← 所有文章

纸片在盒子里如何结束了一个世纪的公开贿选

密封盒子里的一张纸结束了一个世纪的公开贿选——现在手机摄像头正在悄悄地破坏这张纸原本设计要防止的一切。

时间来到1871年夏天，在一个英格兰集镇上，一位地主正在观看他的佃农们经过投票站。他知道他们如何投票。他一直都知道。投票是大声宣布的，记录在书中，然后书被公开发表。如果佃农投了"错误的"一票，地主会在喝茶前就得到消息。租约续期会进展得很糟。收获合同消失。没有秘密可以保护——因此根本没有保护。

议会已经观察这种情况发生了数十年。一系列改革法案扩大了谁可以投票的范围。但都没有解决最严重的问题：一张你必须在公众场合宣布的选票，是一张可以被支付或威胁来投出的选票。

一部法案改变了一切。

1872年《秘密投票法》的机制

1872年7月18日，《秘密投票法1872》(35 & 36 Vict. c. 33)获得了皇家批准。其长标题很官僚——《关于修订议会和市政选举程序法律的法案》——但其运作机制是革命性的。

选民现在收到一份官方印制的选票。他们进入一个私人隔间。他们在没有人监视的情况下标记他们的选择。纸张进入一个密封的投票箱。投票箱只由授权官员在计票时打开。

那份发表在公众面前的选票簿——那份记录谁为谁投票的公开分类账——消失了。

该法案从机制层面理解到的东西，是任何道德讲述都无法实现的：贿选和胁迫是交易，每笔交易都需要收据。支付佃农一先令换取一票的地主需要知道那一票已被交付。威胁解雇的雇主需要能够检查雇员的服从情况。如果取消交付的证明，市场就会崩溃。你可以给选民一先令，但你无法验证他们在那个私人隔间里做了什么。这笔赌注是无法强制执行的。

这不是对选民的礼遇。这是一项建筑决策——一项内置于物理过程中的安全功能，使整个类别的攻击在结构上变得不可能。

这种模式传播开来。被称为《澳大利亚选票》的东西——一种统一的、国家印制的、在私人场所标记的纸张——早在1856年就在维多利亚州开创了，原因相同：公开投票让人"容易受到威胁和胁迫"。到19世纪末，大多数民主国家都采取了某种形式。他们不是在复制一种礼遇。他们是在复制一种反对胁迫的武器。

密封盒子里的选票就是这样的武器。大约150年来，它发挥了作用。

为什么盒子有效——盒子做不了什么

理解秘密投票实际上保证了什么，因为这对接下来的一切都很重要。

它保证了不可关联性。你的身份记录在登记册上——你签到了，你收到了选票，你的名字被划掉了——但从你进入隔间的那一刻起，没有人能将你与你的投票联系起来。标记的纸张和标记它的人在法律上被分开了。这正是全部要点。

密封的投票箱还提供了其他东西：一个耐用的物理记录。计票后，选票被保留。如果结果受到质疑，证据存在。你可以打开盒子重新计票。纸张就是审计跟踪。

这两种不同的安全特性——而且它们在不同的方向上拉动。

秘密性意味着没有人能证明你如何投票。

可验证性意味着有人可以检查计票是否正确。

密封的纸质选票在特定的物理条件下提供了两者：隔间确实是私密的，盒子确实是密封的，从隔间到计票的监管链确实是完整的。

破坏任何条件，一个或两个属性就会崩溃。奥地利宪法法院2016年对总统决选的撤销说明了可验证性方面：大约77,000份邮寄选票信封被提前打开且由未授权人员打开，这个数字超过了30,000票的获胜差距。法院没有发现欺诈。它无论如何都撤销了选举——因为一条监管链在可能影响结果的数字上被破坏，就是一条在确实破坏了可验证性的链。那些投票如何到达的证据无法被信任。

奥地利案件是关于盒子的可验证性方面失效。手机带来的现代威胁是关于秘密性方面失效。一旦秘密性失效，投票市场就会重新开放。

阿尔巴尼亚、格鲁吉亚和证明这不是历史的现场证据

如果在民意调查中观看佃农的地主感觉像是狄更斯小说，考虑国际观察员在2021年写下了什么。

欧洲安全与合作组织的选举监督机构——世界上最谨慎、最不党派的机构之一——发表了其关于2021年4月25日阿尔巴尼亚议会选举的最终报告。它记录了"政党买票的指控在竞选期间很普遍，导致多项调查"。它发现了"国家资源的滥用和对选民的压力"。在其建议中：保障自由和秘密投票的权利，以及"防止任何形式的压力促使选民披露他们是否以及如何投票"。

防止选民披露他们如何投票。这是在二十一世纪民主国家中开出的十九世纪补救方案。

三年后，同一机构查看了2024年10月26日格鲁吉亚议会选举，发现了更糟的情况。观察员在他们的观察中记录了*24%*由于选票如何被放入盒子而导致的选票秘密的"潜在威胁"，*12%由于选民如何标记他们的选票，以及7%*由于投票站布局不足。标题：在超过30%的观察中发现了投票秘密的问题。该任务得出结论，这些问题"负面影响了选举的完整性并削弱了公众信任"。

30%。不是30%的欺诈。30%的被观察时刻，在这些时刻选民的选择是的，或看起来可能是被其他人观察到的。那个应该使胁迫在结构上变得不可能的建筑在结构上正在失效——不是因为法律不好，而是因为物理过程无法强制执行法律要求的东西。

这并不局限于西欧以外的国家。欧洲安全与合作组织的2023年关于保加利亚的报告——一个完整的欧盟成员国——记录了"长期以来对买票和受控投票的担忧"，发现秘密在其选举日观察中的7%被破坏，并指出执法机构告诉该任务"获得买票的证据仍然具有挑战性，大多数案件都不会超过审前阶段"。

交易仍然存在。收据就是更难收集。

手机摄像头是新的选票簿

现在加上一部智能手机。

2016年，美国联邦上诉法院被要求决定选民是否可以拍摄他们自己标记的选票。新罕布什尔州禁止了选票自拍。该州在Rideout v. Gardner, 838 F.3d 65 (1st Cir. 2016)中审查的辩护很准确：秘密投票改革被采用是为了"对抗广泛的买票和选民威胁"，这些做法取决于买家或胁迫者能够验证投票。标记的选票的照片让选民能够证明——向第三方、按需、精确地——他们完全如何投票。

法院以第一修正案为理由驳回了禁令，发现最近没有证据表明选票照片实际上推进了该州的买票。

但注意法院没有争议的地方。它完全接受了这种机制。**你标记的选票的照片在功能上是你投票的收据。**法院与新罕布什尔州的分歧是关于在当前事实下，那张收据是否正在被兑现——不是关于如果有人想使用它，收据是否可以被那样使用。

这是手机摄像头打开的理论之门。而这是一扇已经在实践中被推动的门。

欧洲安全与合作组织的2017年关于吉尔吉斯斯坦的报告建议当局"防止任何形式的压力促使选民披露他们如何投票"。2025年关于北马其顿的报告标记了"选举日期间及周围的选民追踪"——组织记录谁投票并跟进以验证合规。在一个选民可以被要求发送他们标记的选票的照片以确认交付的环境中，手机摄像头不是无害的新奇事物。它是地主的分类账，微型化。

刑事处罚有助于边际。法院可以驳回或维持自拍禁令。但起诉需要证据，证据很难收集，而且——正如保加利亚执法部门告诉欧洲安全与合作组织的——大多数案件从未超过审前阶段。刑法对于本质上是建筑性的问题来说是一个缓慢而泄漏的桶。

1872年《秘密投票法》没有通过使买票更加非法来解决它。公开贿选已经是非法的。它通过使验证变得不可能来解决它。移除验证机制，通过摄像头、通过允许选民证明他们选择的选票设计、通过不充分的隔间筛选，不合法就变得无法强制执行。恢复验证机制——通过摄像头、通过允许选民证明他们选择的选票设计、通过不充分的隔间筛选——市场会重新开放。

更困难的问题：邮寄投票、远程投票和电话启用投票

投票超出私人隔间的每项扩展都重新引入了验证风险。隔间不是不便。它是安全周边。

2015年Tower Hamlets选举法庭部分因邮寄投票欺诈和贿选而认定伦敦市长选举无效——这些做法在选票离开投票站的受控环境时恰好兴盛。邮寄投票将选票移至厨房桌子、工作场所、地主的前厅、任何选民可以被观看、帮助或压力的地方。密封的隔间消失。秘密保证现在是程序性和法律性的，而不是物理性的。

2018年北卡罗来纳州第9区产生了美国众议院选举因欺诈而被撤销的罕见结果——基于一个涉及由竞选代理人收集和处理的缺席选票的计划。选民与投票箱之间的监管链已被破坏。在调查和起诉后的修复是一次新的选举。

新选举很昂贵。它们具有破坏性。它们是一个其预防性建筑失效的系统的最后手段。

网络投票完全消除了隔间，让选民使用他们的手机或笔记本电脑，这可能被监控、截图，并用来产生一张投票的证明，买家或胁迫者可以随后验证。挪威网络投票试验——在2011年和2013年运行——在2014年被中止。该部委的结论：无法保证投票不会被改变的信任，而且便利性没有提供承诺的投票率提升。挪威安静地放弃了一个无法保证1872年选票箱通过物理设计保证的东西的系统。

这都不是反对投票便利的论证。它是关于精确什么隔间实际做的以及在任何系统中必须保留什么来替代它的论证。

"选票不是真正秘密"真正意味着什么——谁付出代价

当国际观察员写道选票秘密在24%的投票站访问中被破坏时，他们不是在描述法律技术细节。他们正在描述一个市场，其中买家或胁迫者可以合理可靠地验证购买或被胁迫投票的交付。他们正在描述一个其差距可能由自由选择而非被验证的交易产生的选举。

这是任何官方声明都无法达到的不舒服的结论：你无法验证一个无法保证个别投票秘密的选举的完整性，因为胁迫和买票正好在紧密竞争的差距处运作。

修复不能限于训练投票工作人员更好地定位屏幕，尽管这有帮助。它不能限于起诉被抓到的那些，尽管那很重要。持久的修复与1872年《秘密投票法》达到的相同：设计过程使验证在结构上变得不可能。

这意味着具有真正视觉隔离的物理隔间。它意味着在任何其他人看到纸张之前打破人与纸张之间联系的选票处理。它意味着诚实处理其风险的邮寄和远程投票框架，并建立补偿性技术控制——包括，其中风险值得，拒绝便利以支持安全。

并且——这个要点连接到选举技术中的每个其他问题——它意味着选区级别、机器可读的结果在它们最终时立即发表，所以任何人都可以检查汇总计数，即使个别选票必须保持秘密。**秘密性和可验证性不是对立面。它们是一个设计良好的系统同时提供的两个独立保证。**牺牲要么其中之一，你就回到了1871年，希望地主不在看。

在大多数司法管辖区，你或任何人仍然无法检查的东西：

  • 你投票的隔间是否从房间其他每个人的角度都是视觉上隔离的。
  • 你标记的选票纸张在你折叠它时是否可能被看到。
  • 运行那个投票站的人是否有关于物理秘密的完整和文档化检查清单，由独立观察员检查和签署。
  • 那个选区中的任何选民是否被定位在筛选区域外的某人拍摄投票。

所有这些都不在官方结果报告中。都无法在事后重建。隔间中的物理时刻，根据设计，是未记录的——这正是应该的样子。但未记录也意味着无法检查。无法检查意味着你一次又一次地扩展信任。

1871年的地主知道他的佃农如何投票，因为过程让他找出。选票箱夺走了那个。关于当今每种投票安排的值得提出的问题很简单：**这个设计是否使有人能够找出我如何投票？**如果答案是是的——如果摄像头、邮寄安排、不充分的筛选隔间或在线系统将那个可能性交给任何人——那么我们不是在1872年的基础上建造。我们正在拆解它。

在/simple阅读这个论证的两分钟版本。在我们的全球映射中查看"选票不是真正秘密"的差距在不同国家中出现的位置/atlas。完整的差距指数在/gaps。

来源

查看所有文章探索漏洞