摘要

  • IAB 8 月 24 日的声明认为，在当前成熟度下，由设备传递、仅披露必要结果且不可跨站关联的年龄信号，是最有希望的方向；这不是可以立即铺开的成品，也不是法律合规证书。
  • 共用设备暴露的是独立的绑定问题：年龄建立、账户状态、设备配置、浏览器会话和网站询问可能各自无误，最终答案却属于另一位家庭成员。

“少说”不等于“说对了人”

开篇场景是假设性失效，不是对真实事故的报道。它把两个容易被混为一谈的目标拆开：最小披露决定网站看见多少信息，当前使用者绑定决定答案描述谁。前者可以做得很好，后者仍然可能失败。

只返回“超过十八岁”，通常比交出出生日期、证件扫描件或可复用身份号码更保护隐私。这个设计方向值得保留。但最小化只缩小披露面，不会自动确认此刻是谁拿着设备，也不会确认浏览器是否仍处于正确的本地配置中。

个人手机常被默认成“设备、账户、使用者”三者一致。家庭平板、学校电脑、借来的手机和客厅游戏机都能打破这种默认。成年人可能正确完成年龄建立，操作系统可能正确保存结果，浏览器也可能按接口发问；如果孩子继承了成年人会话，所有组件都能留下正常记录，而政策结果仍然错误。

因此，审计不能只问“信号是否有效”，还必须问“它有效地描述了哪个主体、哪个本地环境和哪个时刻”。

IAB 给出的是受约束方向

互联网架构委员会在 2026 年 8 月 24 日发布《基于年龄的限制与网络安全声明》。声明先承认保护儿童这一共同目标，再说明常见实施路径可能改变互联网架构。

集中式第三方年龄服务会形成敏感数据高价值目标；让每个网站收集身份会扩大隐私和身份盗用风险；网络封锁会给加密和流量可见性带来压力；规避行为可能把用户推向不可信 VPN、共享或伪造凭证及灰色应用。少数设备平台还可能获得对可靠性、竞争和数字主权的额外控制，不同国家各自设计封闭机制则会加剧网络碎片化。

声明据此提出一组性质：年龄结果应当用途明确且披露最少；不汇报用户活动，不形成跨站关联；负责建立年龄的一方不应知道用户访问哪些网站；不建设集中活动数据库；减少负担和排斥；接口应开放、可互操作，并经过多利益相关方讨论。

IAB 认为，按目前成熟度，设备侧方案“原则上”最有希望。限定词不能省略。声明同时指出，设备方案不会消除最初建立年龄的需求，设备和操作系统厂商会获得显著影响力，成功还依赖任何设备、操作系统或浏览器都能实现的开放接口。它更直接要求：共用设备必须有可靠的多用户支持。

这些不是脚注，而是判断一项部署是否仍符合原始方向的边界。

RFC 9998 把责任链拆开

2026 年 6 月发布的 RFC 9998 记录了年龄保证与互联网研讨会。它属于 IAB 信息性文档，并明确提醒：研讨会意见不必然代表 IAB 或 W3C，收录不等于验证，也不等于形成共识。

文档区分验证者、执行者、策略选择者和内容评级者。年龄保证则是总称，包含验证、估计和推断。凭证可能不存在、无法取得或不被识别；估计会产生误接纳和误拒绝；推断会因数据不足或行为代理失真而失败。年龄区间比精确年龄少披露信息，但区间仍要绑定明确主体。

零知识证明和选择性披露能限制网站得到的数据，却不能阻止凭证共享、规避和审查，也可能把软件信任集中到少数实现。证明只能严格回答被编码的问题。如果系统在生成证明之前选择了错误的本地配置，数学正确性不会替换那次选择。

一枚门槛信号经过六层权力

第一层是年龄建立者：把证据或估计连接到人、账户或设备环境。第二层是账户系统：决定结论存在哪里。第三层是设备：决定哪个本地配置正在活动。第四层是浏览器或应用：决定读取哪个环境，以及休眠、恢复和切换后如何延续。第五层是网站：在某项策略下请求某个门槛。第六层是法律或机构权威：决定该门槛、方法和救济是否满足适用规则。

任何一方都不能自然继承整条链的权力。证件签发者不知道后来是谁拿起平板；设备厂商不应替网站选择司法辖区；浏览器不应发明法律门槛；网站若读取全部本地身份又会破坏最小披露；监管者可以要求结果，却未必拥有单次请求是否正确绑定的技术证据。

可执行的设计至少要说明：断言主体、配置选择事件、会话边界、有效期、请求来源、门槛含义、用户在场证据和纠错路径。还要写清休眠唤醒、应用切换、账户切换、访客模式、家长覆盖与离线状态。设备“存有成年人结论”不等于当前会话“获准使用该结论”。

开放接口会重新分配权力

开放接口能阻止单一平台用私有协议控制所有网站，也能让独立浏览器和操作系统实现同类请求。网站可以只询问必要门槛，不必收集整套身份。

但设备或操作系统仍掌握本地配置、安全存储、用户在场信号、更新策略和接口可用性。这种权力不会因接口公开而消失。真正的互操作性要回答：独立浏览器能否得到同等级别的信号；实现者是否必须加入某家厂商的身份服务；误判未成年时能否申诉而不向每个网站交出完整身份；不同司法辖区能否表达规则而不把国家法律固化进全球接口。

如果这些问题没有可测试答案，“开放”可能只是进入私有依赖的一扇公开入口。

结果型规则为纠错保留空间

IAB 倾向结果型要求，而不是在技术仍年轻时指定唯一机制。这不意味着降低问责，而是让监管要求儿童安全结果、隐私上限、独立评估、可达的申诉和事故报告，同时不把一种凭证格式或设备服务永久写入法律。

过早锁定机制会造成路径依赖。合规投入、供应商合同和预装软件让修正绑定问题越来越昂贵。届时，组织的激励可能从“检查对了人吗”滑向“规定的框打勾了吗”。

来源