← 所有文章

你的手机摄像头能够悄悄撤销的150年前发明

1872年通过的一项法律故意让你的投票无法被证明——你的手机摄像头可以在三秒钟内悄悄撤销150年来的这种保护。

时间是1871年夏天，地点是威斯敏斯特宫。一位名叫乔治·杨恩的苏格兰议员站在议席前为一项几乎没有人真心支持的法案进行辩护。地主们不支持它。许多现任议员也不支持它。因为该法案提议的——在秘密、印刷选票和屏蔽隔间中投票——将摧毁这些人一直依赖的东西：观察人们如何投票的能力，以及据此采取行动的能力。

杨恩的《投票法案》后来成为了《1872年投票法案》。该法案设计摧毁的东西是一个市场。

不是隐喻意义上的市场。而是一个真实的市场——有价格、交易和强制执行。投票是公开的、有记录的、被记在一本书里并可以公开发表。地主、雇主或党代理人可以站在投票所，记录每个人如何投票，然后事后结算账目。该法案引入的秘密不是对选民的礼遇。它是对贿选和恐吓机制的结构性攻击。**没有投票证明，就没有可强制执行的交易。**当商品的交付无法验证时，市场就会崩溃。

这个想法在150年间一直保护着选举。而一部现代智能手机的摄像头可以悄悄地摧毁它。

议会比当今大多数人更了解的机制

1872年之前，英国的投票大致是这样进行的：你走向投票所，大声宣布你的候选人或指向一个名字，职员把它记在书里，然后这本书被公开。整个过程用当时的语言来说，完全是公开的。这也意味着它完全可以被强制。

澳大利亚选举委员会自己对秘密投票的历史记录直言不讳地说：人们"公开投票，这使他们容易受到恐吓和强制"。所谓的"澳大利亚式投票法"——一种统一的、由国家印刷的表格，在私人投票间内标记——正是在1850年代为了打破这种脆弱性而采用的。英国随后在1872年通过了《投票法案》。美国在接下来的几十年里逐州采纳了这一模式。

安全逻辑是优雅的，而且令人惊讶地强大。贿选者需要两样东西：付款和交付证明。秘密制度击败了第二个要素。如果选民无法在事后证明他们按照指示投票，贿选者就在进行一个没有强制执行机制的赌博。交易变得无法强制执行。任何经济学家都会告诉你——无法强制执行的交易往往不会发生。

投票秘密不是关于隐私。它是关于让产品无法被购买。

这就是为什么一部1872年关于纸张和盒子的法律至今仍在每个使用它的民主制度中发挥着沉重的结构性作用。这也是为什么任何恢复可证明性的东西——任何让选民能够向第三方证明其具体选择的东西——都不是一个功能。它是一个安全漏洞。

法庭在2016年明确说出的话

美国第一巡回上诉法院在《Rideout诉Gardner案》，838 F.3d 65（第1巡回法院2016年）中以不寻常的清晰度阐述了这一机制。

该案件涉及新罕布什尔州对投票自拍照的禁令——选民自己标记的选票的照片。该州通过直接追溯历史为禁令辩护：秘密投票改革是为了"打击广泛的贿选和选民恐吓"而采纳的。论证简单而历史准确。标记选票的照片恢复了《投票法案》摧毁的东西：选民向任何人证明他们如何投票的能力。证明就是产品。产品是使市场运作的东西。

法院以《第一修正案》理由推翻了禁令——它没有发现最近的证据表明投票照片确实在新罕布什尔州引发了贿选，并裁定该法令没有经过严格审查。但法院没有对基本机制提出异议。它接受了该州的历史和逻辑。它只是得出结论，在该司法管辖区的那一时刻，危险是理论性的而不是已经证明的。

这个结论可能会在其他地方、其他法庭、其他年份被重新审视。

因为法院在理论上接受的机制在实践中非常活跃——由国际监测员、法院判决和欧洲各地及其他地区的选举观察员记录。

从未关闭的市场

考虑一下国际选举监测员发现了什么，不是在什么遥远的独裁环境中，而是在欧盟成员国。

在保加利亚2023年4月的议会选举中，经合组织/民主制度和人权办公室最终报告记录了"对贿选和受控投票的长期关切"，这些关切"存在并被报告"给了观察团。观察员发现，在他们7%的选举日观察中，投票的秘密性受到了损害。执法部门告诉监测员，获得贿选证据仍然具有挑战性，大多数案件不会超过审前阶段。

最后这句话值得再读一遍。在欧盟成员国，在2023年，贿选是被记录的但基本上是无法起诉的。为什么？因为证明一项交易需要证明某人如何投票。而如果投票是真正秘密的，该证明很难得到。

现在问：如果选民经常拍摄他们标记的选票照片，会发生什么？

在格鲁吉亚2024年10月的议会选举中——是格鲁吉亚这个国家，不是美国的格鲁吉亚州——经合组织/民主制度和人权办公室发现，投票秘密性问题在超过30%的观察中被注意到：由选票如何插入盒中、如何在他人面前标记、以及不充分的投票站布局而受到损害。该观察团发现这些问题"对选举的诚信产生了负面影响，削弱了公众信心"。

30%不是一个边界情况。它是使1872年设计能够运作的保护的结构性失败。

在阿尔巴尼亚2021年议会选举中，民主制度和人权办公室记录了政治党派进行贿选的"广泛"指控。在吉尔吉斯斯坦2017年总统选举中，观察团敦促当局"保证自由和秘密选择的权利"，防止任何形式的对选民披露其投票方式的压力。在北马其顿2025年地方选举中，观察员注意到选举日期间和周围的"选民追踪"，以及贿选和对公共部门员工施压的指控。

选民追踪。这个短语很重要。它意味着有人在记录谁出现了——通常与事先给出的指示相对应，事后应用后果。它是工作场所强制的操作支柱。当选民可以被要求证实其顺从时，它效果最好。

投票自拍照不是一个新奇事物。在某些背景下，它是一张符合性收据。

1872年法案一直试图关闭的具体漏洞

这里有一件关于《投票法案》设计的事情很容易被忽视。它不仅使投票是私人的。它使投票无法被证明——向任何人、以任何方式、为了任何目的，包括选民本人。

这在现代标准下似乎很奇怪。我们习惯于给我们收据的系统。但秘密投票的设计者明白，收据正是贿选者需要的东西。《1872年投票法案》规定了密封的投票箱、保护投票完整性的具体犯罪、以及设计用来确保在具名选民和标记选票之间不能建立任何联系的程序。匿名性是建筑性的，不是附带的。

该法案试图关闭的漏洞是这样的：在开放式系统中，证明自然地从结构中流出。在秘密系统中，证明必须被主动销毁——该机制必须被设计为使证明不可能。

当该机制失败时——因为投票间面向错误的方向、因为选民拍摄他们的选票照片、因为监督员站得太近、因为计票单被看到——市场重新开放。不是到处都是，不是立即，但结构性保护削弱了。

这是由《Erlam及其他人诉Rahman案》[2015] EWHC 1215 (QB)这样的极端情况记录的，其中选举法庭在发现人员冒充、邮寄选票欺诈和贿赂后宣布Tower Hamlets市长选举无效。法庭发现选举被腐败和非法做法所玷污——而一个促成条件是邮寄投票将选票从受控的、秘密的投票站环境转移到了保管链更难以保证的空间。

邮寄投票与投票自拍照不同。但基本问题在结构上是相同的：选票在受保护的空间外旅行，在那里它无法被观察，保护就会破裂。

'秘密'实际的成本——以及它能给你什么

这里存在一个真实的张力，诚实的分析无法掩盖。

投票秘密有真实的成本。它意味着你无法验证你自己的投票是否被计算。它意味着你无法向任何人——法庭、记者、好奇的研究人员——证明你的特定纸张最终被算入总数。这与使选票无法被购买相同的属性，但它也使选票对选民本人是无法被验证的。

这不是设计缺陷。这就是设计。这就是为什么现代投票系统的工程挑战真正困难：你想要一个既秘密又可验证的系统——选民无法向第三方证明其选择，但任何人都可以独立检查整个选举。

这两个要求方向相反。同时满足两者需要比纸质选票更复杂但可能比任何手工审计更强大的密码技术。

与手工重新计票的比较是有启发性的。当格鲁吉亚在2020年进行了大约500万张选票的完整手工计票时，机器计票和手工计票之间的差异约为千分之一——一个紧密的匹配，提供了对结果真正的统计信心。但在密歇根州Antrim县，大约15,700张总统选票的手工计票仍然与机器计票不同，相差大约一打票。十二张票。在一个小县中，错误被发现是因为它荒唐地不可信。

一个接近的种族中的十二张票不是噪音。它是差距。

手工计票是选举验证的黄金标准——它伴随着不可减少的人为错误。它无法解决由几张票决定的问题。它也无法保证选民标记的选票是被审计的选票。秘密保护选民免受强制也意味着没有选民能够追踪他们自己的选票通过盒子、扫描仪和最终计票。

答案不是为了可验证性而放弃秘密。答案是不需要选民证明他们具体投票的可验证性——允许独立数学确认总体结果而不暴露任何个人选择的系统。

秘密单独无法关闭的漏洞

《投票法案》在一个问题上做得很出色——在投票时恐吓和贿选——但它留下了其他问题开放，150年的选举管理一直在解决这些漏洞。

Tower Hamlets案件显示当投票在投票站外旅行时会发生什么：邮寄选票，在不受控制的环境中处理，是秘密最难执行且代理压力最有效的地方。北卡罗来纳州第九国会选区看到了一个协调的缺席选票计划，规模如此之大，以至于州选举委员会在2019年一致命令进行新选举——美国选举历史上的罕见事件。该机制是由能够观察和控制选票如何被标记或填写的特务进行的选票收集和完成。

投票间的秘密如果别人填写你的选票就无法帮助你。

投票自拍照——或在投票间指向屏幕的手机摄像头，或在选票被存入之前拍摄纸质选票的照片——恢复了1872年法案花费如此多努力消除的证明。无论选民是愿意的卖方还是被强制的员工都无关紧要。**重要的是证明存在。**一旦它存在，就可以被要求。

对这个问题的第一代回应——通过反对投票自拍照的法律——仅解决了一个渠道。强制通过许多渠道发生：目睹标记、追踪出席率、拍摄屏幕照片、BMD确认页面的截屏。你无法立法实现结构性解决方案。你需要建筑来通过设计强制秘密。

这就是德国联邦宪法法院在2009年承认的，当时它因为普通公民无法独立验证计数的基本步骤而罢免了电子投票机。不是专家。公民。荷兰得出了类似的结论并回到了纸质。关于公民能够独立验证什么的问题是1872年设计者以相反的方式提出的相同问题：什么可以被证明，由谁，向谁，会有什么后果？

对仍然未解决的诚实回答

《投票法案》创建了一个强制者需要的证明根本不存在的结构。每次秘密失败时，这个结构就被削弱——通过糟糕的投票间布局、在监督下标记的邮寄选票、照片、追踪的出席率、由工作场所监控支持的雇主压力。

这些失败模式都不是新的。大多数为1872年法案的建筑师所知。新的是每个口袋里的手机摄像头，以及照片能够被拍摄、传输和用作符合性证据的便利性。

法律回应——禁止自拍——是对结构性问题的补丁。

结构性回应是一个投票系统，其秘密由其建筑而不是禁令强制：其中选票在进入计数前被匿名化，匿名化是数学上可验证的，任何人都可以进行而无需暴露个人投票，总体结果是独立可检查的，而无需任何选民提供其具体选择的证明。

该系统将使投票自拍照作为强制工具无用，因为没有人可以将选民的照片链接到计票中的选票——即使照片存在。不存在的证明无法被要求。

目前无法独立验证的，你无需信任官员的保证：你的投票是否按照你标记的方式被计算、总体统计是否反映盒子中的实际选票，以及应该使贿选无法强制的秘密保护是否实际在你投票的选举的投票站和邮件系统中运作。

什么会使其可检查：一个开放的、公开可审计的系统，其密码可以被独立检查——不是由代表公众的专家，而是由公众直接进行。这是1872年法案打开的漏洞，而150年的管理没有关闭。

查看这个漏洞如何在不同国家出现 →

阅读可验证性问题的两分钟版本 →

探索经过验证的选举诚信案件的完整数据库 →

来源

查看所有文章探索漏洞