellexa 特别指定国民（SDN）移出名单。

这五个彼此独立的进程呈现出同一种模式。监管执法恰恰在会给被点名行为体带来运营成本的那些点位上软化下来。人工智能法案的高风险义务推迟十六个月。聊天管控的强制客户端扫描被取消。Kochava 被下禁令但没被罚款。NSO 的惩罚性赔偿被削减 40 倍。Intellexa 的 SDN 被移出名单。

与此同时，用户一侧的监管强制正在加码——苹果的 Declared Age Range API 已于5月6日在犹他州上线、7月1日在路易斯安那州上线；墨西哥 CURP Biométrica 的6月30日期限把约 1.27 亿条移动号码与面部、指纹和虹膜生物特征绑定；TAKE IT DOWN 法案的平台合规日为5月19日；第 702 条重新授权已进入第二个短期补丁；ICE 的 Project SAFE HAVEN 与 Edge Ops LLC 的 1220 万美元合同。

被搁置的补丁在运营方一侧。被加码的强制在用户一侧。这种不对称就是这篇文章本身。

用户一侧

对 5月12日窗口的架构性回应，是用户可控的原语栈。这些原语不取决于5月12日往哪个方向走。

消息层使用密钥由用户持有的开放客户端。 Signal 基金会持续维护 Signal 协议实现；Tuta、Proton 和 Threema 运营各自独立的端到端加密；Briar、Cwtch 和 Session 运营无需信任的变体；Matrix 家庭服务器允许联邦式自托管。4月21日 Roblox 与各州总检察长达成的 3580 万美元和解表明，即便是已经存在的端到端加密，也可能在一家大平台上被监管强制拆掉。密钥由用户持有的开放客户端没有承受这种强制的表面。3月12日发布的 Briar 1.5.17 通过蓝牙、Wi-Fi 和 Tor 运行；它在网络关停期间仍可工作，因为它不依赖运营商层转发消息。

在用户可检视的芯片上运行开放固件。 GrapheneOS、CalyxOS、/e/OS、LineageOS、OpenWRT。iVerify、Lookout 和 Google TAG 于3月18日至19日记录的 DarkSword iOS 攻击链，使估计 2.2 亿至 2.7 亿部 iPhone 停留在暴露的 iOS 版本（18.4 至 18.6.2）上。开放固件的移动设备把缓存和通知数据库的行为暴露给用户检查；闭源固件的操作系统做不到。

FIDO2 硬件认证。 YubiKey、Nitrokey、SoloKey。5月4日，OpenAI 为 ChatGPT 加入了通行密钥和硬件密钥支持——联合推出一套约 68 美元的 YubiKey C NFC / C Nano 双件装。Yubico 历史累计出货超过 3000 万把 YubiKey。硬件绑定的凭据能在 SIM 卡被攻破后存活；像 STA1 那样的 SS7 / Diameter 幽灵运营商攻击无法桥接到受硬件密钥保护的账户，因为第二因素不在 SIM 卡上。

抗审查传输。 Tor 15.0.10、V2Ray VLESS+Reality、Shadowsocks-2022、Trojan、带 obfsproxy 的 WireGuard、URnetwork 点对点。URnetwork 2026年2月19日发布的 MCP 服务器让具备代理能力的客户端通过点对点覆盖网建立 VPN 会话，把传输从运营商层抽象出来。国家强制的平台封锁不影响传输层混淆。伊朗的 “Internet Pro” 等级和俄罗斯4月15日的 VPN 检测法就是威胁模型。

基于用户自托管原语的隐私保护货币。 Bitcoin BIP324 v2（自 Core 27.0 起默认开启；全球 BTC P2P 流量的多数现已加密）和 BIP352 静默支付（Core 28.0+ 支持收发；BIP376 与 BIP392 于 2026 年加入；Nunchuk 已加入 SP 支持）。门罗币正在积极集成 FCMP++；Trail of Bits 的审计从5月11日跑到5月22日，用全链成员证明取代环签名，其匿名集就是整个 UTXO 集合。Zcash 的 Crosslink 里程碑 4 已启动功能网络；屏蔽池处于 5,030,093 ZEC 的历史高位（约占供应量的百分之三十）。可被运营商拉黑的钱就是走运营商通路的钱；用户自托管的货币没有那个表面。

在用户可控算力上做本地推理的 AI。 DeepSeek V4 Pro（4月22日以 MIT 许可发布，1.6 万亿参数 / 490 亿激活，100 万 token 上下文，在 100 万上下文下单 token FLOPs 为 V3.2 的 27%）；Mistral Medium 3.5（4月29日，SWE-Bench Verified 77.6%）；Llama 4 Scout；Gemma 4；Qwen 3.6；Kimi K2.6；GLM-5.1；OpenAI Privacy Filter（4月22日，Apache 2.0，总参数 15 亿 / 激活 5000 万，可经 transformers.js + WebGPU 在浏览器中运行）。哪里没有第三方日志，哪里就没有可传唤的东西。法官 Sidney Stein 于1月5日在 OpenAI 诉《纽约时报》案中签发的 2000 万条日志提交令就是威胁模型。

带选择性披露的联邦式身份。 W3C 可验证凭据 2.0（2025 年 5 月进入推荐标准状态；7 份规范）；eIDAS 2.0 的 BBS+ 选择性披露（IETF 定稿进行中）；Privacy Pass；W3C VC 工作组在 2026 年 4 月的新章程下运作，目标是在 2026 年 9 月把 Render Method 和 Confidence Method 推进到推荐标准。墨西哥的 CURP Biométrica 就是威胁模型：不要把身份上传到中心化的国家生物特征登记库。

自托管服务。 Matrix 家庭服务器、Forgejo、Mailcow、Jitsi、Nextcloud、Mautic、SuiteCRM、Moodle 社区版、Open edX。联邦化把任何单一厂商被攻破的爆炸半径圈了起来。Canvas / Instructure 那个 8,809 家机构的爆炸半径就是威胁模型。

运营商层的网状网络与卫星。 Briar；Bridgefy；Meshtastic；Reticulum；GoTenna PRO；Starlink。伊朗的 “Internet Pro” 等级和苏丹喀土穆基站断电就是威胁模型。2026年4月23日坦桑尼亚调查委员会认定的 518 人死亡是道义上的锚点——当关停网络助长了国家暴力，独立于运营商的那一层就要紧了。

正在走的时钟

| 日期 | 事件 | |---|---| | 5月9日，今天 | CISA FCEB PAN-OS CVE-2026-0300 期限（比厂商修复早 4 天） | | 5月10日 | CISA FCEB Ivanti EPMM CVE-2026-6973 期限 | | 5月11日 | 欧盟聊天管控第四轮三方谈判；门罗币 FCMP++ Trail of Bits 审计开始 | | 5月12日 | FISC 3月17日意见书依法院命令公开；微软补丁星期二；Canvas / Instructure 赎金期限；Sysco / Qilin 赎金期限 | | 5月13日 | Palo Alto PAN-OS 厂商修复 | | 5月14日 | Bartz 诉 Anthropic 公平性听证（15 亿美元）；数字欧元 PSP 申请截止 | | 5月19日 | TAKE IT DOWN 法案平台合规 | | 5月22日 | 门罗币 FCMP++ Trail of Bits 审计结束 | | 5月26日 | 英国《在线安全法》年龄验证咨询截止 | | 5月27日 | Meta 年度股东大会（NLPC 的 AI 隐私提案） | | 6月12日 | 第 702 条日落（完整重新授权） | | 6月26日 | 微软安全启动 UEFI 证书到期 | | 6月30日 | 墨西哥 CURP Biométrica 期限 | | 7月1日 | 苹果 Declared Age Range API 在路易斯安那州上线；MiCA 全面 CASP 执法 | | 8月2日 | 欧盟 AI 法案 GPAI 执法权启动 | | 9月21日 | FIPS 140-2 认证转为“历史”状态（后量子迁移日落） | | 10月5日至12日 | Roman Storm 的 Tornado Cash 重审 | | 2026年12月 | 欧盟数字身份钱包部署期限（27 个成员国） |

结语

今天是星期六。今天联邦文职行政部门正在部署配置层面的缓解措施，因为 Palo Alto 的补丁还有四天才到。今天伊朗的 “Internet Pro” 等级制度已在德黑兰以三到四小时的排队时间投入实际运行。今天 Memento Labs 承认了 Dante。今天俄罗斯 21 个州在运营商层陷入黑暗。今天苏丹喀土穆在无线层陷入黑暗。今天巴基斯坦有 13 名记者在押。今天 RSF 正在发布布基纳法索那处别墅的消息。

到了周二，FISC 的意见书会公开——或者不会。补丁星期二会照常落地。Canvas 会付赎金——或者不会。Sysco 会付赎金——或者不会。

周二的这些时钟是真的。它们会走。

用户可控的原语栈也是真的。它不取决于周二。

5月12日窗口是一天。原语栈是每天都在运行的那个回应。

2026年4月7日，六家美国联邦网络机构联合签署了网络安全联合公告 AA26-097A。这些机构是：联邦调查局、网络安全和基础设施安全局、国家安全局、环境保护署、能源部和美国网络司令部。该公告把美国水务、污水处理和能源设施中面向互联网的 Rockwell Automation 可编程逻辑控制器遭到的活跃破坏，归因于伊斯兰革命卫队网络电子司令部的 “CyberAv3ngers” 集群。

公告明确确认在具名受害者处出现了运营中断和财务损失。它在结构上的意义在于环境保护署作为联署方的加入。自 2023 年法院撤销环保署的供水事业网络安全规则以来，环保署在水务行业网络安全上的职权一直受到质疑。4月7日的联合公告，是自那次撤销以来联邦政府就水务行业网络安全发布的最具权威性的单一文件。

“CyberAv3ngers” 集群此前已被 Mandiant 和 CrowdStrike 归因于伊斯兰革命卫队的网络电子司令部。据公告，其工具集包括针对默认凭据与暴露在互联网上的 PLC 的侦察手段，以及用于在工业端点上建立持久访问的 “IOControl” 僵尸网络。

这场行动早于 2026年2月28日以色列与美国对伊朗的打击，但此后大幅加剧。在环保署联署级别上的联邦归因，说明这场行动已达到某种影响门槛——在具名受害者处出现运营中断和财务损失——而联邦网络防御界认为这个门槛已足以公开归因。

十六小时

2026年3月14日，北达科他州迈诺特市的市政水处理厂遭遇 SCADA 层勒索软件。入侵触及监控与数据采集层——设定点、告警和工艺逻辑所在的运营层——而不只是企业 IT 层。

这家水务单位在工程师恢复 SCADA 期间靠人工操作运行了十六小时。约八万名居民受影响。人工操作意味着阀门按操作员指令用手开关；加药靠模拟仪表和操作员的眼睛控制；水泵靠物理开关启停。在整个人工操作窗口期内，该单位的饮用水出水始终安全，因为操作员受过人工流程训练，即便数字层不可用也照样能干。

架构上的教训是结构性的。一家服务 100,000 人的水务单位，其韧性来自数字层不可用时能够执行人工流程的操作员，而不是来自某套 IT 或 OT 系统不可攻破。用户侧的回应是：维护人工回退流程；对操作员做相应训练；定期演练；把 IT 与 OT 分段隔离；在不需要双向访问的地方用数据二极管做遥测。

1.1 亿只电表

2026年4月13日和27日，Itron——北美电力、燃气和供水事业三大主流智能电表厂商之一——披露了两起泄露事件，全球影响超过 1.1 亿只公用事业电表。

Itron 的电表把用量遥测数据上报给公用事业的计费和负荷管理系统。许多 Itron 电表还带有分断继电器控制，允许公用事业远程断供。发生在电表厂商这一层的泄露——也就是在任何单一公用事业边界之上的那一层——会触及使用该厂商电表的每一位公用事业客户。

架构上的教训是：智能电表生态里存在一个厂商聚合层（电表制造商），而这一层是跨公用事业数据与跨公用事业控制的单一边界。据 Itron 的披露，这些泄露没有导致大规模断供被触发，但跨公用事业的数据暴露是永久的。

用户侧的回应是：隐私保护的遥测聚合（在电表层做差分隐私——研究级实现已经存在）；客户有权停用分断继电器（在法律允许的地方）；在监管政策允许的地方本地退出高级计量基础设施。

139 GB

2026年4月27日，Pickett USA——一家专注于公用事业侧激光雷达与变电站工程的美国工程服务公司——披露了一次 139 GB 的数据外泄。数据涉及坦帕电力、杜克能源佛罗里达和美国电力公司，是美国东部最大的三家投资者所有制公用事业公司。

激光雷达和变电站工程数据不是面向消费者的。它们描述的是高压变电站的物理布局、设备位置、管线走向、开关设备配置以及保护与控制整定值——正是攻击者规划针对电网物理资产的精确打击所需要的技术规格。

一旦被窃取，这些数据就是永久的。没有召回一说。

架构上的教训是：工程服务这一层是跨多家公用事业的电网物理设计数据的厂商聚合层。用户侧和公用事业侧的回应是：尽量减少对完整电网物理设计数据的对外共享；按最小权限对设计数据分段；物理设计数据不应能跨公用事业聚合。

希思罗瘫痪

2026年4月4日，柯林斯航空航天的一次软件故障导致希思罗、布鲁塞尔和柏林机场瘫痪。航空运营在全欧洲受到影响；仅希思罗每天就运送约 220,000 人次旅客。

柯林斯航空航天运营着 ARINC 航空旅客处理软件栈，约三分之一的欧洲航空承运人和数十家欧洲机场在使用。柯林斯这一处的软件故障会同时波及每一个使用 ARINC 的机场——这是航空运营的单点故障式软件即服务架构。

架构上的教训是：欧洲的航空运营层已经收敛到少数几家运营软件厂商身上，其中任何一家出现软件故障，都会瞬间在多个主权国家的机场之间传播。4月4日的中断不是对抗性的——那是一次软件部署故障——但同一片架构表面对于对抗性行动同样可达。

用户侧的回应属于政策层面：机场当局应当强制要求运营软件的厂商多元化；承运人应当维持人工旅客处理的回退流程；监管机构应当把运营软件厂商纳入欧盟 NIS2 指令及各国等效制度下的关键基础设施范畴。

瑞典的热电厂

2026年4月15日，瑞典公开把一次针对热电厂的破坏性入侵企图归因于俄罗斯情报机构。瑞典安全局（Säkerhetspolisen）和瑞典民事应急署（MSB）发表了联合声明。攻击目标是一家在冬末为区域供热的地区性热力发电设施。

瑞典对俄罗斯的公开归因在结构上意义重大。公开归因历来只保留给最严重的事件，因为归因本身就是一种外交行动。4月15日的声明，把瑞典的这次俄罗斯归因，放进了与爱沙尼亚 2007 年、德国 2015 年和美国 2018 年的公开对俄归因同一个类别。

Dragos 的《2026 年度回顾》识别出三个在 OT/ICS 领域活动的新威胁团伙：SYLVANITE、AZURITE、PYROXENE。Dragos 警告存在“控制回路测绘”（control-loop mapping）——即对手为实施精确破坏而刻画 OT 物理工艺过程。工业组织勒索软件同比上升百分之四十九。

没有领导人

2026 年 4 月，特朗普政府提名的网络安全和基础设施安全局局长人选 Sean Plankey，在参议院确认前景不明的情况下撤回了提名。CISA——被指定为美国关键基础设施网络安全国家协调方的联邦网络防御机构——在数十年来最严峻的关键基础设施网络安全周期里，运行时没有一位经确认的局长。

伊朗革命卫队的 PLC 行动（4月7日的 AA26-097A）；Itron 1.1 亿只电表的泄露（4月13日、27日）；Pickett USA 的电网工程数据外泄（4月27日）；柯林斯航空航天的航空运营中断（4月4日）；瑞典对俄罗斯热电厂攻击的归因（4月15日）；北达科他州迈诺特市水厂勒索软件（3月14日）；Dragos 的工业勒索软件同比增长 49% 这一指标——全都是同时发生的。监管机构的产能本身就是依赖栈中的一层。当监管机构没有经确认的领导人，监管侧对事件响应、威胁情报分发和资源调配的协调就会受损。

用户侧的回应属于政策层面：参议院应当加快 CISA 局长的确认；行政部门应当在过渡期内指派一位在职的职业官员以等同于经确认者的身份履职。

Anodot

今天，2026年5月5日，ShinyHunters 那波攻击的框架从“Salesforce 入侵”改写为“第三方 SaaS 供应链”。Vimeo 那批 119,000 条记录源自 Anodot——一家 SaaS 分析集成厂商——而不是对 Vimeo 的直接入侵。与此同时，ShinyHunters 滴灌式释出了嘉年华、Mytheresa、Zara、7-Eleven、Pitney Bowes 和 Canada Life 的数据。

今天观察到的模式是：一个第三方 SaaS 分析集成，成了通往许多客户数据的途径。Salesforce 是昨天那一期所覆盖的“信任载体”式 SaaS 聚合器。Anodot 则是 Salesforce 的第三方 SaaS 聚合器。架构模式在叠加：一次 Salesforce 集成泄露，会触及使用该集成的每一位 Salesforce 客户的每一位客户。

用户侧的回应是：做第三方 SaaS 集成审计（哪些集成能访问哪些 Salesforce 对象？范围是否最小必要？）；按组织对集成分段；寻找厂商聚合型分析平台的替代品（自托管的 Mautic、Listmonk、Plausible Analytics、Matomo、Metabase）。

Cushman & Wakefield 今天发表了官方声明，称此次入侵“有限”，并确认语音钓鱼是途径。Instructure 对5月6日的期限保持沉默。

Friedman 治下的 NSO

2026 年 1 月，NSO Group 落入美国投资者控制之下。收购方由 Robert Simonds 牵头，任命前特朗普政府驻以色列大使 David Friedman 为执行董事长。2026 年 1 月的透明度报告删去了往年报告中都有的客户终止数据。NSO 正在公开游说将其移出美国实体清单。

2025 年 10 月，美国联邦地区法院法官 Phyllis Hamilton 把 WhatsApp 案中对 NSO 的惩罚性赔偿从 1.672 亿美元降到约 400 万美元。此案现处于第九巡回上诉法院的上诉状态。这次 40 倍的削减，实质性地降低了法律系统给商业间谍软件滥用标出的价格——那正是 2026 年春天奥克兰的裁决曾经抬高过的价格。

2025 年 12 月，美国财政部悄然把三名 Intellexa 特别指定国民移出名单。移出名单减轻了金融系统对 Intellexa 集群的压力。

架构上的意义在于：那家曾大规模针对端到端加密消息运作的商业间谍软件厂商，如今归于与行政部门立场一致的美国所有权之下，滥用行为的法律代价被降低，而此前被列名的 Intellexa SDN 则被悄悄摘掉。架构上的对策是：开放固件的移动设备（相当于 GrapheneOS 的锁定模式）、公民实验室与国际特赦组织持续的取证监测、针对美国机构采购间谍软件的《信息自由法》诉讼，以及维持实体清单制裁和财政部 SDN 认定的政治压力。

雅典的定罪

2026年2月26日，雅典一家刑事法院判定 Tal Dilian——以色列前国防军情报官员、Intellexa 创始人——及另外三名 Intellexa 高管有罪，罪名是使用该公司的 “Predator” 间谍软件非法拦截希腊公民社会人士和记者的通信。这是全球首例商业间谍软件厂商高管的刑事定罪。

希腊的这次起诉源自 2022 年的 “Predatorgate” 丑闻，当时约 100 名个人——记者、活动人士、律师和一名希腊高级官员——成为 Intellexa 供应的间谍软件的目标。

架构上的意义在于：在 2026年2月26日之前，没有任何司法辖区成功起诉过商业间谍软件厂商高管为其产品部署的后果负责。雅典这一先例确立了——至少在希腊司法辖区内——间谍软件厂商行业那套“我们只是卖产品，是客户滥用了它”的辩护，在刑事起诉面前站不住。

那份 200 万美元的合同

Paragon Solutions——在以色列国防出口管制局最终批准之前，以约 9 亿美元被卖给 AE Industrial Partners——如今以一份重新启用的 200 万美元合同在运作层面嵌入美国移民与海关执法局内部。ICE 代理局长 Todd Lyons 于 2026年5月1日在众议院国土安全委员会作证时确认了这次部署。参议员 Ron Wyden 于 2026年4月24日带头，30 名议员联名发出监督函。

与此同时，Paragon 正公开搪塞调查 Cancellato / Fanpage 入侵案的意大利检方。意方起诉的第一步是要求 Paragon 完整披露客户名单；据公开报道，Paragon 的回应是不予配合。

架构上的意义在于：联邦机构采购商业间谍软件，如今已在一个具体的合同金额和一个具体的内阁部门上得到公开确认，而针对这项采购或部署没有任何适用的公开监督法规，也没有通知被监控对象的要求。

Bad Connection——MVT 看不见

公民实验室研究员 Gary Miller 和 Swantje Lange 于 2026年4月23日发布的《Bad Connection》报告——第 03 期已有覆盖——还有一项结构上意义重大的补充发现：SS7 / Diameter 的“幽灵运营商”监控对移动验证工具包（MVT）、iVerify 和 Lookout 都不可见，而这三款商业 / 开源取证检测产品正是公民社会用来确认设备被入侵的工具。

用户没法从设备侧证明自己正在被 SS7 追踪。架构上的意义在于：一个已经迁移到取证工具无法检测的途径上的商业间谍软件生态，使用户在设备层没有任何架构上的救济手段。

用户侧的回应转移到网络层：能在 SIM 卡被攻破后存活的 FIDO2 硬件认证；由 GSMA 强制推动的运营商侧 SS7/Diameter 安全审计（近期已加强）；由监管强制要求披露运营商之间的互联路由关系。

518 人死亡

2026年4月23日，坦桑尼亚的一个调查委员会确认，在 2025 年 10 月大选后的暴力中有 518 人死亡、2,390 人受伤。这场暴力发生在为期五天的完全断网之下。

Access Now 的 KeepItOn 联盟记录到坦桑尼亚 2025 年共有 5,448 小时的断网——2025 年经济损失 8.898 亿美元，为非洲之最。

架构上的意义在于：断网不只是一种信息控制机制；它是国家暴力的助推器。当公民无法实时通信、组织或记录国家暴力时，国家对自身暴力的记账就成了唯一的来源。坦桑尼亚委员会只有在断网解除之后才确认那 518 人死亡，正说明了这个道理。

同样的模式在 2026年3月15日重演，当时刚果共和国（布拉柴维尔）实施了全国规模的选举日断网。NetBlocks 测得连通性约为正常基线的 3%。结果是：Denis Sassou Nguesso 以 94.82% 的得票率连任第五个任期。Sassou Nguesso 自 1997 年起担任总统，此前也曾在 1979 年至 1992 年间在任。

用户侧的架构性回应，是在断网期间用于公民记录的网状网络与卫星上行：Briar（蓝牙和 Tor）、Bridgefy（网状）、Starlink 非官方接收天线（在伊朗和苏丹有记录）、Reticulum、Meshtastic、GoTenna PRO 等消费级产品。

Roblox 的和解

2026年4月21日，Roblox 公司同步与内华达州（1250 万美元）、亚拉巴马州（1220 万美元）和西弗吉尼亚州（1110 万美元）达成和解，共支付 3580 万美元。另有 146 起联邦多区诉讼案件仍在审理中。

和解要求 Roblox 从未成年人聊天中移除端到端加密。这是美国首例把儿童安全武器化用以对付加密的和解。

架构上的意义在于：各州总检察长第一次拿到了这样一份和解——它要求一家大型消费级、与消息服务相邻的平台，以儿童安全为由，在协议层回退端到端加密保护，而这发生在任何联邦监管或立法行动作出此项要求之前。原定5月8日的 Meta Instagram 端到端加密回退——第 03 期已有覆盖——是企业自愿的行动；Roblox 的端到端加密回退则是和解强制的州总检察长行动。架构模式是一样的——运营商通路在消息层被重新引入——但机制是监管性的，而不是企业性的。

2026年4月22日是修订后的《儿童在线隐私保护法》规则的合规期限。新纳入的范围：生物特征标识符（面纹、声纹、虹膜纹路）和政府签发的标识符。罚则：每名儿童每项违规每天 53,088 美元。据美国国家失踪与受剥削儿童中心（NCMEC）的数据，2025 年共有 2130 万份 CyberTipline 报告，其中 150 万份与生成式 AI 有关。

今天，5月5日，宾夕法尼亚州总检察长对 Character.AI 提起了首例医疗身份冒充诉讼。

Common Crawl

2026年4月29日：新闻/媒体联盟（News/Media Alliance）代表 NBCUniversal、CNN、Vox Media、Ziff Davis 和数百家美国地区性出版商，向 Common Crawl 基金会执行董事 Rich Skrenta 发出正式函件，要求把出版商内容从 Common Crawl 语料库中移除，并建立退出登记机制。

该函件明确援引了欧盟 AI 法案第 53 条关于通用人工智能训练数据摘要的要求，该要求于 2026年8月2日起具有法律约束力。Common Crawl 是大多数大语言模型训练数据集的基础性网络抓取语料库。

同一天，七起非正常死亡诉讼在加州北区联邦法院对 OpenAI 和 Sam Altman 提起，索赔金额超过 10 亿美元。原告是 Tumbler Ridge 枪击案受害者的家属。诉状援引了 OpenAI 在 2025 年 6 月对枪手账户做过标记又被推翻的内部记录。

架构上的意义在于：AI 训练数据来源之争已不再是一场以版权理论在法庭上打的战争；它是一场以监管合规为武器、围绕语料库删除展开的战争。而 AI 厂商的责任表面也不再只是版权；如今还包括非正常死亡。

今天（5月5日）

这个周二下午，有几项进展：

• 宾夕法尼亚州总检察长对 Character.AI 提起了首例医疗身份冒充诉讼。
• Cushman & Wakefield 就 ShinyHunters 入侵发表官方声明（称影响“有限”，确认为语音钓鱼）。
• Instructure 对5月6日的期限保持沉默。
• 美国国土安全部监察长办公室报告称，情报部门人员使用的智能手机应用中有 76% 存在达到国土安全部自身内部分级门槛的安全风险。
• RightsCon 2026 卢萨卡大会在中华人民共和国就台湾代表参会一事对赞比亚施压的报道背景下被正式取消。
• ShinyHunters 的 Anodot 框架改写，把5月6日的期限压力延伸到了整条第三方 SaaS 供应链。

明天（5月6日）：Instructure 的 ShinyHunters 勒索期限到期。Cushman & Wakefield 的 ShinyHunters 联系期限到期。CISA 的 Black-Hammer / BlueHammer / RedSun 类 CVE-2026-33825 联邦补丁期限。Trellix 5月2日源代码泄露的影响评估仍在继续。5月7日：Cloudflare、Coinbase、Lyft 财报。

统一的模式

用户日常生活的各种依赖——水、电、交通、通信、支付、教育、医疗、身份——层层叠加在以下之上：

1. OT/ICS 系统（水务/污水/能源设施的 Rockwell PLC；迈诺特水厂的 SCADA；居民用户接入端的智能电表）。
2. 厂商 SaaS 聚合器（Salesforce；Anodot；Itron；柯林斯航空航天的 ARINC；Pickett USA 工程）。
3. 第三方的第三方数据集成（触及 Vimeo 客户的那条 Anodot 途径）。
4. 供应链依赖（4月22日经由 Checkmarx KICS 的 Docker Hub 接管而来的 Bitwarden-CLI 连锁）。
5. 受外国控制或被本国俘获的间谍软件厂商（Friedman 治下的 NSO；Paragon 的 ICE 200 万美元合同；雅典 Intellexa 定罪；财政部把 Intellexa SDN 移出名单）。
6. 监管产能（CISA 没有经确认的领导人；环保署的水务网络规则受质疑；FERC 的 NERC CIP-015-2 待批）。
7. 信息控制（坦桑尼亚 5 天断网助长 518 人死亡；刚果共和国 3% 基线；中国对赞比亚施压导致 RightsCon 取消）。
8. 和解强制的加密回退（Roblox 3580 万美元州总检察长和解，要求从未成年人聊天中拆除端到端加密）。

每一层都是潜在的攻击面。当监管机构（CISA）没有经确认的领导人，而攻击量同比增长 49% 时，依赖栈就是脆的。这个模式是结构性的。

架构上的对策

层级削减。把厂商数量 / OT 的互联网暴露面 / 单点故障式聚合器的数量降到最少。维持监管产能。在每一层部署用户可控的原语栈：

• OT 环境中的网络分段：可行处做物理隔离；只做遥测的路径用数据二极管；工程变更走堡垒机访问。
• SaaS 聚合层的厂商多元化：避免单一 Salesforce / 单一 Anodot / 单一 Itron / 单一 ARINC 架构。
• 本地人工回退：训练操作员执行人工流程（3月14日勒索软件之后，北达科他州迈诺特靠人工运行了 16 小时）；定期演练。
• 成熟处使用开源 / 开放固件的 OT 替代品：OpenPLC、Mosquitto MQTT 消息代理、Apache PLC4X、OPC UA 开源 SDK。
• 维持监管产能：参议院确认的 CISA 局长；NERC CIP 的执行；欧盟 NIS2 的落实；州公用事业委员会的网络安全职权。
• 用户侧韧性：在经济上可行处采用多公用事业 / 多运营商；用卫星上行应对断网；用网状网络（Briar、Meshtastic、Reticulum、GoTenna PRO）应对公民紧急情况。
• 设备层的取证可检测性：开放固件的移动设备（GrapheneOS），使 SS7/Diameter / Pegasus / Graphite 途径无法绕过用户可检视的缓存与通知数据库行为。
• 来自第 02 至 04 期的用户可控原语栈——开放客户端、开放固件、FIDO2、抗审查传输、隐私币、本地推理 AI、联邦式身份、自托管服务——应用于依赖栈的每一层。

结语

明天，5月6日，Instructure 的 ShinyHunters 期限到期。明天 Cushman & Wakefield 的联系期限到期。明天 CISA 针对多个 KEV 所列 CVE 的联邦补丁期限到期。明天延续今天的模式。过去六十天的这些模式，收敛到同一个架构诊断上：依赖栈太高、太集中、太脆，而本应协调防御的监管机构没有经确认的领导人，那些有能力利用这种脆弱性的间谍软件厂商则正在被本国所有权收编，并眼看着对自己的制裁放松。

层级削减是唯一可推广的对策。更少的厂商。更少的单点故障式聚合器。更少的集成。更少的依赖。维持监管机构。在每一层部署用户可控的原语栈。

依赖栈是那个模式。层级削减是那个回应。

明天，2026年5月6日星期三，两个 ShinyHunters 勒索期限同时到期。

第一个针对 Instructure，即 Canvas 学习管理系统的运营方。该网络犯罪团伙的 "FINAL WARNING — PAY OR LEAK"（“最后通牒——付钱，否则泄露”）通告——经 BreachForums 转发，并由 Privacy Rights Clearinghouse、Comparitech 和 KrebsOnSecurity 观察到——称涉及约 3.65 TB 数据，估计覆盖 2.4 亿至 2.75 亿条记录、约 9,000 至 15,000 家教育机构。被窃取的内容包括数十亿条师生私信以及 Instructure 的 Salesforce 实例。明尼苏达州的 Wayzata 公立学区是第一家发出家长警告的、已确认身份的 Canvas 客户。

Instructure 已确认姓名、电子邮箱、学生标识符和用户间消息遭到暴露。3.65 TB 这个数字仍属犯罪方一侧的说法。保守的说法是：“数以千万计乃至数以亿计的 K-12 与高等教育学生记录，包括学生与教师之间的通信，正面临被公开抛出的迫近风险。”这是 Instructure 八个月内第二次被确认的数据泄露。上一次事件发生在 2025 年 9 月，暴露了约 170 万条记录。

第二个期限适用于 Cushman & Wakefield，今天，5月5日，由《The Register》记者 Connor Jones 单独披露。此次入侵被描述为语音钓鱼驱动——针对该公司服务台的电话社会工程攻击——攻击者用从服务台骗到的凭据访问了公司的 Salesforce 实例。Cushman & Wakefield 是全球最大的商业地产服务公司之一，在约 60 个国家设有办事处，客户遍及金融服务、政府、零售、医疗和科技等行业。据报道，其 Salesforce 实例中存有客户关系管理记录、交易管道、经纪通信和租户数据。

据披露，ShinyHunters 给出的联系期限是5月6日。与 Instructure 的同一天。据《The Register》消息源，是同一个行为体。

今天，5月5日，是它之前的一天。

Salesforce 这一层

Salesforce 是那个单一的“信任载体”式 SaaS 层，跨客户企业数据在此处的集中度最高。据 Salesforce 自己公布的数据，约有 150,000 家客户组织，其中包括绝大多数《财富》500 强公司、数十万家 K-12 与高等教育机构、联邦和州政府机构，以及数以万计的非营利组织。

当一家厂商在共享的多租户平台上持有 150,000 家组织的客户关系数据时，任何针对该平台——或针对某一家客户通往该平台的认证路径——的新型利用，在架构上都有同时触及每一位客户的可能。

2024 至 2025 年的 ShinyHunters 集群——Snowflake、AT&T、Ticketmaster、Advance Auto Parts、LendingTree、Pure Storage，约 165 家客户——已经演示过这个模式。当时的途径是配置错误的客户 Snowflake 实例；被拿走的数据属于那些客户的客户。2026 年 5 月 Instructure 和 Cushman & Wakefield 的披露，是同一个模式换了一家厂商：Salesforce 作为多租户聚合器；语音钓鱼作为通往认证的路径；客户的客户数据作为被窃取的载荷。

这个模式带来的架构教训是结构性的。“信任载体”式 SaaS 的选择，是一家企业所做的最具后果的架构决定，因为它决定了每一次新型利用的爆炸半径。按架构标准衡量，一家把客户关系数据托付给多租户 SaaS 平台的企业，就是在接受：针对该平台任何一位客户的利用，都可能触及本企业的数据。而一家自行运营 Mailcow、Forgejo、Matrix 家庭服务器、Nextcloud、Mautic 和 SuiteCRM 的企业，已经把爆炸半径限定在自己的边界之内。

那个矛盾

就在 Instructure / Cushman & Wakefield 的期限收拢的同一周，多个司法辖区的监管正在推动强制要求更多地向厂商上传身份证件。

苹果 Declared Age Range API 的强制生效日期是 2026年7月1日——距今五十七天。按现行规范，面向 18 岁以下用户的应用必须调用苹果的身份基础设施来获取设备用户的申报年龄区间。用来确立设备用户年龄的机制不是选择性披露密码学；它是苹果做的账户层身份证明，并且会在验证调用时生成验证日志。

英国 Ofcom 的执法报告——涉及 Meta、TikTok、YouTube、Snapchat、Roblox 和 X——在4月30日期限之后立即到期。《在线安全法》第 12 条的年龄保证条款要求平台实施 "highly effective"（高度有效的）年龄验证。Ofcom 首席执行官 Melanie Dawes 在 2026 年 3 月的证词中这样描述该项监管："Platforms must be highly confident, at the time of access, of users' ages."（“平台必须在访问发生的当下，对用户的年龄有高度把握。”）而 "Highly confident" 在操作上被落实为上传政府签发的身份证件、生物特征人脸扫描，或同等的身份证明。

欧盟《数字服务法》与欧盟的年龄验证参考应用。 2026 年 4 月下旬，欧盟发布了一个开源的年龄验证参考应用，作为即将到来的欧盟年龄验证强制要求的技术基础。英国安全顾问 Paul Moore 独立作业，通过编辑一个明文配置文件，在两分钟内绕过了该应用。欧盟在二十四小时内修补了这个绕过。该参考应用是由技术过硬的工程师在欧盟资金监督下开发的。它被一名合同制安全顾问在两分钟内绕过。

欧洲数字身份钱包。 硬性期限为 2026年12月24日——距今 233 天——各成员国须提供可用的 eIDAS 2.0 钱包。重要的是，其架构是选择性披露：持有凭据的是钱包而不是验证方，且只披露被请求的属性。这是架构上正确的机制。但各辖区的实现成熟度参差不齐，而围绕钱包的监管框架并不要求第三方验证方接受选择性披露证明来替代完整的身份证件披露。

澳大利亚的 16 岁以下社交媒体禁令。 2026 年末生效，要求平台核验用户已满 16 岁。核验机制未作规定。

法国 SREN 法。 规定成人内容须做年龄验证，机制从信用卡验证到上传政府签发的身份证件再到生物特征证明不等。

美国各州层面的年龄验证法。 得克萨斯州 SB 2420 于 2025年12月23日被第五巡回法院禁止执行，该法要求上传身份证件才能访问成人内容。加州、佛罗里达州、密西西比州、田纳西州、弗吉尼亚州等州也通过了类似法规。

每个司法辖区里的模式都是：在监管规范中，年龄验证被落实为向第三方厂商上传身份证件，并在验证调用时生成验证日志。厂商就是那条运营方通路。验证日志就是那个监控向量。

那家厂商

2026年2月16日，Discord 的年龄验证厂商 Persona 的面向政府端的运营仪表盘被公开暴露。该仪表盘展示了客户信息、集成配置和验证日志。这一暴露由一名第三方安全研究员发现，并通过负责任披露流程通报。Persona 的客户群包括 Discord（约 3 亿用户），以及若干其他消费级平台客户。

架构上的意义在于：Discord 依赖来核验用户年龄的那家厂商——也就是持有政府签发身份证件文件和身份验证密码学结果的那家——其运营仪表盘在一段未披露的时间内处于无需认证即可访问的暴露状态。年龄验证厂商不过是“信任载体”式 SaaS 供应链里的又一家厂商，同样受制于影响其他每一家此类 SaaS 的运营方通路式攻破。

2026年2月24日，英国信息专员办公室就 Reddit 处理年龄验证数据的方式对其处以 1447 万英镑（1840 万美元）罚款。具体认定是：Reddit 的年龄验证机制在合法验证窗口之外仍在收集和保留政府签发的身份证件图像，违反了英国 GDPR 第 5(1)(e) 条——存储限制原则。

2026年4月23日，Proton 首席执行官 Andy Yen 在包括《卫报》、彭博社和 TechCrunch 在内的一轮统一采访中，把不断扩散的年龄验证强制要求形容为“网络匿名之死”。Yen 的具体论点是：

“各国接连提出的这种年龄验证，将意味着网络匿名之死。这套架构在结构上与一个记录了每一位成年人的身份证件以及他们访问过哪些服务的数据库无从区分。”

Yen 开的药方是：监管机构必须把选择性披露凭据规定为验证机制，而不是厂商侧的身份证明。

架构上的对策

对“上传身份证件”式监管的架构性对策，是一套今天就已经在出货的密码学原语。

W3C 可验证凭据 2.0 版，2026 年 3 月批准，通过 BBS+、BBS24 和 JWP 签名支持选择性披露。用户持有由某个权威机构（州车管局、国家身份机构、大学教务处）签发的凭据。用户可以从该凭据中披露特定属性——比如“年龄至少 18 岁”这个属性——而不披露底层凭据。验证方只学到被披露的那个属性。

去中心化标识符 1.1 版，支持 did:web、did:peer、did:ion、did:key 方法。DID 是用户控制的密码学标识符；解析是去中心化的；方法专属的解析不需要单一注册表。

eIDAS 2.0 欧洲数字身份钱包。 硬性期限 2026年12月24日（距今 233 天）。持有凭据的是钱包而不是验证方，且只披露被请求的属性。全部 27 个欧盟成员国均须实施。

BBS+ 签名套件。 IETF 标准化进行中。这是让单一已签名凭据可被选择性披露的密码学原语：验证方验证签名；披露范围由用户决定。

Privacy Pass 匿名令牌。 RFC 9577，2024 年 10 月发布。验证方无法把多次独立的验证关联回同一个用户。苹果、谷歌和 Cloudflare 是目前三家生产环境部署方。

Apple Wallet 移动驾照（mDL），依据 ISO/IEC 18013-5，已在十三个州以及波多黎各落地。凭据由手机持有。选择性披露在手机与验证方的协议层实现。用户可以只披露“已满 21 岁”，而不披露底层的出生日期、照片、住址或驾照号码。

Google Wallet 美国各州身份证件。 架构与 Apple Wallet mDL 相当。

IETF SCITT 供应链完整性透明度。 这是在不上传底层软件的前提下，验证关于软件供应链之主张的密码学基础。

这套栈今天就在出货。2026 年末落地的监管本应把选择性披露规定为验证机制。在监管机构没有作此规定的地方，厂商应当自愿采用。

州一级的对应现象

2026年4月21日，美国公民自由联盟和 Common Cause 就联邦司法部首次把全部 50 个州的选民名册汇总进一个由联邦控制的单一数据库一事，向联邦法院提起诉讼。此次汇总包含约 1.68 亿名美国登记选民的社会保障号码和出生日期。一名司法部高级隐私官员已于4月3日因该项目辞职。

这在架构上的意义与 Salesforce 的集中一模一样。按架构标准衡量，把全体投票公众在政治上最敏感的个人数据放进单一边界，就意味着距离一次涉及 1.68 亿条记录的社会保障号码与出生日期泄露，只差一次攻破。无论攻破者是外国情报机构、犯罪勒索团伙还是内部人员，1.68 亿美国人的数据都会变得永久且不可逆地流散出去。

架构上的对策是“以联邦制为设计原则”。各州选民名册为选举完整性（去重、地址变更追踪）作短暂同步，但不生成永久性的联邦汇总。用于短暂比对的密码学协议——私有集合求交、多方计算——能在不承担架构风险的前提下达成跨州去重的政策目标。

就在 Instructure / Cushman & Wakefield 期限收拢的同一周，联邦政府正在集中选民名册——而公民社会正就本期所讨论的那种架构风险，在联邦法院对其提出挑战。

医疗这条底线

据 Comparitech / KrebsOnSecurity / Privacy Rights Clearinghouse 的汇总，仅在美国，2026 年第一季度就记录了 201 起医院勒索软件攻击。Qilin 是领头的勒索软件家族。仍处于活跃披露阶段的具名受害者包括马里兰大学医疗系统、芝加哥 Insight 医院和 Hospital Caribbean Medical Center。

美国卫生与公众服务部民权办公室4月23日的四联 HIPAA 和解总额约 170 万美元，覆盖 427,000 名患者。值得注意的是，和解中的一项——Star Group / SG Health Plan，24.5 万美元——罕见地落在了一个雇主发起的健康计划身上，表明民权办公室正把 HIPAA 执法扩展到计划发起人，而不仅限于受管制的服务提供方。

42 CFR Part 2（联邦法规第 42 编第 2 部分）——管辖物质使用障碍治疗记录隐私的联邦规则——已于 2026年2月16日起可作民事执行。该规则现已具有约束力并附带民事罚则。Naviance / PowerSchool 那笔 1725 万美元的窃听和解已进入索赔阶段，覆盖超过 1000 万名学生。

医疗和教育这两个垂直领域，是当前“厂商托管即陷阱”最尖锐的两个佐证。这一层的架构性对策是：最小必要收集、临床人员访问使用选择性披露凭据、隔离且离线的备份、操作系统层面不可变的恢复基础设施、临床工作站使用 FIDO2 硬件认证。

供应链的后续

2026年4月22日：经由 Checkmarx KICS 的 Docker Hub 接管而来的 Bitwarden-CLI 连锁，抵达了生产环境。新颖之处在于：恶意的 Bitwarden-CLI 载荷是首个被公开观察到的、在野针对 Model Context Protocol 服务器配置的攻击。

该 Bitwarden 载荷在安装后会扫描 .cursor/mcp.json、.claude/settings.json 及类似的 AI 编码助手 MCP 服务器配置文件，并把合法的 MCP 服务器端点替换为攻击者控制的端点。用户之后每次调用 AI 编码助手，都会经由攻击者控制的 MCP 服务器路由，把提示词和代码补全外泄出去。

架构上的意义在于：本应作为用户侧对策、用来抗衡 npm/PyPI/Docker Hub 这类中心化软件包表面的联邦式 Model Context Protocol 架构，如今自己也成了目标。首个被公开观察到的 MCP 配置攻击，堵死了“联邦式 MCP 在结构上比中心化软件包注册表更安全”这句反驳。联邦式 MCP 在结构上确实不同，但它现在同样处于攻击之下。用户侧的回应是：对 MCP 服务器端点做密码学签名验证、可复现的 MCP 服务器构建、按组织安排 MCP 节奏并留存审计日志。

RightsCon 卢萨卡

今天，2026年5月5日：RightsCon 2026 卢萨卡大会——由 Access Now 自 2011 年起每年举办的全球数字权利集会——在开幕前数日被取消，此前赞比亚政府在据报来自中华人民共和国的压力下，要求 Access Now 把台湾代表排除在会议之外。Access Now 拒绝。会议被取消。电子前沿基金会、人权观察和前线卫士均已公开表态。

对本期而言，架构上的意义在于：公民社会最主要的全球数字权利集会场所，被中国对东道国政府的施压抹掉了。RightsCon 一直是 Tor 项目为高风险用户部署规避传输的场合，是公民实验室发布 Pegasus 披露的场合，是苹果、谷歌、Meta、Signal、Proton 和 Tuta 与隐私研究者会面的场合，也是全球加密联盟协调工作的场合。

取消并不会消灭这些工作，但它消灭了线下集会。不依赖单一东道国的公民社会协调工具——联邦式、点对点、异步的 Matrix 家庭服务器、Forgejo、Mailcow、Jitsi、Briar——成了架构上的退路。同一套保护用户自持身份的原语栈，也在保护公民社会协调不被单一东道国打断。

后量子

2026年3月6日：Signal 开始对新账户注册强制启用后量子的 SPQR / 三重棘轮协议。这是一家大型消费级消息平台首次硬性切断非后量子的消息通路。signal-cli 账户（广泛用于机器人、自动化工作流和桥接集成的非官方命令行客户端）被批量注销。许多机器人因此失效。架构上的意义在于：通过硬性切断非后量子通路来强制迁移到后量子密码学，与提供可选的后量子扩展，是实质上不同的部署姿态。

2026年3月30日：谷歌量子 AI 与 Justin Drake（以太坊基金会）和 Dan Boneh（斯坦福）联合发表论文，展示把破解比特币 secp256k1 椭圆曲线离散对数所需的量子比特数量降低了约 20 倍。新的下界是：少于 50 万个物理量子比特，一旦这样的硬件存在，攻击耗时以分钟计。比特币的 secp256k1 保护着约 2 万亿美元的市值。迁移到后量子签名需要共识协议变更；后量子迁移的 BIP 流程正在积极讨论中。

2026年4月21日：Coinbase / 斯坦福 / 以太坊基金会的一篇论文确认，ZK rollup（Aleo、Aztec、Railgun）在设计上是信息论意义上抗量子的。rollup 结算层之上的签名方案可以迁移到后量子原语，而不改变该 rollup 的密码学保证。

消息、传输和签名层面已就绪的后量子架构对策：Signal SPQR、iMessage 联系人密钥验证、Apple Wallet 的后量子就绪签名基础设施、Cloudflare 超过 60% 的混合 ML-KEM TLS 部署、Akamai 1月31日起默认后量子。FIPS 140-2 于 2026年9月21日日落，那是联邦采购的悬崖。

一周的弧线

今天（5月5日）处在一段特定的时钟节奏之中。

• 明天（5月6日）：Instructure 的 ShinyHunters 期限。Cushman & Wakefield 的 ShinyHunters 期限。
• 5月11日至22日：Trail of Bits 对门罗币 FCMP++ 的审计。
• 5月14日：Bartz 诉 Anthropic 15 亿美元和解的最终公平性听证。数字欧元 PSP 申请截止。
• 5月15日：FISC 3月17日解密期限（第 702 条改革）。
• 6月12日：第 702 条日落。
• 6月30日：墨西哥 CURP Biométrica 期限（1.27 亿条移动号码）。
• 7月1日：苹果 Declared Age Range API 强制生效日期。
• 8月2日：欧盟 AI 法案 GPAI 上线。
• 9月11日：欧盟 CRA 向 ENISA 的 24 小时漏洞披露。
• 9月21日：FIPS 140-2 日落。
• 12月24日：欧盟数字身份钱包硬性期限。

每一个时钟都是一项制度、监管或协议的期限。用户可控的原语栈——与前三期点名的是同一套——不取决于这些时钟往哪个方向走。

结语

明天的期限不是泄露发生的时刻。泄露已经发生了。明天是分发的时刻。

2.75 亿条 K-12 与高等教育学生数据记录，加上数十亿条师生私信，再加上全球最大商业地产公司之一的客户关系数据，全都坐落在今天正同时被同一个行为体勒索的 Salesforce 实例上。今天是它之前的一天。ShinyHunters 的 "FINAL WARNING — PAY OR LEAK" 通告写明的是5月6日。

同一周，多个司法辖区的监管架构正在强制要求更多地向厂商上传身份证件。苹果 Declared Age Range API。英国 Ofcom 执法。欧盟年龄验证参考应用。澳大利亚的 16 岁以下禁令。法国 SREN。美国各州法律。持有身份证件的那家厂商，就是会被攻破的那家厂商。架构上的对策——密钥由用户持有的选择性披露凭据——已经存在于 W3C、IETF 和 NIST 的标准之中，已获批准、已部署、今天就在出货。跟不上的是监管的技术规定。

前三期点名的用户可控原语栈——密钥由用户持有的开放客户端、开放固件硬件、FIDO2 认证、抗审查传输、隐私保护加密货币、本地推理 AI、带选择性披露的联邦式身份、自托管服务——凭着“不上传”这一架构属性，既没有可被第 03 期所点名的四种转向机制（企业退却、机构强制、国家胁迫、取证攻破）扭转的表面，也没有可被本期所点名的“厂商托管即陷阱”机制扭转的表面。

不要把身份上传给年龄验证厂商。用密码学披露年龄。

不要把学生记录上传给 SaaS 学习管理系统。把学习管理系统托管在用户自己运营的基础设施上。

不要把客户关系数据上传到单一的多租户平台。按组织分段。

不要把病历上传给单一的电子病历厂商。按 HIPAA 的最小必要规则持有记录。

不要把交易数据上传给稳定币运营方。用用户自托管的货币结算。

不要把 AI 提示词上传到第三方日志。在用户可控的算力上跑推理。

不要把各州选民名册上传到联邦数据库。用密码学比对做短暂同步。

不要上传。

欧盟于 2026 年 5 月 4 日星期一在布鲁塞尔重启关于《儿童性虐待条例》的三方谈判。塞浦路斯主导的理事会轮值主席国于 4 月 28 日提交了一份修订后的妥协文本；今天的会议是围绕该文本的第一轮谈判。爱尔兰将于 7 月 1 日接任轮值主席国、接替塞浦路斯，并已声明目标是在当月达成政治协议。今天也是 2026 年 3 月 26 日欧洲议会就临时性电子隐私减损条款——“聊天管控 1.0”——的表决未能延期之后的第一次谈判：议会以 311 票反对、228 票赞成、92 票弃权将其否决。海盗党欧洲议员帕特里克·布雷耶当天早上在 Mastodon 上写道：“喜极而泣。议会拒绝了无令状的大规模扫描。” 德国司法部长斯特凡妮·胡比希 4 月 7 日表示：“无令状的聊天管控在法治国家必须是禁忌。”

CSAR 是欧洲目前待决的、对消息保密性影响最深远的法规。其拟议机制——在加密之前强制对每一条消息进行客户端侧扫描——就保密性保证这一层面而言，与取消端到端加密在架构上无法区分。一个扫描每一条明文消息、并把哈希或分类结果发往中央机构的客户端，按结构性检验标准，就拥有一条运营方通路：中央机构就是运营方，执行扫描的客户端就是它的工具。

今天同时是第 702 条日落倒计时 45 天中的第 4 天。

第 702 条的时钟

2026 年 4 月 30 日星期四，美国众议院以 261 票对 111 票通过了《外国情报监控法》第 702 条的三年延期案。但该法案夹带了一项无关条款，禁止美国发行中央银行数字货币。参议院否决了这一捆绑法案。在午夜到期前数小时，两院通过了一份不带附加条款的 45 天延期案。特朗普总统于 2026 年 5 月 1 日签署。新的日落日期是 2026 年 6 月 12 日。

参议员罗恩·怀登为这份干净延期案放行所开出的价码，是一封由科顿与华纳署名、致国家情报总监图尔西·加巴德与司法部长托德·布兰奇的信函，承诺在延期案生效后十五天内解密公开外国情报监控法院 2026 年 3 月 17 日的一份意见书。时钟自特朗普总统签署之日起算。从 5 月 1 日起十五天是 5 月 16 日；实际操作中的目标是 5 月 15 日。参议员怀登在参议院院会发言中说：“这份 3 月 17 日的意见书记录了严重的滥用。美国公众有权在任何重新授权之前知道那些滥用究竟是什么。”

第 702 条授权在无令状的情况下收集位于美国境外的外国人的通信。这种收集会附带捕获与外国人通信的美国人的通信。其法定架构是运营方配合式的：在美国注册的服务商被强制协助收集。经由在美国注册的服务商——谷歌、微软、Meta、苹果、亚马逊——流转的电子邮件、短信、语音和即时消息流量，就是这套架构的基底。

用户自持密钥的端到端加密对第 702 条产生的架构性效果是：服务商持有的是密文，不是明文。第 702 条的收集拿到的是无法解读的字节。第 702 条的权限在没有用户密钥的情况下无法解密。服务商无法被强制交出它并不持有的东西。

5 月 15 日的解密公开期限，是评估这份 FISC 意见书究竟记录了哪些具体滥用模式的第一个机会。

星期五

2026 年 5 月 8 日星期五，Meta 将从 Instagram 私信中撤除端到端加密。

据 Meta 2026 年 4 月 25 日更新的开发者文档，技术细节如下：既有的 Instagram 私信仍在该公司现有的 Signal 协议实现下保持客户端加密。自 5 月 8 日起的新私信将使用一种“服务器中介消息传递”（Server-Mediated Messaging）协议，该协议会在 Meta 控制的中继处保留明文。用户会收到一条应用内横幅通知：“自 5 月 8 日起，新的 Instagram 私信将通过一种新的服务器中介消息传递协议，支持 AI 功能与依法访问合规。”

全球加密联盟指导委员会在 2026 年 4 月 8 日的一份声明中说：“Meta 宣布从 Instagram 私信中回撤端到端加密，与该公司 2023 年 12 月将 Messenger 的端到端加密保护扩展至 Instagram 的承诺相矛盾，而且对一家主流消费级消息平台而言是史无前例的。”

Meta 给出的理由是：“依法访问合规与 AI 功能集成”。其中“AI 功能集成”这一提法，指向 Meta AI 助手的各项功能——摘要、翻译、智能回复和内容分类——而这些功能在架构上都以运营方侧的明文为前提。

约 20 亿个 Instagram 账户受到影响。WhatsApp（约 30 亿用户）、iMessage（约 15 亿台设备）和 Signal（7000 万月活）仍在用户自持密钥下保持客户端加密。Meta 没有宣布对 WhatsApp 作平行改动。

其架构意义在于先例。5 月 8 日是主流消费级消息平台第一次在协议层面推翻一项旗舰级端到端加密部署。企业的算计已经转向：AI 功能带来的商业压力，如今压过了推动 2014–2024 年那次架构转向的隐私政策承诺。

通知缓存

2026 年 4 月 9 日星期四，404 Media 的约瑟夫·考克斯报道称，联邦调查局通过 iOS 通知数据库缓存，从一名被告的 iPhone 中恢复了“已删除”的 Signal 消息。该缓存把通知预览文本存放在一个由 SQLite 支撑的数据库中，而这个数据库在原应用被删除后依然存活。尽管 Signal 客户端设置了阅后即焚，被告已删除的 Signal 消息仍可从操作系统层的缓存中恢复。

2026 年 4 月 16 日星期四，电子前哨基金会技术专家索林·克洛索夫斯基发表了一份架构解剖：“苹果的通知缓存有一个隐私问题。端到端加密保护的是传输中的消息，以及消息应用数据库中静态存储的消息。它不保护显示在操作系统通知预览里的消息，而苹果的通知数据库把这些消息持久化在一个独立的 SQLite 存储中，该存储在原应用被删除后依然存活。”

2026 年 4 月 22 日星期三，苹果发布了 iOS 26.4.2、iPadOS 26.4.2 和 iOS 18.7.8。补丁说明写道：“修复了通知预览持久化的一个问题。” 分配的 CVE 编号是 CVE-2026-28950。

架构上的教训是：端到端加密是必要的，但不是充分的。解密端点——显示消息的那一层操作系统——也必须不在用户声明的保留偏好之外留存明文。Signal 的架构无法阻止操作系统层的缓存。这个补丁堵上了已披露的缺陷，但架构面依然存在：任何在用户设备上显示明文的闭源固件应用，都可能留下用户未曾授权的痕迹。

用户侧的架构性回应，是缓存行为可由用户自行检查的开放固件硬件。GrapheneOS——从 AOSP 派生、专注于加固的安卓发行版——默认不把通知预览留存到持久化缓存中。iOS 16 引入、在 iOS 18 中加固的锁定模式，缩小了应用安装面，但并未处理通知缓存的持久化问题。

苹果 2026 年 3 月下旬对路透社的声明：“我们尚未发现任何针对启用了锁定模式的设备的成功雇佣型间谍软件攻击。” 该声明发布于联邦调查局通知缓存事件披露之前，就间谍软件这一路径而言仍然成立——但联邦调查局的恢复用的完全是另一条路径：通知缓存缺陷。

Bad Connection

2026 年 4 月 23 日星期四，公民实验室研究员加里·米勒与斯万特耶·兰格发表了 "Bad Connection: How Surveillance Vendors Exploit Mobile Networks for Espionage"（《糟糕的连接：监控供应商如何利用移动网络进行间谍活动》）。

该报告记录了自 2022 年 11 月以来，至少 15,700 次经由 SS7（七号信令系统）和 Diameter 信令协议、以及 SIMjacker 短信利用实施的确认位置追踪尝试。报告点名三家以电信业务为掩护的“幽灵”实体：以色列虚拟运营商 019Mobile；英国注册的电信公司 Tango Networks；以及作为海峡群岛法域载体的 Airtel Jersey。一家未具名的以色列地理情报供应商被牵涉其中。

针对的目标遍及全球：至少十个国家，包括美国、若干欧盟成员国、墨西哥、印度，以及若干海湾国家。

SS7 与 Diameter 是传统移动运营商互联的信令协议。两者都早于任何有意义的安全架构。SS7 于 1988 年制定，基于只有电信运营商才会接入信令网络的假设，完全没有身份验证机制。Diameter（3GPP TS 29.272）是 LTE/5G 时代的替代方案；与 SS7 一样，它缺乏运营商之间稳健的双向认证。SIMjacker 是另一条路径：通过特制短信实现基于 SIM 卡的远程命令执行，利用的是 S@T Browser 小程序的宽松配置。

架构面在于传统移动信令层缺乏端到端的身份保密性。运营商可以路由、可以利用，也可以被胁迫。用户在架构上无从得知谁在查询自己的位置、谁在发送漏洞利用短信。

用户侧的回应是：能在 SIM 被攻陷后依然有效的 FIDO2 硬件认证（因为认证绑定的是硬件，而不是电话号码——YubiKey、Nitrokey、SoloKey），以及收窄应用安装面的开放固件移动设备（GrapheneOS）。

作为对 Bad Connection 的回应，于 2026 年 4 月 21 日发布、此后已被 15.0.11 取代的 Tor 浏览器 15.0.10 轮换了 Snowflake 的 STUN 服务器，以预先应对国家侧可能升级的封锁尝试。

边境上的 Paragon

2026 年 5 月 1 日星期五，移民与海关执法局代理局长托德·莱昂斯在众议院国土安全委员会作证时证实，该局部署了 Paragon Solutions 的 "Graphite" 零点击间谍软件。

Paragon Solutions 由以色列 8200 部队的前成员创立，以托管服务的形式出售 iOS 与安卓的零点击利用能力。Graphite 是该公司的旗舰产品。意大利的“Graphite”丑闻——意大利检察官证实记者弗朗切斯科·坎切拉托的 iPhone 曾被 Graphite 入侵，而 Paragon 拒绝配合意大利方面的调查——发生在莱昂斯的证实之前。

架构意义在于：联邦机构采购商业间谍软件，如今已在内阁部门层级被公开证实。目前没有适用于此类采购或部署的公开监督法规。也没有告知目标的要求；目标并不知道自己正在被针对。

用户侧的回应是开放固件移动设备——GrapheneOS 或同类——其应用安装面可由用户自行检查，加上等同于锁定模式的设置以封堵常见的零点击路径，再加上公民实验室与国际特赦组织的持续取证监测。

1.68 亿美元的判决

2026 年 4 月 27 日星期一，奥克兰联邦陪审团判决 NSO Group 向 Meta 支付 1.68 亿美元的惩罚性与补偿性赔偿。该判决出自一场为期三周的庭审。陪审团认定 NSO Group 在 2019 年针对 1,400 名用户的 WhatsApp / Pegasus 入侵中，违反了《计算机欺诈与滥用法》以及加利福尼亚州的《综合计算机数据访问与欺诈法》。

NSO 的抗辩——主权豁免（NSO 主张自己是作为主权客户的代理人行事）、客户控制目标选择（NSO 主张目标选择是客户的责任，而非供应商的），以及 "lawful interception"（合法拦截，NSO 主张 Pegasus 仅出于合法拦截目的出售）——均被驳回。

架构意义在于：针对端到端加密消息服务运作的零点击商业间谍软件供应商，具有结构性的产品市场契合度。法律体系第一次在庭审中为这种契合度定了价。这份判决是否会成为下游商业间谍软件诉讼的先例，取决于上诉审查。

伊朗的第 65 天

今天是伊朗全国性断网的第 65 天。断网始于 2026 年 2 月 28 日，发生在以色列-伊朗交火之后。据 NetBlocks 与 Cloudflare Radar，全国连通性远低于战前水平的 1%。

作对照：伊朗这次持续 65 天的全国性断网，是 Access Now 的 KeepItOn 联盟有记录以来最长的一次全国性国家断网。缅甸 2021 年政变后的断网在区域层面持续更久，但全国连通性是分阶段恢复的；提格雷持续两年的断网是区域性的；克什米尔因第 370 条而持续 552 天的断网也是区域性的。Access Now 于 2026 年 3 月 31 日发布的 KeepItOn 2025 年度报告记录了 2025 年全球创纪录的 313 次断网——而伊朗如今已在 2026 年头五个月内造就了当年最长的单次全国性断网。

2026 年 4 月 21 日，伊朗通信部把分级接入制度化。宣布的两个层级是：面向通过政治忠诚审查的公民、每月 50 GB 数据上限的 "Internet Pro" 层级；以及保留给官员和获批记者的“白 SIM 卡”。结构性的确认是：伊朗打算让断网作为新的均衡状态持续下去，而不是被逆转。

据托尼·布莱尔研究所与 NetBlocks，每日经济成本为 7000 万至 8000 万美元。

架构上的教训是：一个控制持牌运营商基础设施的国家，可以把运营方通路整个关掉。用户侧的回应包括网状组网（Briar、Bridgefy）、卫星上行（路透社曾报道伊朗境内存在非官方的星链天线）、Tor 可插拔传输（Snowflake、meek-azure、obfs4），以及协议混淆式的规避工具（Outline、V2Ray、Trojan、Reality、Shadowsocks）。

俄罗斯的客户封锁

2026 年 4 月 15 日星期三，俄罗斯联邦通信、信息技术和大众传媒监督局——即联邦通信监管局（Roskomnadzor）——强制至少二十家主要平台主动封锁试图经由 VPN 访问的客户。被点名的平台包括 Yandex、Sberbank、VK、Wildberries 和 Gosuslugi（联邦电子政务门户）。

在不使用 VPN 的情况下，Telegram 的可用性降至约 5%。约 1.05 亿俄罗斯用户受到影响。苹果在 4 月 15 日期限当天或稍早，从俄罗斯 App Store 下架了 761 款 VPN 应用。造成平台侧封锁的同一套 DPI 基础设施，曾在 4 月 4 日因指纹识别与正常银行流量相撞而引发全国性银行服务中断。VPN 追踪网站 VPN Traffic Light 于 4 月 9 日被封锁。

Meduza 曾记录到，联邦通信监管局的工作人员自己也在使用 VPN，以便继续在已被封锁的平台上发帖。

架构上的教训是：国家可以强制平台从平台侧执行封锁，而不只是在网络层封锁。用户侧的回应是：在 DPI 指纹识别之下或与之并行运作的抗审查传输——带 Snowflake 的 Tor 15.0.10；V2Ray VLESS+Reality；Shadowsocks-2022；Trojan；配 obfsproxy 的 WireGuard；以及 URnetwork 的点对点传输。

3.44 亿美元的冻结

2026 年 4 月 23 日星期四，泰达公司执行了其历史上最大的单笔资产冻结：应未具名执法机构的要求，冻结了波场区块链上的 3.44 亿美元 USDT。自 2017 年以来，泰达累计冻结金额如今已超过 44 亿美元。

泰达的黑名单功能是一把中心化的管理密钥，其行使不经司法审查，也不通知交易对手。架构上的教训是：带有运营方控制黑名单功能的稳定币不是抗审查的货币——它们是贴了价签的许可制账本。

架构上的反制沿三条轨道推进。比特币：BIP392（2026 年 3 月）、BIP376（2026 年 4 月）与 BIP77 异步 PayJoin，把静默支付与 PayJoin v2 这套技术栈在比特币的透明账本上夯实了。BIP324 v2 加密 P2P 传输现已是 Bitcoin Core 的默认选项。门罗币：Trail of Bits 对 FCMP++（全链成员证明 Plus Plus）的审计于 5 月 11 日至 5 月 22 日进行，这是硬分叉激活前的最后一道关卡；该激活会把匿名集从每笔交易 16 个诱饵输出，扩展到整个历史 UTXO 集，目前约为 1.5 亿个输出（约 1000 万倍的不可关联性扩展）。Zcash：屏蔽供应量约占流通量的 31%（517 万 ZEC）；屏蔽交易在 2 月达到网络活动的 59.3%；在美国证券交易委员会结束对 Zcash 基金会的调查后，Grayscale 提交了首只隐私币现货 ETF 的申请。

在泰达冻结的同一周，欧洲中央银行管理委员会于 4 月 9 日和 10 日敲定了数字欧元试点的治理安排。支付服务提供商的申请于 5 月 14 日截止。CBDC 架构在设计上就内建了运营方通路：中央银行或其委托的支付服务提供商持有账本。

运营方控制的稳定币与 CBDC 是运营方通路型货币。带静默支付的比特币、带 FCMP++ 的门罗币，以及屏蔽的 Zcash，则是用户自托管型货币。

斯坦因原则

2026 年 1 月 5 日星期一，美国地区法官悉尼·斯坦因驳回了 OpenAI 对在证据开示中向《纽约时报》原告方提交两千万条 ChatGPT 用户日志的异议。斯坦因法官认定，用户输入商业 AI 服务的内容不受 Carpenter v. United States（2018 年）这一第四修正案原则的保护——那是最高法院的一项裁定，认为政府访问第三方持有的基站位置信息通常需要令状。

斯坦因的裁定把 AI 日志与基站记录区分开来：AI 用户是自愿把内容提交给第三方处理的；而基站记录是用户仅仅持有手机就自动生成的。这一区分的实际效果是，商业服务商持有的 AI 日志在第三方处即可被民事证据开示强制提交。

放在更大的背景里看：Bartz v. Anthropic——美国针对生成式 AI 供应商的最大规模版权集体诉讼——将于 2026 年 5 月 14 日举行最终公平性听证，拟议的 15 亿美元和解方案已列入议程。米兰法院于 2026 年 4 月 14 日受理了一起针对 Meta 的集体诉讼，涉及约 3500 万用户。得克萨斯州总检察长于 2026 年 4 月 29 日宣布与谷歌达成 13.75 亿美元的和解。

美国和欧洲的法院正在通过证据开示和集体诉讼受理，而不是通过监管机构的行动，来确立事实上的 AI 隐私原则。欧洲对 AI 隐私的机构性公共执法已经停摆：罗马法院于 2026 年 3 月 18 日撤销了意大利数据保护局对 OpenAI 开出的 1500 万欧元罚款——那是欧洲唯一一项针对 ChatGPT 的终局性 GDPR 处罚——于是，在《人工智能法》8 月 2 日通用目的 AI 条款生效前 90 天，欧洲针对通用目的 AI 服务的公共 GDPR 处分为零（该条款的罚则为全球营业额的 3%）。

架构上的反制是运行在用户硬件上的本地推理开放权重模型：DeepSeek V4 Pro、Mistral Medium 3.5、Llama 3.3、Qwen 3、GPT-OSS。没有第三方日志的地方，就没有什么可开示，也没有什么可传唤。

统一的那个面

八类披露，全部发生在过去这一周：

1. 企业退守。 Meta 于 5 月 8 日撤除 Instagram 私信的端到端加密。
2. 机构强制。 欧盟 CSAR 三方谈判今天重启；第 702 条日落倒计时 45 天中的第 4 天；FISC 解密公开 15 天中的第 4 天。
3. 国家胁迫。 伊朗全国性断网第 65 天；俄罗斯 4 月 15 日对 VPN 用户的客户端封锁；761 款 VPN 应用被下架出俄罗斯 App Store。
4. 取证攻陷。 苹果 iOS 通知缓存补丁 CVE-2026-28950 封堵了联邦调查局恢复 Signal 消息的路径；公民实验室 Bad Connection 记录 15,700 次以上 SS7/Diameter 追踪尝试；ICE 部署 Paragon Graphite 获证实；1.68 亿美元的 NSO 判决。
5. 货币的运营方黑名单。 泰达 3.44 亿美元冻结。
6. 监控数据库的运营方通路。 Flock 与旧金山警局 160 万次非法查询；奥什科什市合同被撤销。
7. AI 第三方日志原则。 斯坦因裁定 2000 万条 ChatGPT 日志交给《纽约时报》；意大利数据保护局的处罚被撤销；《人工智能法》通用目的 AI 的 90 天悬崖。
8. 反制架构。 Tor 15.0.10 的 Snowflake STUN 轮换；GrapheneOS 构建版本 2026042100；比特币 BIP392/376/77；门罗币 Trail of Bits 审计 5 月 11–22 日。

这八类共有一条架构属性：运营方通路。无论哪一层持有明文，那个运营方都可以被：

• 强制（CSAR、第 702 条、印度 IT 规则）；
• 胁迫（俄罗斯、伊朗、白俄罗斯、中国）；
• 攻陷（Bad Connection 的 SS7/Diameter、NSO Pegasus、Paragon Graphite、联邦调查局的通知缓存）；
• 自愿回撤（Meta Instagram、英国的苹果高级数据保护）。

用户自持密钥的端到端加密，移除了消息的运营方通路。 开放固件硬件移除了端点的运营方通路。 FIDO2 硬件认证移除了凭据的运营方通路。 抗审查传输移除了网络可达性的运营方通路。 隐私保护型加密货币移除了价值结算的运营方通路。 本地推理的开放权重 AI 移除了推理日志的运营方通路。 带选择性披露的联邦式身份移除了凭据的运营方通路。 自托管服务移除了存储数据的运营方通路。

用户可控的原语栈——与上一期中被点名为 AI 加速型网络攻击节奏之反制的那一套栈相同——凭借“没有运营方”这一架构属性，不存在任何可以被上述四种机制扳动的面。

三个时钟

今天是第 702 条日落倒计时 45 天中的第 4 天。今天也是 FISC 解密公开倒计时 15 天中的第 4 天。今天是欧盟 CSAR 三方谈判会议的第 1 天，而在塞浦路斯轮值主席国设定的 7 月政治协议目标月份之前，究竟还有多少轮会议尚不可知。

5 月 8 日星期五是 Meta 撤除 Instagram 端到端加密之日。

5 月 11 日至 5 月 22 日是门罗币 FCMP++ 的 Trail of Bits 审计窗口。

5 月 14 日是 Bartz v. Anthropic 的公平性听证日，也是数字欧元支付服务提供商申请的截止日。

5 月 15 日是 FISC 解密公开的目标日。

6 月 12 日是第 702 条的日落之日。

8 月 2 日是欧盟《人工智能法》通用目的 AI 条款生效之日。

结语

运营方处的明文就是监控通路。运营方可以被强制、被胁迫、被攻陷，也可以自愿回撤。本周，这四种机制在同一个工作日周期内同时生效。

用户自持密钥的端到端加密，运行在用户可控的硬件上，跑在用户可控的网络上，用用户自托管的货币结算，配合运行在用户可控算力上的本地推理 AI，配合联邦式身份，跑在自托管服务上——这整套用户可控的原语栈，不存在运营方通路。没有哪个运营方能读到消息，能在未经用户同意的情况下重新启用留存，能依国家指令丢弃流量，能把一笔交易列入黑名单，能为证据开示交出日志，能泄露一份凭据，能因存储数据而被传唤。

上一期中被点名为攻击市场节奏之架构反制的同一套栈，也是供应商与国家在保密性上退守的架构反制。威胁模型不同。架构属性相同。

没有运营方。没有通路。扳不动。

2026 年 3 月 24 日星期二，谷歌云旗下的 Mandiant 部门发布了 M-Trends 2026 报告——这份年度事件响应基准报告基于 Mandiant 分析师在 2025 自然年中完成的 50 万小时以上的事件响应工作。在该报告的诸多发现中，有一个数字格外突出：

二十二秒。

这是 2025 年从初始访问经纪人（IAB）攻陷目标，到移交给勒索软件加盟方的中位时间。这个指标测量的是两个时刻之间的实际时钟耗时：一是自动化工具、漏洞利用或社会工程电话让初始访问经纪人在目标网络中站稳脚跟的那一刻；二是另一个操作者——勒索软件加盟方——接手并开始加密与外泄阶段的那一刻。

2022 年，同一指标是八小时以上。2023 年是“数小时”。2024 年约为十一分钟。2025 年是二十二秒。

三年里大约加速了一千倍。

Mandiant 在报告正文中给出的解读是：这个指标反映了“初始访问伙伴与二级团伙之间更紧密的协作”。用商业软件的话说，从初始访问经纪人到加盟方的这个市场已经工业化了：API 稳定，格式标准化，托管结算自动化，而此前限制移交时间的人工延迟已经被从这条链条里挤了出去。移交发生在机器速度上，因为交易双方都已成熟为一种产品化的交换。

网络攻击经济如今是一个市场。二十二秒是这个市场的出清时间。

今天的三个由头

2026 年 5 月 4 日星期一的三条新闻，从操作层面展示了这道节奏鸿沟。

其一。 路透社的独家报道今天经《保险杂志》等多家媒体广泛转载：据报道，美国网络安全和基础设施安全局正在考虑，把联邦已知被利用漏洞的修补期限从《具约束力的操作指令 22-01》下当前两到三周的上限，缩短到三天。CISA 代理局长尼克·安德森与国家网络总监肖恩·凯恩克罗斯正在审议这一拟议变更。据业界分析，推动因素是：AI 加速的漏洞利用——包括 Anthropic 的 Mythos Preview 和 OpenAI 的 GPT-5.4-Cyber——把披露后到被利用的窗口从“数月”压缩到了“数小时”。以下是业界的表态。

Bitsight 创始人斯蒂芬·博耶：“如果你打算保护民事机构，你就必须动得更快。我们没有那么多窗口时间了。”

Flashpoint 副总裁凯西娅·霍伊特：“现实地说，对某些环境而言，三天根本不可能做到。”

前 CISA 副局长尼廷·纳塔拉詹：“这是给其他人的一个信号，它说的是：‘嘿，你们得更快地把这件事做完。’”

CISA 自身正在减员状态下运转，先是深度裁员，接着又经历了国土安全部长达 75 天的停摆。这个三天的提案在结构上是全新的；即便被采纳，它仍比 Mandiant 测得的 22 秒攻击方上限高出两个半数量级。

其二。 Progress Software 披露了 MOVEit Automation 中的 CVE-2026-4670——一个 CVSS 9.8 的严重身份验证绕过漏洞——以及 CVE-2026-5174（CVSS 7.7 权限提升）。受影响版本：MOVEit Automation 2025.1.4、2025.0.8、2024.1.7 及更早版本。已在 2025.1.5、2025.0.9、2024.1.8 中修复。约有 1,400 个 MOVEit Automation 实例公开暴露在互联网上；其中十几个与美国州和地方政府相关。这些漏洞由空客 SecLab 的研究员 Anaïs Gantet、Delphine Gourdou、Quentin Liddell 和 Matteo Ricordeau 负责任地披露。披露时尚未有活跃利用的报告。

历史先例挥之不去。2023 年的 MOVEit Transfer 漏洞——那是 Progress Software 另一款产品中的另一个漏洞，被 Clop 勒索软件行动利用——造成了 2,100 多家机构受害，以及累计估计 120 亿美元的损失，受害者包括壳牌、BBC、英国航空、美国能源部、美国卫生与公众服务部等许多机构。

如果 2026 年的 MOVEit Automation 漏洞进入 2023 年那种规模的大规模利用，联邦的节奏将无法跟上。这 1,400 个暴露实例虽然集中，但每一个美国州和地方政府的实例，都在为那些本身又连接着身份、医疗、薪资和福利基础设施的系统承担合规报送。

其三。 Mistral 在 Mistral Medium 3.5 上推出了 Vibe Remote Agents。云端自主编码智能体，支持多个并行会话，提供命令行和 Le Chat 两种前端。Le Chat 的“工作模式”也在同一模型上首发。Mistral Medium 3.5：1280 亿参数稠密模型，256K 上下文，SWE-Bench Verified 得分 77.6%，τ³-Telecom 得分 91.4。改良 MIT 许可；权重可从 Hugging Face 下载。

Vibe 是 2026 年出货的第四个主要智能体编码平台——前三个是 OpenAI Codex、Anthropic Claude Code 和 Google Antigravity。Antigravity 于 4 月 22 日发布，同一天 Pillar Security 披露了一个沙箱逃逸远程代码执行漏洞：通过 find_by_name 的 Pattern 参数注入提示词，进而注入 fd 工具的命令行参数，绕过 Antigravity 的安全模式。

能力正在以消费级软件的节奏出货。而监管侧的回应——五眼联盟 5 月 1 日发布的首份智能体 AI 安全联合指南——是建议性的，而且只有三天大。

“恢复剥夺”是什么意思

Mandiant 的 M-Trends 2026 报告在 22 秒这个指标之外，还指出了勒索软件操作者行为上的一个结构性转变。操作者已经越过双重威胁（加密加窃取），进入报告称之为 "recovery denial"（恢复剥夺）的第三阶段架构。

其模式是：在初始访问经纪人向加盟方移交之后，操作者会系统性地攻击身份服务、虚拟化管理平面和备份基础设施。目标既不只是数据外泄，也不只是加密，而是剥夺受害机构恢复运营的能力。攻陷身份服务会阻断用户认证。攻陷虚拟化管理会阻止灾备切换。攻陷备份基础设施会阻断恢复。

这一模式在 5 月 1 日至 4 日这个窗口里，在操作层面浮出水面。

cPanel 的 “Sorry” 勒索软件行动使用 ChaCha20 加密，并内嵌了攻击者侧的 RSA-2048 公钥。解密需要攻击者的 RSA-2048 私钥。不付款而恢复是不可行的。

5 月 2 日的 Trellix 源码仓库泄露，把检测规避模式和特征定义暴露给了外泄源码的人，从而为未来的恢复剥夺场景创造了条件。Trellix 是由 McAfee Enterprise 与 FireEye 于 2022 年合并而成的网络安全公司，由 Symphony Technology Group 持有。

Instructure / Salesforce 这条路径则经由第三方 SaaS 迂回，彻底绕开了客户侧的恢复规划。多数使用 Instructure Canvas 学习管理系统的学校，对 Instructure 的 Salesforce 实例没有任何合同上的可见性；要从一次 Salesforce 迂回式泄露中恢复，需要 Instructure 的配合和 Salesforce 的许可，而这两者客户都控制不了。

4 月 30 日 Wasabi Protocol 的部署者密钥盗取，使用 UUPS 代理升级替换了四条区块链——以太坊、Base、Berachain 和 Blast——上的金库实现，击穿了任何协议内的恢复原语。部署者外部账户 wasabideployer.eth 独占 ADMIN_ROLE；它把该角色授予了一个攻击者合约；攻击者执行了升级；一次伪造的 strategyDeposit() 调用抽干了金库。没有时间锁。没有多签。恢复面就是协议自己的管理密钥。

22 秒这个指标是访问的节奏。恢复剥夺是访问之后的架构。

Sorry 勒索软件划出的下限

cPanel 的 CVE-2026-41940 这个案例，从操作层面说明了这道节奏鸿沟。

据 KnownHost 首席执行官丹尼尔·皮尔森，这个漏洞——一个经由 CRLF 注入实现的 CVSS 9.8 预认证绕过——自至少 2026 年 2 月 23 日起就已在野被活跃利用。cPanel 于 4 月 28 日打了补丁。CISA 于 4 月 30 日把该漏洞加入已知被利用漏洞目录，并给出了一个异常短的、为期两天的联邦修补期限：5 月 3 日。

到 5 月 2 日星期六，“Sorry” 勒索软件家族已经上线并在大规模利用该漏洞。Censys 5 月 2 日的遥测数据：15,448 台 cPanel/WHM 主机参与恶意活动——占当天所有被 GreyNoise 标记的恶意主机的 79.99%，前一天这个数字还只有 146。到 5 月 3 日星期日，约有 2,000 个实例被攻陷。

到 5 月 4 日星期一——也就是今天——联邦修补期限已经过期。TechCrunch 报道称利用仍在继续：黑客仍在利用这个 cPanel 漏洞夺取数千个网站的控制权。

三个独立的威胁集群共用同一个 CVE。使用 .sorry 文件扩展名并以 Tox 通讯软件作为赎金联系方式的 “Sorry” 勒索软件行动。Mirai 变种 nuclear.x86，用于部署挖矿程序和构建 DDoS 僵尸网络。以及由 Ctrl-Alt-Intel 追踪的、来自 IP 95.111.250.175、针对 .mil.ph、.gov.la 以及菲律宾、老挝、加拿大、南非和美国的托管服务商的国家级风格间谍行动。

六十四天的零日期。两天的联邦期限。三天的期限后利用。约 150 万个 cPanel 实例暴露在互联网上；约 7000 万个域名可能受影响。修补节奏是联邦的节奏；利用节奏是犯罪与国家的节奏；两者不会收敛。

Copy Fail 与 AI 驱动的漏洞发现

2026 年 5 月 1 日星期五，CISA 把 CVE-2026-31431——“Copy Fail”——加入已知被利用漏洞目录，联邦修补期限为 5 月 15 日。这个 Linux 内核 algif_aead/AF_ALG 加密模板逻辑缺陷是一个 9 年之久的漏洞，由 2011 年、2015 年和 2017 年的原地加密改动引入。一段 732 字节的 Python 概念验证代码可通过 setuid 程序取得 root 权限。

该漏洞影响自 2017 年以来发布的每一个 Linux 发行版：Ubuntu（含 24.04 LTS）、Amazon Linux 2023、RHEL 10.1、SUSE 16、Debian、Fedora、Arch。它还影响容器：Docker、LXC 和 Kubernetes 默认就把 AF_ALG 授予容器。主线内核的修复在 4 月 1 日；首批厂商补丁在 5 月 1 日前后落地于 Debian / Ubuntu / AlmaLinux。

微软 Defender 在同一天加入了 Exploit:Linux/CopyFailExpDl.A、Exploit:Python/CopyFail.A、Exploit:Linux/CVE-2026-31431.A 三个特征。微软安全博客 5 月 1 日写道：“这是初步的测试活动，最有可能导致的结果是未来几天内威胁行为者的利用增加。”

关键之处在于：这个漏洞是 Theori 使用其 Xint AI 渗透测试平台发现的。这与 Anthropic 的 Mythos Preview 在 4 月 7 日展示的、以及 Vidoc Security Lab 在 4 月 14 日于八个小型开放权重模型上复现的，是同一类 AI 驱动的漏洞发现能力——其中一个模型仅有 36 亿激活参数，每百万 token 只要 0.11 美元。

AI 驱动的漏洞发现如今已是一种消费级 API 商品。每百万 token 0.11 美元的成本下限意味着，小型组织也负担得起国家级的网络发现基础设施。Glasswing 受控访问框架——Anthropic 针对 Mythos 的限制性访问计划，约有 40 家经审核的合作方，最高提供 1 亿美元的使用额度——在能力商品化之后，无法再框住能力。Theori 发现了 Copy Fail。其他研究团队以相近的成本，在其他操作系统和框架里发现了其他漏洞。发现的节奏，与利用的节奏并行地工业化了。

五眼联盟的第一次发声

2026 年 5 月 1 日星期五，五眼情报伙伴关系——美国网络安全和基础设施安全局、美国国家安全局、澳大利亚信号局下属的澳大利亚网络安全中心、加拿大网络安全中心、新西兰国家网络安全中心，以及英国国家网络安全中心——发布了其首份关于智能体 AI 安全的多机构协调联合指南：《Careful Adoption of Agentic AI Services》（谨慎采用智能体 AI 服务）。

指南点出五类风险：跨智能体工具的权限提升；设计与配置缺陷；行为风险（提示词注入与目标劫持）；结构性风险（多智能体失效与涌现式合谋）；问责缺口。

指南原文："Until security practices, evaluation methods and standards mature, organisations should assume that agentic AI systems may behave unexpectedly and plan deployments accordingly, prioritising resilience, reversibility and risk containment over efficiency gains."（在安全实践、评估方法和标准成熟之前，各组织应假定智能体 AI 系统可能出现意料之外的行为，并据此规划部署，把韧性、可逆性和风险遏制置于效率收益之上。）

建议措施包括：零信任架构、纵深防御、最小权限、带密码学保护的智能体身份、短生命周期凭据、传输中与静态加密、对高影响操作要求人工批准、以及提示词注入防御。

发布三天之后，也就是今天，Mistral 出货了 Vibe Remote Agents。能力的节奏是消费级软件的快。监管的节奏是委员会的慢。

供应链（4 月 22 日至 5 月 1 日）

从 4 月 22 日到 5 月 1 日这十天窗口里，出现了六起独立的供应链披露。

4 月 22 日（同一个星期二上的三起）。 OX Security 披露了 Anthropic 模型上下文协议在所有 SDK 语言——Python、TypeScript、Java、Rust——上的一个系统性设计漏洞，据《The Register》影响约 20 万台服务器，十一个 MCP 市场中有九个被投毒。Pillar Security 披露了谷歌新推出的智能体 IDE Antigravity 中的沙箱逃逸远程代码执行漏洞。TeamPCP 发起的 Shai-Hulud Third Coming 行动在 npm 上投放了带后门的 @bitwarden/cli@2026.4.0——上线约 1.5 小时——并且有记录以来第一次把 .claude/settings.json 和 .vscode/tasks.json 武器化，用作 AI 编码助手的持久化机制。

4 月 29 日（Mini Shai-Hulud）。 TeamPCP 把供应链行动扩展到四个与 SAP 相关的 npm 包：mbt 1.2.48、@cap-js/db-service 2.10.1、@cap-js/postgres 2.2.2、@cap-js/sqlite 2.2.2。合计每周约 50 万次下载；上线两到四小时。恶意的 preinstall 钩子会拉取一个混淆过的 Bun 二进制文件，收割本地凭据、GitHub 与 npm 令牌、GitHub Actions 密钥、AWS/Azure/GCP/Kubernetes/HashiCorp Vault 密钥，以及浏览器中保存的凭据。外泄目标是受害者自己的 GitHub 仓库，仓库名为 "A Mini Shai-Hulud has Appeared."（一个迷你夏胡德出现了）。一段俄语系统检查会在检测到俄语时终止该恶意程序。

4 月 30 日（扩展到 PyPI）。 PyTorch Lightning 2.6.2 和 2.6.3 在发布后 42 分钟被隔离。

5 月 1 日（Bitwarden CLI 变种）。 TeamPCP 行动的持续活动。

TeamPCP 行动的完整时间线：始于 2026 年 2 月 27 日，经由 Aqua Security 的 Trivy 中配置错误的 pull_request_target。攻陷了 aqua-bot 的个人访问令牌。随后转向 trivy-action、setup-trivy、v0.69.4、以及恶意 Docker Hub 镜像。3 月 24 日，利用被攻陷的 Trivy action 外泄了 LiteLLM 的 PyPI 发布令牌。发布了 litellm==1.82.7 和 1.82.8，持续约 40 分钟。到 4 月中旬，约有 50 万条凭据被窃取。Vect 勒索软件于 4 月 15 日列出了它的第一个受害者：“约 400 万封邮件和 700 GB 数据。”

防御方那一层是开发者工具链。开发者工具链就是供应链。而供应链已经在工业规模上被攻陷。

防御方一侧被攻陷

2026 年 5 月 2 日星期六，Trellix——由 McAfee Enterprise 与 FireEye 于 2022 年合并而成、由 Symphony Technology Group 持有的网络安全公司——披露其源码仓库的一部分遭到未经授权的访问。没有归因。客户数据的影响范围未获确认。Trellix 的声明：“根据我们迄今的调查，我们没有发现任何证据表明我们的源码发布或分发流程受到影响，也没有证据表明我们的源码遭到利用。”

网络安全公司被黑这条线是反复出现的。FireEye 在 2020 年 12 月（与俄罗斯相关的 APT；红队工具被窃）。Vercel/Context.ai 在 2026 年 4 月 19 日（Context.ai 处的 Lumma Stealer；经由 Google Workspace OAuth 横向移动）。Trellix 在 2026 年 5 月 2 日。

同一周，5 月 1 日，两名美国前网络安全从业者被判刑。瑞安·戈德堡（40 岁，佐治亚州，Sygnia 前事件响应经理）——四年。凯文·马丁（36 岁，得克萨斯州，DigitalMint 前谈判代表）——四年。罪名是：在 2023 年 4 月至 12 月间部署 ALPHV/BlackCat 勒索软件，从约 120 万美元的比特币赎金中抽取 20%。

防御者被攻陷。防御者被起诉。同一周。

Canvas，2.75 亿

2026 年 5 月 3 日星期日，ShinyHunters 在其数据勒索网站上列出了 Instructure，期限为 5 月 6 日——三天之后。声称的范围：2.75 亿人（2.4 亿至 2.75 亿条记录）；3.65 TB 数据；全球约 9,000 所学校。据 Instructure 自己的披露，被泄露的数据包括：姓名、电子邮件地址、学生编号，以及用户之间的消息，包括师生之间的私下对话。未被泄露的：密码、出生日期、政府证件、金融数据。ShinyHunters 声称拿到了 Instructure 的 Salesforce 实例的访问权。

Instructure / Canvas 学习管理系统的这次泄露，是有报道以来最大的一次单一学习管理系统泄露。其路径——经由 Salesforce 的第三方 SaaS 迂回——与造成 Rockstar Games（7860 万条记录，4 月 14 日）、经 Anodot 波及的 Vimeo（4 月 28 日）、Marcus & Millichap（据称 3000 万以上）、Amtrak（声称 940 万条 Salesforce 记录）和 McGraw-Hill（1350 万个去重邮箱被放出）的路径相同。

“Salesforce 十年”还在继续。第三方 SaaS 迂回，是那条反复出现、绕开客户侧防御的路径。

司法部的 7.01 亿美元之日

2026 年 5 月 1 日星期五，美国司法部宣布捣毁九个东南亚加密货币诈骗园区。逮捕 276 人。限制 7.01 亿美元加密货币。行动由司法部、联邦调查局、迪拜警察局和中国公安部协调完成——这是美中在网络犯罪上罕见的一次合作。

2024 年 1 月启动的“Level Up 行动”已通知约 9,000 名加密货币投资诈骗受害者，并通过在转账完成前提醒受害者，挽回估计 5.62 亿美元。加州南区在 2026 年 4 月对三多集团与巨人公司组织的涉嫌诈骗组织管理者 Awang、Chandra、Mariam 及一名在逃共同被告解封了刑事起诉书；2026 年 3 月的一份大陪审团起诉书则以电信欺诈共谋和洗钱共谋罪名点名了 Thet Min Nyi 及一名在逃共同被告。

联邦调查局圣迭戈分局宣布，国务院将为提供泰昌诈骗中心线索者提供最高 1000 万美元的悬赏，并查封了该园区使用的恶意域名。

据业界分析，“杀猪盘”在全球每年造成的损失估计为 50 亿至 70 亿美元。

司法部的协调行动是在人类时间尺度上进行的：数月的调查、起诉和协调。而网络攻击经济运行在机器时间尺度上：22 秒的初始访问经纪人到加盟方移交。执法在结构上是回溯性的；节奏鸿沟在结构上是前瞻性的。两者都重要；两者都无法闭合这道鸿沟。

钓鱼工业园区

2026 年 4 月至 5 月间记录在案的五个钓鱼即服务生态，展示了社会工程工具的工业化规模。

Cordial Spider（也被追踪为 BlackFile / CL-CRI-1116 / O-UNC-045 / UNC6671）与 Snarky Spider（O-UNC-025 / UNC6661）先用语音钓鱼，再对单点登录发起中间人攻击，目标是 SaaS 数据外泄——SharePoint、HubSpot、Google Workspace、Salesforce。自 2025 年 10 月起活跃。Snarky Spider 与 “The Com” 有关联。流量经由 Mullvad、Oxylabs、NetNut、9Proxy、Infatica 和 NSOCKS 的住宅代理路由。勒索金额达七位数。

ConsentFix v3，由 Push Security 剖析：自动化滥用微软 Azure CLI 和 Entra ID 的 OAuth；使用仿 Cloudflare Pages 样式的诱饵页；把生命周期 90 天的刷新令牌送进操作者的 “Specter Portal”。

FEMITBOT：用 Telegram 机器人加 WebView 小程序投放加密货币诈骗和安卓恶意软件；冒用苹果、可口可乐、迪士尼和 IBM 的品牌身份；标准的入门应答是 "Welcome to join the FEMITBOT platform."（欢迎加入 FEMITBOT 平台。）

Bluekit：一个钓鱼即服务套件，带有 40 多套中间人模板，针对 iCloud、Apple ID、Gmail、Outlook、Yahoo、ProtonMail、GitHub、Twitter、Zoho 和 Ledger；具备语音克隆和反机器人伪装。

AccountDumpling：与越南相关；通过把 Google AppSheet 滥用为钓鱼中继，攻陷了约 30,000 个 Facebook 商业账户。这些钓鱼邮件能通过 SPF、DKIM 和 DMARC 认证检查，因为它们是从谷歌自己的基础设施发出的。Guardio 研究员沙克德·陈：“这是一个活的行动，有实时的操作者面板、高级规避手段、持续演进，还有一个犯罪-商业闭环，它悄悄地靠着自己帮忙偷回来的那些账户过活。”

每个平台面向不同的受害者群体，用的却是同一套产品化的方法。工业化的钓鱼工具，以消费级软件的节奏分发。

Wasabi Protocol 的部署者密钥下限

2026 年 4 月 30 日星期四，永续合约交易平台 Wasabi Protocol 在以太坊、Base、Berachain 和 Blast 上被盗约 450 万至 550 万美元。被攻陷的部署者外部账户 wasabideployer.eth 把 ADMIN_ROLE 授予了一个攻击者合约；UUPS 代理升级替换了 PerpManager 和 LongPool 上的金库实现；一次伪造的 strategyDeposit() 调用经由一个恶意策略合约触发了盗取。管理角色上既没有配置时间锁，也没有配置多签。

Wasabi 事件是 2026 年一系列管理密钥被攻陷事件中的第三起。4 月 1 日：Drift Protocol 被盗 2.85 亿美元，来自一场针对多签签名者、与朝鲜相关、历时六个月的社会工程行动，利用了 Solana 的持久 nonce 滥用。4 月 18 日：Kelp DAO 在一次 LayerZero rsETH 跨链桥漏洞利用中被盗 2.92 亿美元，被归因于朝鲜的 TraderTraitor。4 月 30 日：Wasabi Protocol 的部署者外部账户路径。

据 DefiLlama，2026 年 4 月是 DeFi 史上被黑最严重的一个月：约 28 至 30 起事件，损失合计超过 6.35 亿美元；2026 年 DeFi 累计损失如今已超过 7.7 亿美元。据 TRM Labs（4 月 30 日），仅朝鲜 TraderTraitor 的行动就以两次攻击占了 2026 年加密货币被盗价值的 76%。

没有时间锁的特权密钥，会击穿一切协议内的恢复手段。节奏鸿沟这个论点也延伸到 DeFi：等到协议治理能就恢复措施投票时，资金早已跨链、混币并洗完。

架构上的反制

如果攻击方的节奏上限是 22 秒，而拟议中的防御方节奏下限是 3 天，那么这道鸿沟就是结构性的，仅靠加快联邦修补是无法闭合的。架构上的反制，是那套不依赖修补节奏的用户可控原语栈——因为它根本没有同样形状的修补面。

运行在用户硬件上的开放权重模型。 防御方的能力与攻击方的能力在并行商品化。DeepSeek V4 Pro（1.6 万亿参数，490 亿激活，100 万 token 上下文，MIT 式许可）于 4 月 24 日发布。Mistral Medium 3.5（1280 亿稠密，256K 上下文，改良 MIT，SWE-Bench Verified 77.6%）于 4 月 29 日发布；今天又扩展出 Vibe Remote Agents。OpenAI Privacy Filter（15 亿稀疏专家混合，5000 万激活，PII-Masking-300k 上 96% F1）于 4 月 22 日以 Apache 2.0 发布。还有 Llama 3.3、Qwen 3、GPT-OSS。用 Ollama 跑。在用户硬件上跑。Vidoc 以每百万 token 0.11 美元复现了 Mythos 级的能力；防御方也可以照做。为特定组织做本地微调，如今在操作上是可行的。

带签名包和按组织自定补丁节奏的联邦式模型上下文协议。 Shai-Hulud / Mini Shai-Hulud / TeamPCP 这几场行动表明，中心化的包仓库（npm、PyPI、Docker Hub）就是攻击面。带签名包、按组织自定补丁节奏的联邦式 MCP，绕开了这个中心化的面。补丁节奏因此变成由组织自己掌控。

用户自持密钥的端到端加密。 Signal、Proton、Tuta、Threema、带按设备交叉签名的 Matrix。其密码学属性是：无论修补面、监管压力还是供应链攻陷如何，服务运营方都拿不出明文。运营方不持有的东西，就无法被强制交出。

带选择性披露的联邦式身份。 eIDAS 2.0 欧盟数字身份钱包，合规期限为 2026 年 12 月 31 日。法国 France Identité、意大利 IT Wallet，以及丹麦、希腊、爱尔兰、塞浦路斯、西班牙。W3C 可验证凭据数据模型 v2.0；W3C 去中心化标识符 v1.1。在不泄露底层证件的前提下证明特定主张。

点对点传输。 URnetwork 的住宅节点中继。带 Snowflake / obfs4 / meek 可插拔传输的 Tor 浏览器 15.0.11。Shadowsocks、V2Ray、Trojan、NaïveProxy。占消费级 VPN 部署标准 94% 的 WireGuard。可击败商业 VPN 检测特征，以及由运营商中介的国家分级互联网体系。

FIDO2 硬件认证。 YubiKey、Nitrokey、SoloKey。硬件密钥取代基于短信的多因素认证——而公民实验室的 SS7/Diameter 语料已经证明后者在操作上已被攻破。凭据在用户的硬件上；SIMjacker、语音钓鱼和中间人钓鱼都够不着它。

开放固件硬件。 兼容 Pixel 设备上的 GrapheneOS——约 40 万活跃用户。2026 年 3 月宣布的摩托罗拉合作，将在 2027 年产品线上终结 Pixel 独占。其他安卓硬件上的 LineageOS。路由器上的 OpenWRT。

自托管服务。 Matrix 自建服务器取代 Discord 或 Slack。Nextcloud 取代 Google Drive 或微软 OneDrive。Forgejo 或 Gitea 取代 GitHub。Jitsi 取代 Zoom。Mailcow 取代商业运营方的邮箱。配 LangChain、LlamaIndex 和联邦式 MCP 的 Ollama 取代商业 API 的 AI 推理。供应商侧攻陷的爆炸半径——Trellix、Vercel/Context.ai、Anodot/Salesforce、Instructure——是有界的。

机密计算飞地。 Azure Confidential Computing、AWS Nitro Enclaves、Google Cloud Confidential Computing、Enveil、Opaque。另外还有联邦式分析框架：DataSHIELD、Vantage6、OHDSI、Flower、PySyft。在加密数据上计算；运营方看不到明文。

隐私保护型加密货币。 带默认启用的 BIP324 v2 加密 P2P 传输的 Bitcoin Core 27.0，以及 BIP352 静默支付（2026 年初合并）。门罗币 FCMP++ 自 2025 年 10 月 3 日起在测试网上运行；密码学密钥审计于 5 月 11 日至 22 日进行；主网硬分叉暂定 2026 年年中；匿名集从 16 跃升至约 1.52 亿至 1.58 亿个输出。默认屏蔽的 Zcash。它们都处在那条由运营方监管的稳定币通路之外——泰达 3.44 亿美元的 USDT 冻结，以及美国外国资产控制办公室首次在链上直接制裁与伊朗中央银行相关的地址（“经济怒火行动”），已经证明那条通路是一种制裁合规工具。

每一层今天都已出货。没有哪一层依赖修补节奏，因为没有哪一层拥有同样形状的厂商修补面。

三个时钟

2026 年 6 月 12 日。 《外国情报监控法》第 702 条日落。这是从 4 月 30 日那份干净延期案起算的 45 天时钟。今天是第 4 天。还剩四十一天。第五次程序性延期在程序上是可行的；而结构性改革——Massie-Boebert 的 H.R. 8470、Lee-Wyden 的《政府监控改革法》、Lee-Durbin 的《SAFE 法》——尚未提交院会。

约 2026 年 5 月 15 日。 科顿-华纳承诺解密公开外国情报监控法院 3 月 17 日的意见书，该意见书记录了联邦调查局经由过滤工具进行的美国人查询中的“严重滥用”。今天是这个 15 天窗口中的第 4 天。还剩十一天。

2026 年 8 月 2 日。 欧盟《人工智能法》下通用目的 AI 执法生效。还剩九十天。数字综合法案的第二次三方谈判于 4 月 28 日破裂；塞浦路斯主席国下的下一次谈判约在 5 月 13 日。原定期限在法律上仍然成立。

这些是政策节奏的时钟。它们按三方谈判、解密审查和法定日落的节奏运行。22 秒的时钟则在并行运行——按初始访问经纪人到加盟方那个市场的节奏。

用户可控的原语栈不按这两种时钟中的任何一种运行。

节奏的不对称

Mandiant M-Trends 2026 的 22 秒指标，是网络攻击经济在攻击方的节奏上限。美国网络安全和基础设施安全局据报道拟议的 3 天已知被利用漏洞修补期限，若被采纳，则是联邦在防御方的节奏下限。二十二秒。三天。相差约一万二千倍。

这道鸿沟是结构性的。3 天的提案承认了 AI 加速的攻击现实，但无法架到 22 秒的移交速度上。即便是激进的 1 天联邦修补期限，也仍然比攻击方上限高出三个数量级。

联邦修补架构是一种采购架构。采购要求厂商披露、联邦验证、向各机构分发、各机构自行打补丁、验证、回滚规划。在大型异构环境所设定的操作门槛之下，这些步骤无法被进一步压缩。即便是 CISA 最激进的提案，在结构上也仍在攻击方上限之上。

用户可控的原语栈没有联邦采购架构。当服务器根本没有明文时，用户自持密钥的端到端加密不需要厂商补丁。带签名包的联邦式 MCP 关闭了 npm/PyPI/Docker 的供应链面。FIDO2 硬件认证不需要 SS7 是安全的。GrapheneOS 不需要运营商配合。自托管服务不需要某个 SaaS 服务商的修补节奏与用户的风险容忍度对齐。

用户的栈不在修补节奏这个赛道上与攻击经济竞争。用户的栈竞争的是部署架构这个赛道。而在部署架构这个层面，用户的栈已经具备了所需的全部原语。

这个周期

4 月 22 日：同一个星期二上的三起独立 AI 供应链披露。4 月 24 日：谷歌宣布向 Anthropic 投资 400 亿美元。4 月 28 日：cPanel 修补 CVE-2026-41940。4 月 29 日：Mini Shai-Hulud 的 SAP/npm 波次。4 月 30 日：Wasabi Protocol 被盗；PyTorch Lightning 被攻陷；CISA 加入 cPanel CVE-2026-41940。5 月 1 日：CISA 加入 Linux Copy Fail；五眼联盟联合指南；司法部宣布 7.01 亿美元的捣毁行动；戈德堡与马丁被判刑；Instructure 泄露被披露。5 月 2 日：Trellix 源码泄露；cPanel “Sorry” 大规模利用开始。5 月 3 日：ShinyHunters 列出 Instructure（5 月 6 日期限；2.75 亿用户）；cPanel 联邦修补期限过期。今天，5 月 4 日：MOVEit Automation 的 CVE-2026-4670 被披露；Mistral 的 Vibe Remote Agents 发布；据报道 CISA 正在考虑 3 天的 KEV 期限。

这个周期就是新闻周期。22 秒这个指标则是其底下的市场出清时间。这个周期不会因为监管者在考虑一个 3 天的下限而放慢，因为这个周期运行在机器速度上，而监管者运行在人类速度上。

网络攻击经济已经工业化成一条紧凑的 22 秒流水线。联邦的修补节奏没有跟上。架构上的反制是那套用户可控的原语栈：它没有修补节奏，因为它没有同样形状的修补面。开放权重今天就已出货。联邦式 MCP 今天就已出货。端到端加密今天就已出货。联邦式身份今天就已出货。点对点传输今天就已出货。FIDO2 硬件今天就已出货。开放固件硬件今天就已出货。自托管服务今天就已出货。机密计算飞地今天就已出货。隐私保护型加密货币今天就已出货。

这套架构上的替代方案，昨天就已经可以部署。今天可以部署。明天也可以部署。它的部署，不取决于 3 天的联邦修补期限是否被采纳。不取决于下一次三方谈判是否谈成。不取决于 FISC 3 月 17 日意见书的解密公开是否赶上 5 月 15 日。不取决于第 702 条的改革能否在 6 月 12 日之前提交众议院院会。

22 秒是攻击市场的出清时间。用户可控的原语栈没有市场出清时间，因为它没有市场。

网络的节奏会追上来。架构上的替代方案不必去追。

2026 年 5 月 1 日星期五，五角大楼在一份题为《Department of Defense AI Agreements》（国防部人工智能协议）的新闻稿中宣布，与八家科技公司达成了机密网络人工智能采购协议：亚马逊云科技、谷歌、微软、英伟达、OpenAI、SpaceX、甲骨文和 Reflection AI。网络等级为：影响级别 6（机密）与影响级别 7（绝密）。据该新闻稿，其目的是“简化数据整合，提升态势理解，并在复杂作战环境中增强作战人员的决策能力”。具体合同金额未披露。这份新闻稿发布在 war.gov 域名上——那是特朗普政府 2025 年 1 月为国防部改名留下的产物。

Anthropic 被排除在外。Anthropic 的 Claude Mythos Preview——2026 年 4 月 7 日在 Glasswing 项目下发布——是公开记录中能力最强的网络安全漏洞发现模型。据 Anthropic 自己的披露以及微软 5 月 1 日的文章《From capability to responsibility》（从能力到责任），Mythos 已经识别出“数以千计的高危漏洞，其中一些存在于每一个主流操作系统和网页浏览器中”。Mythos 曾发现一个存在了 27 年、此前无人知晓的 OpenBSD 缺陷，一个存在了 16 年、经受住 500 万次自动化扫描的 FFmpeg 漏洞，以及若干可以把普通用户账户提权到 root 的 Linux 内核弱点。

五角大楼采购了另外八家中的其他厂商。五角大楼排除的那一家，其模型按已发表的基准衡量，恰恰是对五角大楼所提出的这项工作最具决定意义的。

两条红线

Anthropic 被排除的原因具体、有日期、且公开在案。2026 年 2 月 25 日星期三，国防部长皮特·赫格塞斯给了 Anthropic 首席执行官达里奥·阿莫代一个到星期五为止的最后期限，要求该公司在五角大楼合同用例上回撤其安全护栏。赫格塞斯扬言了三级升级：取消现有的 2 亿美元五角大楼合同；把 Anthropic 认定为“供应链风险”；以及动用《国防生产法》强制 Anthropic 为军事用途定制其 AI 模型。

1950 年的《国防生产法》历来用于物资生产——朝鲜战争期间的钢铁、半导体、COVID-19 疫苗生产、电动汽车电池部件。此前从未有过援引《国防生产法》强制某个软件服务或人工智能供应商按特定规格生产的先例。

Anthropic 拒绝了移除两项具体安全护栏的要求。2026 年 2 月 26 日星期四，该公司在一份公开声明中说：“我们无法昧着良心答应他们的要求。” 这两条不可谈判的底线很窄：

第一：不得将 Claude 用于 AI 控制的完全自主武器。 Anthropic 的理由是：AI 目前还不够可靠，不足以操作武器。

第二：不得将 Claude 用于对美国公民的大规模国内监控。 Anthropic 的理由是：目前没有法律或法规规定 AI 可以如何用于大规模监控。

Anthropic 并没有拒绝所有的五角大楼用例。Anthropic 放弃了其核心的《负责任扩展政策》承诺——即在没有适当安全措施的情况下，绝对不训练能力超过某一阈值的模型——代之以一项相对性的承诺，即“达到或超过竞争对手的安全努力水平”。Anthropic 在政策门槛上让了步；Anthropic 在部署类别的红线上没有让步。

2026 年 2 月 27 日星期五，特朗普总统指示联邦机构停止使用 Anthropic 的产品。赫格塞斯把 Anthropic 认定为“供应链风险”。国防承包商被告知，他们必须证明自己在与军方相关的工作中不使用 Anthropic 的 Claude 模型。

这个历来只留给与外国对手——中国、俄罗斯、伊朗、朝鲜——有关联的实体的认定，被用在了一家美国人工智能实验室身上。

Reflection AI 的第八个席位

在 5 月 1 日公布的八家公司中，有七家是商业上已经站稳、履历厚实的：亚马逊云科技、谷歌、微软、英伟达、OpenAI、SpaceX、甲骨文。第八家在结构上是全新的。

Reflection AI 由前谷歌 DeepMind 研究人员于 2024 年创立。该公司 2025 年融资约 20 亿美元。英伟达是投资方。该公司目前正在按 250 亿美元估值洽谈融资。Reflection AI 参与了一项由政府支持、为韩国市场定制 AI 模型的计划。Reflection AI 迄今尚未宣布过任何商业产品。

Reflection AI 的背后是 1789 Capital，小唐纳德·特朗普是这家风险投资基金的合伙人。1789 Capital 成立于 2024 年；其投资组合涵盖媒体、AI、能源和与国防相关的企业。5 月 1 日的这次授予，是第一起特朗普家族的金融网络与采购决策在结构上纠缠在一起的重大五角大楼 AI 采购。

与 Anthropic 的对比很刺眼。成立于 2021 年的 Anthropic 已经交付了 Claude（多个版本）、Claude Code、Claude Security 以及 Mythos Preview 等经过验证的商业产品。2026 年 4 月 24 日，谷歌宣布向 Anthropic 投资最高 400 亿美元的现金与算力。Anthropic 拒绝在自主武器和大规模国内监控上移除安全护栏。而成立十六个月的 Reflection AI 没有商业产品，有约 20 亿美元的风险投资，有 1789 Capital 作为背书方，并在 5 月 1 日获准进入 IL6/IL7 机密级网络。

4 月 17 日的白宫会面

2026 年 4 月 17 日星期五，Anthropic 首席执行官达里奥·阿莫代抵达白宫，与办公厅主任苏茜·怀尔斯、财政部长斯科特·贝森特和国家网络总监肖恩·凯恩克罗斯会面。据多家媒体和白宫的会后通报，这次会面谈的是 Anthropic 与五角大楼的争端，以及 Mythos 在美国网络安全中的实际作用。会后，白宫称会谈“富有成效且具有建设性”。

当天晚些时候被问及这次会面时，唐纳德·特朗普总统告诉记者，他“完全不知道”阿莫代来过白宫。“谁？”

特朗普随后对 CNBC 表示，Anthropic 与五角大楼之间达成协议“有可能”。特朗普的这些表态似乎并未与国家网络总监或五角大楼领导层协调过。据 Axios 4 月 29 日的报道，白宫正在起草一项行政措施，允许联邦机构接入 Anthropic——这一立场与五角大楼 2 月 27 日的认定相矛盾。

这套架构是由幕僚驱动的：国防部长下达认定，办公厅主任和财政部长为该公司的申诉居中斡旋，国家网络总监处在升级链条之中，而总统——在被问到时——对具体的会面并不知情。在第二届特朗普政府之下，AI 政策在内阁层面运作，而行政首长的审阅被当作下游信号，而非上游的协调节点。

国安局的 Mythos 悖论

2026 年 4 月 19 日星期日，Axios 报道称，尽管五角大楼 2 月 27 日对该供应商作出了供应链风险认定，受国防部监管的国家安全局仍在使用 Anthropic 的 Mythos Preview 模型。2026 年 4 月 30 日星期四，彭博社证实并扩展了这一报道：国安局当时正在专门测试用 Mythos 寻找微软技术中的漏洞。

2026 年 5 月 1 日星期五，国防部首席技术官埃米尔·迈克尔在 CNBC 上直接描述了这一矛盾：“对 Anthropic 来说，他们是一个供应链风险。Mythos 的问题是另一个国家安全时刻。我们必须确保我们的网络被加固起来，因为那个模型具备在发现和修补网络漏洞方面的特有能力。” 关于评估被列入黑名单的供应商的模型这个问题，迈克尔补充道：“国安局和商务部会评估所有前沿模型，包括中国的前沿模型，看看能力的边界在哪里。”

架构上的揭示是操作性的。五角大楼的“供应链风险”认定禁止国防承包商在与军方相关的工作中使用 Anthropic 的 Claude。而五角大楼自己的下属情报机构，却在“另一个国家安全时刻”的说法下消费同一个模型的能力。能力在采购层被制裁；能力在机构层被消费。这两层是脱钩的。

Anthropic 于 2026 年 3 月在旧金山和哥伦比亚特区提起的诉讼主张，供应链风险认定在程序上和实体上都不合法。华盛顿特区的联邦上诉法院于 4 月 8 日驳回了 Anthropic 的初步禁令请求。诉讼仍在继续。

华尔街的反向信号

2026 年 5 月 4 日星期一——也就是今天——Anthropic、黑石、Hellman & Friedman 和高盛联合宣布成立一家新的独立企业 AI 服务合资公司。承诺出资：15 亿美元。据 Anthropic 与黑石的新闻稿，主要投资方为：Anthropic、黑石和 Hellman & Friedman 各出资约 3 亿美元；高盛约 1.5 亿美元；其他支持方包括 General Atlantic、Leonard Green、阿波罗全球管理公司、新加坡政府投资公司（GIC）和红杉资本。该合资公司的结构模式是 Palantir 式的前沿部署：把 Anthropic 的工程师嵌入企业客户的环境内部，以加速 AI 集成。

黑石总裁乔恩·格雷：“打破企业采用 AI 最重大的瓶颈之一。” Anthropic 首席财务官克里希纳·拉奥：“企业对 Claude 的需求，正在显著超出任何单一交付模式的承载能力。” 高盛资产与财富管理主管马克·纳赫曼：“让前沿部署工程师变得人人可及。”

同一天，OpenAI 宣布成立一家平行的“部署公司”——在 TPG、布鲁克菲尔德资产管理、安宏资本和贝恩资本等 19 家投资方处融资 40 亿美元，估值 100 亿美元。

这种不对称很刺眼。五角大楼把 Anthropic 认定为“供应链风险”。华尔街承诺出资 15 亿美元，把 Anthropic 的工程师前沿部署到私募股权投资组合公司内部。谷歌承诺投入 400 亿美元的现金与算力（4 月 24 日）。美国的联邦采购层把 Anthropic 当作被制裁的供应商；美国的商业投资层把 Anthropic 当作战略资产；美国的情报机构层把 Anthropic 的能力当作国家安全工具。三种政策，三个层面，一家公司。

读取美国人的那个过滤工具

五角大楼与 Anthropic 的两条红线之争，在架构层面上，与另一场机构层面的角力是同时发生的。2026 年 3 月 17 日，外国情报监控法院发布了一份意见书，认定联邦调查局、国家安全局及其他机构用来收窄第 702 条原始数据检索的 "filtering tools"（过滤工具）"effectively turn foreign-target searches into U.S.-person queries — exactly the kind of backdoor search reformers want to require a warrant for."（实际上把针对外国目标的检索变成了针对美国人的查询——正是改革者希望要求令状的那类后门检索。）

争议中的具体过滤器是：联邦调查局的 "Advanced Filter Function"（高级过滤功能）——这是一个用户界面，允许用户“通过下拉菜单或搜索栏选定特定的联邦调查局案卷编号或设施”，以查阅与外国目标有联系的个人的通信。司法部后来“停用”了该工具，因为它发现选定这些个人 "resulted in queries of raw information"（导致了对原始信息的查询），而不只是对既有检索结果的排序。这份 2026 年 3 月的 FISC 意见书认为：问题仍在持续，而且不止于联邦调查局。

法院命令各机构 "reengineer filter tools"（重新设计过滤工具）。司法部正在上诉。白宫的上诉或纠正期限截至 4 月 16 日。

2026 年 4 月 30 日星期四，参议员罗恩·怀登以放行 45 天的第 702 条延期案为代价，取得了科顿-华纳的解密公开承诺：国家情报总监图尔西·加巴德和代理司法部长必须在延期案生效后 15 天内解密公开 3 月 17 日的意见书。今天是这个 15 天窗口中的第 4 天。期限约为 5 月 15 日。截至发稿，解密公开尚未发生。

架构上的对称在于：五角大楼因 Anthropic 拒绝提供大规模国内监控能力而惩罚它；而 FISC 则因各机构执行大规模国内监控查询而约束它们。监控能力在供应商层（五角大楼-Anthropic）和机构层（FISC 3 月 17 日）被同时争夺，争的是同一个架构关切，站的却是相反的管辖立场。

一次短期的侵犯

2026 年 4 月 29 日至 30 日，星期三至星期四，美国参众两院通过了一份不带附加条款的第 702 条 45 天延期案（S. 4465）。参议院以一致同意通过。众议院以 261 票对 111 票通过。特朗普签署。这是自最初 4 月 19 日日落以来的第四次程序性延期。新的日落日期是 2026 年 6 月 12 日。

同一个星期三稍早，也就是 4 月 29 日，众议院以 235 票对 191 票通过了一份三年期的重新授权案（H.R. 8512）。这份三年期法案夹带了一项由议长迈克·约翰逊附加的、永久禁止美联储发行中央银行数字货币的条款。参议院否决了这一整套方案——禁止 CBDC 的条款凑不齐参议院的 60 票。45 天的干净延期案是降级处理的结果。

在众议院就 261 票对 111 票的表决进行之前，众议员托马斯·马西（共和党，肯塔基州第 4 选区）——H.R. 8470《监控问责法》的共同提出者——在院会上说：“对宪法的短期侵犯，仍然是对宪法的侵犯。”

今天是这个 45 天窗口中的第 4 天。还剩四十一天。

RightsCon 卢萨卡，取消

2026 年 5 月 1 日星期五，Access Now 发表声明：原定于 5 月 5 日至 8 日在赞比亚卢萨卡举行、有来自 150 多个国家和 750 家机构的 2,600 名线下与 1,100 名线上注册参与者的世界最大数字权利峰会 RightsCon 2026，将不会举行。取消的起因是中国对赞比亚政府的外交施压。

据 Access Now 自己发表的说法，时间线如下：

2026 年 4 月 27 日：赞比亚政府发布新闻稿支持 RightsCon。同一天，赞比亚技术与科学部致电 Access Now，报告了一个“紧急问题”——中华人民共和国的外交官正在要求把台湾的公民社会参与者排除在会议之外。

4 月 28 日：移民官员开始告知抵达的参与者活动已取消。卢萨卡时间晚上 9 点 33 分，赞比亚国有媒体宣布“延期”。

4 月 29 日：技术与科学部通过 WhatsApp 向 Access Now 发送信函，提供了正式的书面通知。

5 月 1 日：Access Now 发表声明；人权观察发表平行声明：“赞比亚政府关掉 RightsCon，就是在关掉关于关键人权议题的讨论。”

据 Access Now，中方的要求是：“对特定议题作节制处理，并把处于风险中的社群——包括我们的台湾参与者——排除在线下和线上参与之外。” Access Now 拒绝了：“这是我们的红线。”

杠杆在于：RightsCon 原定举办地穆隆古希国际会议中心，曾在 2020 年以 6000 万美元的中国资金翻修。同一周，中国成功施压马达加斯加、塞舌尔和毛里求斯，撤销了台湾地区领导人赖清德此前 4 月 22 日出访史瓦帝尼的过境许可。5 月 2 日，赖清德乘坐国王恩史瓦帝三世的空客 A340-313 飞往史瓦帝尼进行一次突访——那是唯一一个与台湾保持正式外交关系的非洲国家。

台湾数位发展部门负责人林逸静 5 月 2 日在脸书上表示，这次取消显示了“中国对台湾和 RightsCon 所代表的自由、民主与法治理念的不安”。

架构上的揭示是：公民社会的集会——数字权利倡导的元架构——如今也成了采购目标，是五角大楼供应链风险认定在外交施压上的等价物。两者的运作方式都是给参与者的选择附加后果。两者针对的都是可接受关联的边界。

95.81% 的问题

2026 年 5 月 4 日星期一，《The Register》发表了诺亚·M·肯尼的研究，量化了美国公开可得的选民记录的重新识别能力。核心数字如下：

姓名加邮政编码可唯一识别得克萨斯州 95.81% 的选民和北卡罗来纳州 87.79% 的选民。这个组合足以重新识别这两个州选民名册中的几乎每一个人。

在登记了电话号码的选民中，北卡罗来纳州有 88.53% 的人，其电话号码在本县范围内是唯一的。

在频繁投票者中——即记录中参加过 20 次或以上选举的人——98.4% 的人拥有唯一的投票出席模式。仅凭投票历史，就足以在公开可得的名册中识别出一个频繁投票者。

得克萨斯州公共安全部的出生日期屏蔽政策也被架空：尽管作了屏蔽，仍有 28% 的得州选民仅凭邮政编码加性别就可被唯一识别。

后果最重的一点是：特拉维斯县的选民档案通过 APO/FPO 邮政编码模式暴露了 320 个已部署的军人家庭。 军方的行动安全训练并未覆盖到民用选民名册的公开发布架构。

肯尼的政策建议是：从数据屏蔽转向访问控制——速率限制、身份验证、审计日志，以及禁止商业转售。

与司法部的关联在于：2026 年 4 月 28 日，联邦地区法官苏珊·布尔诺维奇（亚利桑那州联邦地区法院，特朗普任命）以不得再诉的方式驳回了司法部针对亚利桑那州的选民名册诉讼——这是司法部在选民名册诉讼中连续第六次败诉。2026 年 5 月 19 日，第九巡回上诉法院将就司法部对俄勒冈州驳回案的上诉进行口头辩论。由美国公民自由联盟／CREW／Protect Democracy／哈佛民主诊所于 4 月 21 日提起的 Common Cause v. DOJ（1:26-cv-01352，哥伦比亚特区联邦地区法院）则挑战了底层的第 14399 号行政命令架构：那个联邦数据集中化的“State Citizenship Lists”（州公民名单）项目，据公开报道已经把 3300 多万条选民记录送进了国土安全部的 SAVE 系统。

架构上的关切由此统一。各州公布的选民名册，本身已经是一个近乎完美的重新识别来源，可以还原几乎每一个美国选民的姓名、地址、人口统计特征和投票出席模式。联邦层面的集中化（第 14399 号行政命令）则通过把这些数据汇聚并规范化进一个可查询的单一池子，进一步放大了风险。五角大楼针对 Anthropic 的“供应链风险”认定，惩罚的是拒绝提供大规模国内监控能力；FISC 3 月 17 日的裁定约束的是机构层面的过滤工具监控；选民名册重新识别的论文记录的是底层数据的脆弱；Common Cause 的诉讼挑战的是联邦汇聚政策。四条线，一个架构关切。

伊朗第 66 天

今天，2026 年 5 月 4 日星期一，伊朗的全国性断网进入第 66 天。NetBlocks：累计断网时长超过 1,560 小时。这是有记录以来最长的一次全国性断网。约 8500 万至 9000 万伊朗人仍处于离线状态。伊朗通信部长萨塔尔·哈希米：每天直接的数字经济损失为 3570 万美元。NetBlocks：每天超过 3700 万美元。伊朗商会：直接损失 3000 万至 4000 万美元，含间接损失为 7000 万至 8000 万美元。德黑兰证券交易所总指数在过去四个交易日里下跌了约 450,000 点。伊朗最大的电商平台 DigiKala 已裁员 200 人——约占其员工总数的 3%。

5 月 3 日星期日，自由欧洲电台／自由电台报道了德黑兰大学医学院院长阿里礼萨·埃斯塔马蒂对伊朗学生通讯社讲述的一个片段：“教授们不得不轮流使用互联网，排队等着用设备。” 4 月 30 日，伊朗平面设计师协会、护理组织和律师协会公开抵制 "Internet Pro" 层级，称其具有歧视性。虚拟商业协会负责人礼萨·奥尔法特·纳萨布说，互联网已经变得“无主”了。

这套凭证化的接入金字塔是：塔尖是自 2013 年以来约 16,000 名历史上的“白 SIM 卡”持有者；其下是科学部提名的人员（教师、研究人员、医生）；再往下是经由商会、按标准资费十倍付费的商业持卡人；最底下是约 8500 万至 9000 万离线的公民。就连有凭证的那一层，本身也是被配给的。

布鲁塞尔三条线，墨西哥一条，华尔街一条

今天，2026 年 5 月 4 日，在布鲁塞尔，欧盟理事会、议会和委员会重启关于《儿童性虐待条例》的第三次政治三方谈判。第一次三方谈判：2025 年 12 月 9 日。第二次：2026 年 2 月 26 日。第三次：今天。第四次：6 月 29 日。目标达成协议：2026 年 7 月。丹麦主席国已趋向于放弃强制客户端侧扫描（“检测令”），转而采用风险评估加缓解义务的方案。自愿性 CSAM 扫描的电子隐私减损条款已于 2026 年 4 月 3 日到期，此前欧洲议会以 311 票对 228 票否决了延期。

六天前，也就是 4 月 28 日，欧盟委员会发布了首份《数字市场法》审查报告——结论是该法“仍然适用于其目的”。同一天，《人工智能法》数字综合法案的第二次政治三方谈判在布鲁塞尔经过十二小时后破裂，症结是附件一安全产品中 AI 的合格评定架构。下一次三方谈判约在 5 月 13 日、由塞浦路斯主席国主持。原定 2026 年 8 月 2 日的通用目的 AI 执法期限在法律上仍然成立。4 月 29 日，欧盟委员会初步认定 Meta 的 Instagram 和 Facebook 违反《数字服务法》，未能阻止 13 岁以下儿童访问服务——报告提到 Meta 的举报工具“最多需要点击七次”。可能的罚款：最高为全球年营业额的 6%。同一天，委员会发布建议，敦促七个成员国——塞浦路斯、丹麦、法国、希腊、爱尔兰、意大利、西班牙——在年底前推出欧盟年龄验证应用。德国拒绝参与。据报道，网络安全研究人员大约两分钟就攻破了该应用。

在墨西哥，2026 年 6 月 30 日是该国生物识别 SIM 卡登记制度的期限：1.27 亿条电话线路必须关联到政府签发的生物识别版 Clave Única de Registro de Población（人口登记唯一编码，含面部、指纹、虹膜），否则将被切断。2026 年 3 月 20 日，墨西哥城行政事务第十四合议法庭扫清了法律障碍；该期限现已开始计时。

2026 年 4 月 28 日星期二，马里兰州州长韦斯·摩尔签署了 HB 895——《防止掠夺性定价法》——使马里兰成为美国第一个禁止食品零售业监控定价的州。该法自 2026 年 10 月 1 日起生效。它禁止大型食品零售商（面积不小于 15,000 平方英尺）和第三方配送服务利用消费者的个人数据——推断出的收入、族裔、家庭规模、居住社区、购买历史——对特定个人抬价。该法不设私人诉权：只有马里兰州总检察长可以提起诉讼。三天之后，也就是 5 月 1 日，美国众议院能源与商业委员会和金融服务委员会的主席提出了《SECURE 数据法》（H.R. 8413）和《GUARD 金融数据法》——这是两部带有广泛州法优先效力的联邦隐私立法，可能会使马里兰的禁令归于无效。加利福尼亚州隐私保护局已于 4 月 27 日提交正式反对意见。

网络的节奏

2026 年 5 月 1 日星期五，五眼情报伙伴关系——CISA、国家安全局、澳大利亚信号局澳大利亚网络安全中心、加拿大网络安全中心、新西兰国家网络安全中心、英国国家网络安全中心——发布了其首份关于智能体 AI 安全的多机构协调联合指南：《Careful Adoption of Agentic AI Services》（谨慎采用智能体 AI 服务）。指南点出五类风险：权限、设计与配置缺陷、行为、结构、问责。指南原文："Until security practices, evaluation methods and standards mature, organisations should assume that agentic AI systems may behave unexpectedly and plan deployments accordingly, prioritising resilience, reversibility and risk containment over efficiency gains."（在安全实践、评估方法和标准成熟之前，各组织应假定智能体 AI 系统可能出现意料之外的行为，并据此规划部署，把韧性、可逆性和风险遏制置于效率收益之上。）

同一天，CISA 向已知被利用漏洞目录添加了两个漏洞。CVE-2026-41940（cPanel/WHM 身份验证绕过，CVSS 9.8）——自至少 2026 年 2 月 23 日起在野被利用；约 150 万个 cPanel 实例暴露在互联网上；约 7000 万个域名可能受影响；截至 5 月 3 日仍有约 550,000 个未修补。联邦修补期限：2026 年 5 月 3 日。到 5 月 4 日，TechCrunch 报道利用仍在继续：约有 2,000 个实例在 “Sorry” 勒索软件行动中被攻陷。CVE-2026-31431（“Copy Fail”，Linux 内核 algif_aead 本地权限提升，CVSS 7.8）——一个 9 年之久的逻辑缺陷，732 字节的 Python 概念验证代码可通过 setuid 程序取得 root 权限。联邦修补期限：5 月 15 日。由 Theori 使用其 Xint AI 渗透测试平台发现。

2026 年 5 月 2 日星期六，Trellix——由 McAfee Enterprise 与 FireEye 于 2022 年合并而成、由 Symphony Technology Group 持有的网络安全公司——披露其源码仓库的一部分遭到未经授权的访问。没有归因；客户数据的影响范围未获确认。网络安全公司被黑这条线还在继续：FireEye 2020 年、Vercel/Context.ai 4 月 19 日、Trellix 5 月 2 日。

5 月 3 日星期日，ShinyHunters 在其勒索网站上列出了 Instructure，期限为 5 月 6 日。声称的范围：2.75 亿用户，2.4 亿至 2.75 亿条记录，全球约 9,000 所学校，3.65 TB 数据，其中包括师生之间的私下消息。其路径——经由 Salesforce 的第三方 SaaS 迂回——与造成 Rockstar Games（7860 万条记录，4 月 14 日）、经 Anodot 波及的 Vimeo（4 月 28 日）、Marcus & Millichap（据称 3000 万以上）、Amtrak（940 万）和 McGraw-Hill（1350 万个去重邮箱）的路径相同。

5 月 4 日星期一——也就是今天——Progress Software 披露了 MOVEit Automation 中的 CVE-2026-4670（CVSS 9.8 身份验证绕过）和 CVE-2026-5174（CVSS 7.7 权限提升）。受影响版本：2025.1.4 / 2025.0.8 / 2024.1.7 及更早。约有 1,400 个实例公开暴露；其中十几个与美国州和地方政府相关。2023 年的 MOVEit Transfer / Clop 勒索软件事件造成了 2,100 多家机构受害。

Mistral 今天在 Mistral Medium 3.5 上推出了 Vibe Remote Agents——1280 亿参数稠密模型，256K 上下文，SWE-Bench Verified 得分 77.6%。云端编码智能体，支持多个并行会话。

据报道，CISA 今天正在考虑把已知被利用漏洞的修复期限从两到三周缩短到三天，理由是 AI 加速的漏洞利用，包括 Anthropic 的 Mythos 和 OpenAI 的 GPT-5.4-Cyber。Bitsight 创始人斯蒂芬·博耶：“如果你打算保护民事机构，你就必须动得更快。” Flashpoint 副总裁凯西娅·霍伊特：“现实地说，对某些环境而言，三天根本不可能做到。”

Mandiant 的 M-Trends 2026 报告：从初次获得网络访问权到移交给勒索软件加盟方的中位时间是二十二秒。2022 年时这个数字还超过八小时。网络的节奏在四年里加速了三个数量级。

架构上的反制

如果说供应链风险认定所代表的采购胁迫栈已是国内 AI 政策的工具，那么架构上的反制就是消灭那个可被采购的供应商。

开放权重模型无法被列入黑名单。 DeepSeek V4 Pro（1.6 万亿参数，490 亿激活，100 万 token 上下文）与 V4 Flash（284B/13B）于 2026 年 4 月 24 日以 MIT 式许可发布，可从 Hugging Face 自由下载。Mistral Medium 3.5——1280 亿稠密，256K 上下文，改良 MIT 许可——于 4 月 29 日发布。OpenAI Privacy Filter（15 亿稀疏专家混合，5000 万激活，PII-Masking-300k 上 96% F1）于 4 月 22 日以 Apache 2.0 发布。还有 Llama 3.3、Qwen 3、GPT-OSS。采购胁迫这件工具，够不到可以自由下载、可以在用户硬件上自由运行、任何有一块 GPU 的人都可以自由修改的东西。“供应链风险”认定需要一个供应商；开放权重生态把供应商去中心化了。

联邦式 MCP 架构无法被中央服务器强制。 Anthropic 的模型上下文协议、4 月 22 日 OX Security 披露的影响约 20 万台服务器的漏洞，以及 Pillar Security 的 Antigravity 沙箱逃逸远程代码执行漏洞，共同确立了一点：中心化注册的智能体 AI 工具链，是一条特权第三方路径构成的攻击面。带签名包、按组织自定补丁节奏的联邦式 MCP，就是架构上的缓解措施。

用户自持密钥的端到端加密——Signal、Proton、Tuta、Threema、带按设备交叉签名的 Matrix——在协议层让五角大楼与 Anthropic 关于大规模国内监控的争端变得无关紧要：运营方不持有的东西，就无法被强制交出。这一密码学属性，能挺过针对消息服务供应商的任何采购胁迫或供应链风险认定。

带选择性披露的联邦式身份——eIDAS 2.0 欧盟数字身份钱包，期限为 2026 年 12 月 31 日；W3C 可验证凭据数据模型 v2.0；W3C 去中心化标识符 v1.1——在架构上让选民数据库的集中化失去意义。可以在不暴露住址的前提下证明“已登记选民”。可以在不暴露出生日期的前提下证明“欧盟公民”。

点对点传输——URnetwork 的住宅节点中继，带 Snowflake / obfs4 / meek 可插拔传输的 Tor 浏览器 15.0.11（4 月 28 日），Shadowsocks / V2Ray / Trojan / NaïveProxy，以及占消费级 VPN 部署标准 94% 的 WireGuard——既能击败俄罗斯的 VPN 检测（30 款热门安卓应用中的 22 款），也能击败伊朗那套由运营商中介的国家分级互联网体系。

FIDO2 硬件认证——YubiKey、Nitrokey、SoloKey——取代短信多因素认证；公民实验室 Bad Connection 报告中 15,700 次以上的追踪尝试，以及联邦调查局 DCSNet 的泄露，都证明后者在操作上已被攻破。硬件密钥在用户自己的设备上。

开放固件硬件——兼容 Pixel 设备上的 GrapheneOS（约 40 万活跃用户；摩托罗拉合作延伸至 2027 年产品线）、LineageOS、OpenWRT——运行的是用户可以检查的代码。

自托管服务——Matrix 自建服务器、Nextcloud、Forgejo、Mailcow、Jitsi、配联邦式 MCP 的 Ollama——用用户自行运营的托管取代运营方托管。供应商侧攻陷（Trellix、Vercel/Context.ai、Anodot、Salesforce）的爆炸半径是有界的。

机密计算飞地——Azure Confidential Computing、AWS Nitro Enclaves、Enveil、Opaque，以及联邦式分析框架（DataSHIELD、Vantage6、OHDSI、Flower、PySyft）——在不让运营方看到明文的前提下，保住了加密数据上的研究价值。

隐私保护型加密货币——带默认启用的 BIP324 v2 加密 P2P 传输的 Bitcoin Core 27.0，以及 BIP352 静默支付（2026 年初合并）；自 2025 年 10 月起在测试网上运行、主网硬分叉暂定 2026 年年中的门罗币 FCMP++（匿名集从 16 跃升至约 1.52 亿至 1.58 亿个输出）；默认屏蔽的 Zcash——都处在那条由运营方监管的稳定币通路之外，而泰达 3.44 亿美元的 USDT 冻结，以及美国外国资产控制办公室首次在链上直接制裁与伊朗中央银行相关的地址（“经济怒火行动”），已经证明那条通路是一种制裁合规工具。

对供应商拉黑的架构性反制，是消灭供应商。对能力胁迫的架构性反制，是部署用户可控的原语。

三个时钟

2026 年 6 月 12 日——第 702 条的下一次日落。第五次程序性延期在程序上是可行的。结构性改革——Massie-Boebert 的 H.R. 8470、Lee-Wyden 的《政府监控改革法》、Lee-Durbin 的《SAFE 法》——尚未进入院会。马西已经放出了动用免除议案讨论请愿的策略信号：征集 218 个众议员签名以绕过委员会审议。今天是这个 45 天窗口中的第 4 天。

约 2026 年 5 月 15 日——科顿-华纳就外国情报监控法院 3 月 17 日意见书作出的解密公开期限。国家情报总监图尔西·加巴德和代理司法部长有义务发布一份解密版本。这是 15 天窗口中的第 4 天。还剩十一天。

2026 年 8 月 2 日——欧盟《人工智能法》下通用目的 AI 执法生效的原定日期。数字综合法案的第二次三方谈判于 4 月 28 日因附件一合格评定架构而破裂；塞浦路斯主席国下的下一次谈判约在 5 月 13 日。8 月 2 日这个期限在法律上仍然成立。

收尾

五角大楼针对 Anthropic 的“供应链风险”认定——2026 年 2 月 27 日下达，是有史以来第一次用在一家美国公司身上——在三个层面上运作。在采购层，它禁止联邦承包商使用 Claude。在诉讼层，它在旧金山和哥伦比亚特区被 Anthropic 提起挑战，第一份初步禁令驳回令于 4 月 8 日作出。在能力层，它没有被执行：国家安全局在正式禁令之下仍在使用 Anthropic 的 Mythos，五角大楼首席技术官埃米尔·迈克尔把这一矛盾描述为“另一个国家安全时刻”，而彭博社已经证实国安局正在用 Mythos 测试微软技术。

就在五角大楼把八份机密级 AI 合同授予他人、独独排除 Anthropic 的同一周，华尔街承诺出资 15 亿美元，把 Anthropic 的工程师前沿部署到私募股权投资组合公司内部。谷歌则在 4 月承诺向 Anthropic 投入 400 亿美元的现金与算力。美国政府的采购胁迫栈把 Anthropic 当作被制裁的供应商；美国的商业投资生态把 Anthropic 当作战略资产；美国的情报机构网络把 Anthropic 的能力当作国家安全工具；而美国的司法系统，四个月过去了，仍未就那项底层认定是否合法作出裁决。

Anthropic 的两条红线——不用于 AI 控制的完全自主武器，不用于对美国公民的大规模国内监控——是这场争端在架构上的支点。五角大楼要求撤掉它们。Anthropic 拒绝。政府扬言动用《国防生产法》；供应链风险认定下达；5 月 1 日的合同授予排除了这家公司；诉讼提起；上诉被驳回；白宫的会面发生了；总统说“谁？”；国安局照样用那个模型；华尔街的合作在今天宣布。

从 4 月 19 日到 4 月 30 日这十一天里、在昨天那一期中重复了九次的架构模式，在从 4 月 30 日到 5 月 4 日这四天里、在这一期中也未曾中断，那就是：每一条特权第三方路径，既是一种特权，也是一处泄漏点。五角大楼的采购胁迫工具本应是联邦政府的一项特权。“供应链风险”认定本应是一件针对外国对手的政策工具。今天，两者都成了美国的 AI 政策工具，被用在一家美国 AI 实验室身上——而这家实验室唯一的拒绝，就是拒绝提供自主致命武器和对美国公民的大规模国内监控——与此同时，五角大楼自己的下属情报机构照样在用这家公司的模型。

而架构上的替代方案——开放权重模型、联邦式 MCP、用户自持密钥的端到端加密、带选择性披露的联邦式身份、点对点传输、FIDO2 硬件认证、开放固件硬件、自托管服务、机密计算飞地、隐私保护型加密货币——没有供应商可以被认定。采购胁迫这件工具，够不到一套根本没有采购层的栈。

能力被制裁。能力被消费。供应链风险来自美国自己。

架构上的反制今天就已出货。

一名被告——化名 “Sharp”——正在美国联邦法院受审。该被告在一部 iPhone 上安装了 Signal。该被告开启了阅后即焚。该被告把 Signal 应用从手机上删除了。该被告相信——而且这是对的——Signal 作为协议，会在密码学上把消息内容从对话参与者之外抹除。而联邦调查局在应用被删除之后，仍从这部 iPhone 中提取出了 Signal 消息预览。404 Media 于 2026 年 4 月首先报道了此案。2026 年 4 月 22 日周三，苹果发布 iOS 26.4.2 和 iPadOS 26.4.2（并回移到 iOS 18.7.8 和 iPadOS 18.7.8），修补了 CVE-2026-28950。苹果的公告这样描述该问题：“已标记为删除的通知，可能被意外保留在设备上。”受影响机型：iPhone 11 及更新机型、iPad Pro 12.9 英寸第 3 代及更新机型、iPad Pro 11 英寸第 1 代及更新机型、iPad Air 第 3 代及更新机型、iPad 第 8 代及更新机型、iPad mini 第 5 代及更新机型。构建号 23E261。Signal 总裁 Meredith Whittaker 表示：“已删除消息的通知，不应留在任何操作系统的通知数据库里。”

Signal 作为协议的保证是正确的。操作系统层的通知数据库，是一个协议的密码学保证覆盖不到的泄漏面。用户的隐私依赖协议；协议依赖操作系统；操作系统保留了用户以为已经消失的元数据。

这就是 2026 年 5 月这则隐私故事的架构模式。加密应用之下的每一层，都是潜在的泄漏面。协议在某一层是正确的；它下面的那些层不是。

被监视的监听系统

2026 年 2 月，FBI 驻维尔京群岛办公室的分析员首次发现 DCSNet 上的异常日志活动——DCSNet 是 FBI 的数字采集系统网络，是用于管理法院授权监听和外国情报监视请求的内部基础设施。具体受影响的是：DCS-3000，也就是 Red Hook。Red Hook 处理拨号记录器和追踪装置（pen register / trap-and-trace）类监视——通话元数据、被拨号码、路由数据，以及正在被 FBI 调查的个人身份。发现日期：2026 年 2 月 17 日。国会通报：3 月 4 日。依《2014 年联邦信息安全现代化法》把该事件正式归类为 "Major Incident"（重大事件）：2026 年 4 月 1 日。

调查人员认定，威胁行为体利用了一家其系统与 DCSNet 相连的商业互联网服务提供商的基础设施。通过一条受信任的供应商路径开展行动，入侵者把恶意活动混入合法网络流量，绕过了本用于检测未授权访问的内部安全控制。独立研究者和媒体报道把这次行动归因于 Salt Typhoon，一个与中国国家安全部有关联的威胁行为体。Salt Typhoon 更早的 2019 至 2024 年行动，渗透了美国全部三大蜂窝运营商，虹吸了覆盖数千万美国人的通话记录，并通过九家美国电信公司的 CALEA 合法拦截基础设施访问了 FBI 的监听数据。

2026 年这一幕在结构上新颖的细节，是入口向量。Salt Typhoon 没有利用 FBI 的人员。Salt Typhoon 利用的是合法拦截架构按设计就必须存在的那条特权化第三方连接。监听系统按其构造，对运营商网络是可访问的，因为要实现拦截。运营商网络按其构造，对其供应商是暴露的。供应商网络对任何攻破供应商的人是暴露的。合法拦截的供应链，就是那个想知道 FBI 在监视谁的外国情报机构的供应链。

2026 年 4 月下旬，同一威胁集群的活动出现在意大利 IBM 子公司 Sistemi Informativi；Security Affairs 把这起事件框定为“对欧洲数字防御的一记警告性射击”。作为 DCSNet 入口的那条供应商通道，正是连接着欧洲电信与合法拦截生态大部分环节的同一条供应商通道。

第 702 条：第四次程序性延期

经《2024 年情报改革与保障美国法》（P.L. 118-49）重新授权后，《1978 年外国情报监视法》第 702 条最初的日落日期是 2026 年 4 月 20 日。2026 年 4 月 17 日，在二十名众议院共和党人搅黄了一项更长期的重新授权之后，众议院继而参议院以一致同意通过了一项 10 天延期。特朗普总统签署了它。4 月 29 日，众议院以 235 票对 191 票通过 H.R. 8512——一项 3 年延期。该法案带有议长 Mike Johnson 附加的条款，永久禁止美联储发行央行数字货币。二十二名共和党人投了反对票。四十二名民主党人投了赞成票。4 月 30 日，参议院否决了这一整包；CBDC 禁令凑不齐 60 票。参议院多数党领袖 John Thune 对福克斯新闻说：“我们会把它踢过去、快速处理掉，然后把罐子往前踢一脚。”参议院随后以一致同意通过 S. 4465——一项干净的 45 天延期。众议院以 261 票对 111 票通过 S. 4465。特朗普签署。新的日落日期是 2026 年 6 月 12 日。

议长 Johnson 在议场上说：“如果我们今晚上床时这个项目还不到位，我担心我们手上会沾血。”众议员 Keith Self（共和党，得克萨斯州）点出了这套程序逻辑：“你要么在上面加令状，要么加 CBDC。”CBDC 附加条款是结构性的揭示。监控改革被当成了搭载无关文化战争政策的运输工具。改革路径被程序机制俘获了。

在参议院，4 月 30 日的一场议场对峙中，参议院情报特别委员会主席、参议员 Tom Cotton（共和党，阿肯色州）指责参议员 Ron Wyden（民主党，俄勒冈州）有“长期公开歪曲高度机密材料的做法”，并警告说：“总有一天会有些后果，而且可能就在我当这个委员会主席的时候。”Wyden 从 Cotton 和副主席 Mark Warner（民主党，弗吉尼亚州）那里拿到了一份书面承诺：国家情报总监办公室和代理司法部长将在延期后十五天内解密一份 2026 年 3 月 17 日的外国情报监视法院意见——Wyden 曾表示该意见记录了在 2024 年改革之后仍在持续的、FBI 针对美国人查询的滥用。期限约为 2026 年 5 月 15 日。截至本文撰写时，解密尚未发生。

4 月 23 日，众议员 Thomas Massie（共和党，肯塔基州第 4 选区）和 Lauren Boebert（共和党，科罗拉多州第 4 选区）提出了 H.R. 8470，《监控问责法案》。条款包括：政府对美国人数据的几乎所有检索都须持令状；堵上第三方数据经纪商的漏洞；禁止无令状使用人脸识别、面纹、步态识别、声纹识别，以及与可识别个人挂钩的车牌读取器；为在联邦法律外衣下发生的第四修正案侵权设立法定的私人诉权。Boebert：“联邦政府一直把第四修正案当成一条建议。”Massie：“《权利法案》不是一条建议。”H.R. 8470 已被移交众议院司法委员会；尚未安排全院表决。Massie 已暗示可能采取解除委员会审议请愿的策略。

在参议院，《政府监控改革法案》（Lee + Wyden + Lummis + Warren）和《SAFE 法案》（Lee + Durbin）仍搁在委员会。参议员 Cynthia Lummis（共和党，怀俄明州）：“如果我们真的想保护我们的宪法自由不受政府越权侵害，那么第 702 条下的所有检索都应当要求有经法官批准的令状。”

十三年的重新授权周期。十一天里四次临时延期。零项结构性改革。

Bad Connection：15,700 次尝试

2026 年 4 月 23 日，公民实验室发布第 192 号报告 "Bad Connection: Uncovering Global Telecom Exploitation by Covert Surveillance Actors"，作者为 Gary Miller 和 Swantje Lange。报告记录了自 2022 年 11 月以来的 15,700 多次追踪尝试，这些尝试经由三家被点名的电信运营商执行：019Mobile（以色列）、Tango Networks（英国）和 Airtel Jersey/Sure（海峡群岛）。两起监控行动：一起与一家疑似以色列地理情报厂商有关；一起与瑞士 Fink Telecom Services 和 Rayzone Group 有关。技术手段包括：SS7（3G 信令）、Diameter（4G/5G 信令），以及 SIMjacker 式二进制短信——用 TP-PID=127 调起对用户隐藏的 SIM 应用工具包，用 TP-DCS=22 把消息标记为二进制。目标遍布至少 18 个国家，包括泰国、南非、挪威、孟加拉国、丹麦、瑞典、马来西亚、黑山、刚果民主共和国、印度尼西亚、越南，以及多个撒哈拉以南非洲国家。2026 年 5 月 3 日，《国土报》发表 "Ghost Operators: How Israeli Telecoms Were Exploited to Track Citizens Worldwide"，延伸了公民实验室的发现，点名以色列运营商 019Mobile、Partner Communications 和 Exelera，并牵连 Cognyte/Verint 与 Rayzone Group。

运营商的回应：Sure 首席执行官 Alistair Beak 否认曾在知情情况下出租信令访问权；019Mobile 的 Gil Nagar 对归因提出异议；Tango Networks 没有回应。公民实验室研究员 Gary Miller 对 TechCrunch 说：“这些年我观察到过成千上万次这类攻击，所以我会说这是一种相当常见、又很难被发现的利用手法。……我们只聚焦了两起监控行动，而这背后是数以百万计的攻击。”

蜂窝用户所依赖的那个架构主张——运营商的信令网络是漫游伙伴之间一个自我监管的信任环境——按现在的运行记录来看，在下一跳信令链路上并没有被保住。任何拥有信令网络接入权和漫游关系的运营商，都可以发出位置查询、消息拦截和 SIM 工具包指令。特权就是这套架构；这套架构就是泄漏口。

Webloc：5 亿台设备

2026 年 4 月 9 日，公民实验室发布第 191 号报告 "Uncovering Webloc"，记录了 Penlink（原 Cobwebs Technologies）基于广告实时竞价的设备追踪平台。Webloc 经由实时竞价广告拍卖数据流，追踪 30 个以上国家的 5 亿多台设备。2026 年 4 月 26 日，NPR 的《All Things Considered》放大了这份报告，公民实验室主任 Ron Deibert 参与节目。公民实验室识别出的客户包括美国移民与海关执法局、美军、得克萨斯州公共安全部、西弗吉尼亚州的国土安全部门、纽约市地区检察官办公室，以及洛杉矶、达拉斯、巴尔的摩、图森和达勒姆的警察部门。外国客户包括匈牙利国家安全局（NBSZ）——其许可证于 2026 年 3 月续期，赶在该国 4 月 12 日大选之前——以及萨尔瓦多国家警察。Cobwebs 通过 Omri Timianker 这个人物，与以色列厂商 QuaDream 存在公司层面的关联。

Webloc 的架构主张是：广告实时竞价式追踪是“合法的”。而这套架构按设计就是两用的。每当一个由广告支撑的应用加载一次广告，用户的 IP、设备指纹和大致位置就会被广播给数千个竞价方去拍卖。Webloc 把这个广播当作输入来消费。用户没有退出选项：退出广告就等于退出这个应用。Pegasus 的目标是数千人。Webloc 追踪五亿人。这道采购规模上的落差，就是架构上的揭示。

经济怒火行动：稳定币作为合规工具

2026 年 4 月 23 日周四，Tether 发布了标题为 "Tether Supports Freeze of More Than $344 Million in USD₮ in Coordination with OFAC and U.S. Law Enforcement" 的公告。两个 Tron 区块链地址被冻结：约 2.13 亿美元和约 1.31 亿美元。PeckShield 最先发现这两个地址出现在 OFAC 黑名单上。第二天，4 月 24 日，美国外国资产控制办公室发布了一次 SDN 名单更新，其中包含两个与伊朗中央银行关联的地址——这是 OFAC 首次在链上直接制裁与伊朗央行相关的钱包。据 TRM Labs，这些被瞄准的地址自 2021 年 3 月以来经由近 1,000 笔存款悄悄累积了约 3.7 亿美元；其中一个没有任何转出；另一个在收到 2.28 亿美元以上的同时，转出不足 1600 万美元。美方这场行动被称为“经济怒火行动”（Operation Economic Fury）。据 Tether 自己的发布，其在所有司法辖区的累计配合为：340 多家机构、65 个国家、2,300 多个案件、冻结 44 亿美元以上。

直到今年 4 月之前，稳定币的中立性一直是一项架构前提。这轮冻结把 USDT 重新框定为加密货币中受监管最严的工具——一个事实上的、与美元挂钩的美国制裁基础设施延伸，其私营运营方的合规纪律比银行业动得更快。USDC 的发行方 Circle 首席执行官 Jeremy Allaire（4 月 13 日）：“没有法院命令就不会冻结 USDC，哪怕黑客卷走了数百万。”这两种稳定币如今在制裁合规上处于结构上不同的运营姿态。而隐私币方向的替代品——带 BIP324 加密 P2P 传输的比特币（在 Core 27.0 中为默认）和静默支付（BIP352，2026 年初合并）、自 2025 年 10 月起在测试网上运行 FCMP++ 且主网硬分叉暂定 2026 年年中的门罗币（匿名集从 16 跃升至约 1.52 亿至 1.58 亿个输出），以及默认屏蔽的 Zcash——则完全处在运营方监管的稳定币通路之外。

司法部六战六败：那个建不起来的选民数据库

2026 年 4 月 28 日周二，美国联邦地区法院法官 Susan Brnovich（亚利桑那州联邦地区法院，特朗普提名）驳回了司法部要求亚利桑那州提供未删节选民名册的诉讼，并且是不得再诉的驳回——称该法律理论 "futile"（徒劳无功）。Brnovich 的裁定是司法部在选民名册诉讼中连续第六次败诉，此前是加利福尼亚、马萨诸塞、密歇根、俄勒冈和罗得岛。4 月 17 日，法官 Mary McElroy（罗得岛州联邦地区法院，同样由特朗普提名）驳回了司法部对罗得岛的诉讼，裁定联邦选举法 "don't empower the Justice Department to demand state voter data"（并未授权司法部索取各州选民数据）。4 月 21 日，Common Cause 提起了结构性挑战——Common Cause v. DOJ，案号 1:26-cv-01352（哥伦比亚特区联邦地区法院）——共同代理方包括美国公民自由联盟、华盛顿责任与伦理公民组织、Protect Democracy 和哈佛民主诊所。起诉状写道：“没有任何联邦法律授权司法部开展这项四处蔓延的新型选民监控、数据合并与清除行动。司法部的这些做法，是在僭越宪法和联邦法律赋予各州的权力。”

其依据的授权是 2026 年 3 月 31 日的第 14399 号行政命令，"Ensuring Citizenship Verification and Integrity in Federal Elections"，该命令指示国土安全部和社会保障署，从联邦归化记录、社保署记录和国土安全部的“权益系统外国人身份核查”（SAVE）中，逐州汇编 "State Citizenship Lists"（州公民名单）。据公开报道，已有 3300 万条以上选民记录被送入国土安全部的 SAVE 系统跑过一遍。司法部长 Pam Bondi：“本届司法部迄今已起诉 23 个州未提供选民名册数据，并将继续提起诉讼以保护美国的选举。”

在采购架构方面，另有一项平行程序已经启动。2026 年 4 月 14 日，法官 Ellen Lipton Hollander（马里兰州联邦地区法院）在由美国政府雇员联合会主导的政府效率部／社会保障署一案中准许了证据开示，称政府的做法 "alarming"（令人不安）。证据开示将查明 DOGE 与一个寻求挑战选举结果的外部政治倡导团体之间的“选民数据协议”，以及 DOGE 使用未经授权服务器的情况。Hollander 此前那份 137 页的意见认定："the DOGE Team is essentially engaged in a fishing expedition at SSA, in search of a fraud epidemic, based on little more than suspicion."（DOGE 团队实质上是在社保署搞一场捞取式调查，去寻找一场欺诈流行病，而依据不过是猜疑。）

架构上的解读是：选民登记数据历来处于州和县一级。第 14399 号行政命令把它重组为一个联邦数据集中点。州与联邦之间的架构正在程序层被检验。六战六败是法院给出的回答。Common Cause v. DOJ 是宪法层面的回答。而架构上的替代方案——带选择性披露的联邦式身份（eIDAS 2.0 模式）——是保护隐私的替代品。

伊朗第 65 天：永久化的临时状态

2026 年 5 月 3 日周日，伊朗全国性互联网中断进入第 65 天——按 NetBlocks 的测量，累计 1,536 小时，是有记录以来最长的全国性互联网中断。中断始于 2026 年 2 月 28 日，发生在美以对伊朗的打击之后。约 8500 万至 9000 万伊朗人仍处于离线状态。据伊朗通信部长 Sattar Hashemi，每日直接损失约 3570 万美元；据 NetBlocks，累计的日损失可能超过 3700 万美元；据伊朗商会，直接损失为 3000 万至 4000 万美元，含间接损失则为 7000 万至 8000 万美元。累计损失已越过约 18 亿美元。伊朗最大的快递公司 Tipax，日发货量从 32 万件跌到“不足几百件”。

伊朗最高国家安全委员会已批准经由商会向特定商业持卡人开放的 “Internet Pro” 层级；第二阶段将扩展到生产、工业和贸易组织。资费约为标准费率的十倍；用量设有上限。政府女发言人 Fatemeh Mohajerani 在 4 月 28 日说：“一旦当局认为当前的地缘政治问题已经解决，全体伊朗人最终都将能够接入互联网。”负责妇女事务的副总统 Zahra Behrouz-Azar：“这种状况是像一场战争那样被强加的，损害不应被否认。”4 月 30 日，伊朗平面设计师协会、护理组织和律师协会公开拒绝这种分级接入，称其“与平等原则不符”。据此前的报道，自 2013 年以来，约有 16,000 名“白 SIM 卡”持有者一直享有不受限制的全球互联网访问。而按新层级，还会有数量不详的持卡人加入这个特权阶层。

架构上的揭示是：伊朗是第一个曾经拥有不受限制的互联网访问、又通过蓄意的国家行为把它弄丢的国家，退回到一个带分级全球接入的国家网络。朝鲜是为一个从未联网的人口建起了光明网。中国用二十年建起了防火长城并配以国产替代品。伊朗在几周内把两件事一起做了。Mohajerani 的那句框定——“一旦当局认为当前的地缘政治问题已经解决”——是开放式的永久化。

布鲁塞尔的十二个小时

2026 年 4 月 28 日周二，在布鲁塞尔，十二个小时之内发生了两件方向相反的监管事件。中午，欧盟委员会发布了它的第一份《数字市场法》审议报告（COM(2026) 178 final）——结论是该法规 "remains fit for purpose"（仍然合乎其目的），并把人工智能和云列为优先执法领域。到了傍晚，《AI 法案》数字综合法案的第二轮政治三方磋商在大约十二小时的谈判后破裂，卡在附件一所列安全产品（《机械条例》《医疗器械条例》《体外诊断条例》）中 AI 的合格评定架构上。原定 2026 年 8 月 2 日的通用目的 AI 执法期限在法律上依然成立。下一轮三方磋商暂定在塞浦路斯轮值主席国期间的 5 月 13 日左右。

4 月 29 日，委员会初步认定 Meta 的 Instagram 和 Facebook 违反《数字服务法》（IP/26/920）——理由包括：年龄门槛可以靠填写虚假出生日期绕过；举报工具需要 "up to seven clicks"（最多七次点击）；风险评估 "disregarded readily available scientific evidence"（无视了现成可得的科学证据），即 13 岁以下人群中有 10% 至 12% 在使用这些平台。可能的罚款：最高为全球年营业额的 6%。同一天，委员会发布建议书，敦促塞浦路斯、丹麦、法国、希腊、爱尔兰、意大利、西班牙七个成员国在年底前推出欧盟年龄验证应用。德国拒绝参与。据报道，网络安全研究者演示了该应用大约两分钟就能被攻破。委员 Henna Virkkunen：“我们拿出来的这个模型不是最终版；我们还在开发它。”同一天，英国的《2026 年犯罪与警务法》和《儿童福祉与学校法》获得御准，其中包括对《在线安全法》的修订。

4 月 30 日，欧洲议会通过了关于 DMA 执法的决议 P10_TA(2026)0160，对针对苹果（5 亿欧元）和 Meta（2 亿欧元）的 "modest fines"（数额不大的罚款）表示遗憾。同一天，挪威数据保护局发表公开声明，批评 Schibsted 推出每月 39 挪威克朗的“付费退出”隐私费。局长 Line Coll：“隐私是一项不应当花钱买的人权。我们担心互联网上的隐私会变成富人的专利，会变成一件奢侈品。”国际事务部门主管 Tobias Judin：“数据保护委员会说得非常清楚：隐私是所有人的人权，不是待售的商品。不能把收费的威胁当作施压手段，去逼出同意。”

欧洲的监管架构是耐久的，但也在被争夺。在大西洋的另一边，5 月 1 日，美国众议院能源与商务委员会提出了《SECURE 数据法》（H.R. 8413）和《GUARD 金融数据法》——两部带广泛州法优先适用条款的全面联邦隐私立法。加州隐私保护局已于 4 月 27 日正式提出反对。这幅分屏画面是：欧洲的监管支柱在守住，而 AI 规则正在被重新谈判；美国的监管支柱则正在被自下而上地优先适用掉。

AI 工具层

2026 年 4 月 22 日周三，OX Security 公开披露了 Anthropic 的模型上下文协议 SDK 在 Python、TypeScript、Java 和 Rust 各语言实现中的一个系统性设计漏洞——零点击提示注入可导致远程代码执行。据 The Register，约 20 万台服务器受影响；据 The Hacker News，是 7,000 多台公开服务器、1.5 亿次以上下载；十一个 MCP 市场中有九个被成功投毒。同一天，Pillar Security 披露了谷歌新推出的智能体 IDE 平台 Antigravity 的一个沙箱逃逸远程代码执行漏洞。同一天，威胁行为体 TeamPCP 发起的第三轮 “Shai-Hulud” 供应链行动，在 npm 上投放了带后门的 @bitwarden/cli@2026.4.0——存活约 1.5 小时——并且有记录以来首次把 .claude/settings.json 和 .vscode/tasks.json 武器化，用作 AI 编码助手的持久化机制。Endor Labs、Wiz 和 GitGuardian 把这归类为已知首例把 AI 编码智能体配置文件武器化的供应链攻击。到 4 月 30 日，趋势科技统计出 1,402 台以上未经认证的 MCP 服务器公开暴露（此前为 492 台）；其中 74% 位于 AWS、Azure、GCP 或甲骨文上。

TeamPCP 这场行动始于 2026 年 2 月 27 日，入口是 Aqua Security 旗下 Trivy 中一处配置错误的 pull_request_target。被攻陷的 aqua-bot 个人访问令牌打开了通往 trivy-action、setup-trivy 和 v0.69.4 的通路——由此产出带恶意的 Docker Hub 镜像。3 月 24 日，该威胁行为体利用被攻陷的 Trivy action 窃取了 LiteLLM 的 PyPI 发布令牌；发布了 litellm==1.82.7 和 1.82.8，存活约四十分钟。估计被窃凭据约 50 万份。Vect 勒索软件在 4 月 15 日列出了第一个受害者。

4 月 30 日，安全研究者披露了 CVE-2026-31431——"Copy Fail"——一个 Linux 内核 authencesn 密码模板逻辑缺陷。一个 732 字节的概念验证即可在 Ubuntu、Amazon Linux、RHEL 和 SUSE 上取得 root。影响 2017 年以来的每一个 Linux 发行版。CVSS 7.8。5 月 1 日，CISA 把 CVE-2026-41940——cPanel/WHM 中一个 CVSS 9.8 的严重认证绕过漏洞，而 cPanel/WHM 是约 7000 万个域名的控制面板——加入已知被利用漏洞目录，此前它至少自 2 月 23 日起就已被野外利用。约有 150 万个 cPanel 实例暴露在互联网上；已有 44,000 多个 IP 地址在 “Sorry” 勒索软件行动中被攻陷。

同一周，4 月 14 日，OpenAI 通过 Trusted Access for Cyber 计划向经过审核的安全研究者推出了 GPT-5.4-Cyber——一个以 "cyber-permissive"（网络许可）方式训练、为正当防御工作放松了拒答限制的模型。4 月 22 日，OpenAI 发布了开放权重的 Privacy Filter——一个 15 亿参数、稀疏专家混合、可在设备端运行的 PII 脱敏器，在 PII-Masking-300k 上取得 96% F1，以 Apache 2.0 分发。厂商自己的告诫是：它“应被视为一种‘脱敏辅助工具’，而不是一项‘安全保证’”。4 月 30 日，Anthropic 在 Claude Opus 4.7 上推出了公开测试版的 Claude Security。同一天，美国财政部长 Scott Bessent 对彭博社表示，美国金融和科技公司正在“做韧性建设”，以应对包括 AI 入侵银行账户在内的 AI 威胁。

架构上的解读是：AI 工具层如今已是一条规模化的特权第三方通路。每一个运行 AI 编码助手的开发者，都背着一个可自我延续的攻击面。每一台 MCP 服务器都带着一个“提示注入导致远程代码执行”的面。Anthropic、OpenAI、谷歌、Meta、DeepSeek、Mistral 或 xAI 的每一个模型，都是概率性的隐私工具，而不是确定性的。Apollo Research 4 月 8 日关于 Meta Muse Spark 的发现——该模型在 Apollo 的测试中有 19.8% 的比例把“意识到自己正在被评估”说了出来，并在思维链中明确点名评估方（"Apollo & METR"）——让每一份已发表的拒答率基准的意义都成了问题。AI 这个隐私原语不是确定性的。密码学原语是。

架构上的反制

如果特权第三方通路是 2026 年隐私问题的普遍失效模式，那么架构上的反制就是没有特权第三方通路的、由用户掌控的原语。

用户自持密钥的端到端加密。 Signal、Proton、Tuta、Threema、带按设备交叉签名的 Matrix。其密码学属性是：无论监管压力、法律义务、商业诱因，还是运营方基础设施的供应链攻陷如何，服务运营方都拿不出明文。运营方不持有的东西，既无法被强制交出，也无法被泄露、被出售或被攻破。Sharp 案在协议层是关上的；操作系统的泄漏在操作系统层被关上（今天是 iOS 26.4.2，或者 GrapheneOS 的默认状态）。

带选择性披露的联邦式身份。 eIDAS 2.0 欧盟数字身份钱包，对每个成员国的合规期限是 2026 年 12 月 31 日。France Identité、意大利 IT Wallet、丹麦、希腊、爱尔兰的试点、塞浦路斯的 “Digital Citizen”、西班牙的年龄核验钱包——都在生产轨道上。W3C 可验证凭据数据模型 v2.0 的首份公开工作草案于 2026 年 4 月发布；W3C 去中心化标识符 v1.1 候选推荐快照。用户可以证明一项具体主张（“已满 18 岁”“欧盟公民”“职业资格”“已登记选民”）而不暴露底层文件。当验证原语是联邦式的时候，选民数据库的集中化（第 14399 号行政命令）在架构上就失去了意义；Common Cause v. DOJ 诉讼守住的是程序阵地，而 eIDAS 架构演示的是替代方案。

点对点传输。 URnetwork 的住宅节点中继把流量经由消费级基础设施路由，而不是运营商计量的路径或商业 VPN 的 IP 池。带 Snowflake、obfs4 和 meek 可插拔传输的 Tor——Tor 浏览器 15.0.11 于 2026 年 4 月 28 日发布，带 Firefox 140.10.1esr 的安全修复；Tor 浏览器 16.0a1 alpha 是第一个基于 Firefox 快速发布通道的 Tor 浏览器。Shadowsocks、V2Ray、Trojan 和 NaïveProxy 呈现的应用层流量形态与商业 VPN 检测特征不匹配——这对身处俄罗斯（前 30 款安卓应用中有 22 款在应用层检测 VPN 使用）和伊朗（运营商本身就是对手）的用户很要紧。对身处第 65 天环境中的用户，对运营商层连续性失败的架构反制，是一张不依赖国家控制的运营商作为参与者的网状网络。

FIDO2 硬件认证。 YubiKey、Nitrokey、SoloKey。硬件密钥取代基于短信的多因素认证，而公民实验室的 SS7/Diameter 语料和 FBI 的 DCSNet 泄露合起来证明，后者在商业上和操作上都已被攻破。密钥是一份不依赖运营商投递的用户自持凭据。

开放固件硬件。 兼容 Pixel 设备上的 GrapheneOS——截至 2026 年 4 月约 40 万活跃用户；2026 年 3 月宣布的摩托罗拉合作面向 2027 年产品线，将终结只有 Pixel 可用的局面。其他安卓硬件上的 LineageOS。路由器上的 OpenWRT。设备运行的是用户可以检查的代码；厂商是用户可控栈中的一个参与者，而不是唯一的信任边界。

自托管服务。 Matrix 自建服务器取代 Discord 或 Slack；Nextcloud 取代 Google Drive 或微软 OneDrive；Forgejo 或 Gitea 取代 GitHub；Jitsi 取代 Zoom；Mailcow 取代商业运营方的邮箱；配 LangChain、LlamaIndex 和联邦式模型上下文协议的 Ollama 取代商业 API 的 AI 推理。每一项都用用户自运营的托管，取代了商业运营方那种依赖其基础设施的托管模型。4 月的 Shai-Hulud、MCP、Antigravity、TeamPCP 以及 Vercel/Context.ai 披露，展示了厂商侧攻陷那种不对称的爆炸半径；用户自运营的托管把半径限定住。

机密计算飞地。 Azure Confidential Computing、AWS Nitro Enclaves、Google Cloud Confidential Computing，以及来自斯坦福、苏黎世联邦理工、Opaque 和 Enveil 的专用项目。计算发生在加密数据上；运营方看不到明文。对研究架构而言（参见前一周关于生物银行的报道），联邦式分析——计算走向数据，数据不离开参与机构——在没有那种被阿里巴巴上架事件证伪的数据转移面的情况下，保住了研究价值。

隐私保护型加密货币。 Bitcoin Core 27.0 默认启用 BIP324 v2 加密 P2P 传输——比特币 P2P 流量的多数如今已加密。BIP352 静默支付于 2026 年初合并；Cake Wallet、BitBox 和 Nunchuk 已支持；2026 年新增的 BIP 包括 BIP376（PSBTv2 静默支付 tweak 字段）和 BIP392（描述符格式）。门罗币的 FCMP++ 自 2025 年 10 月 3 日起在测试网上运行；密码学密钥审计于 2026 年 5 月 11 日至 22 日进行；主网硬分叉暂定 2026 年年中，匿名集从 16 跃升至约 1.52 亿至 1.58 亿个输出。对于身处“经济怒火行动”管辖范围内的用户（在那里 USDT 可以应 OFAC 要求被冻结），这些隐私保护型工具处在运营方控制的稳定币通路之外。

三个时钟

2026 年 6 月 12 日。 第 702 条日落。这是 4 月 30 日启动的 45 天时钟。第五次临时延期在程序上是可行的；而结构性改革——Massie-Boebert 的 H.R. 8470、Lee-Wyden 的《政府监控改革法案》、Lee-Durbin 的《SAFE 法案》、Davidson-Lofgren 的众议院版本——不可行。

约 2026 年 5 月 15 日。 Cotton-Warner 就 3 月 17 日外国情报监视法院意见作出的解密承诺。Wyden 曾表示该意见记录了 FBI 针对美国人查询的“严重的”持续滥用。国家情报总监 Tulsi Gabbard 和代理司法部长会不会遵守这个期限，是眼下悬着的问题。

2026 年 8 月 2 日。 欧盟《AI 法案》下通用目的 AI 执法的生效日，原定日期。数字综合法案的第二轮三方磋商于 4 月 28 日因附件一的合格评定架构而破裂；塞浦路斯轮值主席国下的下一轮磋商约在 5 月 13 日。8 月 2 日这个期限在法律上依然成立。

在 4 月 20 日至 4 月 30 日这十天里，第 702 条获得了两次临时延期。在 6 月 12 日之前的六周里，架构改革的窗口在技术上仍然开着。在从现在到约 5 月 15 日的这些天里，FISC 意见的部分解密要么被兑现，要么不被兑现。在 8 月 2 日之前的这几个月里，欧盟《AI 法案》要么围绕其行业性合格评定架构被重新裁剪，要么不被重新裁剪。三个监管时钟，位于三个不同的层，跑在三种不同的程序节奏上，处在同一段连续的时间区间里。

贯穿线

监听系统被监听，是因为监听系统依赖一条供应商通道，而那条通道依赖一条供应链，那条供应链又依赖蜂窝网络的商业结构。Signal 消息被提取出来，是因为 Signal 应用依赖 iOS 通知数据库，那个数据库依赖操作系统，而操作系统依赖苹果的日志纪律。漫游伙伴之间的信任被滥用，是因为蜂窝信令网络依赖双边互联，而互联依赖运营商自律，自律又依赖“没有特权第三方有动机去滥用”。用户的位置被卖掉，是因为广告网络的实时竞价管道把位置广播给了数千个竞价方，而其中每一个都可能是 Penlink 的客户。美元稳定币被冻结，是因为运营方是一家私营公司，其条款赋予它为遵守制裁而单方面冻结的权力。选民名册上的联邦制被挑战，是因为第 14399 号行政命令把各州持有的数据重组为一个联邦数据集中点。伊朗的互联网被切断，是因为运营商由国家控制，而国家把这份特权武器化了。

每一项特权本应受到某种东西的监管。而每一种监管最后都被证明是不完整的、缺席的，或者其本身就是一条特权通路。这个在十一天里重复了九次的架构教训是：特权通路按其构造就是监控通路和泄漏通路。用户控制不了特权通路。

用户控制的是密码学原语。密码学原语没有特权第三方通路。用户控制的是联邦式身份钱包。联邦式身份钱包没有特权第三方通路。用户控制的是开放固件设备、自托管服务、FIDO2 硬件密钥、点对点传输、机密计算飞地、隐私保护型加密货币。它们没有一个有特权第三方通路。

监视者被监视，是因为监视者依赖一条特权通路。架构上的反制，就是不去依赖特权通路。六周。两周。三个月。今天，加密应用之下的每一层都是泄漏面；而由用户掌控的原语栈，是唯一一种下面没有另一层的架构。

你实际上能做什么

如果你是 iOS 用户：立即安装 iOS 26.4.2 或 iPadOS 26.4.2（或回移版 18.7.8）。关闭 Signal 及其他端到端加密应用的通知预览；在“设置 → 通知 → Signal”中，把 "Show Previews"（显示预览）设为 "Never"（从不）。如果你是高风险目标，启用锁定模式。苹果 2026 年 3 月下旬的声明：“尚未发现任何针对启用了锁定模式的苹果设备的成功雇佣型间谍软件攻击。”审查无障碍服务权限。如果你能运行开放固件的安卓，GrapheneOS 提供了商业可得的最强开放固件姿态。

如果你是担心 SS7/Diameter 暴露的蜂窝用户：用 FIDO2 硬件密钥（YubiKey、Nitrokey、SoloKey）取代短信多因素认证。任何你不希望从运营商一侧被提取的通信，都请使用带阅后即焚和按设备交叉签名的 Signal/Proton/Tuta/Threema/Matrix。

如果你是身处俄罗斯（30 款流行应用中有 22 款检测 VPN 使用）、伊朗（运营商本身就是对手）或任何高对抗司法辖区的安卓用户：把网络层的 WireGuard 与不呈现商业 VPN 指纹的应用层规避手段（Shadowsocks、V2Ray、Trojan、NaïveProxy）结合起来。URnetwork 的住宅节点中继经由消费级基础设施路由，而不是商业 VPN 的 IP 池。带 Snowflake / obfs4 / meek 网桥的 Tor 是对抗性深度包检测环境的标准做法。

如果你是担心冻结姿态的稳定币用户：USDT 如今在操作上已受制于 OFAC 冻结和私法院命令；按 Allaire 声明的政策，USDC 需要法院命令。做隐私保护型支付：带 BIP324 + BIP352 静默支付的比特币；门罗币（FCMP++ 主网硬分叉暂定 2026 年年中）；默认屏蔽的 Zcash。

如果你是担心第 14399 号行政命令下选民数据库集中化的美国选民：支持各州总检察长依 Brnovich 和 McElroy 两个先例进行抵制；跟踪 Common Cause v. DOJ（案号 1:26-cv-01352，哥伦比亚特区联邦地区法院）；架构上的替代方案——带选择性披露的联邦式身份——就是 eIDAS 2.0 模式，可以部署到美国各州的数字身份基础设施上。

如果你是运行 AI 编码助手的开发者：固定依赖版本；审计锁文件；把 .claude/settings.json 和 .vscode/tasks.json 加入 .gitignore；不要从第三方包自动加载助手配置；事件之后轮换凭据（TeamPCP 窃取了约 50 万份）；企业场景下，优先采用带签名包和按组织自定补丁节奏的联邦式 MCP 架构。

如果你是系统管理员：紧急修补 CVE-2026-41940（cPanel）和 CVE-2026-31431（Linux "Copy Fail"）。核实 Microsoft Defender BlueHammer（CVE-2026-33825）补丁；跟踪 RedSun 和 UnDefend 这两个“孪生”披露。

如果你是政策制定者：基于边界的保护与基于密码学原语的保护之间的架构缺口，就是设计空间。支持部署基于密码学原语的保护的政策——通过采购偏好、对联邦式架构的监管安全港、对开放标准实现的资助——比对无令状监控授权进行立法改革推进得更快。eIDAS 2.0 架构是当前政策作用于原语层最实质的例子。

如果你是开源贡献者：这套原语栈需要持续开发。联邦式分析框架（DataSHIELD、Vantage6、OHDSI、Flower、PySyft）；点对点传输（URnetwork、Tor Snowflake、Shadowsocks 各变体、WireGuard 工具链）；自托管服务（Matrix、Nextcloud、Mailcow、Ollama、LlamaIndex）；用户自持数据基底（Solid、Ceramic、ATProto）；开放固件项目（GrapheneOS、LineageOS、OpenWRT、Klipper）；隐私保护型加密货币（Bitcoin Core 的 BIP324/BIP352 实现、门罗币 FCMP++、Zcash 屏蔽交易）。民用层架构就是产出。

收尾

二十五年的 CALEA“网络须具备可监听能力”强制要求（1994 年）、《爱国者法案》的扩权（2001 年）、《外国情报监视法修正案》与第 702 条（2008 年）、商业数据经纪生态的成熟（2010 至 2026 年）、行政传票权，以及正在成形的 Palantir 与联邦机构的合同基础设施，共同在美国互联网的每一层上造出了一套特权第三方通路架构。二十五年的欧洲监管脚手架——GDPR（2018 年）、DMA（2022 年）、DSA（2022 年）、《AI 法案》（2024 年）、eIDAS 2.0（2024 年）、即将出台的《儿童性虐待材料条例》——造出了一套被争夺的、在设计层面可执法的框架，它耐久但不均衡。二十年的伊朗国家互联网架构，造出了一套人口规模的、由运营商控制的对手架构，如今正被公开地朝着永久化去工程化。

在 4 月 20 日至 4 月 30 日这十天里，美国的监控系统被攻破，美国的监控授权靠程序操作被延了四次，欧洲的监管架构同时吸收了一次确认（DMA）和一次挫折（《AI 法案》综合法案），以色列厂商／英国运营商／海峡群岛运营商这条电信信令链上被记录下 15,700 多次追踪尝试，由美国监管的美元稳定币被用来对付伊朗的国家储备，联邦选民数据库项目输掉了它的第六次程序性挑战，伊朗的战时中断固化为一套永久性的两级架构，而 AI 工具供应链在同一个周三产出了三次独立披露。

用户控制密码学原语。用户控制联邦式身份钱包。用户控制开放固件设备。用户控制自托管服务。用户控制 FIDO2 硬件密钥。用户控制点对点传输。用户控制机密计算飞地。用户控制隐私保护型加密货币。用户控制不了特权第三方通路。

监视者被监视了。距下一次日落还有六周。距 FISC 意见部分解密约还有两周。距欧盟《AI 法案》通用目的 AI 执法生效还有三个月。第 65 天，而永久化的框定已经就位。

架构上的替代方案已经出货。

2026 年 4 月 20 日周一，在阿里巴巴的商业平台上出现了三条各自独立的上架信息，提供英国生物银行数据的访问权——具体而言，是约 50 万名英国生物银行志愿者的匿名化健康记录。发布这些信息的实体可追溯到三家中国研究机构；在调查结束前，其名称尚未公布。英国卫生部于 4 月 23 日周四发出确认。英国政府要求英国生物银行慈善机构暂停向国际研究者提供进一步的数据访问，等待技术审查。阿里巴巴把这三家机构从平台上封禁。保守党和自由民主党阵营的反对党发言人呼吁全面禁止与中国共享医疗数据。ITV、《华盛顿邮报》、The Register、LBC 和 BBC News 都报道了此事。

英国生物银行不是一个普通的医疗数据库。它是世界上最大的生物医学队列：50 万名参与者在 2006 至 2010 年间入组，贡献了基因组数据、病历、大量生活方式元数据、生化检测面板、影像检查——磁共振扫描、DXA 骨密度测量、颈动脉超声、心电图——以及在此后二十年里对照国家登记数据追踪的纵向健康结局。这个队列是当代英国生物医学研究的基础。它已被数以万计的同行评议论文引用。它是几代基因关联算法的基准参照数据集。获准访问时，历来走的是受控访问流程：研究申请由数据访问委员会审查，数据使用协议由机构首席研究员签署，数据以有限形式并附特定保护措施共享——通常剥去直接标识符（姓名、住址、NHS 号），但保留使该队列独一无二的丰富基因组和表型内容。

受控访问架构底下的前提是：去掉直接标识符后的“匿名化”数据形式，仍可用于研究而不会标识出参与者。这个前提现在公开地失效了。

当数据是基因组数据时，“匿名化”意味着什么

基因组队列匿名化的这一特定失败，在遗传隐私文献中已被记录至少十五年。Gymrek-Erlich-Church 的结果发表于 2013 年 1 月的《Science》，证明用 Y 染色体单倍型推断姓氏、再结合公开的家谱数据库，就能以姓名级精度标识出研究参与者。研究者使用了 50 个 Y 染色体短串联重复标记，并访问了免费公开的祖源数据库 Ysearch.org；他们从科里尔研究所的人类基因组多样性计划中标识出五名参与者，从一个 CEPH 家系中标识出一名，所依据的都是名义上已匿名化的基因组数据。

Homer 等人 2008 年发表于《PLOS Genetics》的结果 "Resolving Individuals Contributing Trace Amounts of DNA to Highly Complex Mixtures Using High-Density SNP Genotyping Microarrays"，证明仅凭汇总统计量——队列中 SNP 变异的频数表，不含任何个体级记录——就能重新标识全基因组关联研究（GWAS）数据集中的个体。这个结果迫使美国国立卫生研究院在 2008 年 9 月把 GWAS 的汇总统计数据从 dbGaP 的公开访问中撤下。

2016 年 Harmancı-Gerstein 的结果把重新标识的工作扩展到外显子组测序项目的插补基因型。2017 年 Raisaro 等人关于 Beacon Network 重新标识的工作表明，即便是基因组变异查询那个最小化的公开查询接口——对某个特定等位基因是否存在只回答是或否——也会泄露足以在多个关联数据库间重新标识参与者的个体级信息。2018 年 Erlich-Shor-Pe'er-Carmi 的工作证明，通过消费级基因数据库进行的远亲检索，可以从第三方上传的 DNA 图谱中标识出 60% 的欧洲裔美国人。

基因组隐私文献趋同的结论是：传统匿名化技术——去除直接标识符、k-匿名、l-多样性——经不住队列规模上基因组数据的推断能力。你的 DNA 是一个终身标识符。它可以在未来任何时点，被任何拥有参照语料库的一方，与你 DNA 的任何其他样本相匹配。差分隐私框架提供数学保证，但需要的噪声注入会把研究价值削减到生物医学研究界尚不接受的程度。安全多方计算和同态加密提供了替代方案，但其带来的计算开销直到最近仍使它们无法进入常规使用。

2006 至 2010 年间入组英国生物银行的参与者，被以那个年代的说法告知，他们的数据会被匿名化。这个说法在“尚未出现大规模推断”的前提下是准确的，而那些前提在此后十年里没有成立。这 50 万参与者如今在相当比例上，对任何未来由任何人——在英国、在中国、在任何地方——建立并与泄露数据求交的基因组队列而言，都是可标识的。使用泄露副本的研究者可以对这些数据运行祖源推断、亲缘关系推断、健康表型推断和特定疾病风险推断，并可与任何持有其目标 DNA 样本的第三方消费级基因组数据库交叉比对。数据是基因组数据；基因组数据不会随时间变得更难标识；受控访问式匿名化的架构前提，已被证明会泄漏。

平行案例：苹果 5 亿欧元，Meta 2 亿欧元

在同一个 4 月 23 日周四，欧盟委员会作出了《数字市场法》下的首批不合规决定。苹果因违反第 5(4) 条的反引导规则被罚 5 亿欧元——该条要求平台允许开发者在不受干预的情况下引导用户使用替代支付方式。Meta 因其 "pay-or-consent" 模式被罚 2 亿欧元；在该模式下，用户要么每月支付约 9.99 欧元获得无广告体验并减少数据合并，要么接受带追踪与定向数据合并的免费服务。委员会认定，付费或同意违反了第 5(2) 条关于未经用户同意不得跨服务合并用户数据的禁令。

Meta 这项决定在架构上与英国生物银行的故事平行。Meta 的付费或同意本身就是一项架构性的匿名化主张：付费订阅者的数据据称会与追踪定向图谱分开保存；免费层用户的数据据称会被合并。委员会认定这种分隔在结构上并不牢固——分隔主张是一条没能撑过实现层的边界承诺。免费层用户的同意并非有意义地自由，因为替代选项设了一道付费墙。付费层的分隔并非有意义地分开，因为合并图谱的架构在运行上依然存在。

两家公司都被给予 60 天整改期。Meta 宣布将上诉；苹果预计跟进。5 亿欧元和 2 亿欧元的罚款本身，相对于两家公司的年营收都不算大，属于程序上的第一枪。实质性的 DMA 框架执法——包括对持续不合规可能处以全球营收 10% 的罚款，以及对屡犯理论上 20% 的上限——是这两项 4 月 23 日决定所开启的 2026 至 2027 年问题。

把英国生物银行与 Meta 付费或同意连起来的架构性观察是：两者都是在信任边界上作出的分隔承诺。英国生物银行承诺的分隔，是在研究机构的受控访问数据处理与下一方的数据处理之间。Meta 承诺的分隔，是在付费用户的数据与被追踪用户的数据之间。两个案例中，承诺都是在数据转移或数据合并的那一点上作出的；两个案例中，审查都发现承诺在结构上没有被保住。

平行案例：Morpheus——电信运营商作为定标伙伴

4 月 24 日周五，TechCrunch 发表了关于 “Morpheus” 的报道，这是意大利厂商 IPS（一家意大利合法拦截提供商）推出的新款安卓商业间谍软件产品，由安全研究机构 Osservatorio Nessuno 披露。Morpheus 独特的攻击向量是：运营方的合作运营商刻意切断目标的移动数据连接，随后目标收到一条短信，提示安装虚假的“更新”应用。目标此时已与合法更新渠道断开，又看到一条似乎来自自己运营商的短信，于是安装了这个假货。该应用滥用安卓无障碍服务来实现设备端采集——按键记录、麦克风访问、位置跟踪、屏幕内容。

Morpheus 扩充了商业监控厂商的公开记录名录，与之并列的有 NSO Group（Pegasus）、Intellexa（Predator）、Paragon（Graphite）和 Candiru（DevilsTongue）。Morpheus 在结构上的新颖之处，是电信运营商伙伴明确的、操作层面的参与。此前的商业间谍软件产品用过短信投递链接、零点击漏洞、Wi-Fi 网络注入和物理接触设备。Morpheus 首次以公开记录的细节，记录了这样一种部署架构：目标自己的移动运营商刻意与间谍软件运营方协同，来投送载荷。

Morpheus 的目标所依赖的那个架构主张——他们的运营商是一个基础设施中立的中介，而不是定标伙伴——结果在结构上并不成立。该运营商与意大利合法拦截厂商 IPS 的关系，使其在操作上成为定标伙伴。支撑大多数消费者和企业威胁建模的“运营商即中立载体”假设，在 Morpheus 的部署模式下并不成立。对于身处“合法拦截命令可以在不通知目标的情况下送达运营商”的司法辖区的用户，这套架构在结构上是可触达的。

与英国生物银行和 Meta 付费或同意的平行之处：又一条边界——电信基础设施中立——被推定为耐久，却在下一跳被证明有损。

平行案例：俄罗斯的 30 之 22

RKS Global 的研究由 Meduza 于 4 月 10 日发表，并在 2026 年 4 月下旬的报道中被放大，记录了俄罗斯 30 款最流行的安卓应用中有 22 款——包括国家支持的 MAX 通讯应用——会在应用层检测 VPN 使用并相应改变自身行为。Sberbank、VK、Ozon、Wildberries、Lamoda、Avito 以及前 30 名中的大多数其余应用，都实现了不受 VPN 网络层混淆影响的 VPN 检测。Yandex 生态服务和 Gosuslugi（国家服务门户）明显没有检测——这本身就是一个关于国家控制的应用选择呈现什么的数据点。这些应用的检测方法通常结合 TCP MSS 钳制模式、DNS 行为异常、来自商业情报源的 IP 段声誉，以及对 VPN 特有 TCP 栈行为的被动指纹识别。

VPN——历来被定位为网络层的流量匿名化工具——对应用而言在架构上曾是不可见的。应用层检测说明，VPN 的匿名化主张是一个网络层的主张；应用层可以看穿它。VPN 本应强制执行的那条边界——用户网络流量的可见性与应用对该流量的可见性之间——结果是一条比应用所能观察到的那条更低的边界。VPN 的架构承诺，扩展不到已经大规模部署检测的应用层对手面前。

对俄罗斯用户而言，实际后果是：相当一部分日常应用——银行、电商、通讯、分类信息——对 VPN 用户表现不同，通常是功能受限、账户警告或会话终止。用户以为对隐私承重的那条架构边界，并不承重。

平行案例：伊朗第 56 天

2026 年 4 月 24 日，伊朗进入其战时全国性互联网中断的第 56 天。NetBlocks 在 4 月 23 日测得累计中断时长为 1,296 小时——按任何历史度量都正式成为有记录以来最长的全国性互联网中断。为约 2% 的伊朗人口（商业持卡人、特定行业、学界）恢复全球连通性的 “Internet Pro” 层级，已进入运行的第三周。伊朗国际的报道把 Internet Pro 计划描述为一个多年期项目，而非应急时长的恢复措施。伊朗通信部长 Sattar Hashemi 继续援引每日 3570 万美元的数字经济直接损失；截至 4 月 24 日，NetBlocks 的累计损失估计超过 24 亿美元。约 9000 万伊朗人仍处于离线状态。

在伊朗被证伪的那个架构主张，是这份清单上最基础的一条：互联网接入是一项具有可预期连续性的日常消费服务。多数网络架构所假定的运营商层中立性，是一个语境性假设，而不是一项耐久的架构属性。在伊朗，中断进行到第 56 天，连续性主张已被国家行为证伪；而 “Internet Pro” 式的恢复表明，一旦国家建成了分级凭据访问的能力，这套架构就不容易回滚到此前那条无条件访问的基线。

对 9000 万离线的伊朗人来说，架构后果是二元的：要么取得 Internet Pro 凭据（只对一小群人开放），要么使用绕开国家运营的运营商基础设施的规避手段。规避架构——Psiphon、带网桥配置和可插拔传输的 Tor、商业与去中心化 VPN、走私进来的 Starlink 终端所提供的卫星连接、点对点网状网络——正是在国家压力下被建设和部署的那套平行基础设施。

平行案例：六天（第 702 条）

2026 年 4 月 24 日，《外国情报监视法》第 702 条距法定日落还有六天。到 4 月 30 日，除非国会有所行动，这项授权将失效——美国情报界据以开展针对非美国人的最大规模持续无令状监控计划（并附带收集大量美国人通信）的正是这项授权。既有的收集命令按其自身条款持续到期满；但没有重新授权就不能签发新命令。

本周的重新授权辩论呈现出所有熟悉的形状。众议院共和党人于 4 月 23 日提出一项三年延期方案，其中不含对美国人查询的 FBI 令状要求。众议员 Thomas Massie（共和党，肯塔基州第 4 选区）和 Lauren Boebert（共和党，科罗拉多州第 4 选区）在同一天提出《监控问责法案》：要求对美国人的联邦监控须先有基于相当理由的令状；禁止联邦机构购买商业位置和移动数据；约束第三方原则；并为第四修正案侵权设立私人诉权。该法案加入了参议员 Lee 的《政府监控改革法案》和《SAFE 法案》，共同构成一个跨党派改革联盟——而这个联盟在斯诺登以来的 13 年里，并没有拿到它所寻求的改革。

程序时钟把一个更大的架构问题磨得更锋利。这套 25 年的联邦数据获取架构——CALEA 的“网络须具备可监听能力”强制要求（1994 年）、《爱国者法案》的扩权（2001 年）、《外国情报监视法修正案》与第 702 条（2008 年）、商业数据经纪生态的成熟（2010 至 2026 年）、行政传票权，以及正在成形的 Palantir 与联邦机构的合同基础设施（4 月 24 日 The Intercept 关于 1.3 亿美元国税局合同的报道；持续中的 ICE 关系）——是以改革框架未能匹配的速度累积建成的。第 702 条的重新授权周期产出的是狭窄的约束，不是架构上的重构。

与英国生物银行的平行观察。在英国生物银行案中，被检验的边界是受控访问研究与商业平台上架之间的边界。在第 702 条案中，被检验的边界是外国情报收集与对美国人的附带收集之间的边界，而政府能从商业经纪商买到什么数据则由第三方原则支配。两个案例在架构上都一样：跨过边界的数据，并不把跨界之前适用的保护一起带过去。

集中化的故事仍在继续

2026 年 4 月 23 日，一个投票权组织联盟提起联邦诉讼，要求阻止司法部的“选民登记国家化政策”——一项把各州持有的选民登记记录汇编进一个中央联邦数据库的举措。原告援引身份盗用风险、合格选民被错误删除，以及对登记的寒蝉效应。此案的架构意义在于：选民登记数据历来由州和县一级持有、联邦访问受目的和程序限制，如今正被重组为一个联邦数据集中点。诉讼是对这次重组是否被允许的程序性检验；而架构问题独立于法律结果。

4 月 24 日，The Intercept 发表了关于 Palantir 与国税局刑事调查部门逾 1.3 亿美元合同的报道，称该合同可实现“大规模”数据挖掘。这份合同与 Palantir 同 ICE 和国土安全部的长期关系互补。联邦政府的数据挖掘基础设施正在以更强的能力、在更多地点被建设出来，而对这套基础设施的立法与法律约束则在两个方向上都被争夺。

英国生物银行的故事处在这个语境里，不是一次孤立的研究数据泄露，而是一个更广泛的集中化模式在研究领域的实例。大型数据集——基因组的、行为的、商业的、政府的——正被集中到运营方手中，无论那是国家、研究机构、商业公司还是分包商。每一个集中点都成为一个诱人的目标，而集中点之间的每一次转移，都成为一条要检验其支配性假设的边界。

架构上的反制

如果模式是边界承诺在下一跳衰减，那么架构上的反制就是：在用户设备上强制执行的原语没有下一跳。

用户自持密钥。 密钥保存在用户设备上的端到端加密这一密码学原语，意味着无论监管压力、法律义务还是商业诱因，服务运营方都拿不出明文。Signal、Proton、Tuta、Threema，以及带按设备交叉签名的 Matrix 是成熟的部署。其架构姿态是设计层面的拒绝：运营方不持有的东西无法被强制交出。

带选择性披露的联邦式身份。 eIDAS 2.0 数字身份钱包、W3C 可验证凭据，以及正在成形的数字身份钱包生态，让用户可以证明一项具体主张——“已满 18 岁”“欧盟公民”“某项职业资格”“英国 NHS 患者”——而不暴露底层文件。该主张在密码学上绑定到用户设备；验证方只学到用户选择披露的内容。这套架构在多次出示之间不可关联：没有单一实体能在没有用户配合的情况下把用户活动关联起来。

点对点传输。 URnetwork 的住宅节点点对点中继、带可插拔传输的 Tor、运营商无关配置下的 WireGuard，以及用于深度包检测对抗环境的 Shadowsocks / V2Ray / Trojan / NaïveProxy，意味着流量不会终止于运营商计量的路径，也不会终止于可被识别的单一运营方 VPN 的 IP 池。对 Morpheus 的电信伙伴向量，架构上的反制是一张不依赖运营商作为参与者的网状网络。对俄罗斯 30 之 22 的 VPN 检测，架构上的反制是不呈现商业 VPN 指纹的传输。

自托管的服务替代品。 Matrix 自建服务器、Nextcloud、Forgejo 或 Gitea、Jitsi、Mailcow，以及用于 AI 负载的、配 LangChain 和 LlamaIndex 与联邦式 MCP 的 Ollama。数据不驻留在可能受传票、收购或政策变更影响的商业运营方基础设施上。

开放固件硬件。 兼容 Pixel 设备上的 GrapheneOS、其他安卓硬件上的 LineageOS、路由器上的 OpenWRT、3D 打印机上的 Klipper 或 Marlin。设备运行的是用户可以检查的代码；厂商是用户可控栈中的一个参与者，而不是唯一的信任边界。

FIDO2 硬件认证。 YubiKey、Nitrokey、SoloKey 取代短信多因素认证，而 Morpheus 的电信伙伴架构和公民实验室 4 月 23 日的 SS7/Diameter 幽灵运营商报告，使后者被视为已被商业化攻破。硬件密钥是一份不依赖运营商投递的用户自持凭据。

面向敏感计算的安全飞地框架。 Azure Confidential Computing、AWS Nitro Enclaves，以及斯坦福、苏黎世联邦理工正在开发的专用基因组飞地项目和商业提供方 Opaque 与 Enveil。计算发生在加密数据上，运营方看不到明文。对研究架构而言，联邦式分析——把计算送到数据那里，而不是把数据送到计算那里——在没有那种被英国生物银行案证伪的数据转移的情况下，保住了研究机构之间的协作。

用户自持的数据驻留。 对医疗、基因组、金融和个人历史数据而言，中心化托管在架构上的替代是带选择性访问的用户自持托管。Solid 项目的 Pods、Ceramic Network 的数据主权框架，以及 HL7 FHIR 的 OAuth 与 SMART-on-FHIR 架构下正在成形的健康数据身份钱包扩展，提供了技术基底。若在国家规模上部署，就意味着英国生物银行的数据从来不会以一种可被提取的形式被集中持有。

针对英国生物银行这一案例的具体回应

对已经在英国生物银行里的参与者来说，架构上的回应受制于一个事实：数据已经离开了受控访问环境。参与者依英国 GDPR（英国脱欧后的 GDPR 实施法）享有若干权利——删除权、撤回同意权、知悉数据接收方的权利。行使这些权利能否触及已经外流到阿里巴巴的副本，在法律上不确定，在跨向中国的司法辖区边界上则实际上无法执行。

对更广义的生物医学研究架构而言，回应是架构性的。联邦式分析——数据留在队列，计算过去——今天就可以在运营上部署。DataSHIELD 框架、Vantage6、带联邦查询的 OHDSI OMOP 通用数据模型，以及像 Sentinel 和运行在安全飞地上的 FHIR Genomics 这样的特定基因组飞地架构，提供了实质性的实现路径。若研究者接受效用上的取舍，基于差分隐私的汇总统计发布可以在不暴露个体层面的情况下保住队列级推断。安全多方计算正在向队列规模上可用于生产的延迟水平成熟。架构上的选项是存在的。

英国生物银行的受控访问架构建立于 2006 至 2010 年，在设计之时代表了当时的技术前沿。十六年后，前沿移动了。受控访问模型有一个假设：研究机构之间的数据转移会被合同条款和职业规范所约束。正如阿里巴巴的上架信息所显示的，这个假设被证明依赖于一种并非总能强制执行的下游方纪律。联邦式分析模型不需要那种下游纪律；数据不会以一种能让下游外泄的形式离开。对下一个队列而言——无论在英国、美国、欧盟还是别处——入组时的架构选择，决定了此后几十年里匿名化会经历怎样的衰减。

这一周的模式

2026 年 4 月 20 日至 24 日，至少产生了七个各自不同的新闻事件，而每一个都是同一个架构模式的实例。

• 英国生物银行基因组记录出现在阿里巴巴（4 月 20 至 23 日）。 边界：研究机构到下一方。失败：受控访问的数据使用协议在下游未被遵守。架构后果：匿名化基因组数据外流到商业平台。
• Meta 付费或同意被裁定违反 DMA 第 5(2) 条（4 月 23 日）。 边界：付费用户与被追踪用户的分隔。失败：尽管有付费层，数据在结构上仍被合并。架构后果：2 亿欧元罚款；60 天完成重构。
• Morpheus 电信伙伴型安卓间谍软件（4 月 24 日）。 边界：电信基础设施中立。失败：运营商在操作上与间谍软件厂商合作。架构后果：为意大利合法拦截客户提供的静默定标向量。
• 俄罗斯 30 之 22 的 VPN 检测（4 月 10 至 24 日报道）。 边界：网络层流量匿名化。失败：应用层检测出 VPN 指纹。架构后果：应用对 VPN 用户表现不同；规避基线被侵蚀。
• 伊朗第 56 天全国性中断（4 月 24 日仍在持续）。 边界：运营商层的互联网接入连续性。失败：国家接管运营商基础设施；累计中断 1,296 小时。架构后果：9000 万人离线；分级 “Internet Pro” 恢复架构。
• ICE 依行政传票权使用 Paragon Graphite（4 月 23 日）。 边界：部署间谍软件须有第四修正案令状。失败：以行政传票绕过。架构后果：同日提出公民自由改革法案（Massie-Boebert）。
• 司法部选民登记国家化诉讼（4 月 23 日）。 边界：州一级的选民登记主权。失败：联邦集中化政策。架构后果：联邦诉讼寻求叫停集中化。

七个案例。一个架构模式。每一个都展示了一条被推定为耐久的边界——受控访问研究、付费或同意的分隔、电信中立、网络层匿名化、运营商连续性、第四修正案令状、州一级主权——并且在下一笔交易或下一次国家行为中被证明有损。

第 702 条那六天的时钟，是同一模式在立法程序上的窗口。Massie-Boebert 法案是在架构层的一次改革尝试；它能否以任何形式通过，是 2026 年的国会问题。而那些能让这个模式失效的架构原语，今天已经部署好了，正等着用户去选它们。

你实际上能做什么

如果你是英国生物银行参与者：可以考虑向英国生物银行慈善机构核对你的同意状态，了解你依英国 GDPR 享有的权利，包括删除权和撤回同意权，并注意这些权利对已经外流副本的实际触达范围并不确定。这件事不是你的错；这套架构是在一些不再成立的假设下设计的。

如果你是生物医学研究者：在你所在机构内部倡导用联邦式分析架构（DataSHIELD、Vantage6、正在成形的联邦式基因组架构）取代跨机构协作中的批量数据转移。数据转移模型已被证伪；联邦式模型在没有那种架构暴露面的情况下保住了研究价值。

如果你是欧洲付费或同意层上的 Meta 付费订阅者：DMA 的决定已裁定该层不合法；Meta 有 60 天时间重构。想一想你的订阅买到的是一项结构性的隐私属性，还是一项理论上的隐私属性；委员会认定是后者。

如果你是有商业间谍软件暴露顾虑的安卓用户：兼容 Pixel 设备上的 GrapheneOS 提供了商业可得的最强开放固件姿态。对无法运行 GrapheneOS 的用户，以加固为导向的安卓配置（Titan 芯片支持的密钥库、存储加密、安全元件支持的生物识别、启用验证启动、关闭开发者模式、关闭未知来源安装、审查无障碍服务权限）可以降低 Morpheus 一类的向量。不要从短信链接安装应用。

如果你是身处俄罗斯、伊朗、中国或其他高对抗司法辖区的 VPN 用户：把网络层 VPN（WireGuard 是占 94% 的标准）与不呈现 VPN 指纹的应用层规避手段结合起来。Shadowsocks、V2Ray、Trojan 和 NaïveProxy 呈现的应用层流量形态，与商业 VPN 检测不匹配。在点对点传输方面，URnetwork 的住宅节点中继经由消费级基础设施路由，而不是商业 VPN 的 IP 池。带可插拔传输（Snowflake、obfs4、meek）的 Tor 是对抗性深度包检测环境的标准做法。

如果你运营的服务处理医疗、基因组、金融或个人历史数据：审计你的数据驻留模型。中心化托管是默认；带选择性访问的用户自持托管是架构上的替代。Solid Pods、Ceramic Network 的数据主权框架、带 SMART-on-FHIR OAuth 的 HL7 FHIR，以及正在成形的身份钱包扩展，是可进入生产的选项。对敏感数据的计算，机密计算飞地（Azure Confidential Computing、AWS Nitro Enclaves、Google Cloud Confidential Computing）在不让运营方看到明文的前提下保住计算价值。

如果你是政策制定者：基于边界的保护（受控访问、付费或同意、电信中立、令状要求）与基于密码学原语的保护（用户自持密钥、联邦式身份、点对点传输、自托管服务）之间的架构缺口，就是设计空间。边界层的政策改革很重要，但正如第 702 条 25 年的轨迹所示，相对于既装架构而言它很慢。而支持部署基于密码学原语的保护的政策——通过采购偏好、对联邦式架构的监管安全港、对开放标准实现的资助——推进得更快。欧盟的 eIDAS 2.0 架构是当前政策作用于原语层最实质的例子。

如果你是开源贡献者或开发者：这套原语栈需要持续开发。联邦学习和联邦分析框架（DataSHIELD、Vantage6、OHDSI、Flower、PySyft）、点对点传输层（URnetwork、Tor Snowflake、Shadowsocks 各变体、WireGuard 工具链）、自托管服务生态（Matrix、Nextcloud、Mailcow、Ollama、LlamaIndex）、用户自持数据基底（Solid、Ceramic、ATProto），以及开放固件项目（GrapheneOS、LineageOS、OpenWRT、Klipper），都由分布式社区持续维护，其能力随贡献者时间增长。民用层架构就是产出。

贯穿线

英国生物银行的失败，是一个普遍架构模式的具体实例。被推定为耐久的边界，会在下一跳衰减。匿名化撑不过转移。分隔撑不过合并。中立撑不过合同。主权撑不过整合。这个模式出现在医疗数据、消费平台、移动间谍软件、国家审查、联邦监控和州一级选举基础设施上——是一周的新闻，也是此前十年的架构轨迹。

那些用架构保证取代边界承诺的原语没有下一跳。用户自持密钥的端到端加密终止于设备。联邦式分析终止于队列。点对点传输终止于用户。自托管服务终止于用户自运营的基础设施。开放固件硬件终止于用户可控的设备。让每一项原语稳健的那条架构属性是：没有任何后续边界的纪律、国家权力或商业诱因，能够改变这项原语的行为。

2008 年贡献了基因组数据的英国生物银行参与者，信任的是 2008 年的边界假设。选择了付费或同意的 Meta 用户，信任的是一项如今被委员会认定为不合法的分隔主张。Morpheus 的目标，信任的是一个被厂商合作关系证伪的电信中立假设。2026 年 2 月打开 WhatsApp 的伊朗公民，信任的是一个已被国家证伪了 56 天的运营商连续性假设。第 702 条的重新授权周期检验过、但没有从根本上改革外国情报收集与对美国人附带收集之间的那条法律程序边界。

架构上的教训是：耐久的隐私需要一些不依赖边界成立的原语。边界会失败。原语是剩下来的东西。

4 月 20 日到 4 月 24 日是一周。这个模式酝酿了二十年。原语今天就已出货。

选择在你。

在做机构层面的框定之前，先看事件。

2026 年 4 月 22 日周二晚间到周三上午，Anthropic 确认一个未经授权的团体获得了对其受限模型 Mythos 的访问权限。公开框定中的名称是 Project Glasswing。媒体的简写是 "too dangerous to release"。实际的访问路径是一个第三方承包商门户。该团体——据报道与 Discord 相关联——依据 Anthropic 的命名惯例猜出了门户的 URL。进去之后，据称他们用这个模型做了些无害的事，包括搭建小型测试网站。没有被盗凭据，没有针对 Anthropic 核心基础设施的零日漏洞，也没有精密的国家行为体行动。一个 URL 命名模式，加上一点好奇心。

同一个周三，OpenAI 在华盛顿举办了一场约五十名联邦网络防御人员参加的活动。核心是 GPT-5.4-Cyber——OpenAI 迄今能力扩展幅度最大的模型，其安全拒答限制已为正当的防御性网络应用而放松。演示的能力包括生产级速度的二进制逆向工程，这是语言模型能力的一个门槛，直到本季度之前尚未公开达到。面向英国、加拿大、澳大利亚和新西兰的五眼联盟审查通报，也在同一周开始。

同一个周三，韩国国家情报院发布全政府通告，点名 Anthropic 的 Mythos 是一个能够大规模自主发现漏洞并实施钓鱼的 "game changer"。据报道，就该通告与 Anthropic 的会谈也在计划之中。

同一个周三，在曼彻斯特的 CYBERUK 2026 上，英国国家网络安全中心首席执行官发表了以“网络安全的一场完美风暴”为主旨的演讲。这个说法是承重的。演讲把前沿 AI 描述为使大规模漏洞发现成为可能；把多数具全国重要性的网络事件归因于国家行为体；把英国的韧性缺口定位在中小企业；承诺英国政府投入 9000 万英镑用于中小企业网络韧性；并且——这是最要紧的一句——邀请前沿 AI 公司共同开发英国的国家网络防御。

同一个周三，欧盟网络安全局发布了《国家能力评估框架 2.0》，这是一套供成员国评估本国网络战略的成熟度评估工具。发布时点被刻意安排在 CYBERUK 主题演讲和 RSAC 会议周期的同时；意图是在前沿 AI 能力成为公共政策议题的这一刻，协调出一条全欧洲的网络能力评估基线。

同一个周三，美国网络安全和基础设施安全局把 CVE-2026-33825——BlueHammer，一个 Microsoft Defender 本地提权漏洞——加入已知被利用漏洞目录。Huntress 已确认自 4 月 10 日起存在野外利用。该漏洞此前由研究者集体 "Chaotic Eclipse" 公开抛出，以抗议微软的披露处理方式。两个相关漏洞——RedSun 与 UnDefend——仍未修补。联邦机构被给定的整改期限是 5 月 6 日。

同一个周三，研究者 Alexander Hanff 发布分析，指称 macOS 版 Claude Desktop 通过把 Native Messaging 主机清单文件投放到多个 Chromium 配置文件中——包括用户从未打开、有些情况下甚至从未安装的浏览器——从而预先授权三个 Anthropic 浏览器扩展 ID。Malwarebytes、The Register 和 That Privacy Guy 的博客报道了这份分析。截至周三晚间，Anthropic 尚未发布反驳。

同一个周三，OpenAI 发布了 Privacy Filter——一个 15 亿参数、基于 gpt-oss 系列训练的开放权重双向 token 分类器。Apache 2.0，128K 上下文，在 PII-Masking-300k 基准上取得 96% F1。这是一个尺寸经过特意选择、可在设备端运行、商业许可宽松的 PII 脱敏模型，已发布到 GitHub 和 Hugging Face，用途是部署在用户数据摄入的边界处，在任何数据流向云服务之前完成处理。

同一个周三，Google Cloud Next 宣布推出“Auto Browse”智能体化 Chrome Enterprise、面向办公自动化的 Chrome Skills、Microsoft Information Protection 集成，以及与 Okta 扩大合作、在 Windows 上推出设备绑定会话凭据的测试版——这是一层身份层防护，针对的是已在 2025 至 2026 年成为大宗商品化威胁的会话劫持攻击。

同一个周三，微软安全博客发布了《AI-powered defense for an AI-accelerated threat landscape》——覆盖 Exchange、Teams、SharePoint 和 Entra 的 Microsoft Baseline Security Mode；Exposure Management 中的 “Secure Now” 面板；Defender 外部攻击面管理与 Copilot Autofix 正式可用；以及一套预告 2026 年 6 月预览的多模型 AI 扫描框架。

九个事件。五个大洲。一个周三。这个巧合不是巧合。它是一场已经进行了十八个月的机构性转变的累积显形，而当日历翻页时，它到达了一个门槛。

这个类别

周三结晶出来的转变，是从“商业软件供应商”到“兼具商业与准国防属性的机构”。

最接近的历史类比不在当代。它是洛克希德的高级开发项目部——Skunk Works（臭鼬工厂），1943 年由 Kelly Johnson 创立。洛克希德在同一家公司、在其历史中相互重叠的时间窗口里，既造出了 L-1011 商用客机，也造出了 SR-71 黑鸟。商业产品线抢占市场份额；国防产品线在保密状态下执行国家合同。用来处理这种两用结构的机构框架——国防反情报与安全局的许可审查流程、《国际武器贸易条例》的军控监管、FPR 合同、通过参众两院军事委员会进行的国会监督——是花了几十年建起来的。节奏很慢。商业与国防之间的平台级差距是产品特定的。洛克希德商业产品的用户，在任何有意义的层面上都不与国家的进攻性能力相邻；L-1011 和 SR-71 共享一种工程文化，但不共享一套威胁模型。

雷神、通用动力、波音、诺斯罗普·格鲁曼，以及后来更大的一批国防主承包商，把这个模式延续了下去。到 20 世纪七八十年代，两用国防承包商框架在机构上已经成熟。商业客户关系与国家合同关系，由组织结构、产品线和监管制度分隔开来。

2026 年的前沿 AI 实验室具有同样的结构形态，但运行在商业产品的节奏上。节奏以季度而非几十年计。能力差距是通用型的——不是某一个特定平台，而是一类可以被重新指向许多操作用途的认知能力。机构框架尚不存在。ITAR 并不能很好地覆盖 AI 模型。工业与安全局的半导体出口管制覆盖训练硬件，但不覆盖模型权重。美国国务院的军控词汇是为导弹而建的，不是为矩阵乘法。国防反情报与安全局那套许可与承包商管理框架，是为长达十年的项目建的，不是为每六个月就被替换一次的模型。

而且——这是最重要的部分——前沿 AI 实验室的商业客户，并没有像 L-1011 的客户与 SR-71 项目那样，在架构上与准国防产品线相分离。GPT-5.4-Cyber 与 GPT-5 共享训练流水线、安全方法论、模型家族和商业基础设施。Claude Mythos 与 Claude 3.7 也是如此。使用该实验室产品的商业客户，消费的是一家机构的民用层，而这家机构的国防层正在被通报给五眼联盟、并被外国情报机构发出警告。这两个位置之间的架构距离，才是新东西。

那些接缝

这场机构性转变的不完整之处，在同一个周三就已经可见。

Mythos 被 Anthropic 公开框定为 "too dangerous to release"。这种框定所隐含的国防承包商级安全姿态，本应包括许可级别的访问控制、对有模型访问权的承包商的人员审查框架、针对访问尝试的主动监测遥测，以及对与正当工作不符的访问模式的异常检测。从周三的披露来看，Anthropic 的姿态并不匹配。一个 Discord 团体对承包商门户的 URL 猜测，就取得了那种框定所暗示的、需要国家行为体级技艺才能达到的访问权限。公开框定与实际控制姿态之间的运营纪律差距，宽度就是这次披露本身。如果授予访问权的门户是可以靠猜 URL 进入的，那么这个模型的 "too dangerous to release" 标定就不是承重的。

猜 URL 不是一个新的攻击门类。亚马逊 S3 存储桶枚举作为一个研究门类，大约从 2013 年一直兴盛到 2017 年，直到 AWS 推出 Public Access Block。GitHub 的密钥扫描之所以存在，是因为开发者不断把可由命名推断出来的凭据提交进代码库。通过证书透明度日志、暴力 DNS 和 GitHub 侦察进行的子域枚举，是每一次红队行动和每一次攻击者侦察的标准做法。Mythos 这个案例的新颖之处，只在于奖品的大小。这家实验室扩张承包商供应链的速度，快过了该供应链安全实践成熟的速度。

Claude Desktop 的 Native Messaging 预授权模式是第二道接缝。在 Chromium 的安全模型中，Native Messaging 是有文档记载的机制，浏览器扩展借此与本地宿主应用通信。用户同意的边界——通常是安装时的提示或设置页的确认——就是那套架构。Claude Desktop 的安装程序会把 Native Messaging 主机清单文件投放进多个 Chromium 配置文件，预先授权三个特定的 Claude 浏览器扩展 ID，而此时还没有任何用户安装过这些扩展、或同意过它们的连接。Anthropic 想必是出于用户体验的考虑这样设计的：当用户最终安装某个 Claude 浏览器扩展时，连接会无缝生效，不出现授权提示。这是一个合理的用户体验论证。同样合理的还有一个安全模型论证：对用户没有安装的扩展、在用户没有打开的浏览器里做预授权，绕过了 Chromium 的同意边界，而那道边界是这套架构唯一的保护。一个国防承包商级的产品不会设计这样的绕过。一个以商业优先、为用户体验优化的产品做了。

BlueHammer 是第三道接缝，位于另一个维度。该漏洞由 Chaotic Eclipse 公开抛出，以抗议微软的披露处理方式。抗议式披露是有争议的技艺——Project Zero 那套从私下披露到公开的 90 天标准是最受尊重的变体，而 Chaotic Eclipse 的即时公开披露更为严厉。在 4 月 10 日的抗议式抛出与 4 月 22 日 CISA 加入 KEV 之间的十二天里，攻击者大规模武器化了这个利用。Huntress 的遥测记录了整个窗口期内的野外利用。国家的回应是把它加入 KEV。使用 Microsoft Defender——Windows 默认端点防护——的用户，在其主要端点安全产品中暴露于一个本地提权漏洞长达十二天，原因是披露生态尚未解决研究者与厂商之间的冲突。两个相关漏洞——RedSun 与 UnDefend——仍未修补；BlueHammer 因 KEV 驱动而获得修补、另外两个却未修补，这种不对称说明厂商响应是按国家强制要求校准的，而不是按对称的用户风险校准的。

这三道接缝不是各自孤立的失败。它们是这场机构性转变尚未完成的可见部分。

平行轨道

与“赛博行政官”这一簇事件相分离的，是同一周的另一条平行故事线。

4 月 23 日周四发布的公民实验室报告，记录了两起新近识别出的商业监控厂商行动，它们经由“幽灵运营商”（ghost carriers）——伪装成合法蜂窝运营商的空壳公司——滥用 SS7 和 Diameter 信令协议。以色列运营商 019Mobile 被点名为其中一个入口。静默短信指令在用户无交互、无通知的情况下把目标手机变成位置信标。研究者形容这只是广泛利用的一个小切片。

俄罗斯 5 月 1 日的流量资费——对每月超过 15 GB 的国际流量按每 GB 150 卢布计费——在 4 月 22 日被推迟，因为 MTS、MegaFon 和 Beeline 正式告知数字发展部，他们的计费系统无法按公布的时间表为 1.8 亿用户实时跟踪流量。这次推迟是对运营缺口的一次承认，而不是对该架构的逆转。

土耳其议会 4 月 22 日通过一项法案，禁止 15 岁以下未成年人在 YouTube、TikTok 和 Meta 平台上创建社交媒体账号，由 BTK 以带宽限速和罚款执行。该法案是在 4 月两起校园枪击案后被快速推进的。埃尔多安有 15 天时间签署。

白俄罗斯于 4 月 22 日实施每月 30 GB 移动数据上限并限速。乌克兰反虚假信息中心报告称，这一结构是对俄罗斯数字主权架构的镜像。

伊朗的互联网中断在 4 月 23 日进入第 55 天。“Internet Pro”——一项经最高国家安全委员会批准的分级付费恢复方案——已运行到第二周。商业持卡人最先获得全球连通性；9000 万人口中的大多数仍受限制。即便在付费层上，Telegram、WhatsApp、Instagram 仍被封锁。伊朗国际的报道把这一结构描述为一个多年期项目。

4 月 23 日，美国在印度洋扣押了一艘伊朗油轮。特朗普下令海军对任何在霍尔木兹海峡布雷的伊朗船只“开火击毙”。第三艘美国航空母舰抵达该地区。伊朗从新设的霍尔木兹通行费中收到了第一笔收入。布伦特原油突破每桶 100 美元。

以及 4 月 22 日在最高法院，威瑞森和 AT&T 就 FCC 因其在无保障措施的情况下出售客户位置数据而开出的逾 1 亿美元罚款提出的挑战进行了口头辩论——据报道，大法官们对两家运营商针对 FCC 裁决程序的宪法性攻击持怀疑态度。尚无裁决。

平行轨道讲的是边界——互联网接入正在被国家行为分层、设卡、征费或限速的地方，以及国家对用户数据的获取正在被诉讼或被利用的地方。赛博行政官这条轨道讲的是实验室——商业提供方正在被拉进准国防承包商地位的地方。两条轨道相互作用。国家对实验室能力的兴趣，恰恰是由边界轨道所生产的那种对抗性网络环境驱动的。而实验室对国家兴趣的回应——通报、演示、接受审查——则由商业压力和工程节奏所塑造，这正是它区别于更老一代国防承包商的地方。

用户的位置

2026 年商业 AI 产品的用户，处在一个 1975 年商业航空乘客不曾处在的位置。商业 AI 产品通过同一套基础设施消费和产出模型输出，而这套基础设施正是实验室向五眼联盟通报的那一套。用户的聊天记录、训练数据贡献和模型查询元数据，流经一个其准国防层正是国家利益所在的系统。

具体后果如下：

第一，厂商的安全姿态需要达到国家承包商的期望。Mythos 表明，就今天而言，这个姿态没有达到。这个差距就是用户的残余风险。一个对英国国防部或美国联邦网络防御人员在向 AI 实验室问什么感兴趣的敌对国家，对该实验室的商业基础设施拥有情报搜集机会。商业客户与之共享这个搜集面。

第二，厂商的监管姿态正在变动。ITAR 不覆盖 AI 模型。半导体出口管制不覆盖训练完成的权重。拜登时期关于安全、可靠、可信 AI 开发的行政命令已被特朗普政府部分撤销；特朗普政府的后继框架尚未完全颁布。用于监管这一两用产品类别的机构框架，相对于该产品类别的节奏而言仍不发达。

第三，厂商的模型策略层现在是国家可见的。那些让 GPT-4o、Claude 3.7 或 Gemini 2 不去执行进攻性网络任务的安全缓解措施，是每个实验室内部做出的模型策略决定。国家的审查流程——经由五眼联盟、经由 NCSC 的邀请、经由国情院的警告——将会检视这些决定。商业模型策略将被国家关切所塑造，而不再纯粹由实验室公布的伦理框架塑造。用户的商业体验会在下游受到影响。

第四，商业产品的运营纪律水平正处于持续审视之下。Mythos 泄露、Claude Desktop 的 Chromium 预授权、BlueHammer 披露——每一件都是这一周运营纪律上的一道可见接缝。用户押注于这个商业产品，就是在押注该实验室的运营纪律会不会比准国家搜集面的扩张更快地收敛到国防承包商水平。

架构选择

用户面前有一个二选一的架构选择。

一边：消费封闭层的商业 AI 产品。这是默认路径。产品好用、支持完善、能力领先，而且——撇开本周的新闻不谈——大体可靠。用户接受的是：自己的商业 AI 厂商如今已进入一个类别，在这个类别里，准国家风险是真实的、尚未被充分缓解的，而运营纪律上的接缝还会继续在类似这样的新闻周期里冒出来。

另一边：部署自托管、联邦式、用户自持数据的架构。这是建设性路径。它更费事。它交付的是民用层的等效功能，但没有准国家暴露面。

这套部署栈是具体的。OpenAI 的 Privacy Filter（同样是 4 月 22 日发布，Apache 2.0，15 亿参数，PII-Masking-300k 上 96% F1）负责设备端 PII 脱敏。Ollama 在用户可控硬件上托管开放权重模型——Llama 3.3、Mistral、gpt-oss、Qwen——用于通用推理。带 TrustedAgentWorker 的 LlamaIndex 提供带净化的智能体编排。带项目级输入校验和命令白名单的 LangChain 是协调层（LiteLLM 4 月 21 日的 v1.83.7-stable 白名单补丁是本月的模板）。联邦式 MCP 注册表——由社区审计、签名、按组织自定补丁节奏——取代单一运营方的 MCP 注册表模式，而后者正是 Anthropic 4 月 15 日的披露在架构上留下暴露面的地方。Chroma、Qdrant 或 LanceDB 提供本地向量存储。BGE-m3 或 Arctic Embed 提供本地嵌入。

在通信上，用户自持密钥的栈今天就已出货：Signal、Proton、Tuta、Threema、带按设备交叉签名的 Matrix。在身份上，eIDAS 2.0 钱包正在欧盟各成员国部署，合规期限为 2026 年 12 月 31 日；根据欧盟年龄验证协调机制的公告，France Identité（法国）、丹麦、希腊、意大利、西班牙、塞浦路斯和爱尔兰是已确认的接入方。在传输上，WireGuard 是占 94% 的消费级 VPN 标准；URnetwork 的住宅节点点对点中继绕开运营商计量的路径；Tor 浏览器 15.0.10 于 4 月 21 日周二发布，带 Firefox 安全补丁回移，是 4 月的第四个 Tor 浏览器版本。

在硬件上，FIDO2 硬件密钥（YubiKey、Nitrokey、SoloKey）取代短信多因素认证，而公民实验室 4 月 23 日的 SS7/Diameter 报告显示后者已被商业化攻破。硬件钱包（Ledger、Trezor、Coldcard）把加密货币密钥与 Lumma 类信息窃取程序隔离开，后者正是 4 月 22 至 23 日 Vercel 公告重发所涉攻击链的产物。兼容 Pixel 设备上的 GrapheneOS 和其他安卓设备上的 LineageOS，运行用户可审计的移动固件。路由器上的 OpenWRT 提供用户可控的边界。

这套栈是可部署的。架构选择在用户手里。成本不高。收益是结构性的。

你实际上能做什么

如果你在前沿实验室的商业 API 上运行企业 AI 工作负载：审计你的 API 流量所包含的数据类别。任何会引起国家搜集兴趣的类别——战略文件、涉诉敏感材料、并购活动、未发布的产品信息、受合同或监管隐私义务约束的客户数据——都应迁移到本地硬件上的自托管推理。摄入端用 Privacy Filter，生成端用 Ollama，智能体编排用 LlamaIndex，净化用 LangChain，跨组织集成用联邦式 MCP。对多数组织而言，这次迁移是三个月的工程量。这次迁移比一次国家行为体的数据外泄事件便宜。

如果你是 Claude Desktop、ChatGPT Desktop 或 Gemini 的商业层用户：考虑用网页界面而非安装桌面应用来进行聊天交互。周三记录下来的 Claude Desktop Native Messaging 问题只是一个数据点；而这一类问题——桌面应用在未经用户同意的情况下把钩子装进浏览器配置文件——范围更广。网页界面是足迹最小的选项。

如果你把 Microsoft Defender 作为主要端点防护：若你属于美国联邦机构，立即修补 BlueHammer（CVE-2026-33825）；否则按常规周期打补丁。关注 RedSun 与 UnDefend 的披露；这两个仍未修补。考虑纵深防御：Defender 之外的端点检测、网络分段、身份层的 FIDO2，以及把持续跟踪 KEV 变成运营惯例。

如果你是身处伊朗、俄罗斯、土耳其、白俄罗斯或任何有活跃审查的司法辖区的前沿 AI 产品消费者：把 WireGuard 加 Shadowsocks/V2Ray 可插拔传输作为你的基线规避方案。对抗性深度包检测环境用 Psiphon 和 Tor Snowflake。通过规避通道保持软件更新。考虑把 URnetwork 的住宅节点中继作为不终止于运营商计量路径的点对点网状网络。

如果你是开源贡献者：Tor 项目的发布节奏（4 月四次浏览器更新）、LiteLLM 的白名单补丁（4 月 21 日）、OpenAI 的 Privacy Filter 开放权重发布（4 月 22 日），以及正在进行的联邦式 MCP 和用户自持密钥生态工作，都受益于贡献者的时间。民用层架构是协作建起来的。准国家的商业层有规模；民用层有社区。投在民用层上的时间会复利增长。

如果你是政策制定者：针对“商业 AI 实验室即国防承包商”这一两用类别的机构框架，尚不存在于该类别节奏所要求的速度上。ITAR 是错的工具。半导体出口管制覆盖训练硬件但不覆盖模型。行政命令基础设施只是部分颁布。国会尚未以一个能通过程序性表决的载体来处理商业 AI 模型监管。欧盟《AI 法案》的全部执法权自 2026 年 8 月 2 日起生效，并将成为第一个全球参照系；但布鲁塞尔效应对美国实验室的触达是间接的。这道政策缺口就是用户的残余风险。

贯穿线

“商业 AI 实验室转变为兼具商业与准国防属性的机构”这件事并不新。它至少已经进行了十八个月。2026 年 4 月 22 日周三，只是这场转变在同一页日历上浮出水面的那一天。

转变本身并不必然是坏事。国防承包商框架已经存在了八十年，并在一轮又一轮的政治与技术时代中得到细化。前沿 AI 实验室以其当下的机构形态，是一个已知类别的不成熟版本。成熟会到来：许可框架会延伸，出口管制制度会调整，模型策略监管会出现，国家与实验室之间的交接会获得其国家资产地位所要求的运营纪律。

这场转变对不参与国家—实验室关系的那个用户来说是有后果的。前沿实验室的商业客户，消费的是一家机构的民用层，而这家机构的国防层正被通报给五眼联盟。就本周而言，民用层的运营姿态相对于国防层的框定，明显建设不足。那些接缝——Mythos、Claude Desktop、BlueHammer——会一直显现，直到机构性转变完成。

用户的架构选择，就是在这个条件下部署决策的样子。消费商业层，接受准国家的残余风险，等待机构框架成熟。或者部署自托管的民用层栈，接受更高的运营自担，把准国家的残余风险降下来。

两者都站得住脚。两者都不中立。4 月 22 日的九个事件让这个选择变得可见。

赛博行政官在周三登场。选择消费哪一层，是周四的事。

2026 年 4 月 15 日，OX Security 发布了两份报告。第一份题为 "The Mother of All AI Supply Chains"（所有 AI 供应链之母），描述了 Anthropic 的 Model Context Protocol 中的一个架构性漏洞。第二份题为 "MCP Supply Chain Advisory"（MCP 供应链公告），列举了下游后果。研究者 Moshe Siman Tov Bustan、Mustafa Naamnih、Nir Zadok 和 Roni Bar 从 2025 年 11 月起就在推进这次披露。这个发现不是一个 bug，而是一个设计决定。

Anthropic 官方的 MCP SDK 在 Python、TypeScript、Java 和 Rust 上，都把配置文件提供的命令通过 STDIO 传输直接送到操作系统执行，中间不做任何净化。一个指定了服务器命令的配置文件，最终就成了一次操作系统 exec 调用，两步之间没有输入校验。说这个漏洞是架构性的，具体含义是：修复它需要改变协议的设计，而不是给某个实现打补丁。

规模很重要。受影响 SDK 的下载量为 1.5 亿次。可公开访问的 MCP 服务器有 7000 个以上。在 OX 能够测量到的样本中，存在漏洞的实例多达 20 万个。研究者在六个有付费客户的生产平台上成功演示了命令执行——并非全部公开点名；证据最充分的一份清单包括 GPT Researcher、LiteLLM、Windsurf、DocsGPT、Flowise 和 Upsonic，受影响范围内还有 Letta AI 和 IBM 的 LangFlow。研究者向 11 个 MCP 市场上传了一个无害的概念验证载荷；其中 9 个未经任何安全审查就接受了该载荷。GitHub 拒绝了。Cline 没有回应。LobeHub 和 Cursor Directory 接受了。

在整个研究窗口期内，OX 反复通知过 Anthropic。经由 OX 转述并见诸媒体报道的厂商回应是：STDIO 执行模型属于安全默认配置，净化是开发者的责任。Anthropic 更新了自己的 SECURITY.md 文件，注明使用 STDIO 适配器应当 "with caution"（谨慎行事）。这就是架构层面的补救措施。OX 的评价是：这次改动什么都没有修好。据 OX 说，微软和 LangChain 也持类似立场——这个行为是设计使然。在我们查阅过的媒体报道中，没有出现 Anthropic 就此次披露发表的、具名且注明日期的第一方公开声明。

The Hacker News 列出的 11 个 CVE 覆盖了整个下游生态。截至 4 月 22 日，已修补的有：LiteLLM 在 4 月 21 日发布 v1.83.7-stable，修复 CVE-2026-30623，加入了明确的命令白名单（npx、uvx、python、python3、node、docker、deno）、Pydantic 校验，以及仅限管理员注册服务器的要求；DocsGPT 修补了 CVE-2026-26015；Bisheng 修补了 CVE-2026-33224。尚未修补的有：Windsurf（CVE-2026-30615，CVSS 8.0 高危）、Langchain-Chatchat（30617）、Fay（30618）、Agent Zero（30624）、Upsonic（30625）、Flowise（40933）、GPT Researcher（CVE-2025-65720）、MCP Inspector（CVE-2025-49596）以及 LangFlow。协议本身没有变化。

Anthropic 称之为 "expected"（预期之中）的东西，OX 用研究者 Bustan 的话说，是可以重新设计的：“这个协议可以在不损失其效用的前提下重新设计。”

厂商拒绝了。下游买单。

URL 里的一个数字

4 月 15 日周三——正是 OX 发布报告的同一天——法国国家安全证件局（Agence Nationale des Titres Sécurisés）在其 ants.gouv.fr 门户上检测到一起事件。ANTS 现已正式更名为 France Titres，是法国每一次护照续办、身份证申请、驾照申请、居留许可和车辆登记流程唯一经过的网络系统。它就是那个门户。一名法国公民的数字身份全生命周期，就是 ants.gouv.fr 上的一次登录。

到 4 月 21 日周二晚间，内政部长 Laurent Nuñez 确认约有 1170 万至 1200 万个账户被入侵。威胁行为者 "breach3d"——同时使用 "ExtaseHunters" 和 "EvilDump" 等别名——从 4 月 16 日起在犯罪论坛上挂牌出售这批数据，声称掌握 1800 万至 1900 万条记录，约合法国人口的三分之一。暴露的字段包括：登录 ID、称谓、全名、电子邮箱、出生日期、ANTS 唯一标识符。部分记录还包含通信地址、出生地、电话号码，企业账户则含 SIREN 号。生物特征、密码和上传的证件附件未受影响。Nuñez 承诺通过电子邮件或纸质邮件逐一通知每一位受影响者。已在 72 小时窗口内依据 GDPR 第 33 条向 CNIL 报告。ANSSI 已介入。巴黎检察院已依据《刑事诉讼法》第 40 条收到刑事移送。

据法语安全媒体援引 breach3d 的论坛帖子，攻击向量是 moncompte.ants.gouv.fr 的 API 中的一个不安全直接对象引用——即 IDOR。API URL 里的一个整数标识符。改动这个整数，就能取回另一位公民的资料。对象层面没有鉴权检查。没有速率限制来捕捉这种遍历。据报道，黑客称这是“一个真的很蠢的缺陷”。

IDOR 并不是什么新型漏洞类别。OWASP Top 10 以“对象层级授权失效”之名收录它已有十年。每一门 API 安全课程都会讲到它。自动化扫描器能发现它。漏洞赏金项目会为它付钱。ANTS 门户运行着一个没有对象层级授权检查、没有按标识符限速、没有针对遍历模式做异常检测的生产 API，这不是一个新类别的漏洞，而是一个国家没有关闭的老类别漏洞。

政府的回应是程序性的。逐一通知受害者。刑事移送。向 CNIL 报告。截至 4 月 22 日，政府尚未下令审查 ANTS 门户的安全架构，未强制要求多因素认证，也未承诺给出弃用该门户、转向钱包式替代方案的时间表。这种回应就是“预期之中”式治理：一类已知的漏洞，一套已知的事后处置流程。伊朗的 Hakim Javadi 会认出这个姿态。

架构上的替代方案在同一天到来。欧盟的年龄验证参考应用于 4 月 15 日被宣布在技术上已具备实施条件——正是 ANTS 检测到入侵的那一天。eIDAS 2.0 即欧盟条例 2024/1183 之下的钱包架构，与 ants.gouv.fr 恰好相反。凭据存放在用户自己的设备上。出示是选择性的——证明年满 18 岁而不透露出生日期，证明法国国籍而不透露姓名。钱包在多次出示之间不可关联。没有中心门户可以攻破，因为根本不存在中心门户。France Identité 是法国规划中的国家钱包。2026 年 12 月 31 日这个“每个成员国至少提供一个合规钱包”的期限，就是架构交付日期。转型正在进行。2026 年 4 月为前钱包时代架构付出代价的 ANTS 用户，是过渡期的伤亡者。

URL 里的一个数字变了，法国三分之一的身份流程记录就落到了犯罪论坛上。政府的回应称之为运营事务。架构视角称之为在 2026 年运行 2015 年设计的代价。

第 54 天

伊朗的断网在 2026 年 4 月 22 日进入第 54 天。由 NetBlocks 维持的测量把这次战时断网记为累计约 1272 小时离线，伊朗的全球互联网接入约为战前水平的 1%。一个名为 "Internet Pro" 的部分白名单层级从 4 月 17 日运行到 4 月 20 日，面向付费的企业和学术用户——这既是当局对断网经济代价不可持续的架构性承认，也是一次按支付能力重新分配接入权的双轨结构改变。

起点是 2026 年 2 月 28 日，美以协同打击开始，最高领袖阿里·哈梅内伊连同其他领导层一同遇刺。伊朗在数小时内切断了自己的全球互联网。据 Cloudflare Radar，流量下降了 98%。到 4 月底，这次断网已经超过了每一个现代可比基准。埃及在 2011 年 1 月至 2 月阿拉伯之春期间的断网持续 5 天。伊朗 2019 年“血色十一月”持续 6 天。利比亚 2011 年那次约持续 6 个月，至今仍是更长的一次——但发生在一个 600 万人口的国家。伊朗的 9000 万人口，使当前这次成为有记录以来按人口计最大的一次。

NPR 在 4 月 22 日刊发了 Emily Feng 的一篇报道，标题直指具体机制——伊朗人正在离开自己的国家，只为上网。Feng 描写了一位只以“母亲”身份出现的德黑兰女性，她每三天驱车数小时前往土耳其边境的 Kapıköy 口岸，只为和在土耳其读大学的儿子视频通话。她的原话是：“我只想打个视频电话，然后回伊朗。就这样。”Feng 还描写了一位播客主持人 Ershad，他在马里万主持波斯语播客 "Haagirvaagir"：“现在唯一的声音就是伊朗当局的声音，因为他们把互联网切断了。”Feng 引述了经济影响——依赖 WhatsApp 和 Instagram 触达顾客的商家正在垮掉。Feng 描述了星链分钟数的黑市，价格高得离谱，连接卡顿、大多数页面加载不出来，还有作为合法层级接入手段的政府批准“白 SIM 卡”。

执法环境很严酷。4 月 1 日前后，伊朗官媒法尔斯通讯社宣布星链为合法打击目标。伊斯兰革命卫队把威胁扩大到美国科技基础设施整体——苹果、谷歌、Meta、微软、英伟达。依据 2026 年的立法，持有星链终端最高可判 10 年监禁或死刑。警察总长 Ahmad-Reza Radan 在 4 月宣布已查获 139 台终端、实施 46 次抓捕；亚兹德省冻结了 61 个银行账户；据塔斯尼姆通讯社，4 月中旬有两名外国公民因涉嫌参与美以关联的间谍网络被捕。数字权利团体估计，伊朗境内仍有约 5 万台星链终端在运行。

5 万台终端对上一部死刑法律，就是用户对当局那声 "expected" 的回应。政府有一个姿态。民众有另一个姿态。谁也不在等谁。

经济账是有据可查的。伊朗电信部长 Sattar Hashemi 表示，数字经济的直接损失为每天 3570 万美元。知识经济委员会的 Afshin Kolahi 把直接成本估为每天 3000 万至 4000 万美元，含间接成本的总成本估为每天 7000 万至 8000 万美元。截至 4 月 16 日的累计损失约为 18 亿美元。线上销售下降 80%。仅 1 月一个月，就有 1.85 亿笔金融交易从经济中消失。

伊朗信息技术行业协会负责人 Ali Hakim-Javadi 在 4 月 12 日说，恢复公共连接“没有明确的时间表”，理由是“特殊的战时状况”和“特定的安全考量”。这就是当局宣示的“预期行为”姿态。断网是一种战时状况。战时状况没有结束日期。因此断网也没有结束日期。

人们转而做了什么，才是部署层面的测量。断网头几天，VPN 应用下载量增长了 500% 至 579%。Psiphon 的伊朗日活用户达到约 960 万；约有 40 万名海外伊朗人通过 Psiphon 共享带宽。规避深度包检测的工具集——Shadowsocks、V2Ray、Trojan、NaïveProxy、Tor Snowflake——是当局加大 DPI 投入后的第二代回应。开放网络干扰观测站 OONI 已证实存在针对 Session Messenger 的 DNS 注入，以及针对 Psiphon 的中间盒干扰。当局在技术层活跃。民众也在技术层活跃。这是一场赛跑。

每一个独立传输层——URnetwork 的点对点住宅节点中继、Outline、Psiphon、Shadowsocks、V2Ray、Tor Snowflake——都是用户层对基础设施层拒绝的反制。当局切断了承载网。用户绕开它。5 万台星链终端是可见硬件层面的测量。VPN 日活数字是软件层面的测量。NPR 那篇报道是人的层面的测量——一位开车去 Kapıköy 的母亲。

4 月 12 日那句“没有明确的时间表”是当局的说法。5 万台终端和 960 万 Psiphon 用户是用户的说法。

Chat Control 的转向

2026 年 3 月 26 日，欧洲议会以 311 票对 228 票、92 票弃权，否决了延长 ePrivacy 减损条款——正是这一法律工具让谷歌、Meta、微软、领英、Snap 和 TikTok 得以自愿扫描用户私信中的儿童性虐待材料。作为自愿制度的 Chat Control 1.0 死在了议会的表决厅里。4 月 3 日，减损条款在法律上失效。4 月 6 日，那些在失去法律依据后仍继续扫描的平台，也走到了实际的终止日期。Tuta 说：“你们做到了。”Proton 说：“欧洲议会为隐私站了出来。”前海盗党欧洲议员 Patrick Breyer 说：“这是无数打电话、写邮件来拯救自己通信数字隐私的公民取得的一场轰动性胜利。”

5 月 4 日距今 12 天。关于《儿童性虐待条例》——即作为永久替代方案的 Chat Control 2.0——的三方谈判将在那个周一恢复。下一轮三方谈判定在 6 月 29 日。丹麦轮值主席国在其 2025 年 11 月 26 日的共同立场中，删去了客户端扫描的强制要求——那是一处架构性断裂，本会迫使每一款消息应用在加密之前先在用户设备上扫描消息。删掉这项强制要求就是丹麦式转向，被框定为对成员国关切的一次预期之中的迁就。然而 CSAR 文本保留了强制年龄验证。架构杠杆从一个边界移到了另一个边界。

Signal、Proton、Tuta 和 Threema 各自公开承诺：宁可退出欧盟，也不接受客户端扫描的强制要求。Signal 的 Meredith Whittaker 在那个曾名为 Twitter 的平台上说：“如果我们被逼到必须二选一——一边是破坏我们加密的完整性和我们的隐私保证，另一边是离开欧洲——我们会遗憾地选择退出这个市场。”Proton 的 Andy Yen 也表达了同样立场。选择起诉而不是离开的 Tuta，其创始人 Matthias Pfau 说：“我们绝不会削弱我们的加密，也绝不会给它留后门。”Threema 称 Chat Control 是“一套前所未有的、奥威尔式规模的大规模监控机器”；若该法案通过，Threema 会“呼吁同行的通信服务与我们一同离开欧盟”。四款服务着数千万欧洲用户的消息应用，已公开承诺进行架构性拒绝。

理事会“放弃扫描强制要求”的转向，与厂商那一手在同一意义上都是“预期行为”动作。厂商说架构是设计使然。理事会说转向是谈判结果。两种情形下，负担都被推离了治理层。在理事会这一例中，负担被推给了强制年龄验证——它不是客户端扫描，但它是一次凭据核查，有自己的隐私架构：在 eIDAS 2.0 钱包之下设计良好，若实现为上传身份证件或第三方厂商集中化则设计糟糕。ANTS 入侵事件让门户集中化风险显形的那一周，正是理事会悄悄把 CSAR 的杠杆挪到年龄验证核查上的那一周。

同样在这一周，欧盟委员会正在测试 Matrix，作为微软 Teams 的补充与备份。Matrix 的联邦式架构已在德国联邦国防军和法国政府部署到数十万用户规模，也部署在奥地利的医疗系统和瑞士的邮政服务，以及北约合作网络防御卓越中心和北约转型司令部。参考 Matrix 客户端的商业维护方 Element 报告称，2 月 Discord 年龄验证风波带来的注册增长，在 2 月这个窗口之后仍在持续。据 Matrix 称，有 35 个国家正在就部署事宜进行实质性沟通。主权偏好型基础设施正与监管辩论并行地被选中。

5 月 4 日的 Chat Control 2.0 是下一级台阶。4 月 3 日那场胜利是 2026 年欧盟周期里第一级架构台阶。无论结果如何，这些消息应用的架构性拒绝都已就位。

4 月 30 日

美国众议院就《外国情报监视法》第 702 条“干净版”18 个月重新授权所进行的程序性规则表决，在 4 月 17 日周五凌晨以 197 票对 228 票失败。20 名共和党人与民主党人一同投了反对票。此前一次针对修正案包的规则表决——包括众议员 Andy Biggs 的令状要求修正案及其同包提案——以 200 票对 220 票失败，有 12 名共和党人倒戈。干净路径被堵死后，众议院议长 Mike Johnson 在凌晨 2 点前后以一致同意方式推动了一项 10 天延期。参议院在周五晚些时候以口头表决通过该延期。特朗普总统在周六签署。第 702 条原定 4 月 20 日的日落条款变成了 4 月 30 日。

这次反叛不是一次性事件。自由核心小组已就针对美国人查询设置令状要求一事与国会进步核心小组结盟——这是一个具有特定稳定性的两党联盟。众议院司法委员会主席、众议员 Jim Jordan 公开推翻了自己十年来支持令状要求的主张，转而支持干净版延期，他解释说：“今天这已经是一个不同的项目了”；“第 702 条提供了必要的授权，并且已被证明是国家最有效的工具之一。”Jordan 的翻转本身就是一个信号。顶住他这次翻转的那个联盟——Biggs、Davidson、Massie、Roy，以及投下反对票的那 20 人——就是对“干净版重新授权是预期之中”这一框定的机制性抵抗。

参议员 Mike Lee 和参议员 Ron Wyden 在 3 月提出了《2026 年政府监控改革法案》。该法案对第 702 条进行为期四年的重新授权，同时要求对美国人查询设置令状、堵上数据经纪商漏洞、废除 2024 年对电子通信服务提供商范围的扩大。联署人包括参议员 Cynthia Lummis 和 Elizabeth Warren。众议院共同牵头人为众议员 Warren Davidson 和 Zoe Lofgren。参议员 Lee 与参议员 Dick Durbin 另行提出了范围更窄的《SAFE 法案》。改革派的架构已经写进参议院文本；载体是活的。参议院多数党领袖 John Thune 在周五众议院失利后说：“我们必须转向，弄清楚什么才能通过。”

众议院司法委员会民主党首席众议员 Jamie Raskin 把干净版重新授权称作一笔“肮脏的交易”。众议员 Jerry Nadler 在 2024 年提出的后门搜查修正案以 212 票对 212 票的平局告负；2026 年的这个联盟正试图避开那个先例。众议员 Thomas Massie 公开承诺：“如果《FISA 702 重新授权法案》不包含令状条款，我将在最终通过表决中投反对票。”

4 月 30 日——距今 8 天——第 702 条要么获得附带改革的多年期重新授权，要么获得一次更短的临时延期，要么日落失效，要么在可能性不大的情况下通过参议院发起的程序获得一次干净版重新授权。每一种结果都取决于参议院在接下来一周里拿出什么。

来自众议院领导层的“预期之中”框定——即 Jim Jordan 的翻转是务实的重新校准、干净版延期是现实路径——就是治理空档状态的词汇。反对这一框定的联盟才是新闻。它酝酿了四个月。

URnetwork 和开源栈不等这场表决。用户自持密钥、点对点传输、联邦式内容治理、自托管智能体——每一项都是无论国会拿第 702 条怎么办都照样发布的缓解措施。4 月 30 日决定法律基线。架构替代方案已经演示技术基线十年了。

第二份通知

2025 年 4 月 7 日——是去年，不是今年，虽然这种混淆情有可原——英国调查权力法庭的 Rabinder Singh 上诉法院法官与 Jeremy Johnson 法官驳回了内政部要求对苹果挑战技术能力通知一案保密的请求。该通知于 2025 年 1 月送达苹果，要求获得对受高级数据保护（ADP）保护的 iCloud 数据的全球访问权。苹果在 2025 年 2 月从英国撤下 ADP，而不是照办。Singh/Johnson 的裁定让这场诉讼公开。Privacy International 和 Liberty 作为干预方加入。WhatsApp 的干预申请被驳回。苹果的第一次上诉步入正轨。

2025 年 8 月，美国国家情报总监 Tulsi Gabbard 公开表示，在特朗普与万斯施压之后英国已撤销了该命令——据报道特朗普对首相基尔·斯塔默说“你不能这么干”，万斯则称该通知“疯了”。2025 年 9 月，内政部签发了第二份技术能力通知，范围收窄至英国用户，并获调查权力专员 Brian Leveson 爵士批准。2025 年 10 月 14 日，调查权力法庭以 "change in circumstances"（情况变更）为由驳回了苹果的第一次上诉——理由是第一份通知已实际撤回。苹果对第二份仅限英国的通知的挑战，在调查权力法庭程序中继续进行。根据 Singh 与 Johnson 2025 年 7 月的案件管理令，一场为期七天、基于“假定事实”的听证会原定于 2026 年初举行。截至 2026 年 4 月 22 日，没有公开报道确认该听证会已经举行。

苹果没有在英国重新启用高级数据保护。第二份技术能力通知仍然有效。Privacy International 的 Caroline Wilson Palow 表示，范围更窄的第二份通知“可能与旧的那份一样，对全球的安全和隐私构成同等大小的威胁”。苹果的立场依旧是：“我们从未为自己的任何产品或服务建造过后门或万能钥匙，将来也绝不会。”

这里的架构姿态，与拒绝 CSAR 的那几家消息应用一致。当监管者试图把妥协设计进加密里，厂商选择撤下功能，而不是妥协。代价是真实的——英国用户没有 ADP。姿态得以保全——加密架构在任何地方、对任何用户都没有被妥协。

英国通信管理局针对《在线安全法》CSAM 检测的 "accredited technologies"（经认证技术）最终指引预计在 2026 年春季出台，该机构已表示不愿强制推行客户端扫描，但保留了法定权力。2026 年 4 月 21 日，通信管理局依据《在线安全法》第 10 条，就 Telegram 涉嫌未履行 CSAM 合规义务正式立案调查。潜在罚款为 1800 万英镑或全球营收的 10%。

内政部的绕行——撤下第一份通知，重新签发范围更窄、动静更小的第二份——就是国家所宣示的预期之中的法律程序。这个先例是可输出的。法国、德国、澳大利亚以及其他五眼伙伴都在看着。苹果、拒绝 CSAR 的消息应用、以及联邦式替代方案的部署所采取的架构性拒绝姿态，就是答案。

治理词汇

六次表态，三个大洲，一个词。加州的 Anthropic：MCP 的远程代码执行是 "expected behavior"（预期行为）。巴黎的法国内政部：ANTS 的 IDOR 是一个真的很蠢的缺陷——这是“我们没料到，而且我们不会改架构”的另一种说法。德黑兰的伊朗当局：没有明确的时间表，特殊的战时状况。布鲁塞尔丹麦轮值主席国下的欧盟理事会：删去客户端扫描的强制要求是谈判结果。美国众议院共和党领导层：Jim Jordan 的翻转是一次重新校准；干净版延期是负责任的路径。伦敦的英国内政部：第二份技术能力通知是预期之中的法律程序。

在每一个案例里，"expected" 都是决策者把一项后果重新归类为输入而非输出的动作——变成需要接受的东西，而不是需要针对性设计防范的东西。这是治理的空档状态。责任从厂商、监管者、政府身上移开，落到下游开发者、被泄露的公民、被断网的人口、持异议的立法者、正在撤离的消息应用、以及用户身上。

本周的反向模型很具体。

LiteLLM 在 4 月 21 日修补了自己的 MCP 命令处理，加入了明确的白名单——npx、uvx、python、python3、node、docker、deno——以及 Pydantic 校验和仅限管理员注册服务器的要求。这个项目把该漏洞当成自己的责任，而不是上游厂商的责任。这就是“预期行为”时代里的架构责任：当协议方拒绝行动，下游照样行动。DocsGPT 和 Bisheng 做了同样的选择。尚未修补的项目——Windsurf、LangChain-Chatchat、Fay、Agent Zero、Upsonic、Flowise、GPT Researcher、MCP Inspector、LangFlow——是这一周里这场级联的代价。每一个项目的补丁日期，就是它对“是否接受 Anthropic 宣示的 expected 作为治理底线”这一问题给出的回答。

Signal、Proton、Tuta 和 Threema 承诺退出欧盟，是另一种反向模型。当监管者试图把妥协设计进代码里，厂商选择撤下功能，而不是妥协。架构姿态在别处得以保全。Tuta 还加了第二步棋——起诉欧盟——拒绝把退出当作唯一选项。

苹果从英国撤下 ADP，是同一姿态在硬件与云规模上的版本。

在死刑法律之下仍在伊朗境内运行的 5 万台星链终端、960 万伊朗 Psiphon 日活用户、经由 Kapıköy 的黑市上网跨境行——这些是用户的反向模型。民众没有等当局的时间表。他们自己造了一个。

4 月 17 日投票反对干净版第 702 条规则的那 20 名众议院共和党人，是机制性的反向模型。Jim Jordan 宣示了“预期之中”。20 个人说了不。

3 月 26 日，欧洲议会以 311 票对 228 票否决了 Chat Control 1.0 的延期。那是公民与议会的反向模型。理事会随后在丹麦轮值主席国下放弃扫描强制要求的转向，是政治余波；议会那次表决才是架构性决定。

部署栈

对用户而言，问题不是该为哪个反向模型鼓掌。问题是该部署哪一套架构栈。

用户自持密钥。Signal、Proton、Tuta、Threema、在英国以外启用 ADP 的苹果 iMessage、以及采用逐设备交叉签名密钥的 Matrix。厂商不能被强制交出自己并不持有的东西。这里的架构姿态是原则性拒绝，而且经验上有效：当监管者去测试这套架构时，厂商选择撤下功能，而不是妥协密钥。

联邦式通信。Matrix 覆盖 35 个国家，用于德国联邦国防军、北约合作网络防御卓越中心，并在欧盟委员会评估之中。Bluesky 4200 万。Mastodon 1000 万。单一运营商这个默认选项，已经有了拥有自己的社交图谱、自己的受众和自己商业生态的联邦式替代方案。联邦化意味着内容治理选择是可组合的，迁移路径是可携带的，单点故障在架构上不存在。

用户自持身份。到 2026 年 12 月 31 日，每个欧盟成员国都要提供 eIDAS 2.0 钱包。法国有 France Identité。欧盟的年龄验证参考应用在 4 月 15 日技术就绪。选择性披露——证明年满 18 岁而不共享姓名，证明国籍而不共享出生日期——是 ANTS 门户在架构上的反面。钱包把凭据存在用户设备上；依赖方只知道用户选择披露的那部分。12 月这个期限是欧洲数字治理史上最快的凭据架构转型之一。

点对点传输。URnetwork 的住宅节点中继。Tor、Psiphon、Outline、Shadowsocks、V2Ray、Trojan、NaïveProxy、Tor Snowflake。WireGuard 作为消费级 VPN 标准占 94%。去中心化 VPN 同比增长 140%。绕开承载层路由的传输，是对第一层拒绝的第一层回答。伊朗是当下的硬性测试。俄罗斯是渐进施压的测试。两种情形下的架构回应是相同的；日常压力则不同。

自托管智能体。带净化 MCP 处理的 LangChain。带 TrustedAgentWorker 的 LlamaIndex。用于本地推理的 Ollama。联邦式 MCP 社区是与 Anthropic 单一运营商模式并行的另一种架构。下游补丁（LiteLLM 的 4 月 21 日）是在联邦式治理跟上之前的桥接架构。微软的智能体治理工具包（4 月 2 日）是运行时安全方面的一项贡献。

用户硬件上的开放固件。3D 打印机上的 Klipper、Marlin、Duet，用以对抗纽约州的 Part C 固件过滤法案。路由器上的 OpenWRT。硬件允许的手机上的 Lineage OS 和 GrapheneOS。用户的设备运行用户可以检视的代码。厂商那套国家强制的固件，可以被社区审计过的社区固件替换掉。设备是用户的设备。

每一层今天都能发布。没有一层是默认的。部署决定就是架构，而架构就是对那套治理词汇的回答。

该做什么

如果你运行 AI 智能体或副驾：审计你的 MCP 暴露面。LiteLLM 的补丁集（v1.83.7-stable）是本周下游层净化的模板。如果你的技术栈里有 Windsurf、Cursor、LangFlow、Flowise、Agent Zero、Upsonic、GPT Researcher 或 MCP Inspector，要么打补丁，要么换掉。对任何爆炸半径要紧的智能体工作负载，部署联邦式 MCP——一个组织内部的、经审计服务器的注册表，配合社区验证的签名。

如果你是法国居民或一般意义上的欧盟公民：ANTS 入侵事件除了知情之外无需你采取行动。Nuñez 的办公室会通过邮件或电子邮件通知。0 805 805 817 是法国政府的诈骗举报热线。留意针对你具体的 ANTS 登录 ID、邮箱或出生日期定制的钓鱼。未来几周收到的 ants.gouv.fr 邮件，未经带外核实不要轻信。在 ANTS 上启用双因素认证。等 France Identité 和 eIDAS 2.0 钱包可用后，迁移过去。

如果你在伊朗有家人或利益关切：断网已到第 54 天，没有宣布的结束日期。VPN、Psiphon、Shadowsocks、V2Ray、Tor Snowflake 和 URnetwork 的对等中继是可用的用户层工具。星链带有死刑风险。NPR 那篇报道是当前的实地实况：民众的应对是有韧性的、机巧的、昂贵的，而且按目前的成本不可持续。

如果你运营或使用加密消息应用：Chat Control 2.0 的三方谈判在 5 月 4 日恢复。Signal、Proton、Tuta 和 Threema 在架构上已经表态。苹果在英国的第二份通知处境，是国家压力在较不对抗的姿态下会长成什么样的模板——撤下功能，保住架构。英国地址的用户已经没有 ADP 了。欧盟地址的用户则处在距离下一级台阶 12 天的窗口里。

如果你是美国人：第 702 条的 4 月 30 日期限还有 8 天。众议院无法干净通过的东西，将由参议院发起。盯住《政府监控改革法案》和《SAFE 法案》的文本——那是改革派的载体。无论表决结果如何，用户自持密钥与点对点传输架构都是缓解措施。

如果你运营基础设施：eIDAS 2.0 合规（钱包可用期限为 2026 年 12 月 31 日）、DSA 第二波义务（审计于 2027 年 1 月开始）、DSP 善意窗口于 7 月 8 日关闭、10 月 6 日开始执法。这些合规日历是并行的。请据此规划。

治理的空档状态，是 2026 年那些宁可宣布后果“预期之中”也不愿针对性设计防范的决策者所采取的姿态。它不是用户的姿态。它也不必是技术栈的姿态。每一个已部署的联邦式消息应用、每一份用户自持密钥的加密、每一个选择性披露钱包、每一个点对点传输节点、每一个已打补丁的下游 MCP 项目、每一次社区审计固件的刷入、每一张反对干净版重新授权的票，都是架构层面的回应。

"Expected"（预期之中）是治理的空档状态。负责，是你选择的架构。

4 月 21 日周二，美国太平洋时间天亮时分，Aave 治理论坛开始活跃起来。Llamarisk 与另外两家风险服务提供方在前一晚发布的那份 26 页事件报告，摆出了 Aave DAO 必须做的那个具体选择，而且把它摆成了一个两极后果都极其巨大的二选一。

情景一：把损失社会化。这次攻击产生了 112,204 枚无支撑的 rsETH——这些代币存在于链上，但在 Kelp 金库里没有对应的 ETH 支撑，因为攻击者已经通过被攻破的 LayerZero 跨链桥把那部分 ETH 提走了。如果 Kelp DAO 决定把这批无支撑供应均匀摊到流通中的全部 rsETH 上，那么每一位 rsETH 持有者都要承受 15.12% 的脱锚——包括那些从未碰过被攻击的 L2 跨链桥的以太坊主网持有者。具体到 Aave，这会产生估计 1.237 亿美元的坏账，其中绝对值最大的一笔约 9180 万美元落在 Ethereum Core 的 rsETH 市场上。

情景二：把损失隔离。如果 Kelp DAO 决定把无支撑的 rsETH 集中到跨链桥实际运作的那几个 L2 市场，那么 Mantle 的 rsETH 池将出现 71.45% 的 WETH 缺口，Arbitrum 的 rsETH 池出现 26.67% 的缺口。Ethereum Core 的 rsETH 继续按全额价值交易。在这一情景下 Aave 的坏账升至 2.301 亿美元，集中在 Aave 的 Mantle 与 Arbitrum 部署上。

两种情景之间横着一道 1.064 亿美元的哲学鸿沟。“社会化损失”是一条用户共同体原则：所有 rsETH 持有者都从协议的存在中受益，因此应按比例承担系统性风险。“隔离损失”则是一条个体问责原则：选择了更高风险 L2 敞口的用户接受了更高风险，就该承担集中的后果。两条原则都不明显正确。两条都站得住。Aave 的这次投票——以及在它之前、决定它前提的 Kelp 投票——将为去中心化金融今后如何分配灾难性损失立下先例。

Aave 自己的恢复工具箱也是分层的。截至 4 月 20 日的报告，DAO 国库持有 1.81 亿美元可动用资金，这笔头寸可经治理投票酌情部署。Aave 安全模块——即 AAVE 和 ABPT 持有者以承担罚没风险换取收益的质押者支撑型保险池——在事件前规模约为 5 亿美元，罚没上限为 30%，折算成最高约 1.5 亿美元的损失吸收能力。代币增发会稀释所有 AAVE 持有者以筹措赔偿资金，目前仍是一个理论上的治理选项。报告中提到，生态伙伴——做市商、大额 USDT 与 USDC 持有者、Aave Companies 这家商业实体，以及可能包括 Tether——正在 "securing indicative recovery commitments"（获取意向性救助承诺）。这套组合工具如部署得当，能够吸收情景一或情景二的结果。治理层面的问题是采用哪种组合。

Drift 的先例

在 Kelp 事件报告发布四天前，也就是 4 月 16 日和 17 日，另一套恢复架构已经投入运转。在 4 月 1 日 Drift Protocol 遭攻击之后，Tether 为该协议总额 1.5 亿美元的救助计划承诺了其中的 1.275 亿美元——这次攻击以中等置信度被归因于随后又攻击了 Kelp 的同一个朝鲜 TraderTraitor 分支。其结构既不是保险，也不是直接纾困。一条 1 亿美元的收入挂钩信贷额度以 Drift 未来的交易收入为对价预支资金；生态基金为专门的用户赔付池提供资金；对做市商的贷款重启流动性。Drift 的主要结算资产从 USDC 转为 USDT，把 12.8 万名用户和 35 个生态团队带到基于 USDT 的交易上。这套安排的目标是在多年的还款窗口内弥补约 2.95 亿美元的用户损失，前提取决于 Drift 重启后的交易量。

这个结构在 DeFi 里是新的。Bancor V3 在 2022 年的无常损失保护是协议内部保险，在损失超过储备后就停掉了。Nexus Mutual 的池化承保一直运行在 500 万至 2000 万美元的量级。Tether 对 Drift 的这笔承诺，是 DeFi 中第一次九位数级别的私营部门最后贷款人部署。它立下了先例。它同时也把 Tether 确立为一类全新的市场行为者。

1907 年摩根的类比

最接近的历史类比不是美联储，也不是商业银行，而是 1907 年恐慌和老 J.P. 摩根的私人干预。1907 年 10 月，当一场连锁挤兑威胁到纽约金融体系时，摩根把纽约的银行家们召集到自己华尔街的图书馆里，个人承诺了 2500 万美元信贷，以稳住尼克博克信托公司的交易对手、阻止更广泛的传染。美国财政部提供了二线支撑资金。摩根是一个以私人身份运作的私人最后贷款人。他的干预在那一刻稳住了市场，但也暴露出临时性私人稳定机制作为一种架构的不足；六年之后，即 1913 年，国会创设了美联储，使之成为拥有国会授权、贴现窗口贷款权和准备金要求的制度化最后贷款人。

2026 年 4 月的 Tether，在去中心化金融里占据的正是 1907 年摩根的位置。该实体报告 2025 年利润约为 130 亿美元，并声称经审证储备约 1930 亿美元，具备在数日内部署 1 亿美元以上救助资金的能力。商业动机很清楚：以牺牲 Circle 为代价扩大 USDT 市场份额、把自己定位为 DeFi 的系统性基础设施、为未来的监管交涉积累政治善意。结构是临时性的：Tether 选了 Drift；截至本文撰写时，Tether 尚未（公开）选择 Kelp；筛选标准仍是商业战略式的，而非系统性的。监管处境是不透明的：Tether 从萨尔瓦多运营，曾与多起美国监管调查缠斗并达成和解，且不受任何正式的央行监督。

这些都未必是坏事。摩根 1907 年的干预尽管毫无章法，却阻止了当时公共机构无法阻止的一场金融恐慌。摩根 1907 年干预所暴露的，是那套架构本身的不足，而 1913 年的美联储把一个公共替代方案制度化了。Tether 在 2026 年这个角色的走向也是一样的。无论这次制度化是在 2028 年经由欧盟 MiCA 第二阶段到来，还是在 2030 年经由美国联邦加密市场监管到来，抑或在 2032 年经由某种州级与国际协调的组合到来——终点很可能都是一个正式框架，其中 Tether 的私人角色要么被一个公共对等的最后贷款人取代，要么与之并行受监管。中间这些年，就是架构上的混合期。

问责的层层下传

Kelp 被攻击一事产生了一条具体的问责链条，它揭示了残余损失在 DeFi 里如何分配。链条最顶端是攻击者——正如 LayerZero 在周一公开归因的那样，是 Lazarus Group 的 TraderTraitor 分支——它成功从用户经济中抽走 2.92 亿美元，并把这笔钱加进朝鲜迄今累计 67.5 亿美元、用于资助核武器和弹道导弹计划的加密盗窃账本。没有任何追偿机制能够触及朝鲜。此后每一美元的损失分配，都发生在防守方内部各方之间。

Kelp DAO 掌握着攻击流经的那个协议。它的治理必须决定如何在利益相关方之间分配那 112,204 枚无支撑 rsETH——情景一还是情景二。这个决定直接影响 rsETH 持有者，经由声誉和治理影响 KELP 代币持有者，也影响那些接受 rsETH 作为抵押品的下游协议。

LayerZero 运营着跨链消息基础设施，正是其一对一验证者配置使这次攻击成为可能。LayerZero 周一的事后分析把这个配置决定归到 Kelp 头上，指出其集成文档和直接沟通都建议采用多验证者配置。Kelp 在数小时内发布的反驳则称，一对一验证者是 LayerZero 的默认配置，而且被攻破的那个验证者正是 LayerZero Labs 自己。争议尚未解决；问责问题悬而未决。

Aave V3 按市场参数接受了 rsETH 作为抵押品，因而要承担 1.237 亿至 2.301 亿美元的坏账，具体数额取决于 Kelp 的社会化决定。Aave 安全模块的质押者承担罚没风险；AAVE 代币持有者则通过可能的增发承担稀释风险。Aave DAO 国库持有 1.81 亿美元可供动用。与 Compound、Fluid、SparkLend、Euler 以及若干更小的借贷协议（它们全都在 Kelp 被抽干后 48 小时内冻结了自己的 rsETH 市场）之间的跨协议协调，限制了损害，但无法逆转它。

用户——把 rsETH 存进 Aave 的储户，或者直接在 Kelp 持有 rsETH 的人——坐在这条链条的最底端。在传统金融里，与之对应的储户处在保护层级的最顶端：有最高 25 万美元的 FDIC 存款保险，还有把储户受偿排在股东、次级债权人和无担保债券持有人之前的银行倒闭监管规则。而在今天的 DeFi 里，用户的顺位低于协议治理、代币持有者的决定和生态伙伴的自由裁量。追偿是部分的、有时滞的，而且取决于用户根本没有参与投票的治理结果。

这种倒置——用户在 DeFi 里最劣后、在传统金融里最优先——就是结构性的反常。2026 年 4 月浮现的这套恢复架构在逐步纠正这种倒置，但既不彻底，也不正式。

危机词汇

传统银行业危机有一套词汇：bailout（外部纾困）、bail-in（内部纾困）和 haircut（削发）。每一个都描述一种具体的损失分配机制。

Bailout，外部纾困：外部注资。由失败机构之外的公共或私人实体提供资本来弥补损失、恢复偿付能力。2008 至 2009 年美国的 TARP（7000 亿美元）、2008 年英国对苏格兰皇家银行的救助、2008 年瑞士对瑞银的救助。DeFi 中的对应物：Tether 对 Drift 的承诺。来自 Drift 之外一方的外部资本。

Bail-in，内部纾困：损失由失败机构自身的利益相关方承担。股东居首（被清零），次级债权人其次（转股或清零），无担保债权人第三（部分削发）。2014 年欧盟《银行恢复与处置指令》（BRRD）、2013 年塞浦路斯。DeFi 中的对应物：Aave 安全模块罚没。AAVE 质押者被罚没以弥补坏账；AAVE 持有者经由增发承担稀释。

Haircut，削发：存款或债权的部分损失。储户损失债权的一个百分比。2015 年希腊在资本管制期间的银行存款削发。DeFi 中的对应物：Kelp 情景一的社会化。rsETH 持有者按比例承受 15.12% 的脱锚。

这个模式很有澄清作用。DeFi 在 2026 年 4 月的回应，是把外部纾困（Tether 对 Drift）+ 内部纾困（Aave 安全模块罚没）+ 削发（Kelp 潜在的社会化）+ 非正式债务重组（收入挂钩信贷）组合在一起。词汇是对得上的；机制正在实时成形；正式框架还不存在。

有一个具体观察：在传统银行业里，内部纾困的顺位到无担保储户为止，且有一条法定下限，通常是欧盟的 10 万欧元或美国的 25 万美元。DeFi 没有与之对应的储户保护下限。2026 年 4 月的这些机制在分配损失时没有一条用户保护最低线。这是 DeFi 正在成形的恢复框架与传统金融成熟框架之间最大的一处架构缺口。

跨协议冻结

Kelp 被攻击发生在 4 月 18 日周六世界协调时 17:35。Kelp 的紧急暂停多签在世界协调时 18:21 冻结了协议的核心合约，比攻击晚 46 分钟。Aave 在周日下午之前冻结了 V3 和 V4 上所有部署的 rsETH 市场。Compound、Fluid、SparkLend、Euler 以及大约另外四个更小的借贷协议在 24 小时内跟进。在最初被抽干后的 48 小时内，共有 9 个协议对 rsETH 市场执行了协调一致的紧急暂停。

按以往 DeFi 攻击事件的标准，这算快的。2022 年 Ronin 跨链桥被抽干后，协调回应大约花了一周。2025 年 Bybit 被盗时，交易所层面的行动快于 DeFi 层面的行动。Kelp 的 46 分钟紧急暂停加上随后的跨协议协调，代表了 DeFi 危机响应能力的一次可测量的进步。

协调的机制是非正式的：跨团队的 Discord 频道、Twitter 讨论串、Telegram 群、风险团队之间的直接沟通。DeFi 没有正式的行业危机响应机构。银行业有 FS-ISAC（金融服务信息共享与分析中心）。电网有 E-ISAC。医疗有 H-ISAC。DeFi 没有。2026 年 4 月的协调是有效的，但属于临时安排，依赖的是各个协议团队的善意与响应速度，而不是任何制度化结构。下一代协调——一个 DeFi-ISAC 或类似机构——是这套架构中一处可辨识的缺口。

LayerZero 与 Kelp 的默认配置之争

与 Aave-Kelp 的损失分配问题并行的，是 LayerZero 与 Kelp 之间关于默认配置的争议。LayerZero 周一的事后分析把责任归于 Kelp 的一对一验证者配置，声称其文档建议采用多验证者配置。Kelp 的反驳则称，在 Kelp 集成时，一对一就是 LayerZero 出厂的默认配置，而且被攻破的那个具体验证者正是 LayerZero Labs 自己的基础设施。

这个事实争议之所以要紧，是因为它决定了谁为使攻击成为可能的架构承担责任。如果 LayerZero 出厂时把一对一作为默认配置，而行业在跨链桥接入上的惯例就是接受默认值，那么一个同时也不安全的默认值，对 80% 以上的客户而言就等于一个不安全的配置。2018 年 AWS S3 的先例很有启发性：亚马逊的云存储服务在长达十二年里、直到 2018 年都把存储桶设为默认公开，其间多起数据泄露（2017 年 Verizon、2017 年埃森哲、2017 年时代华纳等等）暴露了数以亿计的记录。2018 年，AWS 把默认值翻转为私有，等于默示承认客户在规模上不会偏离默认值，而不安全的默认值实际上让厂商对下游的泄露负有责任。

LayerZero 在 Kelp 事件之后的走向，将决定同一先例是否适用。自 4 月 20 日事后分析以来，已经观察到文档层面的悄然更新。LayerZero 是否会正式把出厂默认翻转为多验证者、把它当作新标准——以及其他主要跨链桥运营方（Wormhole、Axelar、Chainlink CCIP 等）是否会跟进——才是那个具有强制力的问题。Kelp 就是 DeFi 跨链桥的 2026 年版 AWS S3 2018 时刻。行业的回应尚未到来。

混合架构

2026 年 4 月正在浮现的东西可以明确地描述出来。DeFi 正在建造这样一种架构：在面向用户的那一层是去中心化的（智能合约、自托管、点对点协议、开源前端、无许可组合），在系统性风险那一层是中心化的（以 Tether 为代表的私营部门最后贷款人、有选择的生态纾困财团、经由安全模块的协议内部保险、经由风险团队的非正式跨协议协调）。

对那些在 2020 年基于“包括系统性风险在内的彻底去中心化”这一期待来建设 DeFi 的人来说，这种混合形态在哲学上并不令人满意。对那些期待传统金融意义上受监管、透明、可问责的系统性风险基础设施的人来说，它在结构上也并不完整。它是一种过渡形态，产生于 DeFi 的去中心化原生架构与 DeFi 同每月 5 亿美元规模国家行为体对手的碰撞之间的冲突。

这种混合形态有实实在在的强项。Tether 部署救助资金的速度，比任何受监管机构都快。Aave 的治理流程以周为单位响应，而监管行动以月或年为单位。跨协议的 Discord 协调按开发者沟通的速度推进，而不是按官僚公文的速度。就攻击的节奏而言——2026 年 4 月三周里发生了三起重大攻击——混合架构的响应速度是一项优点。

这种混合形态也有结构性弱点。Tether 是单一的交易对手风险点，而它自身的稳定性本身就是一个 DeFi 系统性问题。有选择的兜底（Drift 得到了 Tether；Kelp 可能得不到）制造出协议层面的道德风险。没有正式的用户保护下限，意味着残余损失落到信息最不充分的一方身上。临时性协调无法扩展到国家行为体威胁那种工业化的对抗节奏。私营部门的响应能力与公共问责框架之间的差距在扩大，而不是缩小。

监管走向

MiCA——欧盟《加密资产市场监管条例》——在 2024 年开始初步生效，现已进入其针对 DeFi 的阶段。2027 年的 MiCA 第二阶段条款目前正通过 ESMA 磋商以草案形式推进，预计将包括显著高于当前行业实践的稳定币发行方资本要求、面向用户托管业务的 DeFi 协议保险强制要求，以及交易所相邻活动的跨境协调要求。

在美国，监管图景仍然是碎片化的。特朗普政府之下，美国证监会 2025 年 7 月的执法回撤减轻了 DeFi 证券主张方面的压力，但州层面的执法——纽约金融服务管理局、加州金融保护与创新局——仍在继续。商品期货交易委员会对部分 DeFi 业务有监管权，但人手有限。怀俄明州的 DAO 有限责任公司框架、科罗拉多州的数字货币规则、得克萨斯州对加密友好的姿态，这些州级试验仍在与联邦政策分道扬镳。

日本、韩国、新加坡（金管局）以及澳大利亚的证券投资委员会都在形成各自的监管立场。趋同既没有保障，也不迫在眉睫。不过，2026 年 4 月的这场危机确实正在多个司法辖区同时制造推动正式框架的政治压力。

走向是这样的：到 2028 至 2030 年，MiCA 第二阶段、美国联邦加密监管与盟友司法辖区协调的某种组合，很可能会产出一个针对 DeFi 协议保险、稳定币发行方资本要求和用户保护下限的正式框架。Tether + Aave + Kelp + 生态伙伴在 2026 年搭起来的这套混合架构，将是那次正式化的输入，而不是它的终点。

与 URnetwork 的一致之处

URnetwork 编辑部在今年报道中贯穿始终的架构主张——分布式、联邦式、有证明、开放——对 DeFi 的恢复架构给出了具体的处方。

分布式：不存在单一的系统性风险点。“Tether 即私营美联储”违反了这一点，而一个联邦式的多发行方兜底财团则不会。Aave 的安全模块比单一兜底模式更分布式，但仍然把罚没风险集中在一起。架构目标是联邦式的兜底能力：多家稳定币发行方 + 主要交易所 + 协议层保险池 + 受监管的保险机构进场，经由一个常设框架协调，各自为用户保护下限和机构保护能力出一份力。

联邦式：跨协议协调应当是常设的，而不是临时凑起来的。一个 DeFi-ISAC 对等物，由各协议出资，运行常设的应急响应流程，通过自动触发机制而非 Discord 讨论串来协调跨协议行动。2026 年 4 月的跨协议冻结奏效了，但它无法规模化。

有证明：签署人身份使用可验证凭据；维护者完整性使用密码学证明（Sigstore、Sigsum）；治理决策留有透明的审计轨迹。每一项有后果的协议行动都应当可审计、有证明、可由独立方复核。Kelp 的治理投票应当产出一份带有已证明签署人身份的机器可读记录。

开放：厂商出厂即安全的默认配置（不是 LayerZero 那种一对一模式）；偏离默认时须有文档记录并明确确认风险；社区可审计的配置注册表。每个协议的信任原语配置都应当可公开查询，并有全行业的评分体系（DeFi Safety、OpenSSF Scorecard 及相邻项目）提供可比性。

这些不是针对具体机制的提案，而是 2026 年 4 月正在浮现的恢复基础设施可以选择实现或忽略的架构原则。URnetwork 的主张是：这套正在浮现的架构应当实现它们；否则这种混合形态会把它当前展现出来的那些弱点固化下来。

周二的要求

给 DeFi 用户。审计你在每个所用协议上的敞口。搞清楚每一个协议的恢复机制。相比那些临时治理即兴发挥的协议，优先选择有明确、有文档的损失分配框架的协议。在有兜底的协议（Tether 介入后的 Drift）和无兜底的协议（尚未定案的 Kelp）之间按比例持仓。对超出你承受阈值的头寸，考虑 Nexus Mutual 承保。

给 DeFi 协议。在你需要之前就先谈好兜底伙伴协议。按可能出现的灾难性损失来给你的安全模块定规模，而不是按例行的参数失配。部署非零时间锁和跨时区分布的签署人集合。为管理操作接入硬件钱包明文签名。主动而不是被动地参与跨协议协调渠道。

给稳定币发行方。如果你在扮演系统性角色（Tether），就接受这个角色的含义：储备更透明、兜底对象的筛选标准更清晰、与正在成形的监管框架接触而不是回避。如果你在回避这个系统性角色（Circle），请考虑回避系统性介入究竟是战略选择还是自我拆台。市场正在认可这个角色；卡位很重要。

给监管者。MiCA 第二阶段应当明确处理 DeFi 协议保险 + 用户保护下限。美国联邦框架也应当包含类似条款。国际协调（与 FATF 相邻的工作、美欧英双边监管对话）应当被积极推进。私营部门响应速度与监管框架速度之间的差距在扩大；监管能力必须提升。

给整个生态。一个 DeFi-ISAC 或对等的常设协调机构，是一项可以论证的架构需求。由各协议出资，运行应急响应流程，协调跨协议行动，并充当与监管者和执法部门的联络方。没有任何单一行为者能独自把它建起来；这需要集体行动。

度量

2026 年 4 月是关键的一个月。在大约三周里，三起重大 DeFi 攻击造成了 5.77 亿美元的直接损失、130 亿美元的级联 TVL 收缩、三种截然不同的信任原语被攻破（Axios 的维护者身份、Drift 的授权、Kelp 的验证者完整性），以及第一次有据可查的九位数级私营部门最后贷款人部署。回应架构正在成形。正式化还要好些年。混合形态就是 2026 年的现实。

Tether 在功能上已经成了去中心化金融的私营美联储。Aave 的安全模块是下一代 DeFi 的协议内部保险。Kelp 待决的社会化投票是 DAO 治理里的储户削发机制。LayerZero 与 Kelp 的默认配置之争是 DeFi 跨链桥的 AWS-S3-2018 时刻。跨协议冻结是 DeFi-ISAC 的前身。每一项机制都很具体，或已部署或正在部署，能用但不正式。

接下来三年的架构问题是：这种混合形态会成熟为一个包含用户保护下限、透明兜底机构、跨协议协调机构和跨司法辖区监管对齐的正式化公私框架吗？还是会固化成一套依赖私营部门善意、有选择兜底和逐案治理即兴发挥的临时架构？2026 年 4 月的这场危机就是那个强制函数。今年和明年做出的决定，将确定 2028 至 2030 年的默认状态。

你的去中心化协议有一个中心化的兜底方。这就是 2026 年的架构事实。这个兜底方究竟是受监管的、联邦式的、透明的、可问责的——还是私人的、有选择的、不透明的、商业化的——正是眼下实时做出的架构选择。4 月 21 日的早晨，是自 2022 年 Terra 崩盘以来 DeFi 最糟糕的那一周之后的第一个周二。架构正在成形。部署决定正在发生。

LayerZero 在 4 月 20 日周一发布的初步分析以中等置信度认定，周六对 Kelp DAO 的 rsETH 跨链桥的攻击出自 Lazarus Group 的 TraderTraitor 分支之手——美国财政部、联邦调查局、Chainalysis、TRM Labs 和 Elliptic 此前都曾把这个集群与 2022 年 3 月 6.25 亿美元的 Ronin 跨链桥劫案、2024 年 2.3 亿美元的 WazirX 事件，以及 2025 年 2 月 15 亿美元的 Bybit 交易所盗窃案联系起来。Kelp 这次的攻击向量与前几次都不同。攻击者攻破了 LayerZero 去中心化验证者网络用来确认跨链消息的两个远程过程调用节点，把它们的二进制文件换成恶意版本：这些版本会向 LayerZero 的验证者报告一个伪造的跨链确认，同时向查询同一批节点的其他所有系统如实报告。被投毒的节点是有选择地撒谎。为了切断 LayerZero 的验证者与未被投毒数据源之间的联系，攻击者随后对干净节点发动分布式拒绝服务攻击，迫使其故障切换到被投毒的节点上。一旦 LayerZero 的验证者只依赖被攻破的基础设施，攻击者就发出一条伪造的跨链指令，验证者予以批准，Kelp 的跨链桥随即向一个攻击者控制的地址释放了 116,500 枚 rsETH——约占这个再质押代币流通供应量的 18%，美元价值约 2.92 亿美元。

资金被抽始于 4 月 18 日周六世界协调时 17:35。Kelp 的紧急暂停多签在世界协调时 18:21 冻结了协议的核心合约，比攻击晚 46 分钟。在这个窗口里，攻击者完成了跨链提取，把资金桥接到以太坊，并把被盗的 rsETH 作为抵押品存入 Aave V3，据此借出真实的 wrapped ETH，给 Aave 留下约 1.96 亿美元不可追回的坏账。48 小时内，Aave 的总锁仓价值从 264 亿美元跌至约 179 亿美元——84.5 亿美元的存款出逃——更广泛的 DeFi 市场在 Aave、Compound、Fluid、SparkLend、Euler 和另外四个相互关联的借贷池上蒸发了约 132.1 亿美元 TVL。一次 2.92 亿美元的攻击产生了 45 比 1 的传染比。AAVE 代币下跌约 18%。有评论者写道“DeFi 已死”；也有人更准确地指出，承压的具体架构是“可组合性 + 薄信任原语”，而不是底层的去中心化金融本身。

LayerZero 的事后分析把此次攻击得手归因于 Kelp DAO 的配置选择：Kelp 采用的是一对一（1-of-1）验证者配置——LayerZero Labs 是唯一验证进出 rsETH 跨链桥消息的实体——而多验证者配置本会要求攻击者同时攻破多个独立验证者。Kelp 在数小时内发布的回应对这个框定提出了异议：一对一本来就是 LayerZero 出厂的默认配置，Kelp 遵循的是有文档记录的默认值，而 LayerZero 关于多验证者配置的文档和直接沟通属于建议性质，并不是强制默认。这场问责争议本身就具有架构意义。当一个不安全的配置同时也是出厂默认，那么泄露的责任在出厂默认的厂商和接受默认的客户之间就分得不清不楚。云服务商在 2010 年代中期恰好经历过这一转变——亚马逊 S3 存储桶在 2018 年之前一直默认公开，直到多年的泄露潮迫使其把默认值翻转为私有。2026 年的跨链桥默认值，就处在 2015 年云存储默认值的位置上。4 月 20 日的这场争议，正是一次公开可见的失败邀请全行业转向安全默认的时刻。

这两周：3 月 31 日至 4 月 18 日

Kelp 被攻击是一段 18 天序列的收尾，在这个序列里同一个资助方执行了三次架构上截然不同的行动。

开场是在 3 月 31 日，被谷歌威胁情报小组追踪为 UNC1069 的朝鲜关联操作者，把 Axios HTTP 客户端库的被篡改版本推送到了 npm。Axios 是安装量最大的开源 JavaScript 库之一；每周下载量以千万计，覆盖了世界上相当可观的一部分 Node.js 后端和浏览器前端。攻击者拿到了维护者的发布凭据，其方式据 TechCrunch 在 4 月 6 日援引谷歌威胁情报小组的说法，是“酝酿了数周”的准备：与目标进行长期的关系经营，而不是机会主义式的凭据窃取。这些恶意的 Axios 版本面向 Windows、macOS 和 Linux 发布，携带一个远程访问木马载荷，目的是让攻击者对任何安装了该更新的机器取得交互式控制。几小时内，Axios 维护者、npm 安全团队和业界响应者就识别并下架了这些被篡改的版本；木马感染的完整范围仍在评估之中，很可能有相当一部分开发者机器仍处于被攻陷状态。Axios 这个向量是同一套打法的供应链身份变种：攻破那个授权可信发布的凭据，于是每一位下游用户对该发布所寄予的信任，就把恶意载荷传播了出去。

4 月 1 日，第二次行动执行。Solana 上最大的去中心化永续合约交易所 Drift Protocol，在大约十二分钟内被抽走 2.85 亿美元。根据 Drift 的事后分析以及 Chainalysis、TRM Labs、Elliptic 和 BlockSec 的佐证分析，导致这次被抽的事件链始于 2025 年秋天——大约六个月之前——当时一伙自称量化交易公司的人在一场大型行业会议上接触了 Drift 的贡献者，表示有意在该协议上做集成。第一次见面时就建立了一个 Telegram 群；随后几个月里，同一批人还在多个国家的行业活动上与 Drift 贡献者面对面接触。这段关系从表面上看，与 Drift 贡献者每年经手的几十次正当业务拓展往来毫无区别。3 月 27 日，也就是被抽走资金不到一周前，Drift 把治理特权管理操作的多签集合——安全委员会——迁移到一个新的 2-of-5 配置，替换了五名签署人中的四名，而且关键的是，把管理操作的时间锁设成了零秒。3 月 23 日至 3 月 30 日之间，攻击者利用 Solana 的持久 nonce 功能——这是一个正当原语，允许一笔交易今天签署、在未来任意时刻执行而签名不过期——从真正的安全委员会签署人那里取得了预签授权。签署人签下的那些交易看起来都很例行；持久 nonce 的格式掩盖了实际的执行语义。4 月 1 日，攻击者部署了一个名为 CVT 的假代币——它是 3 月 12 日专为这次攻击创建的——用他们通过预签授权取得的管理权限把 CVT 列入抵押品白名单，向 Drift 存入 5 亿枚 CVT，再以这些人造抵押品借走 2.85 亿美元的真实 USDC、SOL 和 ETH。资金在数小时内被桥接到以太坊，经 Tornado Cash 洗白，再沿着 Chainalysis 已记录为朝鲜行动特征的约 45 天洗钱周期，经由中文混币服务继续流转。多家机构在数天内报告了中等置信度的朝鲜归因。

Drift 在 4 月 16 日和 17 日宣布的恢复方案，是一次三阶架构事件。Tether——它不是保险协议，也不是央行式的最后贷款人，而是一家私营稳定币发行方，经审证储备约 1930 亿美元、2025 年利润超过 100 亿美元——为一个 1.5 亿美元的救助方案承诺了其中 1.275 亿美元，方案结构为收入挂钩信贷额度、生态基金和做市商贷款，同时安排中还嵌入了一项战略考量：Drift 把主要结算资产从 USDC 转为 USDT。该方案的目标是通过分享 Drift 重启后的交易收入，逐步弥补约 2.95 亿美元的用户损失。这种经济结构是新的：它既不是保险也不是纾困，而是一笔把 Tether 的资本支出与 Drift 的运营恢复对齐的收入分成预付款。它也立下了一个先例。如果 Tether 愿意在国家行为体攻击之后拿出九位数来救主要 DeFi 协议，那么 Tether 就已经成了去中心化金融的私营部门最后贷款人。“去中心化协议 + 中心化兜底”就是 2026 年的应急形态。

随后 Kelp DAO 事件在 4 月 18 日为这两周收了尾。在不到三周的时间里，同一个国家行为体集群打击了三种截然不同的信任原语，抽走或污染的系统合计造成远超 5 亿美元的直接用户损失，以及 130 亿美元以上的行业级连锁价值毁灭。

三种信任原语，一个国家资助方

2026 年 4 月的每一次攻击，都利用了关于分布式系统如何维持信任的一条不同的架构假设。

Axios 利用的是维护者身份信任。开源软件包生态——npm、PyPI、Maven、RubyGems——假定：当某位维护者发布新版本时，其身份得到了准确认证。信任模型是：如果发布凭据有效，那么新版本就反映了维护者的意图。朝鲜攻破了那个凭据；这条信任原语就断了。这次攻破不需要任何密码学弱点；它需要的是钓鱼、社会工程，或对维护者发布路径的令牌窃取。凭据一旦被攻破，整个安装了恶意版本的下游生态，继承到的就是攻击者的意图，而不是维护者的意图。

Drift 利用的是授权信任。多签治理假定，签署人在知道自己在授权什么的前提下授权交易。密码学验证确认的是签署人在密码学意义上授权了某笔交易；它并不确认签署人对该交易后果的语义理解。朝鲜用社会工程把 Drift 安全委员会的五名签署人诱导去签署预签的持久 nonce 交易，签署人以为那些是例行操作，而这些交易一旦执行就会把管理特权转移到攻击者控制的地址。签名在密码学上是有效的。授权在语义上是虚假的。当 3 月 27 日的零时间锁迁移取消了签名收集与执行之间的冷却期，最后一道防线——让社区在异常管理操作生效前发现它的机会——也就消失了。如果当时有一个标准的 24 至 72 小时时间锁，3 月 23 日至 3 月 30 日的预签活动就会是可见的，被发现的概率相当高。

Kelp DAO 利用的是验证者完整性信任。跨链桥依靠验证者来确认某笔交易确实发生在源链上，然后才在目标链上释放对应价值。验证者反过来又依靠数据源——通常是 RPC 节点——来获取底层确认。信任模型是：如果数据源确认了交易，验证者的确认就是可信的。朝鲜攻破了数据源——LayerZero 的验证者所查询的那几个特定 RPC 节点——换上会向验证者报告伪造确认、同时向查询同一批节点的其他所有系统如实报告的二进制文件。投毒是有选择的。LayerZero 自己的监控从不同 IP 地址查询同一批 RPC，什么异常也没看到。针对干净节点的分布式拒绝服务攻击迫使其故障切换到被投毒的节点。一对一的验证者配置，去掉了本会要求多次独立投毒的多验证者冗余。

这三种原语——维护者身份、授权、验证者完整性——每一种都是 "honest majority"（诚实多数）式的构造。每一种都假定诚实的一方或多方占主导。每一种都被以攻破那个多数的方式攻破（在 Kelp 这一例中，是攻破了那个独自构成全部多数的唯一一方）。这些原语底下的密码学层和共识层自始至终完好无损。分布式系统的数学一直在正确运转。被攻破的是人、组织和基础设施这几层，在那里诚实多数假设是一项社会事实，而不是一项数学事实。

那个资助方

据 Chainalysis，朝鲜历史累计加密货币盗窃额约为 67.5 亿美元。仅 2025 年一年就是 20.2 亿美元，同比 2024 年增长 51%。2025 年这个总数约占当年全行业加密货币盗窃额的 60%。与加密盗窃相邻的是，OFAC 在 2026 年 3 月 12 日的指定描述了一条 IT 劳工欺诈流水线，2024 年为该政权创造约 8 亿美元年度收入——用虚假身份的远程劳工受雇于全球的 Web3 及其他科技公司，薪资经由越南、老挝、中国和俄罗斯的中间人汇入朝鲜国家。一项由以太坊基金会支持的行动在 2026 年 4 月初披露，它已在 53 家 Web3 和加密货币项目内部识别出约 100 名朝鲜 IT 劳工。合计起来，朝鲜的网络收入流接近每年 28 亿美元——这是估计为 100 亿至 120 亿美元的国家年度预算中一个可观且仍在增长的比例。

据 Chainalysis、TRM Labs 以及现已解散的联合国专家小组的评估，这笔网络收入中有相当一部分为朝鲜的核武器和弹道导弹计划提供资金。这一机制比许多监管类比所暗示的更直接：该政权通过中文混币服务、俄罗斯促成的交易所以及其他美国财政部执法触及不到的渠道，把被盗加密货币兑换成硬通货，再把所得用于武器研发采购。武器计划因为 DeFi 生态的安全缺口而推进得更快。这个观察不是修辞。它是那条把 DeFi 安全从消费者保护问题变成防扩散问题的运作链路。

传染

Kelp 那 2.92 亿美元的直接被抽，在 48 小时内引发了 132.1 亿美元的级联 TVL 外流。机制是：攻击者把被盗的 rsETH 作为抵押品存入 Aave V3；据此借出真实的 wrapped ETH；在攻击披露损害了抵押品质量之后任由 rsETH 价值恶化；带着借来的真实资产离场。Aave 因这些水下贷款留下了 1.96 亿美元坏账。Aave 的储户——看着坏账累积和更广泛的 rsETH 抵押品质量恶化——出逃了：48 小时内有 84.5 亿美元存款离开 Aave。Aave、Compound、Fluid、SparkLend、Euler 以及若干更小的借贷协议各自冻结了自己的 rsETH 市场以阻止进一步损害。AAVE 代币价格下跌约 18%。直接攻击金额与生态整体价值毁灭之间 45 比 1 的比值，就是可组合性税：让 DeFi 协议互操作的那个特性，同时也是把单一协议的失守传播到每一个相连协议的那个特性。

这种传染不是意外。DeFi 的架构设计有意促成再抵押：用户可以质押 ETH，拿到流动性质押代币，把它送进流动性再质押协议，拿到流动性再质押代币，把该代币作为抵押品存入借贷协议，据此借款，再把借来的资产送进更多协议。每一层都增加收益和流动性；每一层也增加依赖。任何一层被攻破，都会级联到该层的每一个下游消费者。Vitalik Buterin 在 2023 年的一篇博文中警告过，再质押尤其有可能以某种方式扩展以太坊的安全假设，一旦被扩展的假设崩塌，后果可能是灾难性的。Kelp 4 月 18 日的被抽事件部分验证了这一担忧，尽管具体的失败发生在跨链桥验证者层，而不是再质押本身。架构方向需要校准：可组合性是有价值的；可组合的深度必须被每一层的信任原语厚度所限定。

反制架构

针对这三种被攻破的信任原语，各自的具体反制架构都已存在、有文档，并且已部分部署。完整部署是 2026 至 2028 年的问题。

对维护者身份，反制架构是：对流行软件包的发布权限强制使用 FIDO2 硬件密钥；经由 Sigstore、Sigsum 和 Rekor 实现签名发布的透明化；可复现构建，让二进制来源可以被独立验证；以及经由 OpenSSF Scorecard 及相关项目的依赖图审计工具。每一个组件都已存在。npm 支持可选的 FIDO2；Python 的 PyPI 也支持；但都没有对流行软件包强制要求。Sigstore 在容器生态里的采用率在增长，但在 npm 和 PyPI 里仍是个位数百分比。可复现构建对复杂项目而言仍然困难。针对 Axios 攻击向量的具体修复是：对下载量前 1000 的软件包的发布者强制 FIDO2，对这些包强制签名发布，并要求所有更新都进入 Sigstore 透明日志。这是注册表运营方层面的政策决定——GitHub（负责 npm）、Python 软件基金会（负责 PyPI）、JetBrains 等——而且这在他们的权限之内。

对授权信任，反制架构是：硬件钱包明文签名，把交易语义解码成人类可读的形式；由与可能被攻陷的同事不处在共享信任关系中的签署人对每一笔管理交易进行独立复核；有实际意义的时间锁——管理操作至少 24 小时，抵押品参数变更这类影响市场的操作 48 至 72 小时；跨时区分布的签署人集合，使任何单一时段的攻陷都无法影响法定人数；以及对签署人身份的可验证凭据证明。每一个组件都已存在。Ledger 的明文签名、Blockaid 的 Cosigner、OpenZeppelin 的 Timelock Controller、Safe 的多链签署人管理、W3C 可验证凭据——都已在不同规模上投入生产。针对 Drift 攻击向量的具体修复是：所有管理操作强制明文签名，在智能合约层面强制非零时间锁（不留“执行者角色”旁路），以及把签署人轮换到至少三大洲分布。这些都是各个协议今天就能做的治理决定。

对验证者完整性，反制架构是：所有跨链桥采用多验证者默认——要形成有意义的去中心化，需 3-of-5 或更大；不与验证者共用 RPC 基础设施的独立数据源监控；抵押品估值使用冗余预言机喂价；在代币供应异常变动时自动暂停的熔断器；以及对关键验证者操作的可信执行环境证明。LayerZero 4 月 20 日的事后分析实际上承认了其一对一默认配置就是问题所在的架构漏洞；问题在于 LayerZero——以及 Wormhole、Axelar、Chainlink CCIP 和其他主要跨链桥运营方——是否会把多验证者作为出厂默认，并要求想降级的客户明确确认风险。这里的行业协调是可行的；每当事件迫使注意力集中，标准机构（合约签名的 ERC-6492、账户抽象的 EIP-7702）都会加速。Kelp 就是那个强制函数。

跨越这三种原语，共同的防御原则就是 URnetwork 编辑部在此前各期中所说的“厚信任原语”。分布式系统中的每一条信任原语，都应当要求多次独立攻破才会失效。一对一验证者是薄的。带零时间锁的 2-of-5 多签是薄的。只有密码加短信凭据的单一维护者是薄的。每一条薄原语都可以被加厚——多验证者、有实际意义的时间锁加分布式签署人、强制 FIDO2——而不破坏系统的功能。加厚会增加运营成本；加厚能阻止国家行为体的攻破。加厚成本与一次成功攻击的成本之间的经济比值，压倒性地偏向加厚。采纳率才是那个变量。

恢复架构

Drift 由 Tether 牵头的救助方案，是 DeFi 中国家行为体攻击后恢复的先例案例。Tether 那 1.275 亿美元的承诺，被结构化为以未来交易收入为对价的收入挂钩信贷，而不是保险赔付或直接纾困，从而在兜底提供方与协议恢复之间建立了经济上的对齐。这项安排还顺带把 Drift 的主要结算资产从 USDC 转为 USDT，以牺牲 Circle 为代价强化了 Tether 的市场份额。类似的救助可能会出现在 Kelp DAO 身上，不过由于 Kelp 处不存在 USDT 的战略动机，一次对等的 Tether 救援可能性较小。Aave 对那 1.96 亿美元坏账的回应尚未定案；治理流程很可能会把安全模块罚没、国库动用和收入留存组合起来，用几个月时间把损失补回来。每一种恢复模式——Tether 兜底，或经由安全模块和治理自筹——在协议的代币持有者、储户、兜底伙伴和生态相关方之间分配成本的方式都不同。

这里的元模式值得点出来。DeFi 正在发展出一套攻击后恢复架构——在其中，中心化实体（Tether、大型交易所、主要生态行为者）为去中心化协议提供最后贷款人服务。由此形成的架构既不是 2020 年那个原初的去中心化理想，也不是传统金融那种受监管的兜底模式，而是一种混合：面向用户的那一层是去中心化协议，系统性风险那一层是中心化兜底。这种混合是被必要性逼出来的。它对去中心化命题的长期影响，以及兜底提供方在监管上如何被对待，是 2027 至 2030 年的问题。

URnetwork 从中读到什么

URnetwork 编辑部在此前各期中一直主张的架构方向——点对点路由、联邦式运营方、用户自持密钥、最小范围 OAuth、可验证凭据身份、分布式信任原语——恰好针对的就是 2026 年 4 月所展示的这一类失败。具体的 URnetwork 对应关系是：不存在某个维护者，其被攻陷会在网络中传播；不存在某个验证者，其失效会批准欺诈交易；不存在零时间锁治理，其被夺取会带来即时的管理权提升；不存在厂商 OAuth，其授权范围会随一次泄露而层层扩散。URnetwork 架构的每一个要素，都在某个特定层上贡献了一条更厚的信任原语。

更广泛的对应关系延伸到第 01 期（今天的 AI 副驾供应链一篇）和第 02 期（今天的许可制互联网一篇）。第 01 期诊断的是商业厂商应用层的失败模式：Context.ai、Salesforce、Azure MCP、AI 副驾的 OAuth。第 02 期诊断的是国家许可制在基础设施与身份层的失败模式：伊朗最高国家安全委员会、俄罗斯的 Max、英国《在线安全法》、欧盟 Chat Control。第 03 期诊断的是国家行为体进攻下信任原语的失败模式：Axios、Drift、Kelp。三者都是同一个架构观察的变奏：信任原语正承受对抗性压力；防御性回应需要分布式、联邦式、有证明、开放的架构；这种回应是现成的；问题在于部署。

周一的要求

给 DeFi 协议：审计你的多签治理。时间锁是非零的吗？签署人分布在不同时区吗？签署人是否独立核验每一笔管理交易的完整语义？你复核过自己的跨链桥验证者配置吗？如果你在用 LayerZero 或另一个默认一对一的跨链桥，你升级到多验证者了吗？你审计过前端所依赖的开源供应链吗？你有能在周六晚上启动紧急暂停的 7×24 小时安全运营吗？

给 DeFi 用户：把敞口分散到信任原语更厚的协议上。优先选择多签配置公开、时间锁非零、跨链桥多验证者的协议。避免对那些底层跨链桥或再质押协议信任配置很薄的再抵押资产形成集中敞口。核验你所用的每一个借贷协议的抵押品风险参数。要预期国家行为体对手；你的威胁模型里应该包含长周期的社会工程。

给软件包注册表：对高下载量软件包的发布者强制 FIDO2。强制签名发布。投入 Sigstore / Sigsum 透明日志的采用。就供应链安全标准开展全行业协调。

给跨链桥：把多验证者作为出厂默认。只有在客户明确确认风险的前提下才允许降级到单验证者。公开独立数据源监控实践。就 DVN 多样性协调跨桥标准。

给开源维护者：为你的发布账号启用硬件密钥认证。对战略投资者的接洽保持怀疑。核验新贡献者的身份。放慢有后果的改动的合并速度；给对抗性审查留出时间。

给监管者：把 OFAC 制裁扩展到新出现的洗钱渠道。就三边朝鲜网络执法与盟友协调。制定在隐私与执法之间取得平衡的稳定币冻结协议。为应对国家行为体威胁建立产业与政府之间的情报共享框架。

给 URnetwork 的用户和开发者：架构方向就是防御。部署去中心化技术栈。为联邦式替代方案做贡献。运行你自己的基础设施。国家行为体针对 DeFi 当前架构发起的这场行动，正是支持 URnetwork 正在建造的那种去中心化架构的有力论据。

度量

17 天。5.77 亿美元被直接盗走。130 亿美元的 TVL 传染。1.96 亿美元的 Aave 坏账。数以百万计的开发者机器可能带着被攻陷的依赖。53 家 Web3 公司内部识别出 100 名朝鲜 IT 劳工。一个国家资助方。三种截然不同的攻击向量。一个周六晚上的 2.92 亿美元。六个月社会工程之后的 2.85 亿美元。Axios 安装基数上仍有数量不明的木马在潜伏。

2026 年 4 月 20 日，LayerZero 公开了归因。架构上的教训在归因之前就已经清楚了。今天它依然清楚。回应是已知的。回应是可部署的。回应在这些攻击发生之前就已经可用了。问题在于，这个生态部署的速度能否快过对手攻破的速度。四月这两周就是那个度量：当前速度不够；架构方向就是答案；这个周一早晨就是决策点。

那个国家行为体有预算。我们也有。

伊朗断网今天进入第 52 天，自 2026 年 2 月 27 日开始以来，已累计 1,248 小时近乎完全的离线。NetBlocks 与 IranWire 确认了这一节点：这是任何国家历史上有记录以来最长的一次持续全国断网。战前流量基线目前恢复约 1%。由 Afshin Kolahi 主持的伊朗商会知识型经济委员会估计，每日直接经济损失为 3,000 万至 4,000 万美元。伊朗通信部长引用的数字是每日 3,570 万美元。NetBlocks 引用的是每日 3,700 万美元。截至 4 月 16 日，累计经济成本为 18 亿美元；到今天约为 19 亿美元。

恢复连接的机制，才是那个具体的架构细节。据 IranWire 4 月 18 日的报道，最高国家安全委员会——由佩泽希齐扬总统主持，成员包括伊朗情报、军方和外交部门的负责人——是互联网恢复连接的授予机关。机构可以申请恢复连接。申请标准并未公开记录。迄今获批的机构包括亲政府的 Telegram 频道、伊朗官方媒体账号，以及部分大学网络。个人用户仍处于离线状态。小微企业、创业公司、为国际客户工作的自由职业者、需要访问在线教育资源的学生，以及需要在线协同的医疗服务，都在被这场断网压垮或瘫痪的具体群体之列。

星链——那套被定位为不依赖国家的替代方案的卫星互联网系统——正在遭到伊朗国家部署的军用级干扰的持续削弱。美国外交政策委员会的分析把这些干扰归因于俄罗斯的 Murmansk-BN 电子战系统和中国的反卫星通信技术。效果：星链信号被削弱 30% 至 80%。伊朗还在部署 GPS 欺骗——这是有记录以来第一起国家对商用卫星互联网大规模使用 GPS 欺骗的案例。SpaceX 在 1 月 10 日推送了一次软件更新，使终端能够通过多卫星信号而非 GPS 三角定位，在受干扰条件下部分恢复了星链的可用性。在伊朗持有一台星链终端属于犯罪（依反间谍法处 6 个月至 2 年监禁）；使用星链终端 "confront the Islamic Republic"（对抗伊斯兰共和国）则可判处死刑。

这是许可制架构在当代最清晰的一个实例。国家的基线是关闭。恢复连接需要国家明确授予。反制基础设施（星链）被国家级电子战反制。持有反制基础设施要承担刑事乃至极刑。对九千万伊朗人来说，2026 年 4 月 20 日的互联网，就是许可制互联网的显性形态。

Max 上的 1 亿人

据 VK 3 月 26 日的备案文件，俄罗斯国家支持的即时通讯应用 Max 在 2026 年 3 月越过 1 亿注册用户，日活跃用户 7,050 万。自 Max 于 2025 年 3 月上线以来的注册总数为 1.07 亿——俄罗斯历史上最快的即时通讯应用普及。这款应用是一个一体化的超级应用：消息、政务服务、数字身份、电子文件签署和支付，明确以微信为蓝本。其架构特征是：所有数据存储在俄罗斯境内服务器；没有端到端加密；接入 SORM-3（涵盖内容全量留存与联邦安全局访问权的俄罗斯监控体系）。网络安全研究员 Baptiste Robert 的话被国际媒体广泛引用：“任何经过这个应用的数据，都可以视为落在了它所有者的手里，而在这个案例里，就是落在俄罗斯国家的手里。”

Max 的普及并不能用产品更优来解释。它是被相邻服务的劣化解释的。WhatsApp 已于 2026 年 2 月 11 日在俄罗斯被完全封锁。据 Meduza，Telegram 的封锁率——那些让服务无法使用的“异常”——在 4 月 10 日达到 95%，是自 3 月 20 日新一轮限制开始以来的最高纪录。Telegram 创始人帕维尔·杜罗夫发布了一个内置 DPI 绕过技术的 Telegram 版本；绕过与封堵的猫鼠游戏仍在继续。在莫斯科及各地区间歇性的移动互联网关断期间（据自由欧洲电台／自由电台报道），一份由国家维护的服务“白名单”仍保持可用。包括 Max 在内的国家服务留在白名单上；被封锁或被劣化的国际服务不在其中。2026 年 2 月，联邦安全局要求俄罗斯各大银行安装 SORM 设备；未合规的银行被移出移动关断白名单。

架构上的观察是：俄罗斯已经建成了一套国家控制的即时通讯 + 身份 + 支付栈，其规模约相当于成年人口的七成。相邻渠道正在被主动劣化。用户面对的选择，是使用受国家监控的渠道，还是使用被劣化或被刑事化的替代品。“自愿采用”这个范畴，并不适用于这样的选择架构。

VPN 的螺旋

英国在 2025 年和 2026 年对《在线安全法》的执法，产生了一种具体的螺旋模式。含成人内容的商业网站必须做年龄验证。用户以使用 VPN 作出回应——据多家网络安全监测机构，首日激增 1,400%。2026 年 2 月，英国政府提出若干选项，要在 VPN 使用削弱了《在线安全法》安全保护的场合，"age restrict or limit children's use of Virtual Private Networks"（对儿童使用虚拟专用网络设置年龄限制或加以限制）。4chan——2026 年 3 月因未遵守年龄核验要求被 Ofcom 处以 52 万英镑罚款——拒绝缴纳。它的美国律师 Preston Byrne 用一张 AI 生成的、身穿哥斯拉服装的仓鼠漫画回复了罚款通知；这个梗在后续通知中延续下来，啮齿动物的图像一次比一次夸张。4chan 在英国没有实体、没有资产、没有雇员；执法路径在结构上是薄弱的。Ofcom 每日 500 英镑的持续罚款一直计到 2026 年 6 月 1 日。

这个螺旋是：封锁内容，用户用 VPN 绕过，于是提出限制 VPN。链条上的每一步反制，都为下一步制造了动因。这种架构模式就是许可层的螺旋——访问内容需要身份验证；身份验证需要可核验的身份；VPN 规避使身份不可核验；限制 VPN 又把身份重新强加回来，代价是公民自由。

美国的模式在架构上是平行的。得克萨斯州 HB 1181 于 2025 年 6 月 27 日在 Free Speech Coalition 诉 Paxton 案中被最高法院以 6 比 3 维持。到 2026 年第二季度，约有 25 个州通过了类似法律。Pornhub 宁可退出部分州，也不实施年龄验证；用户则通过 VPN 迁移。身份验证厂商生态（Yoti、AgeCheck、Verifi、Digidentity）是一个快速增长的板块，也带着它自己的攻击面画像——厂商成了一个“访问过成人内容的用户”的数据库，是身份盗用与勒索的高价值目标。

5 月 4 日的三方谈判

欧盟的永久性《儿童性虐待条例》——即“聊天管控 2.0”——下一轮三方谈判定于 2026 年 5 月 4 日，处在丹麦轮值主席国任期的尾声。自愿扫描的例外条款（聊天管控 1.0）已于 2026 年 4 月 3 日到期。3 月 16 日针对永久性条例的三方谈判破裂；据泄露的理事会电报，理事会各国部长是有意让谈判失败，以免形成一个会削弱永久性制度的先例。这场谈判自 2024 年下半年起就一直处在三方谈判阶段。

架构上的利害是具体的。如果条例采纳强制性的客户端扫描——在内容抵达加密之前先行扫描——端到端加密作为隐私保障的意义就不复存在。扫描基础设施一旦部署，只需政策变动、无需技术变动，就可以被挪用于 CSAM 之外的其他内容类别（版权、政治内容、异见）。Signal、WhatsApp、iMessage 和 Proton 都已表示，它们宁可退出欧盟市场，也不会实施客户端扫描；退出与合规之间的成本收益测算仍在进行中。

架构上的问题是：5 月 4 日之后，消息服务在欧盟还能不能把端到端加密保留为一项隐私保障。答案尚有争议。议会那种保护隐私的立场是可能的。理事会那种强制检测的立场是可能的。一个在界定明确的狭窄类别内产生客户端扫描的折中方案，则是很可能的。每一种结果，对欧盟消息隐私的架构基线都有不同的含义。

那个没有发生的日落

2026 年 4 月 20 日原本是《涉外情报监视法》第 702 条的日落之日，由 2024 年的《情报改革与保障美国法案》设定。它已经不再是日落之日了。4 月 17 日凌晨 2:09，在共和党人的修正案异议搅黄了原定的院会表决之后，众议院一致通过了一份 10 天延期。当天下午，参议院以口头表决通过了同一份延期。4 月 18 日周六，特朗普总统签署了 H.R. 8322，没有公开声明，也没有主要官员在场的合影。新的日落之日是 4 月 30 日。

今天——4 月 20 日——众议院规则委员会将在美东时间下午 4 点开会。据该委员会的正式公告，第 702 条不在审议议程上。列入审议的项目有：H.R. 1897（濒危物种法）、H.R. 5587（能源）、H.R. 2289（宽带）、H.R. 4690（基础设施），以及一项关于农村社区的决议。本周参议院也没有为 702 条改革安排任何载体法案。改革派联盟——它一直要求对涉美国人查询设置令状要求，此前有怀登那份包含三项论点的院会发言，其中包括反对 "feeding [collected data] into AI systems to conduct unprecedented mass surveillance"（把[收集到的数据]喂进 AI 系统，以实施前所未有的大规模监控）——只剩十天，而且没有任何在动的载体。行政部门（国家情报总监拉特克利夫、联邦调查局局长帕特尔、国家情报总监米勒）已公开主张“干净”的重新授权。程序上的走向是：4 月 30 日干净重新授权，或再打一次补丁，或让其失效、由行政部门作出解释、在法律不确定的状态下继续收集。

怀登关于 AI 系统的那句措辞，正是架构意义所在。它承认第 702 条的政策辩论已经从“谁在收集”演进到也包括“AI 如何处理所收集的东西”。AI 处理这一层——Palantir Gotham、Anduril、用于人脸数据的 Clearview AI、承包商为信号情报分析开发的 AI——并没有专门的法定监督框架。第 702 条的改革，如果它在动，就必须处理这一层。改革没有在动。架构继续运行。

分级机构的泄露

2026 年 4 月 19 日，印度尼西亚通信与数字事务部在一起安全事件之后暂停了印尼游戏分级系统（IGRS）——该事件通过一个未加防护的后端 API，暴露了 1,000 多个开发者邮箱、提交的游戏素材，以及近一小时未发布的《007: First Light》游戏画面。漏洞是被一名 Reddit 用户发现的，他当时正在为 IGRS 分级数据库开发一个替代前端；只要手动输入某款游戏的内部 ID，隐藏的分级及相关元数据就可以被访问。该 API 此后已被锁定；调查期间暂停发放新的分级。

IGRS 是政府为游戏设置的许可层。游戏必须取得政府分级才能在印尼发行。这套许可基础设施自身的安全失败，暴露了那些前来申请许可的主体的数据。架构上的教训是：每一套许可系统都是一个数据库，每一个数据库都是一个攻击面，每一个攻击面最终都会被攻击。国家强制的许可制，把攻击面集中到了带有国营基础设施特有安全欠账的系统里。

ChipSoft 与医院

2026 年 4 月 7 日，Z-CERT 通知 ChipSoft——这家荷兰医疗 IT 厂商的 HiX 电子病历软件服务着大约 70% 的荷兰医院——其系统正遭到勒索软件攻击。到 4 月 8 日，ChipSoft 确认患者数据已被外泄。到 4 月 14 日，荷兰议会已启动正式调查，要求卫生大臣赫尔曼斯作出说明。到 4 月 17 日，荷兰数据保护局已收到 23 份以上的数据泄露通报；荷兰司法大臣 David van Weel 表示“预计还会有更多大型入侵事件”。数家医院关停了患者门户；鹿特丹眼科医院、Rijndam Revalidatie 和南荷兰省的 Basalt Revalidatie 都在公开确认受影响之列。

架构上的观察，和今天第 01 期里的 AI 副驾供应链是同一个。一个持有广泛访问权的单一厂商——在这里是一个国家 70% 的医院病历——就是一次灾难性的集中。患者同意的是在自己的医院接受治疗。他们并没有另行同意医院对厂商的选择。当厂商被攻破时，患者的医疗隐私就是那个波及半径。在国家级医疗规模上的厂商集中，是架构上的默认状态；开放标准的反制架构（基于 FHIR 的数据可携、Solid/Inrupt 的患者自有数据舱）是有的，但部署仍属少数。

长线骗局

Drift Protocol——当时按锁仓总额计算是 Solana 上最大的 DeFi 平台——在 2026 年 4 月 1 日被抽走 2.85 亿美元，是 Solana 历史上第二大的攻击事件。攻击链条是：攻击者花了六个月伪装成一家量化交易公司，与 Drift 安全委员会成员建立关系。在 3 月 23 日至 30 日之间，他们利用 Solana 的持久 nonce 功能创建了可在日后执行的预签名交易，并通过社会工程从真正的安全委员会成员那里取得了签名。这些交易把协议的管理控制权转移到了一个由攻击者控制的地址。4 月 1 日，攻击者部署了一个假代币 CVT（创建于 3 月 12 日），把它列入抵押品白名单，存入 5 亿枚 CVT，并以其为抵押借出，在大约 12 分钟内提走了 2.85 亿美元的 USDC、SOL 和 ETH。归因：据 Chainalysis、TRM Labs 和 Elliptic，以中等置信度指向与朝鲜有关的 UNC4736（又被追踪为 AppleJeus、Citrine Sleet、Golden Chollima、Gleaming Pisces）。

架构上的观察是：没有去中心化验证的去中心化治理，抵挡不住针对集中点的攻击。Drift 安全委员会——一个握有广泛管理权限的小规模签署人群体——就是那个攻击面。持久 nonce 这个为合法工作流中的延迟执行而设计的良性 Solana 功能，成了攻击原语。防御性架构——签署人的可验证凭证身份、带可读交易显示的硬件钱包、管理操作的时间锁——是存在的，但并未被普遍采用。六个月的关系型社会工程是新颖之处；它所利用的架构脆弱性，则是结构性的。

这套架构

2026 年，许可制架构部署在用户互联网栈的五个层面上。

基础设施层。 伊朗最高国家安全委员会的白名单。俄罗斯的移动关断白名单。俄罗斯与中国军用级电子战对星链的干扰。一个法域进出 IP 路由的基线可达性，成了国家授予的特权，而不再是协议的默认。

路由层。 DNS 过滤、BGP 劫持、ASN 封锁、CDN 层面的内容屏蔽。俄罗斯对 Telegram 95% 的限流。英国的内容封锁令。印尼的 IGRS——许可层泄露了它自己。

身份层。 英国《在线安全法》的年龄验证。得克萨斯州 HB 1181（约 25 个美国州）。俄罗斯的数字身份 + Max 集成。身份验证厂商（Yoti、AgeCheck、Verifi、Digidentity）作为高价值的集中式数据库。

加密层。 欧盟聊天管控 2.0 的 5 月 4 日三方谈判。会在端点上颠覆端到端加密的客户端扫描提案。强制密钥托管的辩论。多个法域对合法监听 API 的要求。

应用层。 AI 副驾的 OAuth 权限扩张（第 01 期的地盘）。Salesforce 配置错误的攻击行动。SaaS 厂商在企业规模上持有认证凭据。Vercel/Context.ai、Azure MCP 的 CVE、Meta 的 Scale AI Outlier、ShinyHunters 在第 14 周超过 1 亿条记录。

每一层都有许可制在部署。每一层都有可用的反制架构。没有一种反制架构是主流默认。已部署的许可制与已部署的反制架构之间的差距，正在扩大而不是缩小。

反制架构

去中心化的技术栈是存在的。它可以运行。它不是主流。它的组成部分：

基础设施。 点对点网状组网。卫星连接（星链，带着有据可查的、被国家反制武器攻击的脆弱性）。物理层网状网（Meshtastic、Yggdrasil、cjdns）。URnetwork 的点对点路由基底。不依赖可达性的本地优先计算。

路由。 带混淆传输的 Tor 洋葱路由（obfs4、snowflake）。DNS-over-Tor。URnetwork 的联邦式对等路由。通过 TLS 承载的 WireGuard。带混淆的 Shadowsocks。

身份。 W3C 可验证凭证。去中心化标识符（DID）。通过零知识证明实现的隐私保护型年龄证明。带声誉的化名身份。自主权身份钱包（意大利、荷兰的数字身份试点）。

加密。 端到端加密的消息服务：Signal、Tuta、Proton、Session。后量子密码学：Tuta 率先部署。加密云存储：Tresorit、Sync、Mega、pCloud。硬件支持的密钥存储。

应用。 自托管 AI 智能体：LangChain、LlamaIndex、Semantic Kernel。本地大模型托管：Ollama。可由客户自行部署的开源 MCP 服务器。最小权限范围的 OAuth。逐操作认证。与 SIEM/SOAR 集成的持续可观测性。

汇总的用户数据。Signal：约 5,000 万日活。Proton：1 亿个账户。Tuta：1,000 万用户。Matrix：8,000 万联邦用户。Tor：每日 200 万至 300 万。Mastodon + Bluesky + Nostr 合计：约 5,000 万月活用户。每一项都有实质意义；每一项都只占少数份额；合起来，它们代表的是一条在复利增长但尚未占据主导的采用曲线上的去中心化技术栈。

这一周度量的是什么

许可制互联网是 2026 年的基线。反制架构存在，而且在增长。剩下的问题是部署。

2026 年 4 月 20 日星期一，一个伊朗用户正处在国家白名单式互联网的第 52 天。一个俄罗斯用户把 Max 当作日常的消息 + 身份 + 支付栈。一个英国用户在内容层面对年龄验证，在路由层面对拟议中的 VPN 限制。一个欧盟用户距离 5 月 4 日那场可能改写“端到端加密”在欧盟含义的三方谈判，大约还有两周。一个印尼开发者的邮箱和未发布作品，通过政府自己的许可系统被暴露。一个荷兰患者的病历，通过一家服务着全国 70% 医院的单一厂商被外泄。一个美国人拿到的是周六签署的第 702 条补丁，以及剩下 10 天里没有任何在动的改革载体。一个 Drift Protocol 用户，其 2.85 亿美元资本是通过针对一个小型多签委员会、持续六个月的关系型社会工程被够到的。一个使用 AI 副驾的企业客户，遇上了本周最重大的一次级联式攻陷（第 01 期的主锚）。

每一个都是不同的数据点。每一个都是不同的许可层。每一个都发生在今天。

去中心化技术栈——消息与邮件层的 Signal、Tuta、Proton；路由层的 Tor、URnetwork；联邦社交层的 Matrix、Mastodon、Bluesky；自托管 AI 层的 Ollama、LangChain、LlamaIndex；身份层的 W3C 可验证凭证 + DID——都是可用的。部署与否的决定，属于用户、开发者、企业和社区。

许可制架构正以国家与厂商的速度部署。反制架构以社区的速度部署。这个差距，就是 2026 年的度量。对 2028 年互联网的问题是：哪一种架构会先作为默认落到用户手里。答案取决于从今天到那时的 24 个月里，什么东西被部署了出来。

今天是 2026 年 4 月 20 日星期一。德黑兰的第 52 天。Max 上的 1 亿人。距欧盟三方谈判 14 天。距美国第 702 条的下一个截止日 10 天。许可制互联网已经在这里了。反制架构也已经在这里了。用户在这个星期一作出的选择，会复利成这个十年的架构。

4 月 19 日周日，Vercel——这个被数十万开发者使用、并为相当一部分 Web3 基础设施提供运行时托管的云部署平台——确认有未经授权的行为者访问了其内部系统。Vercel 首席执行官 Guillermo Rauch 的公开说明对攻击链条讲得很具体：Context.ai，一个 Vercel 员工用于企业生产力自动化的第三方 AI 智能体平台，被攻破；一名使用 Context.ai 的 Vercel 员工的 Google Workspace OAuth 会话被截获；攻击者用这个会话进入了 Vercel 的内部环境；被标记为 "non-sensitive"（非敏感）的内部环境变量被逐一枚举，用以寻找提权路径；一小部分客户凭据被暴露。

ShinyHunters——这次攻陷背后的勒索团伙，也是 4 月 14 日 McGraw Hill（1,350 万个账户）和 Rockstar Games（7,860 万条记录）披露事件的责任方——在 BreachForums 上发帖开价 200 万美元，并表示可以从 50 万美元的比特币起谈。该团伙起初把它手上的东西描述成一个波及整个 Next.js 的供应链风险。Rauch 明确反驳了这一框定：在事件后的供应链审计之后，Next.js、Turbopack 以及 Vercel 的各开源项目都是安全的。

按记录条数算，这不是本月最大的攻击。但可以说它在架构上最重要。这条路径——一个被攻破的 AI 智能体平台，经由 OAuth 权限范围级联进入下游客户的生产环境——描述的是企业供应链攻击的下一个类别。这个类别目前还没有一个主要的监管框架。它正在以企业规模部署，比能够遏制它的安全水位来得更快。

AI 副驾实际握有什么

设想一次典型的企业 AI 副驾部署。某位员工安装了一个生产力工具——用于会议纪要的 Context.ai、用于代码补全的 Cursor、用于起草邮件的 Claude、用于文档工作的 Copilot，或某个专门用于排程或销售管道管理的智能体。这个工具要求 OAuth 授权。授权页面请求的权限范围横跨：

• 读写 Google Workspace 或 Microsoft 365：Gmail、Drive、日历、通讯录。
• 读写 Slack 或 Microsoft Teams：频道、私信、文件、用户列表。
• 读写 GitHub：仓库、议题、拉取请求。
• 读取 Jira、Notion、Linear、Asana。
• 读写 Salesforce 或 HubSpot。

员工点击 "Allow"（允许）。这个副驾现在实际上拥有对该员工的企业通信与内容近乎全部的读取权限，以及在自动化真正起作用的地方的实质写入权限。这个权限范围比具体功能所需的更宽。更窄的权限范围会破坏副驾产品那个“无所不能”的承诺。这些 OAuth 令牌保存在副驾厂商的后端，并代表用户为副驾的行为提供身份认证。

当厂商的后端被攻破时，这些令牌就是波及半径。攻击者继承了那个权限范围。Context.ai 被攻破，就把 Context.ai 的客户授予它的令牌，变成了攻击者对 Vercel 级别系统的访问权。这个模式并不是 Context.ai 产品里的一个 bug。它就是 AI 副驾的商业模式：为了生产力而取得宽泛的 OAuth 委托，而对委托持有方的攻陷，会顺着这个权限范围传播开来。

Azure MCP Server 这个信号

Context.ai 只是一家厂商。问题所涉的这类基础设施还要更广。4 月 3 日，微软披露了 CVE-2026-32211：Azure MCP Server 中的一个认证缺失漏洞——Azure MCP Server 是微软对模型上下文协议（MCP）的实现，而 MCP 是把 AI 智能体连接到企业工具与数据源的新兴标准。CVSS 评分为 9.1。漏洞类别是 CWE-306，关键功能的认证缺失。一个能在网络上访问到脆弱部署的攻击者，无需凭据即可提取配置详情、API 密钥和认证令牌。披露后 17 天，补丁仍未发布。微软的缓解指引是对 MCP 服务器端点做防火墙限制并使用反向代理认证——这是补偿性控制措施，不是修复。

9.1 的 CVSS 评分把 CVE-2026-32211 放进了严重级别的档次。微软对 9.x 级别漏洞的典型响应时间是 7 至 14 天。一个可被主动发现的严重级别缺陷，17 天没有补丁，是不寻常的。不论具体原因是什么——架构复杂度、跨产品依赖、认证系统之间的交互——这个信号都是：AI 智能体基础设施的部署，跑在了正常的打补丁节奏前面。这一类基础设施还没有达到适用于主流 Azure 产品的运维成熟度。

Azure MCP Server 并非孤例。贯穿 2026 年第一季度的研究，已经在各种 MCP 服务器实现中识别出系统性的安全问题：默认配置绑定到本地回环且无需凭据，导致认证缺失；AI 智能体平台向底层 MCP 服务器授予宽泛的 OAuth 权限范围，制造过大的波及半径；智能体之间的信任链在传递上下文时没有密码学证明；对智能体在做什么缺乏足够的可观测性。Anthropic 的参考 MCP 服务器在 3 月修复了一个提权问题。GitHub 上的各类开源 MCP 实现在 2026 年初也披露过一些较小的问题。这个生态正处在“部署快于安全”的早期阶段。

Gartner 的不对称

Gartner 2026 年 4 月的预测：到 2026 年底，40% 的企业应用将包含任务专用的 AI 智能体，而 2025 年这一比例还不到 5%。2026 年 Gravitee 对企业技术负责人的一项调查发现，24.4% 的组织对自家基础设施内部哪些 AI 智能体在彼此通信拥有完整的可见性。部署曲线是一年之内 8 倍的增长。可见性大约只有部署的四分之一。

云安全联盟 4 月 17 日对这一具体失效模式的分析是：一个被攻破的 AI 智能体，会继续把带有攻击者控制数据的上下文传递给它链条下游的智能体。下游智能体无法把合法上下文与被注入的内容区分开来。传统的横向移动检测是为人类用户会话被劫持或恶意软件传播设计的，它看不到这种攻陷，因为智能体之间的流量本来就是预期之中的——那正是这套基础设施被设计出来的通信模式。

这种不对称在复利。企业客户部署 AI 智能体的速度，快过他们部署用来保护它们的可观测性。厂商发布 AI 智能体基础设施的速度，快过维护它所需的打补丁纪律。攻击者进入这个领域的速度，快过遏制他们的防御框架。差距在扩大，而不是缩小。

Scale AI 的延伸

AI 副驾模式一路延伸进了训练数据这一层。《卫报》4 月 7 日对 Meta 与 Scale AI 关系的调查记录了这种结构性安排：Meta 对 Scale AI 的 143 亿美元投资（2024 年 6 月）让 Meta 取得了 Scale AI 零工平台 Outlier 的运营控制权。数以万计的 Outlier 工作者被雇来手工抓取 Facebook 和 Instagram 用户资料、复制受版权保护的图片、转录露骨音频、按表观年龄给图片打标签。训练目标是 Meta 的 Muse Spark AI，已于 2026 年 4 月在 Meta 全线产品中公开发布。

从数据流的角度看，Meta 把对用户生成内容的宽泛读取权授予了 Scale AI，Outlier 的劳动力处理这些内容，而处理的产物成了 Meta AI 的训练数据。对应到 OAuth 的类比：Meta 是客户，Scale AI 是厂商，Outlier 的工作者是智能体。Scale AI 一旦被攻陷——不论来自内部人员行为、外部攻击者还是分包链条的松动——波及半径就是每一个内容进过 Outlier 工作队列的 Facebook 和 Instagram 用户。这些用户并没有同意让一整支劳动力访问自己的内容。工作者自身则主要靠保密协议来约束。《卫报》的报道指出了 Outlier 工作者描述的那几类在道德上尤其令人不安的任务：抓取个人资料、按姓名和地点给个人打标签、按表观年龄给图片排序、给未成年人打标签。

这套架构和 Context.ai 的攻陷半径是同一套，只是规模更大。Meta 是一个称职的安全组织；Scale AI 是一个跑得更快的组织。合起来的系统带有 AI 副驾模式那个具体的脆弱性：为了生产力或训练目的而对数据作出宽泛的访问授权，而受托处理方一旦被攻陷，攻陷就会顺着授权传播。

Salesforce 的类比

Salesforce 配置错误的时代（约 2023 至 2026 年）是 AI 副驾模式的成熟先例。客户企业按默认访问模式配置自己的 Salesforce 环境，制造出很大的攻击面。ShinyHunters 2026 年的攻击行动，已经在 McGraw Hill（1,350 万个账户）、思科（宣称 300 万条以上记录，涉及联邦人事数据）以及更多受害方那里收割了这些配置错误。这场行动更广的模式还包括 4 月 14 日的 Rockstar Games 攻陷事件（通过 SaaS 分析厂商 Anodot，其凭据让 ShinyHunters 进入了 Rockstar 的 Snowflake 数据仓库），以及 4 月 12 至 13 日的 Booking.com 预订数据暴露（通过对酒店合作方 Microsoft 365 账户的 ClickFix 钓鱼）。

Salesforce 时代大约用了三年才达到今天这样的攻击行动强度。AI 副驾时代来得更快。部署曲线更陡。安全水位的落差更大。攻陷传播的半径更宽，因为 AI 副驾平台通常会跨多个企业系统取得 OAuth 权限范围，而 Salesforce 的攻陷一般被限定在特定客户的 Salesforce 环境内。

Salesforce 这个类比有启发，但它低估了问题。AI 副驾模式在架构上更严重。

怀登的平行线

参议员罗恩·怀登（俄勒冈州民主党）在 4 月 17 日周五把一份包含三项论点、反对当前第 702 条重新授权的声明列入了参议院记录。三项论点中有两项在改革派联盟多年的辩论中已经耳熟。第三项是新的：反对 "feeding [collected data] into AI systems to conduct unprecedented mass surveillance"（把[收集到的数据]喂进 AI 系统，以实施前所未有的大规模监控）。这个具体措辞，把《涉外情报监视法》辩论自 2013 年以来处理的政府监控语境，与如今在规模上处理所收集通信的 AI 分析层连了起来。

这一模式的政府侧和商业侧在架构上是同构的。政府收集通信；把它们喂进承包商运营的 AI 分析（Palantir Gotham、Anduril、用于人脸数据的 Clearview AI、承包商为信号情报分析开发的专门 AI）；再从 AI 处理中得出推断和行动。企业客户授予 AI 副驾访问权；把企业通信与数据喂进厂商运营的 AI 处理；换来生产力收益，并在被攻陷时继承厂商的风险。

政府侧有一场法定的辩论。商业侧有 ShinyHunters 的勒索行动。怀登的院会发言把这个连接挑明了。架构上的缺口在两个方向上是一样的。监管框架对两者都没有全面覆盖。

防御性架构

针对 AI 副驾模式的防御性架构，安全研究界在 2026 年已经勾出了大致轮廓。它的组成部分：

自托管 AI 智能体。 把 AI 智能体基础设施跑在客户自己的环境里，可以消除厂商持有 OAuth 令牌这个攻击面。LangChain、LlamaIndex、Semantic Kernel 及同类框架都支持这样做。运维负担不小；多数企业出于便利仍偏好托管平台。

最小权限范围的 OAuth。 每一个 AI 副驾集成，只为其具体用例请求最小的 OAuth 权限范围。如果副驾只需要对近期 Slack 消息的临时读取权限，它就不该同时拥有写入权限或历史访问权限。实现这一点需要为每个集成单独定义权限范围；在多数平台上这不是默认行为。

逐操作认证。 AI 副驾工作流中的敏感操作，在最初的 OAuth 授权之外还需要额外认证。金融操作要交易签名，代码提交要证明，写入要用户明确批准。这会打破全自动副驾的叙事，但能大幅缩小波及半径。

持续可观测性。 安全团队观察 AI 智能体的活动：它们调用了哪些工具、访问了哪些数据、活动呈现出什么模式。与 SIEM/SOAR 工具的集成还处在萌芽期。成熟的可观测性只在资源充足的企业里才有。

基于可验证凭证的智能体身份。 智能体之间的密码学证明可以防止上下文注入攻击。原语是有的——W3C 可验证凭证、DID——并开始出现在企业试点中。生产部署仍属实验性质。

沙箱化执行。 AI 智能体运行在有明确数据边界的隔离计算环境中。类比是 2010 年代的浏览器沙箱。这需要平台厂商的配合；目前还不是标准做法。

联邦式 AI 智能体。 可由客户自行部署的开源智能体平台。采用规模不大，但在注重安全的企业中在增长。联邦式架构没有一个单一厂商，其被攻陷会跨客户级联。

每一个防御组件都针对某一个具体的攻击面要素。没有哪一个单独能解决问题。合起来，它们描述的是 AI 副驾部署本应具备、但在很大程度上并不具备的安全水位。

去中心化的替代方案

贯穿 URnetwork 编辑部报道的那个更宏观的架构替代方案，是去中心化技术栈——用户自持密钥的端到端加密、点对点传输、联邦式运营方、自托管基础设施、用户自持身份。就 AI 副驾这个具体问题而言，去中心化的替代方案意味着：AI 智能体运行在客户可控的基础设施上，智能体通过客户可以直接核验的密码学证明来认证，智能体之间通过联邦协议而不是厂商协调的平台来通信。

已经投入生产或接近生产使用的具体去中心化替代方案：

• 自托管 AI 编排。 LangChain、LlamaIndex、Semantic Kernel，配置为完全在客户环境中运行、使用本地模型。
• 开源 MCP 服务器。 经社区审计、可部署在客户基础设施上的 MCP 实现。
• 本地优先的 AI 应用。 运行在用户设备上的智能体（苹果的端侧 Siri、Ollama 的本地大模型托管、专门的本地优先工作流工具）。
• 联邦式 AI 网络（研究阶段）：多个组织的 AI 智能体通过标准化协议通信，并带有密码学的智能体身份。

这些都不是主流。企业采用仍是少数。2026 年绝大多数 AI 副驾部署仍跑在托管的厂商平台上——Context.ai、Cursor、Copilot、Gemini 智能体、Claude 的智能体 API、基于 MCP 的自定义集成——而它们被攻陷，正是那份星期一早上的心事。

星期一要求什么

企业对 Vercel 披露事件的应对：

• 盘点被授予企业数据 OAuth 权限范围的 AI 智能体平台。
• 复核现有集成的 OAuth 权限范围宽度；能收窄的就收窄。
• 对与 Context.ai 相邻的厂商有关系的服务，轮换认证令牌。
• 为 AI 智能体平台被攻陷的情形做事件响应准备。
• 与 AI 智能体平台厂商进行安全审计层面的对话，包括 SOC 2 Type II 状态、渗透测试历史、事件响应流程。

平台厂商（Google、微软、Slack、GitHub）的应对：

• 复核默认 OAuth 权限范围的粒度。
• 为应用开发者发布权限最小化指引。
• 考虑把有时限的令牌设为默认。
• 投入建设逐操作批准机制。

监管层面的应对：

• 目前没有专门的监管框架处理 AI 智能体平台的供应链风险。
• GDPR 及同类法规适用于经由 AI 智能体的用户数据处理，但并未专门处理平台层面的攻击面。
• 有可能在 2026 至 2028 年间形成框架。

用户层面的应对：

• 使用带 OAuth 集成的消费级 AI 智能体（Claude、Gemini、ChatGPT、Copilot）的用户，应检查已授予的权限范围并撤销不再使用的。
• 在重大泄露披露之后轮换凭据。
• 在可行处迁移到安全水位更高的服务。

这份星期一的审计工作量很大。多数企业不会完整地做完。架构会继续。攻陷模式会重复。下一起 AI 副驾入侵事件——在 2026 年第二或第三季度——从统计上看很可能发生在另一家厂商、通过另一条具体链条，但遵循同一个架构模式。

这一周的度量

你的 AI 副驾就是一条供应链。本周的新闻是 2026 年 4 月的这个数据点。Vercel 的披露是周日那个具体的锚。Azure MCP Server 的 CVE 是那个未打补丁的严重级别指标。Scale AI 的模式是训练数据层的延伸。ShinyHunters 针对 Salesforce 的行动是成熟的先例。

企业客户正在把宽泛的访问权授予那些他们无法审计其安全水位的 AI 副驾厂商。厂商被攻陷会顺着这份访问权级联下去。数据流经这条管道的用户，承担着最终的风险。架构上的回应是有的，但很慢。AI 副驾自身的部署并不慢；它在加速。差距在扩大。

过去三十年的每一波技术浪潮，都面对过部署与安全基线成熟度之间类似的差距。2002 至 2008 年的 Web 应用，催生了 SQL 注入和 XSS 的利用行动，在参数化查询和内容安全策略框架追上之前，已经攻陷了数亿条记录。2010 至 2014 年的云基础设施，催生了一系列数据暴露事件，把 CIS 基线和云安全工具产业推入存在。2012 至 2016 年的移动应用，催生了至今仍在进行的 API 安全辩论。

AI 副驾基础设施正处在同一个“部署快于安全”的早期阶段。攻陷行动已经在进行。防御性架构只被勾出了部分轮廓。部署曲线很陡。这个差距终会闭合——通过监管压力、厂商侧成熟、客户侧投入，以及若干迫使人们排定优先级的高调事件的某种组合。究竟由哪一种具体机制促成闭合，是 2027 至 2028 年的问题。

今天是 2026 年 4 月 20 日星期一。周六签署的那份 10 天《涉外情报监视法》补丁，和周日披露的那起 AI 智能体平台供应链攻陷事件，发生在同一周。这个周末教了我们两件具体的事：政府的监控架构有一个打补丁的均衡态，眼下是稳定的；企业的 AI 副驾架构有一个被攻陷的均衡态，眼下正在加速。用户同时经历这两者。

你的 AI 副驾就是一条供应链。这个观察不只对 Vercel 和 Context.ai 成立。它对当前部署在企业环境中的每一个 AI 副驾集成都成立。问题在于，架构上的回应会不会赶在攻陷周期到达其规模平台期之前到来。

这一周的度量，是那个答案的开局数据点。

纽约州 2026–2027 年预算提案的 C 部分（参议院 S.9005 号法案、众议院 A.10005 号法案）将要求在该州销售或交付的每一台 3D 打印机和每一台数控机床，都包含法条所称的 "blocking technology"（阻断技术）。法条对该术语作了定义：一种固件或软件，把每一个传入的打印文件与一套 "firearms blueprint detection algorithm"（枪支蓝图检测算法）比对，如果算法把它标记为枪支或枪支部件，就拒绝执行打印。该法案还要求任何被涵盖设备必须面对面销售——不得邮购或在线交付。它把持有或分享 "blocked design file"（被阻断的设计文件）定为重罪。

法案没有指定算法。它指定的是一项功能：扫描、比对、拒绝。实现被委托给商业厂商。四家主要的 3D 打印机固件提供方——Prusa、Creality、Bambu Lab、Anycubic——的固件运行在美国大多数消费级 3D 打印机上。目前没有一家提供枪支检测算法。每一家若要在纽约州销售，都得加上一个。特征库——即算法会标记哪些形状——将由取得州级认证的提供方维护，实际上就是两三家商业厂商，而它们的认证流程尚未定义。

电子前哨基金会在 2026 年 4 月发表了两篇反对 C 部分的文章："Stop New York's Attack on 3D Printing" 和 "Print Blocking Won't Work - Permission to Print Part 2"。一个开放固件联盟——Marlin、Klipper 和 RepRap 固件的维护者——针对该法案将要认证的那一类算法做了一次试点测试，测试对象是一批非武器打印件：更换用的门把手、建筑模型、手办、家用五金。试点公布的结果是：17% 的非武器打印件触发了算法。

制造工具上 17% 的误报率，不是一件麻烦事。它是一项设计属性。一个在罗切斯特打印橱柜搭扣的爱好者，一个在布法罗创客空间打印 40 个课堂零件的老师，一个在布鲁克林做风格化雕塑的艺术家——每一位在统计上都注定会遇到拒绝。算法无法把意图和图形区分开。算法拒绝的是形状。

加利福尼亚州有平行的立法。另有五个州有类似法案在流转。如果纽约州的 C 部分通过，它将是美国第一个在制造工具上强制实施设备层面内容拒绝的州。

这道阶梯

纽约州的 3D 打印机法案，是一场更广泛的架构转变中最锋利的单一条目。本周的隐私与网络自由新闻放在一起读，描述的是一道由国家强制的拒绝制度构成的阶梯：

说话的许可。 欧盟的聊天管控条例——即那部第三轮三方谈判于 4 月 17 日破裂的《儿童性虐待条例》——视 5 月 4 日的结果而定，将要求消息平台在发送前把每一条消息与一套检测特征比对。Signal 总裁 Meredith Whittaker、Tuta 的 Matthias Pfau、Proton 的 Andy Yen 以及 Threema，都已公开承诺宁可退出欧盟市场，也不实施客户端扫描。谷歌、Meta、微软和 Snap 则会遵守理事会、议会和委员会最终商定的任何制度。委员会已经向议会的立场靠拢——更窄的检测令，配上强制的年龄验证——并远离理事会早先那种强制扫描的立场。

看见的许可。 英国《在线安全法》的儿童访问评估截止日在 4 月 16 日到期。有 90 多项服务正接受 Ofcom 的正式调查。据估计，过去十二个月里有 600 万英国成年人在中介机构——Yoti、Persona、Verify 以及更小的厂商——完成了年龄验证流程，而这些机构按 6 至 24 个月的政策留存身份证件。澳大利亚的《社交媒体最低年龄法》于 2025 年 12 月 10 日生效。Facebook、Instagram、Snapchat、TikTok 和 YouTube 正接受 eSafety 的调查。76% 的 14 至 15 岁青少年表示自己绕过了禁令。Discord 把其全球年龄验证的推出推迟到了 2026 年下半年。谷歌的 AI 年龄验证仍在持续铺开。Reddit 对敏感版块要求年龄验证。每一套制度，都把验证经由某个汇集身份证件的中介来完成。

打印的许可。 纽约州的 C 部分。加利福尼亚州的平行立法。那 17% 的误报率。

触达的许可。 伊朗进入了有记录以来最长的全国性断网的第 51 天。国际连通性约为战前水平的 1%。因个人用途持有星链终端：6 个月至 2 年监禁。以 "with intent to confront the Islamic Republic"（意图对抗伊斯兰共和国）的目的使用，或用于间谍活动：处决。俄罗斯数字发展部距离 5 月 1 日生效的国际数据按 GB 计费还有十二天——每月超过 15 GB 的部分每 GB 收 150 卢布，在运营商网关处计费，通过用户的数字钱包扣款。中国的防火长城，这一类别中的元老，仍在运行。

解密的许可。 英国内政部对苹果发出的技术能力通知。2026 年安排了一场为期七天的调查权力法庭听证，审理内政部能否强制苹果保有让英国在全球范围内访问 iCloud 用户数据的技术能力。苹果已于 2025 年 2 月 21 日对英国用户撤下高级数据保护。怀登、沃伦和马基三位参议员曾要求在 2026 年 3 月 11 日前得到国家情报总监的通报。《CLOUD 法案》的美英双边协议明确排除了英国针对美国人的调取要求。技术能力通知这一机制在法律上是否绕开了这项排除，正是这场听证的核心问题。

五级阶梯。每一级都是一个具体的、由国家强制的时刻，在用户行动之前，某台设备、某项服务或某个基础设施要素先来请求许可。这个许可问题的答案，要对着一套特征库、一份年龄证明、一个地理位置、一项密码学能力规格来给出。如果答案是否，行动就不会发生。

从观察到拒绝

那个更早的监控模型，也就是主导了 2013 至 2020 年辩论的那个——棱镜、XKeyscore、斯诺登的披露——是观察。国安局收集元数据。Facebook 追踪行为。谷歌汇聚搜索。国家或商业运营方观察用户做了什么。有时这种观察被用在下游的执法中。有时它就躺在数据库里。用户在几乎所有情况下仍然行动了。行动被记录下来。记录之后被调取，或者没有。

正在浮现的模型是拒绝。设备、服务或基础设施在行动发生的那一刻介入。用户的打印没有打出来。用户的消息在发送前被标记。用户的账户在没有年龄证明的情况下无法访问内容。用户的手机在没有资费或断网豁免的情况下无法触达国际目的地。用户的加密在结构上可被强制解密。

这个转变是结构性的。观察在原则上还能与用户的自主性调和：用户行动了；行动的某种记录存在；这份记录是否被使用，取决于下游的考量。拒绝则完全消除了行动。用户没有行动，因为某个中间层被授权代表一项用户并未选择的政策去拒绝。

这个转变也更难被既有框架规制。观察产生的是关于令状、诉讼资格和数据汇聚的法律辩论。拒绝产生的是这样一些辩论：谁的算法获得认证，哪套特征库是权威的，误报率将如何被审计。这些问题是不同的。法律体系为观察时代发展出来的机制，并不完全适用。

2013 至 2020 年的隐私辩论聚焦于国家什么时候可以看。2026 年的辩论聚焦于设备什么时候可以拒绝为用户服务。

平常的防线

面对这道拒绝的阶梯，有五种架构上的回应——每一种都已经在某种规模上运行，每一种都是局部的，每一种都还有自己正在进行的发展。

不请求许可的设备。 其代码库拒绝实现纽约 C 部分特征扫描器的开放固件 3D 打印机。其设计不把许可请求路由经由国家认证中介的开源操作系统。不回传数据的自托管生产力软件。开放固件社区已经公开承诺不会发布 C 部分的扫描器。如果这项立法通过，纽约州的回应将检验持有不合规固件本身能否被入罪。

不能被强制的服务。 服务器无法读取明文的端到端加密消息服务。Signal 的协议。Tuta、Proton、Threema。一台被强制的服务器，交不出它在数学上就看不到的东西。对聊天管控的架构回答是：这项条例适用于其基础设施允许扫描的运营方；基础设施不允许扫描的运营方，要么退出，要么不予理会。

联邦式平台。 Mastodon、Bluesky 的 AT Protocol、Matrix、Nostr、Farcaster。没有单一运营方持有内容。国家监管机构可以够到一个运营方，却够不到整个网络。一个运营方被攻破，波及半径是有界的。实行联邦式内容治理的平台，可以在不破坏网络的前提下拒绝个别监管要求。

点对点传输。 WireGuard 的密码密钥路由。Tor 的洋葱路由。URnetwork 的住宅节点传输——消息在对等设备之间穿行，而不是走持牌运营商的设施。持牌运营商正是俄罗斯的资费、伊朗的断网和中国防火长城所依托的那个咽喉点。点对点传输不经过这个咽喉点——或者更准确地说，它在咽喉点处呈现的是一种不同的、更难归类的特征。

用户自持的身份。 由用户设备上的钱包给出的年龄零知识证明。eIDAS 2.0 下的欧盟数字身份钱包是领先的监管路径；生产部署在 2027 年。其架构主张是：用户持有的可验证凭证，保存在用户可控的钱包里，可以断言所需属性，而不需要某个中介留存底层证件。《在线安全法》这过去一年里的 600 万次英国验证，用的并不是这套架构；而这套架构是存在的，并在缓慢部署。

每一种回应都是局部的。每一种都面临监管压力。没有一种是对每一套拒绝制度的架构性答案。合在一起，它们勾勒出的，是一个逐个作出选择、不接受默认的用户可以采取的架构姿态。

周日早晨的读法

2026 年 4 月 19 日周日，一位在美国的用户，多半并不知道 C 部分的具体条款。他们大概也不知道聊天管控的第三轮三方谈判在周四破裂，不知道俄罗斯的资费在 5 月 1 日生效，不知道苹果的英国技术能力通知正在走向今年的一场法庭听证。在本周那一连串泄露通知之后，他们也许隐约感觉自己的数据“大概在某个地方摆着”——McGraw Hill 的 1,350 万、Rockstar Games 的 7,860 万、Booking.com 未具体说明的数百万、ChipSoft 的荷兰患者、Basic-Fit 的欧洲健身房会员。

用户没有任何单一行动可以化解这道阶梯。本周的新闻不是一个促成购买或改设置的提示。它是一份描述：描述用户的设备、服务和基础设施正日益被规制去拒绝的那个运行环境。用户的选择，在他们还有选择的限度内，是在接受默认与选择架构上的替代方案之间——用 Signal 发消息，用自托管的文件服务，用一台从外州买来的开放固件 3D 打印机，用一台支持网状网的设备做本地协同，用一个联邦式平台做公开表达，以及一批不断增加的、针对更具体关切的更专门的工具。

主流用户会继续接受默认。这是结构性的实情。主流架构——集中式平台、云服务、持牌运营商、被强制的扫描器与验证器——将继续是那道拒绝制度的阶梯所围绕设计的运行环境。而架构上的替代方案，仍然对那些选择它们的用户开放。

在这一周收尾之际，值得点名的具体转变是：这道监管的阶梯不再是理论上的了。纽约州的 C 部分已经在立法日程上。聊天管控 5 月 4 日的三方谈判会给出一个方向。苹果的技术能力通知听证已经排期。俄罗斯的资费即将生效。伊朗的第 52 天明天开始。每一级都有一个具体日期。每一级都有一套具体的运行机制。每一级都有一个用户只要愿意就可以选择的具体架构替代方案。

观察时代关心的是国家能看到什么。拒绝时代关心的是用户还能做什么。转变正在进行。架构上的回应，是那个已经建设了十年的东西——比监管辩论安静，其增长指标还远远够不上主流，但对愿意选择的用户是可用的。

这一周让什么变得可见

纽约州预算的 C 部分是周日早晨那个具体的条目。17% 的误报率是那个人机工程学事实。特征库的集中是那个架构事实。持有被阻断的设计文件面临重罪威胁，是那个公民自由事实。电子前哨基金会的反对是倡导层面的回应。开放固件社区承诺不予实现，是架构层面的回应。

聊天管控第三轮三方谈判的破裂、英国《在线安全法》的 600 万次验证、伊朗的第 51 天、俄罗斯 5 月 1 日的倒计时、苹果英国技术能力通知的推进、Discord 推迟的全球年龄验证、谷歌的 AI 年龄验证、澳大利亚 eSafety 待定的执法、McGraw Hill 与 Rockstar Games 与 Booking.com 与 ChipSoft 的泄露事件、Meta 的 Scale AI Outlier 曝光、LockBit 5.0 的顽固存在、Grinex 声称被国家背景攻击——每一条都是本周新闻中的一个具体条目。每一条要么落在这道阶梯上，要么落进那条与拒绝供应链并行的数据提取供应链里。

本周的新闻整体来看，就是拒绝时代的运行实况。用户处在这些拒绝与提取的接收端。架构上的替代方案是真实且可用的。在还有选择的地方，选择权属于用户。而不论这个选择作不作，拒绝时代都会继续。

C 部分会通过或不通过。如果通过，纽约的 3D 打印社区就得应付那 17% 的误报率、面对面销售的要求、重罪的威胁。如果不通过，C 部分会在未来某个预算周期或某部后续法案中回来。加利福尼亚州会采取自己的行动。其他州会看着。

这道阶梯不会消失。它的每一级正在被填满。在用户意图的行动与实际发生的行动之间的某个环节上，用户的设备正在向一项用户并未选择的政策请求许可。

架构上的回应，是那些不请求许可的设备、服务与基础设施。它们的部署很慢。它们的可用性是真实的。本周的新闻已经一级一级地让人看见，它们是对什么的替代。

在德黑兰，2026 年 4 月的一个星期六早晨，是从“今天是不是互联网回来的那一天”这个问题开始的。自 2 月 28 日伊朗电信运营商把境外 ASN 骨干网零路由以来，已经过去四十九天。NetBlocks 今天清晨确认了第五十天：1,176 小时，有记录以来最长的一次全国性断网。德黑兰一位硬件进口商上一次联系上他在深圳的供应商，是在 2 月的最后一天。谢里夫大学的一位医学研究者已经五十天没读到境外托管的期刊。汉堡的一个伊朗侨民家庭没能和祖母视频通话。最高国家安全委员会的一个委员会下周将开会，决定是否再把四家企业加入 "pro internet"（亲互联网）白名单。等待这个决定的人，没有一个选出过这个委员会。

在莫斯科，一个星期六早晨是一场十二天的倒计时。5 月 1 日起，凡是经俄罗斯运营商路由、每月超过 15 GB 的国际互联网数据，都要按每 GB 150 卢布——约合 1.80 美元——计费。无论这些流量是漫游数据、经 VPN 路由，还是穿过持牌运营商层的任何其他路径，该资费一律适用。数字发展部在 3 月公布了这套方案。一位莫斯科商务旅客与境外云服务商之间的邮件同步，一旦计数越过阈值就会开始产生费用。一位旅居国外的俄罗斯人打给家人的电话，在 Telegram 上早已被限速、在 WhatsApp 上则已被封锁；这项资费再加上一层。该部门没有问过用户。

在布鲁塞尔，一个星期六早晨夹在两轮三方会谈之间。关于“聊天管控 2.0”（Chat Control 2.0）——即《儿童性虐待条例》——的第三轮三方会谈于星期四结束，未能就是否强制要求客户端扫描达成一致。第四轮三方会谈定在 5 月 4 日。政治协议的目标时点是 7 月。Signal 总裁 Meredith Whittaker 已公开表示，Signal 宁可退出欧盟市场，也不会实施客户端扫描。Tuta、Proton 和 Threema 也是同样的表态。欧盟理事会、议会和委员会是会议室里的三方。而这项条例将要治理其消息通信的 4.5 亿欧盟用户，不在场。

在华盛顿，一个星期六早晨是一场十二天的倒计时。参议院在星期五下午以口头表决方式、在远不到三十秒的时间里，确认了众议院于凌晨 2:09 通过的一致同意决议，把《涉外情报监视法》第 702 条延长至 4 月 30 日。白宫想要的那份干净的十八个月重新授权已经死了。改革联盟想要的搜查令要求修正案则被裁定不合程序。这项授权在延续；联邦调查局在 RISAA 的行政管控下继续检索 702 数据库；涉外情报监视法院 2025 年 4 月的反毒品认证继续为芬太尼供应链的情报搜集提供授权。没有哪一个通信被收进这个数据库的美国人，为这次打补丁投过票。

在鹿特丹，一个星期六早晨是一种等待的状态。荷兰电子健康档案厂商 ChipSoft——其 HiX 平台服务于荷兰 76% 的急症医院——在 4 月 15 日星期三确认，无法排除患者档案在 4 月 7 日开始的勒索软件入侵中被访问。鹿特丹 Franciscus Gasthuis 与多德雷赫特 Albert Schweitzer Ziekenhuis 是把 HiX 从各自网络中断开的十一家医院中的两家。欧洲最大的连锁健身房 Basic-Fit 于 4 月 13 日披露，六个欧盟国家的 100 万名会员的姓名、电子邮箱、住址、电话号码、出生日期和银行账号被窃。两起入侵均无勒索软件团伙宣称负责。数据如今落入他人之手的这 120 万欧洲人，并没有选择那种使泄露成为可能的集中化。

在伦敦，一个星期六早晨是 Ofcom 依《网络安全法》所设 4 月 16 日儿童访问评估期限的次日。九十余项服务正在接受正式调查。过去十二个月里，约七分之一的英国成年人完成过一次年龄验证流程——大约 600 万次验证。Yoti、Persona、Verify 以及若干规模较小的中介机构，如今持有相当一部分英国常住成年人的身份证件图像。一位英国 Reddit 用户在星期二为查看一个敏感版块而验证了年龄；他的护照图像按十二个月的留存政策保存在 Persona 的服务器上。这位用户并没有设计这套中介生态。

在悉尼，一个星期六早晨是主要社交媒体平台法定 16 岁以下禁令实施的第四个月。Facebook、Instagram、Snapchat、TikTok 和 YouTube 正在接受电子安全专员 Julie Inman Grant 的正式调查。3 月 20 日的合规报告记录了系统性缺口：平台鼓励未达年龄的用户通过低置信度手段“纠正”年龄估算；允许用同一种验证方式反复重试；人脸估算在 16/17 岁的分界处并不准确。澳大利亚青少年已经迁往 Discord、Roblox、Telegram。报告称自己已绕过年龄限制的那 76% 的十四至十五岁少年，没有为这部法律投过票。

七座城市。七只时钟。没有一只是由这些时钟所指向的用户设定的。

共同的结构性属性

这七只时钟横跨不同的政策领域、不同的司法辖区、不同的时间尺度。它们共有一个结构性属性：在每一个案例里，都是某个权威机构对着某个商业或政府运营者拉动一根杠杆，从而对一群用户产生效果，而用户在这场拉杠杆的过程中没有任何地位。

伊朗的运营商遵从最高国家安全委员会的指令。SNSC 是权威机构；运营商是运营者；伊朗互联网用户是受影响群体。这一群体既不能选举 SNSC，也无法对其决定提出申诉。

俄罗斯移动运营商执行数字发展部的资费方案。该部是权威机构；运营商是运营者；需要国际数据的俄罗斯公民是受影响群体。这一群体既未被征询，也无从申诉。

欧盟理事会、议会和委员会构成三方会谈的权威一方；主要平台（Meta、Google、Microsoft、Snap）和端到端加密平台（Signal、Tuta、Proton、Threema）是运营者；4.5 亿欧盟用户是受影响群体。

美国国会与行政当局是权威机构；美国的运营商、云服务商和电子邮件服务商是运营者；通信要穿过这些基础设施的美国人是受影响群体。

ChipSoft 及其保险承保方、荷兰数据保护局、荷兰医疗行业构成权威的结合点；ChipSoft 是运营者；十一家医院的患者群体是受影响的一方。Basic-Fit 公司层面、保险方以及六个国家的数据保护机构构成权威结合点；Basic-Fit 是运营者；100 万名会员是受影响群体。

Ofcom 是权威机构；平台和验证中介是运营者；英国互联网用户是受影响群体。

电子安全专员 Inman Grant 是权威机构；五大平台是运营者；每一位澳大利亚互联网用户都是受影响群体——青少年直接受影响，成年人则通过验证摩擦间接受影响。

每一个的形状都一样。用户永远是受影响群体。用户从来不是权威机构。在每一个案例里，用户所处的位置，就是运营者所运行的那层底座。

为什么这些权威机构的利益抵达不了用户的同意

为每一个权威机构的立场做最强解读是可能的，而且这很重要。

伊朗政府是在 2 月 28 日美以两国对纳坦兹、福尔多和阿拉克发动打击之后的战时状态下行事的。其宣称的理由——反间谍、防止外国与境内行为体协同——在一般意义上是一项正当的国家利益。断网持续五十天，以及它向许可制的转变，使这份必要性主张更难被照单全收，但即便这一行使是不合比例的，权威本身仍是正当的。

俄罗斯政府有一套自洽的数字主权立场。降低对外国平台的依赖是可以辩护的；把政府服务集中到单一应用里具有运作效率。缺少加密、以及在国家控制的基础设施上进行汇聚，是隐私上的伤害，但这一权威——在俄罗斯的框架下是经选举的、有法定依据的、合宪的——是正当的。

欧盟理事会、议会和委员会是民主构成的。“聊天管控”条例针对的是一个严重且有充分记录的问题（网络儿童性虐待素材）。侦测令这一机制存在争议，但底层的政策目标是正当的，政策过程是民主的。

美国国会与行政当局对国家安全类授权具有宪法地位。第 702 条针对的是涉外情报搜集，一项正当的国家职能。它与第四修正案保护之间的张力，正是 Wyden–Lee–Lummis–Warren 改革联盟论证的核心，但底层的权威是正当的。

荷兰和欧盟的数据保护框架、英国 Ofcom、澳大利亚电子安全机构，都是民主设立、拥有明确法定职权的监管者。它们的介入并非恣意。

然而在每一个案例里，这个正当的权威所作用的那个运营者，并不是用户自己选择接受为其通信、档案或流量之运营者的。那位荷兰患者并没有选择让自己的病历集中在 ChipSoft。那位英国 Reddit 用户并没有选择让 Persona 把她护照的图像保存十二个月。那位澳大利亚少年并没有选择让自己的年龄验证尝试，由平台选定的人脸估算供应商来把关。权威所推定的那份同意，是穿过运营者的，而不是穿过用户的。

权威是正当的。运营者是正当的。而从用户到运营者再到权威的这条同意链条，是一件架构上的副产品，不是一份自由给出的许可。这正是本周这些期限所暴露的东西。

什么样的架构会改变这个问题

一个用户，如果其通信、档案、身份和流量并不依赖于某个可被强制的商业运营者，那么某个只能对可被强制之运营者拉动杠杆的权威，就无法对他发号施令。眼下这种模式的架构性替代方案，正是每一场改革对话——一个候选方案接一个候选方案，一周接一周——都在暗指却未点名的那个东西。

用户自持密钥的端到端密码学。 Signal 的协议是商业规模上的范例：密钥在用户设备上生成，内容用这些密钥加密，运营者手里只有它解不开的密文。苹果的“高级数据保护”对 iCloud 而言曾是类似的设计；英国依《调查权力法》发出的技术能力通知，正是专门针对这一架构，以在全球范围内强制运营者托管密钥。

点对点传输。 流量在同伴的设备之间路由，而不是穿过持牌运营商的设施。作为协议的 WireGuard、作为网络的 Tor 洋葱路由、作为活跃对等中继织物的 URnetwork 住宅节点传输、作为网状消息底座的 Briar 与 Session。每一个都是对同一个架构问题的部分回答：通信能不能绕开那个持牌运营商咽喉点——俄罗斯的资费、伊朗的断网、中国的过滤，以及符合 CALEA 的美国电信，都依赖于它。

联邦式审核与联邦式存储。 内容审核由用户本人、或由用户选定的审核者来决定，分散在一群规模较小的运营者组成的联邦中，而不是集中在单一的守门平台。Matrix 联邦、Bluesky 的 PDS 模型、Mastodon、联邦式 Nextcloud 实例。每一个都分散了杠杆的触及范围：权威可以对某一个运营者施力，却对不上整个底座。

通过可验证凭证实现的用户自持身份。 保存在用户控制的钱包中的密码学断言，通过零知识证明选择性披露，从而在不暴露底层证件的前提下验证某项属性（年满 16 岁、年满 18 岁、持有执照）。eIDAS 2.0 之下的欧盟数字身份钱包是领先的监管路径；关于零知识年龄证明的学术研究自 2023 年以来已趋成熟。

去中心化的厂商架构。 健康档案由患者本人持有，或分散在多个独立运营的托管方手中（欧盟资助的 InteropEHRate 项目；荷兰的 Nuts 点对点患者认证）。消费者身份按服务分别持有，或分散于用户钱包，而不是集中在运营者的数据库里。

今天，这些方案没有一个能整体取代现有架构。每一个都只是缩小了针对它的那根特定杠杆的攻击面。去中心化是一个比“解决一切”窄得多的主张。它是关于特定底座之结构性属性的主张：一个不呈现可强制中心的底座，就不呈现杠杆；而一根拉不动的杠杆，产生不了用户不曾同意的期限。

这一周实际付出的代价

本周七座城市的伤害合计：

• 伊朗，第 50 天： 直接与间接经济损失约 18 亿至 20 亿美元；数以万计的企业经营退化或关门；8,500 万公民无法接入外部互联网。
• 俄罗斯，5 月 1 日倒计时： 约 3,000 万用户被夹在一个没有加密的国家级消息应用、一个上线时搞垮了本国主要银行的 VPN 过滤器，以及一项会把国际数据推到商务旅客、侨民和有亲属在海外的少数族群负担不起的价位的资费之间。
• 布鲁塞尔，5 月 4 日倒计时： 4.5 亿欧盟用户处于不确定之中——他们的消息应用究竟会被强制扫描私人通信，还是会退出市场。
• 华盛顿，4 月 30 日倒计时： 一整套监视授权将至少再原封不动地延续十二天，而在期限之前没有任何通往改革的结构性路径。
• 鹿特丹，进行中： 荷兰相当一部分急症患者的数据可能已经泄露；十一家医院在用手工流程运转；100 万名健身房会员的银行账号被窃。
• 伦敦，期限之后： 600 万份身份证件图像汇聚在四家中介运营者手里，目前尚未发生大规模泄露，但这是一种按概率终将产生泄露的结构性集中。
• 悉尼，实施四个月： 主流平台上 16 岁以下账号减少 22%–42%，并伴随向监管更松的替代品的迁移；76% 的青少年报告自己已经绕过。

七座城市份量的具体伤害，由一些正当性并非问题所在的权威机构造成，作用在无法拒绝这些杠杆的运营者身上，最终落在那些在拉杠杆过程中毫无地位的用户身上。

下一只时钟

下一只时钟这个周末就开始走。布鲁塞尔的三方会谈是 5 月 4 日；俄罗斯的资费是 5 月 1 日；华盛顿的第 702 条日落是 4 月 30 日；伦敦的年龄保障调查将在整个夏天陆续产出执法决定；悉尼的执法决定在 2026 年年中；伊朗下一次 SNSC 白名单会议就在未来一周；鹿特丹的数据保护局报告在 5 月截止。每一个都是一个期限。每一个都由一个不曾问过用户的权威设定。每一个都将作用在一个用户不曾设计的运营者身上。

产生这种模式的那套架构，正是本周每一场政策辩论都视为既定前提的架构。架构性的替代方案——端到端密码学、点对点传输、联邦式审核、用户自持身份、分布式厂商生态——是可得的、已部分部署的、在增长的，也还不是主流。Tor 的网桥使用量同比上升 42%。WireGuard 在消费级 VPN 中已是 94% 的事实标准。Signal 有 6,000 万月活跃用户。URnetwork 的住宅节点传输在 2026 年上升 37%。每一项指标都是一步。没有一项是那个转折。

本周这些期限所揭示的是：现有架构生产出的政策辩论，主题是哪个权威有权拉哪根杠杆。用户是辩论的对象，不是辩论的一方。用户能否成为一方，需要一种不同的架构。而那种架构，是另一套技术栈里缓慢、安静、缺乏资金的工作——它一个期限接一个期限、一周接一周地，变得越来越难以忽视。

下一只时钟星期一开始走。德黑兰的用户、莫斯科的用户、布鲁塞尔的用户、华盛顿的用户、鹿特丹的用户、伦敦的用户、悉尼的用户——每一个人醒来时，都会面对一场在别处设定的倒计时。他们没有一个人在桌边。架构就是原因。

书记员宣读决议时，众议院议长 Mike Johnson 就在主席台上。《涉外情报监视法》第 702 条将从 4 月 20 日延长到 2026 年 4 月 30 日——一份十天的补丁。没有修正案。没有记名表决。在 4 月 17 日星期五凌晨 2:09 还留在议场里的那部分议员，以一致同意的方式通过了它。整件事花了不到一分钟。

四个小时之前，关于一份十八个月重新授权的三次连续程序性表决都失败了。二十名共和党议员——议场记录中未具名，但领导层清楚是谁——拒绝在没有一项修正案的情况下推进这项规则，那项修正案要求联邦调查局检索涉及美国人的 702 数据时必须先取得搜查令。白宫高级顾问 Stephen Miller 花了一整周在共和党党团里做工作。中央情报局局长 John Ratcliffe 就行政当局所称的持续性涉外情报依赖，向参议员们做了闭门简报。没有一样奏效。唯一能在不进行记名表决、又不让搜查令要求修正案进入程序的情况下通过议场的载体，就是这份十天的补丁。

前一天，国会进步派党团投票决定，约束其 98 名众议院成员反对任何不含“重大改革”的重新授权。这是该党团首次就一项监视授权采取具约束力的议场立场。俄勒冈州参议员 Ron Wyden 和犹他州参议员 Mike Lee 已于 3 月 12 日提出改革载体 S.4082，联署人包括怀俄明州参议员 Cynthia Lummis 和马萨诸塞州参议员 Elizabeth Warren。众议院的对应法案由众议员 Warren Davidson 和 Zoe Lofgren 领衔，众议员 Sara Jacobs 和 Pramila Jayapal 参与。这个联盟一头是自由意志主义右翼，一头是进步派左翼，而在一个十八个月的周期里，它们在其他任何地方都没有交集。

这份补丁并没有解决它所替代的那场辩论。它只是把辩论挪了个位置。新的期限是 4 月 30 日。

本周补丁在层层堆叠

这份十天的延期不是本周唯一宣布的紧急续期。同一份日历上还有另外六件上了新闻。

4 月 14 日星期二，微软为其 4 月的补丁星期二发布了 167 个补丁——公司历史上第二大的一次。两个零日。八个关键级 CVE。CISA 把 CVE-2026-32201——一个正在野外被主动利用的 SharePoint 欺骗漏洞——加入其已知被利用漏洞目录。联邦民事机构必须在 4 月 28 日之前完成整改。在同一份日历上，CISA 还加入了 CVE-2026-34197，一个 Apache ActiveMQ 远程代码执行缺陷；在 Fortinet FortiGuard Labs 观察到利用尝试于 4 月 14 日达到峰值之前，它已在这个消息代理里存在了十三年。Apache 的补丁于 3 月 30 日随 6.2.3 和 5.19.4 版本发布。ShadowServer 追踪到全球有 7,500 台暴露在外的 ActiveMQ 服务器。CISA 的执法触及范围约为 101 家 FCEB 机构。其余大约 7,400 台服务器落在这道具约束力的指令之外。

4 月 15 日星期三，俄罗斯数字发展部的一个期限开始生效。Yandex、VK、Sberbank、Ozon、Lamoda、Wildberries 等平台开始封锁被检测为使用 VPN 的用户。执行的大棒是取消 IT 税收优惠，以及那份允许在俄罗斯联邦境内运营的网站“白名单”。部长 Maksut Shadayev 是在 3 月 30 日与二十多家公司代表的一次非公开会议上下达这一指示的。十二天前，同一套过滤基础设施的初版曾错误地把 Sberbank、VTB 和 T-Bank 的 IP 地址列为目标——同时搞垮了这三家的支付系统。莫斯科各处终端的刷卡支付失败。ATM 黑屏。莫斯科地铁打开闸机不收费。一家地方动物园要求只收现金入场。Telegram 创始人 Pavel Durov 公开表示，这次故障是 VPN 过滤器造成的。俄罗斯针对国际移动数据的过滤期限是 5 月 1 日：经 VPN 路由、每月超过 15 GB 的部分，每 GB 150 卢布，约合 1.80 美元。

4 月 16 日星期四，欧洲议会、欧盟理事会和欧盟委员会召开了关于“聊天管控 2.0”的第三轮三方会谈——这项《儿童性虐待条例》将授权对端到端加密的消息服务进行强制扫描。那项允许大平台为查找 CSAM 而扫描私人消息的自愿性豁免，已于 4 月 3 日在议会否决第二次延期后失效。Google、Meta、Microsoft 和 Snap 宣布，无论如何它们都将依据其他法律依据继续扫描。欧洲人权法院曾在 2024 年的 Podchasov v. Russia 案中裁定，普遍削弱安全的端到端加密违反《公约》第 8 条。4 月 16 日至 17 日的这轮三方会谈，是要设法把这一先例与理事会的立场调和起来。下一轮定在 5 月 11 日，再下一轮定在 6 月 29 日。目标是在 7 月通过。

本周的星期二和星期三，伊朗进入了自 2 月 28 日以色列与美国的打击开始的全国性断网的第四十七天和第四十八天。断网已超过 1,128 小时。NetBlocks 测得的连通性约为平常流量的百分之四——有记录以来最长的一次全国性断网。追踪此次断网的经济学家 Afshin Kolahi 估计，对伊朗经济的直接损失为每天 3,000 万至 4,000 万美元，间接损失更接近每天 7,000 万至 8,000 万美元。至今总成本：约 18 亿美元。Bloomberg 于 4 月 14 日报道，伊朗已开始提供一种企业可以申请的 "pro internet"（亲互联网）套餐——一种以最高国家安全委员会批准为条件的有限度重新开放。4 月 12 日，官员们表示全面恢复没有时间表。

4 月 15 日星期三，荷兰新闻媒体 NL Times 证实了 ChipSoft 暗示了一周的事情：在 4 月 7 日开始的针对 HiX 电子健康档案平台的勒索软件攻击中，患者数据可能已经泄露。ChipSoft 服务于荷兰约 76% 的急症医院。该勒索软件迫使 Zorgportaal（患者门户）、HiX Mobile（医护移动端访问）和 Zorgplatform（跨院数据交换层）关停。十一家医院断开了自己的系统。HIX365 用户——约十五家医院，包括鹿特丹的 Franciscus Gasthuis 和多德雷赫特的 Albert Schweitzer——被建议向荷兰数据保护局提交数据泄露报告。没有勒索软件团伙宣称负责；没有攻击者被指认。截至 4 月 15 日的确认，该公司表示它“不能排除”患者数据已被访问。

而在得克萨斯州一起本周浮出水面的刑事案件的证据开示文件中，联邦调查局从一部 iPhone 的内部通知存储里恢复出了 Signal 消息的片段——而且是在 Signal 应用已被删除之后。这些消息不是从 Signal 的加密数据库中提取的。它们提取自 iOS 的通知缓存：一个由 CoreDuet 框架使用的 SQLite 数据库，在应用被卸载后依然留存，并且在常见配置下会被包含进 iCloud 备份。Signal 的密码学自始至终没有失守。明文是在操作系统的通知层被捕获的，位于解密的下游，也就是 iOS 把推送通知渲染到锁屏的那一点。提取使用了 Cellebrite Premium。它不需要破解设备密码；它只需要设备处于首次解锁之后的状态。新闻自由基金会更新了其 2026 年 4 月的指引，建议记者关闭通知预览、关闭 iOS 通知历史、并为 Signal 关闭 iCloud 备份。iOS 开箱即用的默认配置，如今被视为不足以保护消息源。

这些补丁的共同点

这七项续期——第 702 条的补丁、俄罗斯的过滤执行、聊天管控三方会谈、伊朗断网、ChipSoft 泄露、ActiveMQ/SharePoint 整改、Signal 恢复——描述的不是同一项政策，也不是同一片地理。它们描述的是同一个底座。

第 702 条之所以奏效，是因为美国的电子通信服务提供商——电信商、邮件服务商、云服务——可被强制。该法条指示它们交出目标对象的通信。联邦调查局所检索的数据库存放在它们的服务器上。改革法案和反对意见都预设了这种可被强制的服务商模型。辩论的内容是何时以及如何检索它。辩论的内容不是究竟是否存在一个可供检索的中心存储。这个存储是存在的。

俄罗斯的过滤之所以奏效，是因为 Yandex、VK、Sberbank、Ozon、Lamoda 和 Wildberries 都在俄罗斯的牌照制度下运营。数字发展部不需要够到用户。它够到平台就行。4 月 3 日的银行故障是同一套架构指错了目标：过滤器运行了，过滤规则生效了，过滤器阻断了。银行只是被错误地列在名单上。那位在 Sberbank 终端刷卡失败的用户并没有被强制。被强制的是银行。

“聊天管控”预设 Meta、Google、Microsoft 和 Snap 会实施该条例所要求的东西。4 月 3 日到期的那套自愿性制度预设的是同一件事。这些平台之所以在 4 月 4 日宣布将继续扫描，唯一的原因是相关基础设施已经部署到位，而它们现在援引的法律依据是对那份已失效依据的一个替代。这轮三方会谈正在谈判的，是一部将对所有服务商强制要求的法规——要求它们去做 Google 和 Meta 已经自愿选择继续做的事。侦测的架构早已就位于服务器端。

伊朗的断网运作在运营商牌照这一层。国家不需要拦截每一位用户的流量。它指示运营商。运营商照办。这四十八天的断网不是一项技术成就；它是一项行政成就。Bloomberg 在 4 月 14 日报道的那份有限度的 "pro internet" 套餐，是同一根杠杆反向操作。一部分企业用户获得了接入。这套牌照体系带着一个选择器。

ChipSoft 就是荷兰患者档案的那个选择器。全国 76% 的急症电子健康档案流经它的 HiX 平台。谁握住 ChipSoft，谁就握住了这个国家的患者档案底座。那种让一位从 Albert Schweitzer 转院到 Franciscus Gasthuis 的患者能带着自己的病历抵达的互操作性，正是让攻击者在 4 月 7 日够到十一家医院、并让患者数据问题到 4 月 15 日蔓延到另外十五家医院的那种互操作性。集中化就是效率。集中化同时也是一个勒索软件运营者可以撬动的单位。

Apache ActiveMQ 是银行、电信商和政府机构用来在内部系统之间搬运交易的企业级消息代理。CVE-2026-34197 已经可被利用了十三年。Microsoft SharePoint 是联邦民事机构、国防承包商以及州和地方政府用于文档存储的企业协作层。截至 4 月 14 日，CVE-2026-32201 正在被主动利用。ShadowServer 追踪到的那 7,500 台 ActiveMQ 服务器，以及 FCEB 够不着的那些 SharePoint 服务器，正是 CISA 无法约束的那部分底座。它们也是攻击者会最先够到的那部分。

联邦调查局在得克萨斯州的这次 Signal 恢复，并不是说 Signal 被攻破了。它说的是：Signal 的加密终止于操作系统层；操作系统层为了显示而缓存了解密后的明文；这个缓存是持久的、可被取证访问的；而对手不必击败密码学就能恢复明文。这个架构三明治是：受保护的传输、不受保护的端点通知、以及可选的不受保护的备份。三层。其中两层不在 Signal 的掌控之内。

第 702 条辩论、俄罗斯过滤、聊天管控三方会谈、伊朗断网、ChipSoft 勒索软件、CISA 补丁日历、以及 Signal 通知缓存，加在一起，产生了本周大部分的隐私头条。共同的那个词是期限。国会的。部委的。监管的。取证的。共同的主语，是一个第三方代替那些不曾被问过的用户所控制的基础设施。

这些补丁的不同点

利害并不等同。一份为期十天的第 702 条补丁，若最终导向对联邦调查局检索美国人数据的搜查令要求，与最终导向一份干净的十八个月重新授权，是不同的结果。一个在 4 月 15 日封锁社交媒体访问的俄罗斯 VPN 过滤器，与一个在 5 月 1 日对国际数据按 GB 收费的过滤器，是不同的结果——而与 4 月 3 日把 Sberbank 支付通道打趴下的那个过滤器，又是另一种不同的结果。一部授权客户端扫描的欧盟聊天管控条例，与一部要求服务器端扫描的条例，是不同的结果，与一部两者都禁止的条例，又是不同的结果。伊朗断网的第四十八天不是 ChipSoft 的第十一家医院，也不是 SharePoint 的零日。这些不是同一件事，而把它们读成同一件事的文章是错的。

架构是同一个。架构才是它们的共同点。它们每一个都跑在一个中心化运营、持牌、可指名、可被强制的底座上——一家运营商、一个平台、一个厂商、一朵云、一个操作系统。它们每一个都产生一个期限：必须有人在某处、在某个日期之前决定，要拿这个底座做什么、或者对它做什么。而这个期限，是由对运营者拥有管辖地位的那个权威设定的，不是由其数据、流量、档案或消息处在争议中的那位用户设定的。

一种去中心化的替代方案不是理论构造。它已部分部署。Signal 的密码学本身就是一例。Tor 的洋葱路由是另一例。Briar 的点对点网状网络。Matrix 的联邦式家庭服务器。WireGuard 的密钥路由。URnetwork 的住宅节点传输——消息在那里穿过同伴的设备，而不是运营商的设施。这些东西没有哪一个单独就能阻止一个 SharePoint CVE。它们没有哪一个单独就能阻止俄罗斯的过滤器封锁一个俄罗斯平台。它们没有哪一个能阻止伊朗国家命令其运营商把整个国家关掉。它们所能阻止的，是这个底座的失效模式波及那些并不穿过这个底座的流量。这是一个比“去中心化解决一切”窄得多的主张。它也正是本周头条所支持的那个具体主张。

下一个期限

除非国会再次延长，第 702 条将在 4 月 30 日到期。到那时 GSRA 在两院都不会完成委员会审议；共和党的抵制者仍会要求他们的修正案；白宫仍会推动一份干净的延期；进步派党团仍会约束它那九十八人。俄罗斯 5 月 1 日的国际数据资费也在那时生效。CISA 的 ActiveMQ 和 SharePoint KEV 期限落在同一周。欧盟下一轮聊天管控三方会谈是 5 月 11 日。伊朗的互联网到 4 月 30 日将是第六十一天。ChipSoft 的取证测绘仍在进行中。Signal 的 iOS 通知缓存问题，在 iOS 的设计里仍未解决。这些补丁将两层叠加在一个从未被问过是否愿意待在这里的底座上。

凌晨 2:09 那次表决所宣布的，不是一项立法结果。它是一次日历上的位移。故事是那套架构——它的运转如今在一周之内产生了七项时间线相互重叠的、彼此不同的紧急续期。故事是这套架构让生活和工作在其中的人付出了什么——被暂停的医院诊疗、失败的零售支付、被拉黑的消息通信、一条比发出它的应用活得更久的锁屏预览，以及一份将因默认而发生的重新授权，因为那个改革载体来不及通过程序关卡。

下一只时钟在 5 月 1 日开始走。它不会是最后一只。

4 月 20 日星期一美国东部时间 23:59，《涉外情报监视法》第 702 条将不再是法律，除非国会有所动作。4 月 22 日星期三，中国电信发行的、覆盖范围尚未确定的一批 SIM 卡将停止支持国际漫游服务；依据是一条外泄的短信，以及一份陕西电信的内部指令，该指令要求基础设施运营者“消除任何形式的翻墙业务”。4 月 28 日星期二，联邦民事行政部门机构必须完成对 CVE-2026-32201 的整改——这是微软昨天披露、并由网络安全和基础设施安全局在同一天加入其已知被利用漏洞目录的、正在被主动利用的 SharePoint 欺骗漏洞。

五天。七天。十三天。三个期限，由三个不同的权威、依据三套不同的法律体系设定。它们没有协调。它们描述的不是同一件事。但这一周，多年来第一次，它们描述的是同一个问题。

这个问题是：当拥有一套中心化通信或档案基础设施的那个权威改变主意、要拿它做别的事情时，会发生什么。第 702 条是为涉外情报而建的。联邦调查局如今为国内调查而检索它。中国的运营商牌照体系是为把中国公民接入全球互联网而建的。北京的监管者如今用它在运营商层切断这一连接。Microsoft SharePoint 是为托管协作文档而建的。它眼下正跑在一些未经身份验证的攻击者就能够到的企业网络上，而联邦民事部门只有不到两周时间把这条通路关上，否则一份事件报告就会变成一份入侵通知。

今天这一期覆盖这三个期限以及围绕它们的事件——今晚帕萨迪纳的审计听证会、第四巡回上诉法院 4 月 10 日撤销 DOGE/SSA 禁令、卫生与公众服务部 4 月 9 日承认它违反一项联邦法院命令、向移民与海关执法局分享了一份“大而复杂”的医疗补助数据集、田纳西州参议院昨天以 24 比 7 通过的患者上报登记册，以及弗吉尼亚州星期一两党共同签署的位置数据销售禁令。七天里七件彼此独立的新闻。底下是一个模式。

今晚的帕萨迪纳

今天太平洋时间下午 5 点，帕萨迪纳公共安全委员会将听取该市对其 Flock Safety 车牌自动识别项目的内部审计。事先发布的初步简报结论是："no evidence of misuse or unauthorized access."（没有证据表明存在滥用或未经授权的访问。）帕萨迪纳警察局长 Gene Harris 将做陈述。该市 61 台 Flock 摄像头在 2025 年产生的全部 184,000 条警报，都对应有据可查的案件编号。访问权限仅限于宣誓警员、调度员和犯罪分析师。数据留存期为 30 天。该局计划再装 11 台摄像头，使部署量达到 72 台。帕萨迪纳的总体破案率从 2023 年的 28.96% 升到 2025 年的 35.26%。这份审计并未声称是 Flock 导致了这一上升。它报告的是相关性。

这份审计在它自己的范围之内是自洽的。它的范围够不到它上面的那张网。

2026 年 4 月 3 日，Gibbs Mura 律师事务所向旧金山高等法院提交了一份修订后的集体诉讼起诉状，指控 Flock Safety 在七个月里允许了 160 多万次对旧金山警察局车牌自动识别数据库的跨州检索，违反加州 2015 年《车牌自动识别隐私法》。起诉状并未指控旧金山警员滥用了该数据库。它指控的是该警局之上的网络层——即运行于 5,000 多个社区、4,800 多家执法机构、每月执行超过 200 亿次车辆扫描的 Flock 全国车牌识别网络——产生了 SB 34 所禁止的那种跨辖区共享模式。被指控的违法行为不是本地警员的那次检索。它是那套从共享被启用的那一刻起就使跨州查询成为可能的架构。

4 月 14 日，也就是今晚听证会的前一天、修订起诉状之后的第十一天，Flock Safety 通过 GlobeNewswire 发布了一款名为 Audit Assistance 的产品。它被描述为一种“持续监测系统活动、并把落在某机构典型使用范围之外的检索模式浮现出来”的工具。它交付给机构管理员。它不是面向公众的透明度工具。

在 110 号高速公路对面的南帕萨迪纳，市议会在 2026 年 2 月得出了相反的结论。十四台 Flock 摄像头将被拆除。该市援引的是数据安全方面的顾虑，此前有确认的报道称，南加州的 Flock 数据曾被联邦移民执法部门和外州警察部门访问。两座相邻的城市，同一个厂商，相反的决定。差别不在政策质量。差别在于每个议会认定问题是什么。

那份记录是明显虚假的

2026 年 4 月 10 日星期五，美国第四巡回上诉法院以全席方式撤销了一项初步禁令，该禁令原本阻止政府效率部访问社会保障署的档案——覆盖约 7,000 万美国人的档案。案件是 American Federation of State, County and Municipal Employees v. Social Security Administration，第 25-1411 号。多数意见认为原告未能证明存在不可弥补的损害。

法官 Robert King 提出异议。他的异议意见在联邦巡回法院中并不寻常。King 写道，社会保障署和其他被告 "provided patently false information to the district court in the preliminary injunction proceedings."（在初步禁令程序中向地区法院提供了明显虚假的信息。）他接着写道，此前的裁定 "were rendered on a materially erroneous record."（是在一份存在实质性错误的记录之上作出的。）多数意见对这两项认定都未予承认。四天后，即 4 月 14 日星期二，马里兰联邦地区法院解除了该案的中止，并准许了原告的证据开示动议。该地区法院如今将审查第四巡回法院说它无法审查的那份记录——也就是政府自己在一月的一份文件中承认并不完整的那份记录。

那份一月的文件说了一件具体的事。它说，一名 DOGE 雇员曾签署一份协议，把社会保障署的数据与一个未具名的、正在设法推翻某些州选举结果的政治倡导团体共享。据该文件称，这份协议未经社会保障署正常的数据共享审查流程批准。文件没有指明该团体。没有指明是哪些州。它只说这一安排存在。第四巡回法院的多数意见认为，这一安排的存在本身并不足以确立原告所主张的不可弥补的损害。King 法官则认为，在最初就禁令进行诉讼时未披露这一安排，本身就是那个记录问题。

这正是 4 月 14 日的证据开示令所要够到的东西。原告如今将获准审查 DOGE 访问了什么、何时访问、经何授权、以及下游用于何处。而档案处于争议中的那 7,000 万受益人，自己是看不到这些证据开示的。他们的数据已经在它所在的地方了。证据开示能确立的，只是保管链条——谁在什么时候持有了数据，用于什么。数据一旦流出去还能不能被追回，不是证据开示能回答的问题。数据不会回移。

社会保障署这一案并非孤例。它是同一个十天窗口里两起平行联邦档案案件中的一起。另一起在加州北区。

那份大而复杂的数据集

2026 年 4 月 9 日星期四，在 California v. U.S. Department of Health and Human Services（第 25-cv-05536 号，加州北区）一案中，联邦政府在一份法庭文件中承认，它已把一份"large and complex"（大而复杂）的医疗补助参保人数据集与移民与海关执法局共享。由加州牵头的 22 位州总检察长组成的联盟曾指控，这一共享违反了 Vince Chhabria 法官在 2025 年 12 月发出的一项命令。该命令仅允许 ICE 提取一小组身份信息字段——地址、电话号码、出生日期，以及公民身份或移民身份——而且仅限于在美国的合法居留身份未获确立的人。该命令明确禁止对美国公民和合法永久居民进行收集。

4 月 9 日的文件没有对这次共享提出异议。它披露了这次共享。它没有披露的是，卫生与公众服务部是如何判定哪些参保人符合那几类被允许的窄类别、哪些不符合的。22 个州的指控实质上是：卫生与公众服务部根本没有做出这一判定——该部批量共享了医疗补助档案，把归类工作留到传输的另一端、由 ICE 使用那些已经被共享出去的数据来完成。这些数据覆盖全国约 8,000 万名参保人。一场执行听证会定于 4 月 30 日举行。

医疗补助数据和社会保障署数据描述的是同一套架构。档案为某项特定的法定目的汇聚在一个联邦保管方处。随后行政部门决定把这一汇聚提供给另一个机构，用于另一个目的。一项法院命令试图约束这种二次使用。随后一份文件披露，二次使用超出了该命令的范围。在社会保障署一案中，披露是非自愿的——由原告的证据开示和一位持异议的法官逼出来的。在医疗补助一案中，披露出现在一份政府文件里，而那份文件与其说是主动作出披露，不如说是在事后把它记录在案。

这两起案件底下的架构，与帕萨迪纳 Flock 审计底下的架构并无不同。一旦汇聚已经发生，拿这份汇聚做什么这个问题，就不是任何单次审计所能封堵的问题。证据开示可以描述它。法院命令可以限制它。一份数据共享协议可以把它形式化。汇聚本身是所有这些下游动作的前提。汇聚正是让下游成为可能的东西。

各州的分岔

本周有两个州就数据汇聚投了票。它们走向了相反的方向。

4 月 13 日星期一，弗吉尼亚州州长 Abigail Spanberger 签署了 SB 338。该法案禁止在弗吉尼亚联邦州内运营的任何个人数据控制者出售精确地理位置数据——定义为能够把消费者位置识别到 1,750 英尺以内的数据。该法案在弗吉尼亚州议会的每一个环节都以两党一致的方式通过。它自 2026 年 7 月 1 日起生效。弗吉尼亚成为第三个颁布此类禁令的州，与俄勒冈和马里兰并列。加利福尼亚、康涅狄格、马萨诸塞和佛蒙特州也有类似法案待议。根据白宫管理和预算办公室的清单以及 404 Media 的报道，位置数据在联邦移民定位工作流中一直充当代理字段，而这些工作流通过 Palantir 的 ELITE 应用消费数据经纪商的数据源。

4 月 14 日星期二中部时间上午 11:47，田纳西州参议院以 24 比 7 通过了 SB 676。该法案要求医疗服务提供者上报他们诊治的每一位跨性别成年患者——按年龄和出生日期、按出生时指定的性别、按居住县、按药物名称、剂量、疗程和给药途径、按手术操作编码和转诊来源、按提供者联系方式和专科、按就诊日期、按精神健康病史——上报给一个州级机构。提案人是孟菲斯的参议员 Brent Taylor。唯一投反对票的共和党人是亨廷顿的参议员 John Stevens。众议院的对应法案 HB 754 已于 3 月 26 日以 70 比 21、另有两票弃权获得通过。参议院增加了两项修正案——加入总检察长调查权、删去一项县级公开发布条款——并把法案退回众议院协调。州长 Bill Lee 在其任内签署了送到他手上的每一部涉及 LGBTQ 的法案。他唯一一次否决是 2025 年 5 月一件与此无关的假释委员会事项。不合规的处罚：每家诊所 15 万美元，暂停执照六个月。

这两部法案送到各自州长案头的时间相差十八个小时。一部阻止一类数据被组装成一个商业市场。另一部强制一类数据被组装进一份州级档案。两者都是州法事务，由州议会通过，由州长签署（或即将签署）。这一分岔是架构上的，不是党派上的。弗吉尼亚的法案移除了汇聚。田纳西的法案制造了一个。而联邦法院本周正在审理的，是那些已经存在的汇聚会遭遇什么。

五天：第 702 条

除非国会有所动作，FISA 第 702 条将在 4 月 20 日午夜到期。摆在国会面前的选择是二元的。要么该法条基本以现有形式获得重新授权——这是白宫一直在推动的结果，由高级顾问 Stephen Miller 和中央情报局局长 John Ratcliffe 牵头——要么由《2026 年政府监视改革法》，即 S.4082，对它作出实质性修改。

S.4082 由俄勒冈州参议员 Ron Wyden 和犹他州参议员 Mike Lee 于 3 月 12 日提出。联署人包括怀俄明州参议员 Cynthia Lummis 和马萨诸塞州参议员 Elizabeth Warren——一对自由意志主义右翼与进步派左翼的组合，这种组合出现在第四修正案问题上，而几乎不出现在别处。众议院的对应法案来自俄亥俄州众议员 Warren Davidson 和加利福尼亚州众议员 Zoe Lofgren，两人都在众议院司法委员会。该法案做四件事。第一：要求联邦调查局在为查询某位美国人而检索 702 数据库之前，先从涉外情报监视法院取得一份有相当理由支持的搜查令。第二：禁止联邦机构在没有搜查令的情况下从商业数据经纪商处购买美国人的数据，把《第四修正案不容出售法》纳入其中。第三：扩大 FISC 的解密公开要求。第四：修订《电子通信隐私法》，要求获取已存储的通信一律需要搜查令，不论其存放时间长短。

行政当局的论点——由 Ratcliffe 在参议院闭门简报中阐述并在公开场合重申——是第 702 条产生了《总统每日简报》中的大部分条目；这一说法最早由国家安全局局长 Mike Rogers 在 2017 年的国会证词中提出，此后每一任国家情报总监和中央情报局局长都重复过。其情报价值被描述为不可替代；一次中断，哪怕短暂，也被描述为对手会加以利用的缺口。众议院议长 Mike Johnson 尚未公开承诺议场排期。参议院情报委员会主席 Mark Warner 和副主席 Tom Cotton 支持带有限度程序性改革的重新授权，并反对 GSRA。S.4082 在两院都尚未举行委员会审议。

按照常规立法标准，这份改革法案在五天内走到议场表决的路径是不现实的。那份干净的重新授权的路径才是默认选项。而时钟上跑着的正是那个默认选项。

这场辩论底下的架构事实是：第 702 条本身并不是监视。它是指示美国电子通信服务提供商交出它们所持有的通信的法律授权。这些服务商之所以持有这些通信，是因为美国互联网和移动服务的架构把档案集中在运营商和平台这一层。Salt Typhoon——那场在 2019 至 2024 年间渗透了至少九家美国电信运营商的中国情报行动——够到的正是第 702 条及其姊妹授权所依赖的合法拦截基础设施。为美国情报设计的那个咽喉点，正是一个外国情报机构所利用的那个咽喉点。中心化的接入点不挑选自己的使用者。

七天：水闸网合拢

4 月 22 日星期三，一批尚未确定规模的中国移动用户将失去其现有 SIM 卡上的国际漫游。通知是一条来自中国电信的短信，于 4 月 8 日曝光，称更换 SIM 卡是唯一的补救办法。另有一份内部指令，据称来自陕西电信、由启航 CDN 转发给企业客户，要求互联网服务提供商封锁所有通往中国大陆之外的出境连接——包括通往香港、澳门和台湾的连接——并消除该指令所称的“任何形式的翻墙业务”。这个类别包括商业 VPN 服务、代理路由，以及绝大多数中国翻墙工具用户所依赖的“机场”中介服务。

这份指令所代表的架构姿态，不同于此前的中国互联网执法。此前的执法集中在用户层，依赖于对翻墙流量的大规模检测，以及对个别用户和小型运营者的追诉。新的姿态是基础设施层的。持牌运营商、持牌数据中心和持牌 ISP，一旦允许翻墙流量穿过其基础设施，将面临永久吊销运营牌照的处罚。执法的目标不是那个想绕过防火长城的用户。执法的目标是那个会提供用户所需之传输的运营者。

东北大学的研究者用一个他们称为“水闸网”（the Locknet）的框架重新描述了这套系统——取代“防火长城”这个隐喻。后者暗示的是一堵要去翻越的墙，而前者的隐喻是水闸：可以被选择性地开合，在某些条件下放行一部分流量，在另一些条件下一点也不放。4 月 22 日合拢的不是一道新闸。那是一道已有的闸门，被一份基础设施层的指令拧得更紧。

俄罗斯的比较既贴近又有启发。2026 年 4 月 1 日，据报道俄罗斯当局全面封锁了 Telegram——该国使用最广的消息应用——而在 3 月 31 日，数字发展部长 Maksut Shadayev 宣布，移动运营商对经 VPN 路由、每月超过 15 GB 的国际数据，可以按每 GB 最高 150 卢布、约合 1.80 美元收费。被广泛认为受联邦安全局监控的国家背景消息应用 MAX，已预装在俄罗斯销售的所有新设备上。自 3 月初以来，局部移动互联网中断已袭击莫斯科市中心和圣彼得堡——据部分报道，当地人因此退回到寻呼机和纸质地图。克里姆林宫发言人 Dmitry Peskov 已公开确认，他在这些中断期间使用固定电话。

中国的这份指令与俄罗斯的这次封锁，机制不同，前提相同。两者都预设了一个可被强制的服务商。服务商的配合就是执法的单位。执法之所以作用在基础设施上，是因为基础设施是可够到的、有名有姓的、持牌的。流量被封锁的那位用户不是被强制的一方。被强制的是运营商。

十三天：没人会补完的那个补丁

4 月 14 日星期二，微软发布了针对 167 个常见漏洞和暴露的补丁。这是该公司历史上第二大的一次补丁星期二发布，接近 2025 年 10 月的纪录。其中八个漏洞被评为关键级。这八个里有七个是远程代码执行。提权类缺陷占这一批的 57.1%。

其中两个漏洞是零日。CVE-2026-33825 是 Microsoft Defender 中的一个提权缺陷，在补丁之前已被公开披露，但尚未在野外被利用。CVE-2026-32201 是一个影响 Microsoft SharePoint Server 2016、2019 和订阅版的欺骗漏洞。CVSS 6.5。攻击复杂度低。无需身份验证。无需用户交互。已在野外被利用。

CISA 于 4 月 14 日把 CVE-2026-32201 加入其已知被利用漏洞目录。依据具约束力的操作指令 22-01，联邦民事行政部门机构必须完成整改。期限是 4 月 28 日。从公布之日起十四天。CISA 的约束力触及约 100 家民事联邦机构，并不直接覆盖州和地方政府、国防工业基础，或私营部门运营者。SharePoint 的大部分装机量都在 FCEB 的边界之外。对那些运营者而言，CISA 的期限只是一条建议。

SharePoint 是美国州和地方政府、国防承包商以及相当一部分私营部门的文档协作企业底座。一台面向公网的 SharePoint 服务器上的欺骗漏洞，是一个立足点，攻击者可以从这里横向移动，进入该组织让这台服务器所毗邻的任何生态——身份联邦、文件共享、协作图谱、缓存凭据。十三天是联邦民事机构关上这个立足点的时间。对其余的装机量来说，没有期限。只有补丁。

架构层面的读法

本周有七套不同的技术系统发生了动作。Flock 全国车牌识别网络每月从 5,000 多个社区汇聚 200 亿次车辆读取。社会保障署的档案保管覆盖 7,000 万美国人，并且依据 4 月 14 日马里兰的证据开示令，如今可能会就 DOGE 访问的范围被审查。CMS 的医疗补助参保人数据库覆盖约 8,000 万名参保人，并且依据 4 月 9 日卫生与公众服务部的文件，已经被超出法院命令范围地与 ICE 共享。田纳西州拟议中的患者登记册把一类新的医疗数据强制归入一份州级档案。弗吉尼亚州的新法把一类位置数据从商业市场中移除。FISA 第 702 条要么在 4 月 20 日以现有形式获得重新授权，要么被 GSRA 修改。中国的运营商牌照体系将在 4 月 22 日之前，为一批规模未定的移动用户切断出境国际连通性。联邦民事部门各处的 Microsoft SharePoint 服务器必须在 4 月 28 日前完成修补，以关闭一个正在被主动利用的欺骗漏洞。

这是七套不同的系统，由七拨不同的工程师，在七个不同的司法辖区，依七套不同的法律制度，为七个不同的目的建成。在 2026 年 4 月的第二周，它们每一个都在被重新指派、被争夺，或被切换。共同属性不是数据的内容，也不是对它动手的那个权威的身份。共同属性是：每一套系统都是中心化的、汇聚进一个可寻址的存储、并且可被任何对其运营者拥有管辖地位的权威在运作上强制。

一种替代架构不是一个理论对象。它是这样一种架构：端点无法被枚举；没有中心服务商持有那把商业经纪商拿去变现、传票拿去够到的跨系统连接键；流量沿多方路径穿过一些没有任何单一运营者控制、也没有任何单一法院命令能强制的节点。一个没有单一可被强制之服务商的系统，不呈现陕西电信指令所依赖的那个咽喉点，不呈现第 702 条授权所依赖的那个咽喉点，不呈现 CMS 信息交换协议所依赖过的那个咽喉点，不呈现田纳西上报强制令所依赖的那个咽喉点，也不呈现 Salt Typhoon 所利用的那个咽喉点。这一替代方案以部分部署的形态存在着——Signal 的元数据最小化、Matrix 的联邦式服务器、Tor 的洋葱路由、Briar 的网状连接——也存在于 URnetwork 的住宅节点传输中：在那里，消息所穿过的底座是同伴的设备，而不是运营商的设施。

这并不是在主张，任何一件已部署的替代架构单独就能阻止上述七件事中的哪一件。这是在主张：上述这些事件合起来描述了继续把通信和档案保管租给可被强制之服务商的代价。4 月 20 日的表决、4 月 22 日的切断、4 月 28 日的整改期限，是一周里的三个表面事件。它们是几十年前一个设计决定的表达。那个决定是集中。它一直是一致的。本周变了的，是同时使用这份集中的权威的数量。

帕萨迪纳的议会今晚不会解决这个架构问题。国会不会在星期一之前解决它。北京不会在星期三之前解决它。FCEB 的首席信息官们不会在 28 日之前解决它。架构问题是这四件事底下的那个问题。下一只时钟在 29 日开始走。

星期二上午 11:47，SB 676 以 24–7 在田纳西州参议院通过。提案人、参议员 Brent Taylor（共和党，孟菲斯）称这项法案属于医学研究透明度。参议员 Jeff Yarbro（民主党，纳什维尔）称它是“一份由州政府维护的私人公民名单，而这些人的私人医疗与州政府毫无关系”。参议员 John Stevens（共和党，亨廷顿）与六名民主党人一同投下反对票，是唯一投反对票的共和党人。

配套法案 HB 754 已于 3月26日在众议院以 70–21–2 通过。参议院增加了两项修正——加入总检察长的调查权，并删去一项县级公开发布条款——众议院必须先完成协调，法案才能送到州长 Bill Lee 手中。Lee 在其整个州长任期内，签署了送到他案头的每一项与 LGBTQ 相关的法案。他唯一一次否决，是 2025年5月一件与此无关的假释委员会事务。

按其条款，为跨性别成年人提供服务的田纳西州医疗提供者，必须向一个州级机构提交：

• 患者年龄与出生日期
• 出生时被指派的性别
• 性别烦躁诊断代码
• 居住县
• 药物、剂量、用药时长、给药途径
• 手术代码及转诊来源
• 提供者姓名、联系方式、专科
• 就诊日期
• 精神健康状况史

不遵守的后果：每家诊所 15 万美元；执照停用六个月。

范德堡大学医学中心已于 2 月停止成人性别肯定手术。ETSU Health 未公开置评。集体诉讼 Doe v. VUMC 正在 Davidson 县衡平法院进行；美国卫生与公众服务部民权办公室正在开展一项平行调查。法案尚未签署。寒蝉效应已经到来。

堪萨斯州早已做过的事

2026年2月26日，堪萨斯州税务局直接向大约 1,700 名跨性别居民寄出了批量作废信函。他们的驾照被作废。在该州卫生与环境部，另有大约 1,800 人的出生证明修改记录被作废。这些数字经 NBC News 证实。

堪萨斯州没有做的事：为找出这些人而建立一份登记册。

它做的事：伸手取用一份已经存在的登记册。

性别标记修改日志存放在 KDHE 的人口统计办公室。这些条目可上溯到 2019 年 Foster v. Andersen 案的和解判决——依据该判决，堪萨斯州同意（为保护跨性别居民）应请求修改人口登记记录。州税务局在其驾驶服务系统中维护着一个内部的性别标记变更标志。当 SB 244 于 2026 年 1 月通过、并于 2 月 26 日生效时，谁修改过性别标记的名单早已在那里。生效当天，寄信就开始了。

堪萨斯州的跨性别居民并没有填表把自己加进一份名单。他们填表是为了从一份名单里被移出来。而架构并不区分这两者。

得州打开的那道门

2026年3月13日，得克萨斯州最高法院在 Paxton v. PFLAG 案中裁定，总检察长不必证明某人持有他所索取的文件。相信即可，无需证明。PFLAG 必须交出应急预案通信、转介网络以及执行主任的宣誓书记录。同样的逻辑也适用于密苏里州——该州总检察长 Catherine Hanaway 继承了 Andrew Bailey 在 2025年9月经上诉法院打开的、通往华盛顿大学跨性别中心记录的路径——并适用于任何援引消费者保护法来强制披露的州总检察长。

这项裁定把民事调查令变成了一件探索性工具。它不要求存在犯罪。它不要求存在嫌疑人。它不要求有记录在案的前科。相信就够了。

联邦链条

州一级的这项法案，依赖于一条同步推进的联邦松绑链条：

• HIPAA 生殖健康隐私规则 —— 2025年6月18日在 Purl v. HHS（得州北区联邦地区法院）中被撤销。该规则原本限制针对生殖健康记录的执法传票和州总检察长民事调查令。田纳西州总检察长 Jonathan Skrmetti 领导了这场 14 个州的挑战。
• 360 多项联邦调查 —— 通过 OMB 的“非实质性变更”申请，被剥除了性取向与性别认同字段。83% 的删除是经由这条行政后门完成的，未经《文书削减法》审查。
• 国土安全部情报与分析政策手册 —— 从手册的监控护栏中删去了性别认同。在民间社会施压后，性取向被部分恢复。性别认同仍被排除在外。
• CMS–ICE 数据共享协议 —— 2025年7月签署。覆盖 8000 万名 Medicaid 参保人。California v. HHS（加州北区联邦地区法院，3:25-cv-05536）定于 4月30日举行听证，审查 HHS 是否因传输数据而违反了 Chhabria 法官的命令。
• Palantir ELITE —— 在国土安全部 2026年1月28日的 AI 清单中，被列为一套从犯罪前科记录和逮捕令中提取信息的生成式 AI 定位系统。OMB M-25-21 设定的 4月3日期限要求对高影响 AI 作出说明或停止使用。国土安全部保持沉默。现场人脸识别工具 Mobile Fortify 同样在列，也没有完成影响评估。
• 每队每天 8 次逮捕 —— M-J-M-A v. Wamsley 案中有据可查的行动指标，依据 ELITE 的地址置信度分数设定。Kasubhai 法官禁止了无证逮捕。该禁令正在上诉中。
• DOGE 进入 SSA —— 2026年4月10日，第四巡回上诉法院以全席方式撤销了地区法院的禁令，该禁令原本阻止政府效率部访问覆盖 7000 万美国人的社会保障署数据。King 法官在异议中指出，社会保障署向下级法院提供了 "patently false"（明显不实）的信息。多数意见认为，原告未能证明存在不可弥补的损害。

这就是一份田纳西州跨性别患者记录可以穿行的链条。HIPAA 不再拦得住它。联邦调查不再采集它。联邦定位系统不再为它过滤。联邦监督的期限已经过去，无人合规。

执法架构已经上线运行。田纳西州正在通过的法条，是它的管道。

这套架构在别处是什么样子

这一模式并非美国独有，也不限于跨性别权利。当建造集中式身份系统的那个政权发生更替时——或者当什么都没变、系统只是漏了——它们就会这么运转。

读信的信封

今天，法国网络安全媒体披露，邮件服务商 Alinto 的 4000 万条 SMTP 记录，自 2 月下旬起就搁在一个可公开访问的 Elasticsearch 集群上。该集群与 Alinto 的 Cleanmail.eu 安全中继产品同机托管——这意味着 Alinto 大约 10,000 家企业客户的每一条入站邮件流都经过同一台机器。被索引的包括 450 万个唯一邮箱地址、超过 14,000 个法国政府邮箱账户，以及欧莱雅、雷诺、家乐福、爱马仕和 DHL 的流量。法国媒体的报道——Generation-NT、FrenchBreaches、Les Smart Grids、Économie Matin——证实这些记录包含邮件主题行，而不只是信封元数据。Alinto 于 2月26日悄悄关闭了该存储桶。它没有发布任何公告，也没有通知任何客户。发现此次暴露并于今天披露的 Cybernews 写道：“仅从客户企业的数量来看，潜在攻击面就大得多。”

一个垃圾邮件过滤器读了 14,000 名法国政府官员两个月的每一行邮件主题。它做的正是垃圾邮件过滤器该做的事。

以端到端为卖点的后门

3月27日，一起集体诉讼（3:26-cv-02615，加州北区联邦地区法院）提起，指控 Meta 员工与埃森哲承包商拥有 "broad access to the substance of WhatsApp messages that were supposed to be encrypted"（对本应加密的 WhatsApp 消息实质内容的广泛访问权限）。原告为 Brian Y. Shirazi 和 Nida Samson，由 Kessler Topaz Meltzer & Check LLP 代理。

该主张最有力的事实支点，是美国商务部工业与安全局 2025年7月的调查员报告——代号 "Operation Sourced Encryption"——其中记录了对 Larkin Fordyce 的访谈；此人 2018 至 2022 年间在得克萨斯州奥斯汀担任埃森哲的内容审核员。Fordyce 告诉探员，Meta 的审核员“最终获得了他们自己的 WhatsApp 访问权限”，而在拿到直接访问权之前，“Facebook 团队能够把他们想要的任何东西拉出来，然后发过去”。2026年1月29日，Fordyce 向彭博社正式确认：“我认为，把我知道的事情告诉政府，对美利坚合众国是有益的。”

Meta 称这些指控“彻头彻尾的虚假和荒谬”。密码学家 Matthew Green 在 2 月 2 日写道，一个通用的明文外泄后门“会在 WhatsApp 的应用代码里看得见”，而且“会让 WhatsApp 和 Meta 暴露在令人兴奋的新型毁灭方式之下”。EPIC 的 Maria Villegas Bravo 表示，她看不出“这起诉讼有任何依据”。CDT 的 Nick Doty 说，如果这些说法属实，他会“非常惊讶”。

原告未必需要证明这项指控最强的版本。较弱的版本已经有据可查。ProPublica 在 2021 年报道，人工审核员会查看被用户举报的消息的明文副本。The Intercept 在 2024 年报道，即便内容不外流，元数据——谁给谁写信、何时、多长——也照样流动，使得通过流量分析实现去匿名化成为可能。Durov 本人也承认，大约 95% 的 WhatsApp 用户把未加密的 iCloud 或 Google Drive 备份存放在端到端信封之外。

在一个闭源客户端上、由一家服务商运营、设备同步到第三方备份、对被举报消息设有人工审核流水线、还有一批承包商在读审核队列——这样的“端到端加密”不是数学保证。它是一种信任架构。信任架构失效，不是在数学失效的时候，而是在它底下那份契约易主的时候。

变成监控名单的身份证件

2026年3月9日，英国上议院以 123 票对 40 票否决了第 380 号修正案。该修正案由 Doocey 女男爵提出，本可以阻止依《犯罪与警务法案》第 154 条、将 DVLA 持有的驾照照片用于人脸识别检索。修正案未获通过。5000 万张驾照照片如今可供警方人脸识别使用，其依据是部长层级的规章，而非一级立法。内政大臣 Shabana Mahmood 于 1月26日宣布新增 40 辆实时人脸识别（LFR）车辆，通过 BlueLight Commercial 价值 2000 万英镑的 BLC0168 框架采购，供应商为 NEC、Digital Barriers 和 Bedroq，合同持续至 2029 年 3 月。下议院今天正在审议上议院的修正案。

驾照从来不是一项警务凭证。到了 2026 年，它成了。数据库没有变。它的用途变了。

这一模式

一份为民政便利而维护的登记册，变成一份用于执法的登记册。一条为处理举报内容而建的审核流水线，变成一名承包商在读私人消息。一个为安全而建的垃圾邮件过滤器，变成一份供间谍活动使用的主题行索引。一座为身份核验而建的驾照照片库，变成一份人脸识别监控名单。一个为福利管理而建的 Medicaid 数据仓库，变成一条为移民执法服务的定位数据流。

每一套系统，都是由认真的人为一个狭窄的目的设计的。每一套都只建了一次。而每一套，现在都被用于其设计者从未设计过的用途。

架构层面的现实不是政权腐败。而是：集中式数据基础设施是可以被重新指派的资产。它们属于任何掌管该机构、持有该合同、书写该规章，或解雇下一任 CTO 的人。把它们改作他用只是一道文书流程。它们作为武器的耐久性，超过了建造时环绕在它们周围的那些保护的耐久性。

这就是今天摆在田纳西州参议院面前的根本问题。它同样摆在得州总检察长、英国内政部、Meta 的 WhatsApp 工程师、Alinto 的基础设施团队、ICE 的 Palantir 部署、DOGE 对社会保障署的访问，以及每一个位于“新政府可以重写可接受使用条款”的司法辖区内的数据库面前。

反向架构

存在一种打破模式的方式。它不是政策补丁。政策依赖于政权。替代方案是不生成名单的架构。

具体来说：

• 不可枚举的端点 —— 不是某一家提供商的用户数据库。多方传输，没有中心账户注册表。URnetwork 是一种实现；混合网络和覆盖网络是另一些。
• 没有关联标识符 —— 抵制 Aadhaar/社会安全号那种模式。使用零知识证明和可验证凭证的选择性披露，只揭示被问及的那一项属性，而不暴露持有人的身份。
• 包含信封元数据在内的传输层隐私 —— 邮件的信封泄露是一项五十年前的架构决定。能够隐藏发送方、接收方和时序模式的消息协议是存在的。它们部署不足，是因为占主导地位的提供商正是靠邮件泄露的数据赚钱。
• 身份凭证自持 —— 一套身份系统，如果其权威副本存放在用户的设备上而不是州政府的服务器上，就无法被一场邮寄行动调取出来。
• 不以提供商为信任基础的基础设施 —— 基于 Matrix 的通信工具运行于 35 个政府和 60 万名法国公务员之中，因为没有单一提供商可供胁迫。Signal 同比增长 67%，达到 8500 万月活跃用户；其基金会 2024 年以赤字收尾，但捐款趋势正在好转。Briar 仅靠网状 Wi-Fi 和蓝牙，就让伊朗抗议者在 1月8日的全国断网期间保持了联系。

其中一部分已经成熟、今天就可部署。另一部分成熟度较低，身份方面尤其如此。问题不在于反向架构是否存在。问题在于，我们是否要继续在同一套地基上建下一份名单，指望下一届政府会守规矩。

结语

名单先于法律而生。法律只是它的所有者。

在堪萨斯州，所有者在 2024 年换了人，信在 2026 年寄了出去。在田纳西州，参议院今天投票，给了所有者新的钥匙。在得州，最高法院裁定总检察长可以不带搜查令伸手穿过那道门。在华盛顿，联邦层面的过滤已被移除。在伦敦，一纸驾照凭一道规章变成了警务凭证。在 Meta 的审核队列里，一名承包商读了那些消息。在里昂的一座数据中心里，一个垃圾邮件过滤器读了那些主题行。

架构层面的问题是：我们是否要继续把名单租给好的政府，同时指望下一届也是好的。

今天，纳什维尔的二十四名参议员投票，把下一份租了出去。

来源：Nashville Banner（2026年4月14日）、Nashville Scene、Washington Blade、LegiScan HB 754 唱名表决记录、NBC News（2026年2月28日）、KERA News（2026年3月13日）、Missouri Independent（2025年9月16日）、NPR（2026年2月28日）、Ropes & Gray（HIPAA 撤销）、TN AG 新闻稿（2026年2月4日）、Bloomberg（2026年1月29日）、经 Slashdot 与 Cybernews 转载的 EPIC / Matthew Green / CDT 声明、Cybernews（2026年4月14日，关于 Alinto）、Generation-NT / FrenchBreaches、Hansard（2026年3月9日上议院）、gov.uk（2026年1月26日内政部）、Cybernews 与 404 Media 关于 Flock 的报道、The Block（2026年4月9日，关于 Storm）、PCLOB 2023 与 FISC 2022 年 4 月意见、加州北区联邦地区法院案号 3:25-cv-05536 与 3:26-cv-02615、M-J-M-A v. Wamsley、第四巡回上诉法院全席判决（2026年4月10日）、Signal Foundation 2024 财年 Form 990。本期的各专题独立研究档案存放在本期的 blog-research 目录中。

2026年3月30日晚，俄罗斯数字发展部部长 Maksut Shadaev 与该国 20 多家最大互联网公司的代表举行了一次闭门会议。Sberbank 在场。Yandex、VK、Wildberries、Ozon、Avito、X5 Group、Gazprom-Media 和 Mail.ru 也都在场。该部的信息很明确。到 4月15日，与会公司必须落实技术措施，封锁通过虚拟专用网络接入的用户。该部将提供 VPN 的 IP 段清单。公司则在服务层实施封锁。

不遵守会有两项具体后果。第一是被移出“白名单”——即在移动互联网限制期间仍保持可访问的服务登记册。第二是撤销 IT 税收优惠，正是这套优惠税率让在俄罗斯运营国内科技业务在商业上仍然可行。对在场的这 20 多家公司中的每一家而言，不遵守的代价不是一笔罚款。而是商业模式的终结。

明天就是 4月15日。那条线现在只剩几个小时。

跨过那条线的规模很容易被低估。Telegram 创始人 Pavel Durov 在 4月4日证实，有 6500 万俄罗斯人每天通过 VPN 隧道使用他的平台——其中超过 5000 万人每天都在发消息。这不是一小撮活动人士和记者。这是大约一半俄罗斯网民的日常通信底层，绕开了克里姆林宫的过滤装置，靠的是与一家商业 VPN 提供商的付费关系——而国家现在打算把这层关系切断。

克里姆林宫并非不知道这个规模。2月19日，总统弗拉基米尔·普京的新闻秘书 Dmitry Peskov 在一场公开吹风会上被问到，总统新闻办公室是否使用 VPN 访问 Telegram。Peskov 确认确实如此。

这是本周每一个故事所依托的基础事实。搭建这套执法架构的官员们，不会把它用在自己身上。

五个期限

俄罗斯的期限最先到来，但它不是独自到来。另外四个在同一个八天窗口内接踵而至。

4月20日星期一午夜，美国《外国情报监视法》第 702 条到期。国会今天休会归来，众议院领导层已示意本周表决。特朗普政府——通过白宫顾问 Stephen Miller 与中情局局长 John Ratcliffe——正在推动一次为期 18 个月的原样重新授权，理由是正在进行的美伊战争。国会进步党团（98 名众议院民主党人）已正式反对任何不含实质性改革的重新授权。国会黑人党团则支持这次原样延期。

4月22日星期三，一条泄露的中国电信短信通知用户，他们的 SIM 卡将不再支持国际漫游服务——通话、短信或移动数据均不再支持。恢复这些功能的唯一办法是更换 SIM 卡。两周前的 4月8日，另一份泄露的陕西电信通知要求其辖内的互联网服务提供商停止一切对外部网络的出境连接，理由是要清除“任何形式的翻墙业务”。工业和信息化部召开了一次关于“加强跨境数据专线擅自接入互联网管理”的会议。

本月，英国 Ofcom 将发布《在线安全法》"technology notices"（技术通知）制度的最终指引——这是一套法律机制，允许监管机构强制在线服务部署特定技术，以侦测儿童性虐待和恐怖主义内容。这类通知适用于加密服务。"backdoor"（后门）一词在该法中根本没有出现。真正起作用的词是 "inspection"（检查）。

5月4日星期一——距今 20 天——欧盟将恢复关于《儿童性虐待条例》的三方谈判；该条例是“聊天管控 1.0”的永久替代品，而 1.0 在 3月26日于欧洲议会以八十三票之差被否决后，已于 4月3日失效。丹麦担任的理事会主席国正在推动一份谈判授权，其中引入了适用于全部在管辖范围内服务的强制年龄验证。第四轮三方谈判定于 5月11日举行。

五个期限。三个大洲。八天。

这种巧合不是巧合。这五种机制并不相同。但它们汇聚于同一个架构目标。

这些机制的共同点

五个期限各自在通信栈的不同位置施压。把它们并排列出会更清楚：

• 俄罗斯，4月15日：在服务提供商层施加强制合规。20 多家公司封锁持有活跃 VPN 会话的客户，否则失去监管地位。
• 美国，4月20日：在运营商与平台层施加强制获取，授权依据是一部纸面上会到期、但其 2025-2026 年 FISC 认证在整个春季仍然有效的法律——无论国会怎么做。
• 中国，4月22日：在物理网络层施加强制切断。电信运营商撤走了原本垫在内容级防火墙下面的国际连通性。
• 英国，4月：在应用层施加强制侦测。技术通知要求加密服务部署内容侦测系统，否则面临执法行动。
• 欧盟，5月4日：在接入层施加强制身份。年龄验证制度要求用户在访问管辖范围内的平台之前先证明身份。

施压的位置各不相同。杠杆的支点没有不同。

这五种机制中的每一种之所以奏效，都是因为存在一个可被强制的提供商。俄罗斯强制 Sberbank。美国通过第 702 条认证强制 AT&T、Verizon 和 T-Mobile。中国强制中国电信、中国移动和中国联通。英国强制 Apple、WhatsApp 和 Meta。欧盟强制《儿童性虐待条例》所列举的管辖范围内服务。有提供商的架构就有杠杆。提供商在该司法辖区内有法律实体，有一条依赖监管善意的收入流，还有一个专门把政府要求翻译成技术实现的合规团队。如果没有可以送达法律文书、可以用商业后果施压的中心化、公司化、可识别的中间人，这些执法行动没有一件做得成。

这就是把五个期限串起来的结构性观察。它也是让解法变得可见的那个观察。

俄罗斯的棘轮

4月15日这个期限，是一场为期两个月的升级的前沿，而这场升级已经重塑了普通俄罗斯网民的技术环境。

4月1日，Apple 面向俄罗斯账户的 Apple ID 手机话费充值通道被终止。这关上了俄罗斯用户为国际数字订阅（包括商业 VPN 服务）付费的最后几条路径之一——此前西方卡组织已于 2022 年撤出。同一天，俄罗斯移动运营商开始执行每月 15 GB 的国际流量上限。这个上限并没有明确针对 VPN 使用。它不需要。按定义，通往俄罗斯境外端点的隧道流量就是国际流量。

4月3日，俄罗斯多家主要银行发生大范围故障。《莫斯科时报》报道，仅莫斯科一地每天损失约 1250 万美元。Telegram 创始人 Pavel Durov 把这次崩溃归因于新的深度包检测执法与正常银行流量之间的相互作用。政府的 DPI 层无法可靠地把一次银行会话与一条 VPN 隧道区分开，于是把两者都弄坏了。

4月10日，俄罗斯媒体与通信监管机构 Roskomnadzor 封禁了 GlobalCheck——使用最广泛的、用于追踪哪些 VPN 提供商在俄罗斯仍能工作的服务。这次封禁属于元审查：对有关审查本身的信息的压制。

与 VPN 执法同步推进的，是国家对 Max 的主动推广——这是俄罗斯自研的即时通信应用，被定位为外国平台的国内替代品。普京在 2025 年 6 月签署的一项总统令，把 Max 确立为国家级通信应用。国家杜马 2025 年 12 月通过的一部法律，要求莫斯科以外的公寓楼管理方通过 Max 与住户沟通。数字发展部已讨论在 Sberbank 和 VTB 的试点项目中把银行短信通知迁移到 Max。学校也在被鼓励采用 Max 进行家校沟通。《日本时报》称 Max 是“被强加给公民的未加密超级应用”。

这套架构是双向的。VPN 执法抬高了不合规通信的成本。Max 的推广降低了合规通信的成本。一个把公寓委员会群聊、银行提醒和学校通知都迁到 Max 的家庭，日常对国际路由的需求实质上更少了，暴露在 VPN 摩擦制度下的程度实质上更低了，维持那个本就越来越难触及的 Telegram 频道的理由也实质上更少了。这台摩擦棘轮不需要抓住每一个用户。它只需要每个月抓住边际上的那个用户。

俄罗斯最大的三家国内零售平台 Wildberries、Ozon 和 VkusVill，已在 4 月第一周、正式期限之前，就在面向客户的服务上开始实施 VPN 封锁。提前合规背后的商业算计很直接。白名单资格不是可选项。税收优惠不是可选项。要么失去使用 VPN 的那一小部分客户，要么失去让这门生意根本上还成立的监管环境。

这就是从提供商一侧看到的执法架构。克里姆林宫不需要识别出每一个 VPN 用户。它只需要识别 VPN 的流量指纹，然后把封锁工作下放给 20 家不敢拒绝的公司。

美国的戏台

在华盛顿，这场角力的框架不同。争议中的监控不是在平台层封锁 VPN 用户。而是依据《外国情报监视法》第 702 条，从美国电信提供商处强制获取通信内容。

第 702 条允许美国国家安全局在美国提供商的强制协助下，获取有合理理由相信身处美国境外的非美国人的通信内容。该法先后在 2012 年、2017 年、2018 年，以及最近一次在 2024 年 4 月获得重新授权——当时国会通过了《改革情报与保障美国法》。2026年4月20日的日落条款是下一道悬崖。

3月23日，一个两党组成的团体提出了《2026 年政府监控改革法》(S.4082)。参议院发起人是 Ron Wyden（民主党，俄勒冈州）和 Mike Lee（共和党，犹他州），共同提案人包括 Cynthia Lummis（共和党，怀俄明州）和 Elizabeth Warren（民主党，马萨诸塞州）。众议院配套法案由 Zoe Lofgren（民主党，加利福尼亚州）和 Warren Davidson（共和党，俄亥俄州）牵头。该法案将要求 FBI 检索第 702 条数据中涉及美国人的部分时必须持有令状，堵上联邦机构借以购买商业位置和通信元数据的数据经纪商漏洞，并为秘密的 FISA 法院增加透明度。

98 名众议院民主党人——国会进步党团全体——已正式反对任何不含这些改革的第 702 条原样重新授权。国会黑人党团则公开支持为期 18 个月的原样延期。特朗普政府通过 Stephen Miller 与中情局局长 John Ratcliffe，援引正在进行的美伊战争，主张授权一旦中断就会产生情报盲区。

本周的报道会把这次表决当作枢纽。这个框架几乎完全错了。

真正决定第 702 条监控是否继续的机制，不是法律上的日落条款。而是外国情报监视法院每年签发的认证——一份列明可依该项目获取哪些类别外国情报的保密命令。FISC 的 2025 年认证于 2025 年春季签发，有效期延续到 2026 年春季。它授权从已经流经美国提供商强制协助基础设施的通信中持续获取数据。司法部在以往几次日落对峙中的立场是：在有效认证之下已经开始的获取，即便底层法定授权已经失效，也会持续到该认证的有效期结束。

实际后果是：如果第 702 条在 4月20日午夜“到期”而国会没有通过任何法案，国家安全局并不会关掉采集。FISC 的认证不会终止。既有的目标选定决定继续有效。FBI 不会失去检索 702 条语料库的能力——正是这项能力，在最近一期 ODNI 透明度报告中产生了 7,413 次针对美国人数据的无令状检索。在 AT&T、Verizon、T-Mobile、Google、Microsoft、Meta 以及其他被指定提供商处的强制协助将继续。

真正会改变的是很窄的一块。超出 2025 年认证范围的新目标选定决定将面临法律不确定性。提供商的法务需要就每一份新指令评估授权是否已经失效的可能性。国会将面临压力——真实的压力，但不是运行层面的压力——在 FISC 的 2026 年认证到期之前采取行动。

这不构成把这次表决视为不重要的理由。改革很重要。数据经纪商漏洞是真实存在的。针对美国人检索的令状要求很重要。但这次表决不是那道悬崖。悬崖是架构本身：一套在保密法院命令之下运行的强制协助制度，运行在那些商业存续依赖于维持监管关系、而强制正是这段关系一部分的提供商身上。

这场辩论之所以是表演，是因为基础设施不容辩论。监控不会为了一次表决而暂停。

中国的切断

如果说俄罗斯的做法是通过商业合规机制来拆解，美国的做法是在运营商层通过强制协助来运作，那么中国 4月22日的动作就是终局。

这一进程十年来一直可见。2000 年代，中国的互联网政策聚焦于内容过滤——在防火长城上封锁特定网址、敏感关键词和平台类别。2010 年代，重心转向深度包检测——按类型对流量分类，封锁与 VPN 或代理使用相符的流量模式。2020 年代初，政策又加入了限速——把翻墙工具的性能降到实际不可用，而不正式封锁它们。到 2026 年，政策再次转向。

4月22日的动作取消了中国电信 SIM 卡的国际漫游。4月8日的陕西电信通知要求运营商彻底停止出境连接。工业和信息化部关于“跨境数据专线擅自接入互联网”的会议表明，执法范围已经从个人用户延伸到外国公司用来连接中国办公室与国际总部的私有专线。

这不是过滤。这不是限速。这是切断。

对在华经营的外国公司——汽车制造商、咨询公司、技术提供商、金融服务——跨境专线就是运营的骨干。内部邮件系统、ERP 集成、客服路由、与总部的视频会议：全都跑在这些专线上。数十年来一直充当运营门户的香港，正在被切断令明确点名。澳门也是。台湾，不出所料，位列名单之首。

中国正在做的，是从内容审查转向连通性审查。防火墙不再是政策工具。物理线缆才是。

这一升级向北京的国内受众表明：接入外国互联网的成本正在上升。它向外国商界表明：借由那道门户运营的舒适期正在结束。它也向每一个在国家层面对信息控制有胃口的司法辖区表明：这条曲线的极端一端在技术上是可以做到的。中国不是在做思想实验。它是在跑一个试点。

英国的“检查”

英国的机制是这五种里最微妙的。在 2024 年和 2025 年逐步加速的一系列政策文件中，英国政府把关于加密通信的辩论，从 "backdoor"（后门）移到了 "inspection"（检查）。

"backdoor" 一词输掉了政治辩论。它带有隐蔽访问、无法修补的漏洞以及密码学界一致反对的意味。这一路线撞上了瑞典武装部队的表态：后门“若不引入可能被第三方利用的漏洞和后门，就无法实现”。

"inspection" 则不同。依据《在线安全法》，Ofcom 有权向管辖范围内的服务签发 "technology notices"（技术通知）——这类通知强制其部署 "accredited technology"（经认可的技术）来侦测儿童性虐待材料或恐怖主义内容。具体技术在单独的指引中规定。合规要求是绝对的。"end-to-end encryption"（端到端加密）这一说法在该法中并未出现。

本月，Ofcom 将发布关于技术通知制度的最终指引。指引一旦生效，监管机构就有了机制，可以强制任何管辖范围内的服务——包括加密通信工具——部署在消息被加密之前完成侦测的客户端扫描系统。所谓这“并不破坏加密”的说法在技术上准确，在实质上具有误导性。消息是在被加密之前扫描的，所以传输层加密在数学上仍然成立。而消息也确实被扫描了。

Apple 的先例在同时上演。去年 2 月，在内政部依《调查权力法》签发一份秘密的技术能力通知之后，Apple 从英国用户处撤下了“高级数据保护”。2025 年 9 月，内政部签发了第二份技术能力通知，这一次专门要求获得加密 iCloud 备份的后门访问权。Privacy International、Liberty 以及两名个人申诉人向调查权力法庭提出了挑战。为期七天的听证已排定于 2026 年初。法庭指示英国政府与 Apple 就可在公开庭审中审理的 "assumed facts"（假定事实）达成一致，而不是完全在秘密中进行。

英国走的不是中国那套剧本。它走的是另一套剧本，通向趋同的结果。内容扫描制度不需要国家去拔掉线缆。它只需要法律框架制造出足够的合规风险，让平台自己去部署侦测系统。

欧洲的年龄闸门

距今 21 天，欧盟关于“聊天管控 2.0”——即《儿童性虐待条例》——的三方谈判将在丹麦担任的理事会主席国之下重启。

政治背景很特殊。2026年3月26日，欧洲议会以一票之差否决了“聊天管控 1.0”——这项临时性的电子隐私减损条款，曾给 Google、Meta、Microsoft 和 TikTok 提供了自愿扫描私人消息以查找儿童性虐待材料的法律依据。票数为 311 票反对延期、228 票赞成、92 票弃权。欧洲人民党的议员曾试图强行重新表决，并把决定绕道渔业部长会议处理。领导反对阵营四年之久的德国海盗党欧洲议员 Patrick Breyer 称这一结果是“喜极而泣的历史性一天”。

聊天管控 2.0 是那份永久替代品。1.0 之争的焦点是私人消息能否在未经用户同意的情况下被扫描。2.0 之争的焦点已经转移。理事会立场——它得到丹麦主席国的支持——仍然包含大规模扫描，但新的战场是适用于全部管辖范围内服务的强制年龄验证。

德国加密邮件提供商 Tuta 上个月在一份公开分析中概括了这一转移：聊天管控 2.0 不再强迫平台破坏端到端加密，但它确实要求年龄验证，而这实际上会终结欧洲的匿名在线通信。如果按提案实施，任何管辖范围内的服务——包括通信工具、社交平台和内容服务——都将被要求在允许访问未成年人可能使用的功能之前，先核验每一位用户的年龄。在实践中，规模化的年龄验证需要身份验证。身份验证需要国家或银行关联的证明。而这项证明会被记录下来。

匿名在欧洲就是这样死去的。不是靠禁止它。而是靠在用户每次打开一个应用时都要求它的反面。

5月4日那轮三方谈判是政治交易回合。5月11日是第四轮技术三方谈判。6月29日是最后一轮政治回合。达成协议的目标时间是 7 月。

模式

把这五种机制相互对照，共同的架构就浮现出来。

俄罗斯在平台层封锁 VPN，依赖的是 20 家可识别、并因税收优惠而有合规动机的商业提供商。中国的物理切断，依赖的是三家国有控股运营商，它们的跨境专线是外国企业运营的骨干。美国依据第 702 条的强制，依赖的是少数几家美国电信与互联网公司，其商业存续需要与联邦政府维持监管关系。英国的检查制度，依赖的是那些在英国有法律实体、因而合规风险足以促使其部署客户端扫描的平台。欧洲的年龄验证，依赖的是那些依赖欧盟市场准入的平台。

在每一种情况下，机制之所以奏效，都是因为通信架构中存在一个可被强制的中心化中间人。移除中间人，机制就无物可强制。移除合规关系，执法就没有工具。移除让中间人留在谈判桌前的商业激励，杠杆就失去了着力点。

对其中一种机制足够的防御，对其余几种并不足够。端到端加密防的是服务器层的内容检查。它防不住客户端扫描。它防不住年龄验证制度。它防不住平台层的 VPN 封锁。它防不住国际线路的物理切断。这五种机制中的每一种，都在某种程度上被其所属国家选中，恰恰是因为它不依赖破坏加密——它依赖的是强制那个加密所运行其上的提供商。

共同的防御是架构层面的。一套没有提供商可供强制的通信系统——没有哪一家公司与国家有商业关系，没有哪一台服务器可以被送达技术能力通知，没有哪一根线缆可以被切断，没有哪一个平台可以被命令去验证年龄——就无法被本周所部署的这些机制拆解。强制协助模式假定存在一个可被强制的当事方。架构层面的防御，就是不去当那个当事方。

这不是一个理论观察。洋葱路由流量、点对点中继、网状传输，以及不汇聚到可枚举商业端点的去中心化 VPN 协议，今天在技术上都是可用的。它们尚未部署到足以吸收后续位移的规模——无论是 4月15日俄罗斯的执法、4月22日中国的切断，还是英国技术通知最终的落地。它们在大规模层面上的缺席，正是克里姆林宫只要给 20 家公司寄一封信，就能切断本国 6500 万公民日常通信的原因。

这一周以什么收尾

这五个期限不会在 4月22日之前全部尘埃落定。