← 所有文章2026年11月7日

无法改变结果的审计是一场仪式

美国历史上最受称赞的两次选举审计都无法改变哪怕一个结果。这不是优点——这是一场认罪。

2007年12月8日早晨，一份报告刚刚摆上俄亥俄州国务卿詹妮弗·布伦纳的办公桌。宾夕法尼亚州立大学、宾夕法尼亚大学和WebWise Security公司的团队花了九周时间工作——这些团队拿到了俄亥俄州投票系统的实际源代码和设备。他们的结论，适用于他们研究的每个系统，毫不含糊。

所有被研究的系统都存在严重的安全故障，其技术控制不足以保证可信赖的选举。

不是部分。是全部。EVEREST报告——《选举相关设备、标准和测试的评估与验证》——记录了共同的故障：软件无法阻止的内部攻击、密码学应用不当、可被那些应该被监控的人伪造或删除的审计日志。就ES&S系统而言，该报告指出它从未获得过详细的源代码和红队安全审查。

俄亥俄州的选举一直在这些机器上运行。而那些本应发现这些机器问题的审计？在全州每个县，它们都是不具约束力的。无论审计发现了什么，计数结果都保持不变。

这就是本文所讨论的差距。

"不具约束力的审计"实际意味着什么

无法改变结果的审计不是保障措施。它是一场仪式。

"审计"这个词分量很重。它意味着审视、问责、纠正的可能性。我们在财务中使用它是因为失败的审计会阻止一些事情——它可以使一份账目作废、引发重述、结束一个职业生涯。当选举官员说"我们进行了选后审计"时，大多数人会假设他们指的是同样的事情。通常，他们不是。

**不具约束力的审计是对计数的观察，没有任何约束力。**它可能会发现差异。它会提交一份报告。经过认证的结果仍然是经过认证的。

在大多数美国司法管辖区——以及世界各地许多民主国家——没有自动的、预先定义的门槛，在审计差异达到这个门槛时会触发纠正，更不用说重新投票了。发现被记录在文件中。文件被放在文件夹里。赢家就职。

这不是假设的问题。俄亥俄州EVEREST审查——一次独立的、源代码级别的、对抗性的安全分析——在它检查的每个系统中都发现了严重故障。它根据俄亥俄州《公共记录法》向公众发布。俄亥俄州继续使用这些系统。EVEREST最终报告明确表示可信赖的审计本身已被破坏，日志"通常可被它们应该监控的人伪造或删除"。建立在可伪造日志上的审计不是审计。它是文书工作。

我们在这里跟踪这类结构性差距——

值得并排研究的两次审计

如果你想理解真正的审计与众不同之处，从两个美国例子开始，这两个例子确实值得检查——不是因为它们证明选举被盗，而是因为它们准确说明了"审计"这个词在有约束力时意味着什么，以及它本身仍然无法证明什么。

**科罗拉多州，2017年。**在11月选举后，科罗拉多州成为美国第一个完成全州风险限制审计（RLA）的州。设计在数学上很具体：不是检查固定百分比的选票，而是根据比赛的接近程度来调整样本量。一个相差1%的竞争需要远比相差20%的竞争更多手工检查的选票来达到统计置信度。科罗拉多州最初设定9%的风险限制，后来将其收紧至3%，意味着最多有3%的概率审计会认证一个错误的赢家。科罗拉多州国务卿在2017年11月22日宣布完成。这不是重新计票。这是一个统计测试，有定义的置信水平，基于手工检查的纸质选票。

**佐治亚州，2020年。**当总统投票在佐治亚州的差距约为11,000票（总共接近500万张投票），该州的第一次全州RLA必须变成更大的东西。因为差距如此之小，统计要求意味着审计基本上每一张选票。所以佐治亚州做到了：159个县、41,881个批次，在不到六天内约500万张总统选票由人眼手工统计。结果与机器计数不同约百分之一的十分之一——在人工计票可变性的范围内。佐治亚州公共广播电台在2020年11月19日报告了确认。

从任何角度衡量，这两个都比抽查更认真。值得问的问题是它们仍然无法做什么——以及在既不做这个也不做那个的几十个州中会发生什么。

"我们检查了"和"你可以验证"之间的差距

这是科罗拉多州和佐治亚州审计与其他每次选后审计共享的地方：**它们由管理选举的同一官员进行。**外部观察员可以观看。候选人可以派代表。但基本行为——拉出选票、运行计数、报告总数——发生在政府流程内，由政府雇员控制，由政府记录记录。

这不是阴谋。这是关于信任如何流动的结构性观察。

德国联邦宪法法院在2009年明确表示，当它判定电子投票机不符合民主合法性标准时：投票和确定结果的基本步骤必须能被公民不需要专业知识进行检查。《德国联邦宪法法院》在2 BvC 3/07和2 BvC 4/07案中的裁决是关于计算机的——但其逻辑直接延伸到审计。一个你无法独立验证的流程不是可验证的流程，无论它被称为什么。

荷兰在2007年也走到了类似的地方，当时政府自己的咨询委员会发布了《用信心投票》(Stemmen met vertrouwen)，得出透明度和可检查性(controleerbaarheid)是可信赖选举的不可协商的基础的结论。委员会的答案不是更好的机器或官员进行的更好审计；它是任何观察员都可以确认的人类可读纸质记录。荷兰完全放弃了投票计算机。《Kiesraad》持有完整报告。

由官员进行、由官员确认、向官员报告、并在官方记录中提交的审计比没有好。这与独立可验证性不同。

"已确认"留下什么未解决

回到2020年的佐治亚州片刻，因为它是手工计票审计最强的案例——而且即使是这样也附带了值得指出的注意事项。

五百万张选票上机器计数和手工计数之间十分之一个百分点的差异听起来像噪声。它可能是。但五百万的十分之一个百分点是5,000票。获胜差距约为11,000票。这意味着两种方法之间的差异约为获胜差距的一半——在一场失败者要求重新计票、全国比赛结果激烈争议的竞争中。

**"手工计数确认了机器计数"和"手工计数与机器计数相同"是不同的陈述。**佐治亚州的手工计数确认了结果——同一候选人以足以承受差异的差距获胜。这正是RLA旨在做的事情：以统计置信度确认赢家，而不是达到零误差精度。科罗拉多州的RLA做同样的事情。

但现在缩小问题范围。密歇根州安特里姆县，2020年：一个小县，其中人为错误导致明显错误的非正式结果。当纠正和手工审计后，最终手工统计与机器制表不同约一打票，共计约15,700张投票。12票。在一场由少数票数决定的竞争中，相差一打票的手工计数不是准确性的证明。它是一个具有误差范围的测量——而误差范围必须小于获胜差距，才能使一种方法"确认"任何事情。

诚实的教训不是手工计数不可靠或任何事情都是欺诈性的。诚实的教训是即使手工重新计票的金标准也带有不可减少的人为错误——而没有系统、独立检查的错误只是我们同意接受的错误。

对无纸系统的不具约束力审计甚至无法达到这种诚实的不确定性水平。它只是在计算电子并提交报告。

实际改变了一些事情的审计——因为它是对抗性的

俄亥俄州EVEREST审查改变了一些事情。不是因为它对结果具有约束力——它不是——而是因为它是真正独立和对抗性的，能够访问实际源代码和设备，由对维护现有系统毫无兴趣的研究人员进行。

加州在2007年做了类似的事情。州务卿德布拉·鲍恩委托加州大学计算机科学家进行彻底审查，他们获得了该州认证的投票系统的源代码。《Diebold报告》发现技术控制"不足以保证可信赖的选举"，并指出了可能在机器之间传播的病毒漏洞。《Sequoia报告》发现"系统各处存在重大安全弱点"。《Hart InterCivic报告》发现存在"大体上相互信任"且无担保网络接口的组件。

这些发现产生了可执行条件——强化安全要求于2007年8月3日宣布——因为审查是独立的、结果被发布了、州务卿必须对公众监督产生的结果进行公开回应。

这在结构上不同于选举机构审查自己的计数并宣布其确认。它直接指向有效的模式：不是内部人员的审计，而是外部人员的可检查性——密码学、公开、机器可读和持续的。

巴西在每次大选前进行正式的公开对抗性安全测试，邀请任何合格的研究人员尝试破坏urna eletrônica，发现被用于在部署前改进系统。《高等选举法院程序》是俄亥俄州和加州作为一次性审查委托的制度版本——除了它是日常的、预期的、并内置于选举周期中。

设计问题审计无法回答

这是没有任何选后审计（无论是约束性的还是非约束性的）都无法回答的问题：我标记的选票是被计数的选票吗？

在Curling v. Raffensperger中，由北区美国地方法院于2020年10月11日判决，关于佐治亚州Dominion选票标记设备的专家证词使这一点变得生动。法院发现该系统"不提供可验证和可审计的选票记录，因为它依赖二维码进行投票制表，而该代码本身无法被投票者读取和验证"。法院的意见也引用了美国国家学院的结论，即目前不存在任何技术机制来确保投票计数应用程序产生准确的结果，而测试单独无法确保系统未被破坏。

2020年佐治亚州的手工重新计票计算了这些选票标记设备输出表上的打印文本。但机器是从二维码制表的。如果一台机器打印的文本说"候选人A"，同时在条形码中编码"候选人B"的投票——法院认为这种情况在理论上是可行的——手工重新计票人类可读文本将确认操纵，而不是抓住它。

这不是声称这发生了。这是对如果被审计的工件与被制表的工件不相同，任何选后审计都无法完全解决的建筑问题的描述。2021年Windham、新罕布什尔州的法证审计说明了反面：扫描仪因为错误位置的折痕看起来像一个标记的椭圆形而误读折叠的选票。《SB 43法证审计报告》没有发现欺诈、没有恶意软件——只是物理。而这个错误只因为耐久纸张存在和手工计数能恢复投票者意图而被发现。没有纸张，没有什么可以恢复的。

一个从投票者无法读取的代码进行制表、通过投票者无法复制的流程进行审计、由投票者必须信任的官员进行确认的系统——那不是可验证的选举。那是一场验证的表演。

真正的审计会需要什么

**具约束力的审计是能够改变结果的审计。**这意味着，在选举开始之前，在法规中定义：什么差异门槛触发手工重新计票；什么手工重新计票门槛触发调查；什么调查发现触发新选举。不是"我们会调查一下"。一个具体的、自动的、预先承诺的升级路径。

有意义的审计还需要：

信得过的工件进行审计——投票者亲自确认的投票者验证纸质记录，而不是他们无法读取的条形码，由他们无法检查的机器生成。

与被审计官员独立——不是可以观看的观察员，而是能够强制获取、运行自己计数、并发布自己发现的审计员。

公开的、机器可读的结果在投票区级别——所以任何有电子表格的公民都可以自己复制最高计数总计，而不需要政府中介告诉他们计数是否正确。

最终，密码学端到端可验证性——你可以使用仅公开数据检查你的选票是否被纳入最终计票的那种系统，而不会了解任何人其他的投票。2019年瑞士iVote失败——其中研究人员Sarah Jamie Lewis、Olivier Pereira和Vanessa Teague发现一个密码学后门可以使改动的投票产生通过的验证证明——显示这有多难才能做到。但它也显示为什么源代码被独立密码学家检查是唯一的方式来了解可验证性声明是否真实。

**无法改变结果的审计是一场仪式。**它可能是一场出于善意进行的仪式，由诚实的官员进行，没什么好隐瞒的。这不会让它成为验证。验证是当如果计数错误答案会看起来不同，以及任何人都可以运行检查而不仅仅是认证结果的人时发生的事情。