// coscup_2026 · open_source_first
年齡驗證與網路自由，一定只能二選一嗎？
// thesis · child_safety → legislate()
/* 時間倒錯的證據 */
澳洲《Online Safety Amendment (Social Media Minimum Age) Act 2024》2024 年 12 月獲皇家批准，但負責技術評估的年齡保證技術試驗（Age Assurance Technology Trial）最終報告 2025 年中才出爐——先立法，再測技術。挪威推 15 歲門檻法案時，政府自承「目前沒有完全有效的年齡驗證方案」，仍決定推進。
Free Speech Coalition v. Paxton（2025-06-27，6:3）：最高法院維持德州 HB 1181，多數意見稱年齡證明是執行年齡限制的通常且適當手段；Kagan 等三位大法官的異議警告，這套推理可能適用於遠超色情網站的範圍。判決後州法加速通過，2026 年 7 月已達 27 州（最早是 2023-01 生效的路易斯安那州 Act 440）。
澳洲 AATT 最終報告（2025-09 公布，測 48 家供應商）的結論兩面都要引：「年齡保證可以私密、有效率、有效地做到」，但「沒有單一通用方案適合所有情境」。加州 AB1043（2025-10 簽署）隨即把年齡訊號寫進作業系統層——異議成真的速度比想像快。
// antithesis · compliance → cheapest_path → breach
/* 事件與數字 */
Discord 第三方驗證商 5CA 於 2025 年 10 月遭入侵，約 70,000 張用於年齡申訴的政府證件照外洩；Tea App 2025 年 7 月洩漏 72,000 張圖片（含 1.3 萬張本應審核後刪除的驗證自拍與證件照）；AU10TIX 管理員憑證曝露超過一年。集中式文件上傳架構的固有風險。
英國 2025-07-25 執法後：Proton VPN 註冊數分鐘內 +1,400%、其後數日持續 +1,800%；Ofcom 估每日 VPN 使用者從 65 萬升破 140 萬。Pornhub 稱英國流量 -77%，2026 年 1 月底起停收英國新用戶；路易斯安那州 Aylo 自報 -80%。Discord 在英國用 k-ID 臉部估齡，上線不久就被《死亡擱淺》遊戲照片騙過。
中國防沉迷：2021 嚴格版上路後，PMC 期刊問卷研究顯示約 77% 未成年人借親屬帳號規避。澳洲禁令生效一週移除 470 萬帳號，2026-08 研究仍顯示逾八成 16 歲以下照用——政策有動作，效果另一回事。
// synthesis · prove(age ≥ 18) != reveal(identity)
/* 方案與誠實的限制 */
法國 Arcom 2024-10 發布「雙重匿名」標準：銀行或電信商驗年齡，網站只收到成年與否，中介方也不知道你上了哪個網站。西班牙 Cartera Digital Beta 2024-09 起測試 ZKP 年齡驗證，被選為歐盟 white-label app 的基礎。Google 2025 年開源 ZKP 函式庫 longfellow-zk（可對 ISO mDoc 憑證產生零知識證明，已提交 IETF），整合進 Google Wallet，首發合作是 Bumble；2026 年與德國 Sparkassen 推出歐盟第一個 Google Wallet 年齡驗證。Apple 的 iOS 26 Digital ID 走選擇性揭露（只出示 18+），沒用 ZKP——兩條路線剛好可以對照。W3C Digital Credentials API 已隨 Chrome 141 與 Safari 26 出貨。
限制也要講：Brave 的分析指出，ZKP 讓後續驗證不再洩漏個資，但「第一次」建立年齡憑證時，仍需要一個可信方看到證件。差別在資料曝露的頻率與範圍——一次初始化，對比每次存取都留一筆完整個資。
ISO/IEC 27566-1 明文：取得年齡保證，不必然需要建立完整身分。
// open_source · git clone eu-digital-identity-wallet/av-app
/* 開源的細節 */
歐盟年齡驗證 app（white-label）由 T-Scy 聯盟（Scytáles＋T-Systems）依 EUDI Wallet 架構開發，主 repo 是 GitHub eu-digital-identity-wallet 組織的 av-app-android-wallet-ui，授權 EUPL-1.2——連授權條款都是歐盟自己寫的開源授權。2025-07-14 與法、西、義、希、丹五國啟動試點，後加入賽普勒斯與愛爾蘭成七國；2026-04-15 執委會宣布技術就緒。
正因為開源，批評才有著力點：技術規格要求硬體綁定認證，Android 端依賴 Google Play Integrity，GrapheneOS 這類去 Google 化系統過不了；發證方只發憑證給執委會維護的「合規 app 名單」——「開了源，但社群自建版本用不了真服務」。EDRi 稱整套做法是「大錘打小釘」，epicenter.works 憂慮身分與年齡驗證被綁死。這些批評全部有程式碼與規格可引用，跟對黑盒子喊話完全兩回事；2026-07 也有公民連署反向要求把這個隱私優先 app 定為法定標準。
台灣：數位憑證皮夾 2025-12-17 試營運開放下載，行動 App 2026-04-17 開源；PTT 與 g0v Summit 是 2026 年進行中的公民試驗。
// conclusion · thesis → antithesis → synthesis → autonomy
/* 結構性滑坡的證據，以及台灣 */
加州 AB1043 把年齡驗證從色情網站擴展為作業系統層的年齡訊號，開發者在 app 下載與啟動時就要請求；伊利諾州草案更明言要把年齡驗證「編入數位基礎設施本身」。英國從 Online Safety Act 一路走到 One Login 與 GOV.UK Wallet。基礎設施一旦建成，邊際成本低、投資要回收，新政策自然搭便車。
台灣不是局外人：衛福部預告的《兒童及少年福利與權益保障法》修正草案第 59 條，擬課予平台年齡驗證與限制接取義務；司改會等團體已指出，強制年齡驗證等於管制所有使用者，實質走向網路實名制。這波國際經驗的正反兩面，正好是台灣現在要用的。
反過來，設計也能約束滑坡：法國雙重匿名在架構上就難以改造成追蹤工具；韓國遊戲宵禁 2011 年實施、2021 年廢除，證明政策可逆。「可問責不需要以實名為前提」——年齡驗證需要的只是屬性證明，四種公民證明裡最輕的一種。
「可問責不需要以實名為前提」——公民證明四型：法律身分／屬性證明／唯一性證明／假名式參與，年齡驗證只需要第二種。
// return