澳洲社交媒體最低年齡法案：合理措施的實踐指南

澳洲社交媒體最低年齡法案自2025年12月起生效，將年齡核實推向了新的範疇：受規管平台必須採取合理措施，防止16歲以下人士持有帳戶，並由eSafety專員進行監督。對工程人員而言最關鍵的字眼是「合理措施」，而未曾明言的另一半，是要證明這些措施確實已被執行。

合理措施，以及相應的證據

法例並沒有指定唯一獲批准的方法，而是要求措施與風險相稱，並要求機構能夠為其辯護。落實到實踐層面，即代表系統必須提供兩樣東西：一項真正有效的檢查，以及一份能證明該檢查已被執行的紀錄。

這兩部分都會受到檢視。一項檢查力度再強，如缺乏持久的紀錄支持，也難以自證；而一份可以被悄悄修改的紀錄，根本算不上紀錄。

位置偽裝從何介入

年齡核實往往依賴與連線來源相關的訊號。問題在於，IP地理定位所讀取的僅是表面位置，而VPN可以隨時將其改變。每當某地的年齡規則收緊，VPN的使用率便會上升，因為轉移表面來源正正是VPN所販售的核心功能。

一項可視為合理的措施

1. 檢測來源是否被偽裝，使用VPN偵測、代理伺服器偵測以及Tor出口節點檢查。來源被偽裝本身，即是一個須予以處理的訊號。
2. 審慎作出決定。 對被偽裝的流量採用更嚴格的驗證，並無論如何都要記錄原因。有據可查的決定，勝於默默放行。
3. 封存紀錄。 以事後無法更改的方式儲存每一次檢查結果。

為何防篡改是關鍵所在

假如審計日誌可被編輯，便無法證明檢查發生那一刻的真實情況。雜湊鏈式日誌能解決這個問題：每筆記錄均會將上一筆記錄連同本次內容一併進行雜湊運算，因此篡改歷史紀錄會破壞整條鏈，驗證程序便會發現異常。這正是將「我們保留了日誌」轉化為「我們能證明這些日誌完好無損」的關鍵所在。

Provenance透過一次伺服器端呼叫，將這兩方面整合在一起。它基於支撐我們偵測工具的引擎，識別VPN、代理伺服器及Tor偽裝，套用包括澳洲在內的各司法管轄區政策，並寫入防篡改的雜湊鏈式審計日誌，可匯出作為經簽署的證據。

結論

在社交媒體最低年齡法案之下，僅憑一個能被VPN輕易破解的位置推測，並不能滿足合理措施的要求。識別偽裝、據此採取行動，並保留經得起檢驗的證據。將此項控制措施與年齡核實服務供應商及法律意見結合使用，本文僅為合規措施的實踐說明，並非法律意見。