SignalTrace：欧洲出口自己不允许的监控

Tue, 01 Sep 2026 00:00:00 +0000

一辆灰色轿车以每小时 110 公里的速度驶过高速公路的门架。固定在立柱上的摄像头读取车牌、打上时间戳、存入记录。这没什么新鲜：这类装置已经存在二十年，在北美和欧洲都部署了数以万计。

但如果这座门架装上了意大利莱昂纳多集团自 2026 年 6 月起销售的那个模块，它刚刚记录下的就不止车牌了。还有司机的 iPhone。副驾乘客的无线耳机。仪表台上的智能手表。车载音响。手套箱里的联网钥匙扣。四条轮胎的胎压传感器。落在外套里的门禁卡。如果后座上睡着一条狗，还有它的身份芯片。

十来个标识符、一块车牌、一个坐标、一个时刻。在路网的每一座门架上重复一遍，你追踪的就不再是一辆车：你追踪的是人，而且知道他们和谁同行。

这套装置究竟做了什么

产品名为 SignalTrace。由 Leonardo US Cyber and Security Solutions 销售，是 ELSAG 产品线的补充，而 ELSAG 是美国市场上最普及的自动车牌识别设备系列之一。2026 年 6 月 8 日，Joseph Cox 依据厂商的一份产品说明书在 404 Media 上披露了它的存在。

关键之处一句话即可说清：这并不是新增摄像头。SignalTrace 是加装在已有车牌识别设备上的一个射频传感器。立柱不变，位置不变，路边设备的外形也不变。变的是这套设备在听什么。

传感器记录的是车内设备通过蓝牙、Wi-Fi 和 RFID 协议以明文广播的标识符。一个常被误解的技术要点：没有任何设备被入侵，也没有任何漏洞被利用。蓝牙或 Wi-Fi 设备会持续发出发现帧，因为这些协议本就是这样设计的。你的耳机宣告自己的存在，好让手机找到它；手机自己也在向周围空气询问它认识的网络。这些发射在设计上就是公开的，任何在覆盖范围内的接收器都能听到。

莱昂纳多本身也说明，该系统有无车牌识别设备均可运行，包括在室内，并且能识别出车牌被遮挡或拆除的车辆。

真正的政治问题在于加装改造。铺设一张新的摄像头网络会触发表决、审议，有时还有诉讼。而在一个已获批准的机箱里加一块电路板，什么也不会触发。监控能力在没有公共辩论的情况下发生了性质变化，因为在物理上根本没有新东西可看。

从车辆到个人，再从个人到群体

车牌识别设备回答一个问题：这辆车曾在哪里。SignalTrace 又加上两个：车里坐着谁，以及和谁在一起。

莱昂纳多并不讳言，这正是卖点。系统构建出文档中所谓的电子指纹，即一组「经常一同发射」的标识符。厂商的例子很直白：在整座城市里，只有一辆车会同时关联一部 iPhone 13rev2、一台奥迪车载音响、一副 Bose 耳机、一块 Garmin 手表、一个钥匙追踪器和车牌 ABC-1234。

该产品不止于追踪车辆。它自动生成一张人与人之间的关系图谱，而无需任何人提出哪怕最轻微的怀疑。

质变正发生在这里。通过关联那些经常一同出行的设备，系统机械地构建出一张社会关系图。每天早上出现在同一辆车里的两部手机，可能是拼车，也可能是一段双方都不愿公开的关系。同一时间在同一地点捕获的五十台设备，则是一次聚集：一场示威、一次宗教仪式、一场工会会议，或是诊所门口的一列队伍。

这些结论没有一个需要接触通信内容。它们默认从一张邻近关系表中推导出来，覆盖的是全部流动人口，而非指定目标。这是工业化生产的「株连」，发生在任何调查之前。民主与技术中心法务人员 Tom Bowman 在 TechNewsWorld 上总结了这个问题：让这个工具适合追踪真正嫌疑人的特性，同样让它有能力追踪其他所有驾驶者，而这些人无一同意自己的设备被记录。

莱昂纳多提出两点抗辩：系统既不解密也不读取通信内容，而且它本身并不识别个人身份。两句话都属实，也都答非所问。所寻求的情报从来不是内容，而在于位置元数据，它比一条消息更能说明问题。至于身份识别，厂商自己也承认，调查人员可以将一个电子签名与一块车牌关联起来，再通过车辆登记档案追溯到车主。

一套为别的事情写就的美国法律

在美国，规范车牌识别设备的州法确实存在，其中一些对保存期限和访问目的要求严格。但它们全都围绕一个明确对象起草：车牌的图像。没有一部法律预见到同一套设备会去捕获个人设备的标识符。

这种错位并未造成违法，而是造就了一片灰色地带，对卖方更为便利。一个警察部门可以毫不撒谎地主张，其车牌识别项目已获授权且合规，同时在同一制度下收集性质完全不同的数据。莱昂纳多此外还持有联邦合同，来自特种作战司令部和总务管理局，这条采购通道在很大程度上绕开了地方审批。

至于宪法层面的辩论，它刚刚出现了变化，这里必须说准确，因为法律状况在今年夏天发生了改变。2026 年 1 月，弗吉尼亚州一家联邦法院在 Schmidt v. City of Norfolk 案中裁定，该市的 Flock 摄像头网络不构成第四修正案意义上的搜查，理由是它并未覆盖居民的全部出行。该判决正在第四巡回法院上诉，美国公民自由联盟已参与其中。

随后，2026 年 6 月 29 日，最高法院作出 Chatrie v. United States 判决。以五比四，由卡根大法官执笔，判定警方获取手机位置数据构成搜查，个人对这些数据保有合理的隐私期待，即便数据由第三方持有、即便时间跨度很短。该判决延续了 2018 年的 Carpenter v. United States，并削弱了第三方原则，CDT 对此有所指出。

Chatrie 对 SignalTrace 的确切效力尚未定论，声称相反则失之轻率：该判决针对的是向谷歌调取的数据，而非警用传感器在公共空间的直接捕获。但它确立了真正重要的推理，即位置数据的敏感性并不取决于由谁持有。

欧洲问题，才是真正的问题

正是在这里，整件事让欧洲难堪。莱昂纳多不是美国供应商，而是一家在米兰上市的意大利集团，第一大股东是意大利经济和财政部，持股约 30 %，并有权任命董事会多数成员。在这款产品上，意大利国家并不是一个被动股东。

先说技术层面

在欧洲法上，设备标识符属于个人数据。这不是学理观点，而是监管机关一贯的立场。法国国家信息与自由委员会在其关于人流量测量装置的原则中明确将 MAC 地址视为个人数据，并且只在严格条件下允许在公共空间采集：数分钟内完成匿名化且个体之间碰撞率足够高，或者可靠地假名化后二十四小时内销毁，否则同意即成为强制要求。同一原则还指出，让人们关掉 Wi-Fi 并不是一种可接受的反对方式。

欧盟法院于 2025 年 9 月 4 日在 EDPS 诉 SRB 案（C-413/23 P）中明确，假名化数据是否具有个人属性，应以合理可动用的重新识别手段来判断。而这里的持有者是警察机关，掌握着车辆登记档案。重新识别的手段并非假设，就在隔壁办公室。

改变一切的细微差别

写 SignalTrace「在欧洲将是非法的」是错误的，法律背景的读者会立刻发现。主管机关为预防和惩治犯罪目的所进行的处理不适用 GDPR。它适用（欧盟）2016/680 号指令，即所谓警务司法指令，由各成员国分别转化，在法国体现为《信息与自由法》第三编。CNIL 提醒，该制度是自成体系的，有自己的合法性依据和自己的权利。

因此，正确的问题不是抽象的合法性，而是条件。在该制度下，这样一套装置需要有明确的国内法律依据、确定的目的、经证明的必要性、有界限的保存期限、影响评估以及独立监督。在法国，车牌识别设备正是这样规范的：《国内安全法典》第 L233-1 条和第 L233-1-1 条列出了一份可动用这类设备的罪名封闭清单，而保存期限仍属欧盟最短之列，原则上十五天，尽管参议院的一项法律提案试图延长它。

这就是与美国情况的根本差别。在美国，法律规范的是一个对象即车牌，对设备标识符的沉默等于许可。在欧洲，法律规范的是目的和数据类别，这种沉默在缺乏明确法律依据的情况下更接近禁止。大西洋彼岸出现的真空，在这里并不以同样的形式存在。这并非因为欧洲更有德性：它的立法技术是相反的。

那么这种保护价值几何

于是就剩下本文真正要问的问题。当一家由成员国控制的欧洲企业，把一项在自己国内没有新法就无法部署的能力卖到欧洲之外时，欧洲的监管保护还值多少？

这些反驳值得认真对待。制造商不对客户所处的法律框架负责：在自己境内允许什么，由美国当局决定。产品不是卖给独裁政权，而是卖给一个拥有活跃最高法院的法治国家，Chatrie 刚刚就提醒了这一点。产业主权的论据同样正当：如果欧洲集团自我禁绝这些市场，市场就会被以色列、美国或中国供应商占据，监控不会后退一米，而欧洲还会因此失去自己的技术基础。

这些论据可以成立。但它们没有回答问题。

首先，因为欧盟早已承认，出口监控手段并非普通贸易。关于两用物项的（欧盟）2021/821 号条例在第 5 条引入了针对网络监控物项的兜底条款，因为立法者承认，一件制造起来合法的工具，在目的地可能并不正当。它的界限颇具启发：触发条件是存在内部镇压或严重侵犯人权的风险，而这些类别是为威权政权设想的。卖给美国一支市镇警察并不落入其中。欧洲的筛查框架审查的是客户的品行，从不审查所售能力的性质。

其次，因为这样一件产品不是待清的库存，而是一项需要维持的能力：它资助研究、培养工程师、积累技术诀窍并形成装机基础。当有一天一场重大袭击促使某个成员国要求获得这项能力时，辩论将不再关乎是否应当把它造出来。它已经存在，是欧洲的，是成熟的，而它的供应商还带有部分公有属性。「我们只是跟随市场」的说法届时就成了循环论证，因为国内市场正是被出口预先培育出来的。

在这一情形下，监管保护的价值就在于此：它保护欧洲人免于某些用途，却不保护他们免于这些手段的存在。它解决了谁有权按下按钮的问题，而把建造、销售、改进然后等待，留给了产业界。

我们能做什么，同时不自欺欺人

第一个被提到的答案永远是 MAC 地址随机化。它值得一次诚实的审视，既不吹捧也不贬低。它是真实的，而且有效。

Android 自版本 10、iOS 自版本 14 起，默认对 Wi-Fi 使用的 MAC 地址进行随机化，每个网络使用不同地址。在低功耗蓝牙中，现代设备广播的是可解析私有地址，它会周期性变化，只有持有解析密钥的对端才能把它与真实设备对应起来。

它的局限同样真实。

配对会重新打开这扇门。 解析密钥在配对时被传递。已配对或被明确批准的设备，能在轮换地址背后重新找到稳定身份。这套机制本就是为此设计的。
许多物件根本不做随机化。 胎压传感器、RFID 卡、动物身份芯片、车载音响和廉价外设发射的都是固定标识符。莱昂纳多的产品说明书恰好提到了这些类别，这绝非偶然。
随机化可以被关闭。 它是逐个网络关闭的，而且常常出于方便被关掉，比如为了家用路由器上的 MAC 过滤，或者出于企业策略。
群体能挺过标识符的轮换。 这是最不直观也最重要的一点。SignalTrace 找的不是一个标识符，而是一组一同出行的设备。只要群体中有一个成员发射固定标识符，整组就仍然可被归属，无论其他成员多么自律。

最有效的措施依旧是最无聊的那一个：不发射。这意味着要在设置里、在系统层面关闭蓝牙和 Wi-Fi，而不是从快捷面板关闭。这个区别不是表面文章，我们在关于手机持续定位的文章里详细说明过：在大多数消费级系统上，快捷面板的按钮切断的是可见配对，却让软件栈继续存活，邻近分析照常进行。那篇文章把蓝牙扫描描述为一种理论上的途径。SignalTrace 就是它的商业化产品，已列入目录、可供交付。

对结果必须保持诚实：这些措施缩小暴露面，但不会将其归零。车辆终究还有车牌，而车牌终究可读。什么都不发射的唯一办法是什么都不携带，而这不能作为一项公共政策。

这说明了我们的设计选择

在 Arpokrat，正是这一推理让我们选择在 ArpokratOS 的 Core 层面处理蓝牙，而不是在设置层面。界面上的开关是一项用户偏好：一次更新、一个系统应用或一项定位服务都可能绕过它或重新启用它，而用户毫不知情。不存在的协议栈无法被重新启用。

面对 SignalTrace 这类捕获，这显然不会让设备变得无法探测，我们也不作此宣称：手机仍在移动网络上，车内其他物件也在各自发射。它所保证的是，某个特定的发射途径是因构造而不存在，而不是靠信任被关掉。这正是我们在讨论 5G 与法律的瞄错对象时所主张的：法律保护聚焦于对数据的访问，而它本应针对产生这些数据的基础设施本身是否存在。SignalTrace 就是明证，只不过这一次，这套基础设施是在欧洲建造的。

结论

这份案卷中最引人注目的，并不是研究者多年来一直在描述的技术能力。而是部署的方式。

不会有新的摄像头网络需要揭幕，没有市政决议可供质疑，也没有哪份公共合同能被辨认为一次性质上的转变。有的只是加装在现有立柱上的模块，依据现有合同，纳入早已获批的项目。等到公共辩论开启的那一天，基础设施将已经装好、折旧完毕，并融入侦查程序。届时辩论的将是访问一个既存数据库的条件，而绝不会是当初是否应该建立它。

在监控这件事上，这就是惯常的顺序，而且并非偶然。剩下的问题是，当欧洲自己的产业界、背靠欧洲自己的国家，为别人建造这套基础设施时，欧洲是否认为自己有话要说。欧洲法律精心安排了「在我们这里谁可以查阅这些数据」的答案。它从未提出过「谁有权造出这台机器」的问题。

车牌识别 on Arpokrat