歐盟“聊天控制”：CSAM 掃描法律提案引爭議
歐盟在嚴格的隱私法領域一直享有盛譽。但一項打擊兒童虐待的立法計劃——該聯盟早在2022 年 5 月就已正式提出——有可能降低數億區域即時通訊應用用戶的隱私和安全。
起草該提案的歐盟立法機構歐盟委員會將其表述爲一項旨在通過打擊虐待兒童者濫用主流技術工具來保護兒童在線權利的計劃，並稱這些虐待者越來越多地使用即時通訊應用來傳播兒童性虐待材料（CSAM），甚至獲取新的受害者。
或許是由於來自兒童安全技術部門的遊說，歐盟所採取的方法屬於技術解決主義。委員會的倡議側重於規範數字服務——主要是即時通訊應用——通過法律規定它們有責任使用技術工具掃描用戶的通信，以檢測和報告非法活動。
多年來，主流即時通訊應用在歐盟的電子隱私規則（關乎數字通信的保密性）方面一直享有臨時豁免——根據其上次延期，該豁免持續至 2025 年 5 月——所以在某些情況下，它們能夠自願掃描人們的通信來查找 CSAM。
然而，兒童虐待法規將確立永久性規則，實質上要求在整個歐盟範圍內開展基於人工智能的內容掃描。
該提案的批評者認爲，這會致使即時通訊平臺默認被迫運用不完善的技術掃描用戶的私人通信——給人們的隱私造成可怕的後果。他們還警告說，這使歐盟與強加密發生衝突，因爲該法律將迫使端到端加密（E2EE）應用降低其安全性，以符合內容篩選要求。
對該提案的擔憂如此之甚，以至於歐盟自身的數據保護監管機構去年警告稱，這代表着民主權利的一個轉折點。根據一份評估的泄露內容，向歐洲理事會提供的法律諮詢服務也認爲它與歐盟法律不相符。歐盟法律確實禁止施加一般性的監控義務，因此如果該法律通過，幾乎肯定會面臨法律挑戰。
截至目前，歐盟的共同立法者仍未能就該文件的前行方向達成一致。但該法律草案仍在生效——連同它所帶來的所有風險。
委員會的原始提案包含一項要求，即平臺一旦收到檢測命令，不僅必須掃描已知的 CSAM（即先前已識別並進行哈希處理以進行檢測的兒童虐待圖像），還必須掃描未知的 CSAM（即新的虐待圖像）。這將進一步加大以高精度和低誤報率檢測非法內容的技術挑戰。
委員會提案中的另一個部分要求平臺能夠實時識別誘騙活動。
這意味着，除了掃描上傳的圖像來查找兒童性虐待材料（CSAM）外，應用程序還得能夠解析用戶通信的內容，從而試圖弄清楚成年用戶何時可能試圖引誘未成年人進行性活動。
使用自動化工具來檢測應用程序用戶之間一般交互中可能預示未來濫用行爲的跡象，這表明存在很大誤讀無辜聊天的可能性。
反對該提案的人表示，總體而言，委員會廣泛的 CSAM 檢測要求會將主流消息平臺變成大規模監控工具。
“聊天控制”是他們想出來的主要稱呼，涵蓋了對歐盟通過一項要求全面掃描公民數字消息（包括篩選人們所發送的文本交流）這一法律的擔憂。
委員會最初有關打擊兒童性虐待的法規提案，也未將端到端加密（E2EE）平臺排除在 CSAM 檢測要求的範圍之外。
很顯然，由於使用 E2EE 意味着這類平臺無法訪問用戶通信的可讀版本——因爲它們不持有加密密鑰——要是法律要求安全消息服務去理解它們看不到的內容，這些平臺就會面臨特定的合規問題。
所以，歐盟計劃的批評者警告稱，該法律會迫使 E2EE 消息平臺通過實施像客戶端掃描這類風險技術作爲合規措施，從而降低其提供的旗艦安全保護。
委員會的提案未提及平臺應部署用於 CSAM 檢測的特定技術。相關決策被轉交給法律將設立的歐盟打擊兒童性虐待中心。但 專家預測 ，它很可能會被用於強制採用客戶端掃描。
另一種可能性是，已經實施了強大加密的平臺或許會選擇徹底從該地區撤回其服務；比如，Signal Messenger 就已經 此前警告稱將離開某個市場 ，而不是被法律強迫去損害用戶安全。這種情況可能會導致歐盟的民衆無法使用採用黃金標準 E2EE 安全協議來保護數字通信的主流應用程序，像 Signal、Meta 旗下的 WhatsApp 或者蘋果的 iMessage ，這裡僅列舉三個。
該提案的反對者聲稱，歐盟所起草的所有措施均無法達成防止兒童受虐的預期成效。
相反，他們預計這會給應用程序用戶帶來可怕的連鎖反應，原因是數百萬歐洲人的私人通信將暴露於不完善的掃描算法之中。
他們覺得，這反過來很可能引發衆多誤報；數百萬無辜之人或許會被錯誤地牽扯進可疑活動裡，給執法部門增添大量虛假報告的負擔。
歐盟提案所構想的系統需要定期把公民的私人信息透露給第三方，而這些第三方會參與覈查平臺檢測系統發給他們的可疑內容報告。
所以，即便某一特定的被標記內容在報告鏈的早期階段被認定爲不可疑，最終未被轉發給執法部門展開調查，可它依然必定會被髮送者和預期接收者之外的其他人查看。通信隱私，就此拜拜啦！
確保從其他平臺竊取來的個人通信的安全，也會形成一個持續的安全難題，如果參與處理內容報告的任何第三方安全舉措不當，所報告的內容或許會進一步被曝光。
人們使用端到端加密是有緣由的，不讓一堆中間人觸及你的數據就是其中之一。
通常來講，歐盟的立法屬於三方事務，由歐盟委員會提出立法，其共同立法者，也就是歐洲議會和理事會，與歐盟的行政部門合作，試圖達成一個他們全都能認可的妥協方案。
然而，就虐待兒童法規而言，歐盟各機構迄今對該提案持有截然不同的看法。
一年前，歐洲議會的議員們通過建議對歐盟委員會的提案進行重大修訂，確定了他們的談判立場。來自各個政治派別的議員支持大幅修改，旨在降低權利風險——包括支持完全免除端到端加密平臺的掃描要求。
他們還提議對掃描加以限制，以使其更具針對性：增加一項規定，即篩查應僅針對涉嫌兒童性虐待的個人或羣體的信息來進行——也就是說，法律不應在平臺收到檢測令後對所有用戶進行全面掃描。
歐洲議會議員支持的另一項修改把檢測範圍限制在已知和未知的兒童性虐待材料上，取消了要求平臺通過篩選基於文本的交流來發現誘騙行爲這一規定。
議會的提案版本還推動包含其他類型的措施，例如要求平臺默認把個人資料設置爲非公開，以提升用戶隱私保護水平，降低未成年人被掠奪性成年人發現的風險。
總體而言，歐洲議會議員的方法看上去比委員會的原始提案要平衡得多。然而，自那以後，歐盟選舉改變了議會的構成。新當選的歐洲議會議員的觀點不太清晰。
還有一個問題是，由成員國政府代表組成的歐洲理事會將會如何行事。它尚未就該文件達成談判授權，這便是與議會的討論無法開啓的原因。
去年，理事會無視歐洲議會議員的請求，不認可他們的妥協。相反，成員國似乎更傾向於接近委員會“掃描一切”的原始立場。但在如何推進這件事上，成員國之間也存在分歧。截至目前，有足夠多的國家反對理事會主席提出的妥協文本，因而無法達成授權。
在理事會討論期間泄露的提案顯示，成員國政府仍在試圖保留全面掃描內容的能力。但 2024 年 5 月的一份妥協文本試圖對這一表述進行調整——委婉地將對消息平臺的法律要求描述爲“上傳審覈”。
這引發了 Signal 總裁梅雷迪思·惠特克（Meredith Whittaker）的公開介入，她指責歐盟立法者沉迷於“言辭遊戲”，企圖爭取對大規模掃描公民通信的支持。她鄭重警告，這會“從根本上破壞加密”。
當時泄露給媒體的文本還< a href="#" rel="noreferrer noopener nofollow">據報提議，可以要求即時通訊應用程序用戶同意對其內容進行掃描。然而，不同意掃描的用戶，其應用程序的關鍵功能會被禁用，這就意味着他們沒法發送圖像或網址。
在這種情況下，歐盟的即時通訊應用程序用戶基本上會被迫在保護隱私還是擁有現代即時通訊應用程序體驗之間做選擇。任何選擇隱私的人都會被降級爲只有文本和音頻的基本傻瓜手機式功能集。沒錯，這確實是地區立法者一直琢磨的事兒。
最近有跡象顯示，理事會內部推動對公民信息進行大規模監控的支持或許在減少。本月早些時候，Netzpolitik 報道了荷蘭政府的一項聲明< a href="#" rel="noreferrer noopener nofollow">說其將對另一項調整後的妥協方案棄權，理由是對端到端加密（E2EE）的影響以及客戶端掃描帶來的安全風險感到擔憂。
本月早些時候，關於該法規的討論也< a href="#" rel="noreferrer noopener nofollow">從另一個理事會議程中撤了回來，顯然是由於缺乏合格的多數票。
但仍有好多歐盟國家繼續支持歐盟委員會推動全面信息掃描。而現任匈牙利理事會主席國好像致力於繼續努力尋找妥協方案。因此，風險並未消失。
成員國仍有可能達成一個提案版本，足以讓其政府滿意，從而爲跟歐洲議會議員進行談判打開大門，這會讓一切在歐盟的閉門三方討論過程中都充滿變數。所以，歐洲公民的權利——還有歐盟作爲隱私捍衛者的聲譽——所面臨的風險依舊很高。
© 2024 TechCrunch. 保留所有權利。僅供個人使用。