Courtesy of Marc Hofer
住在阿姆斯特丹的马克·霍弗是一名网络安全研究员，同时也从事新闻工作。出于在华记者生涯中培养起的浓厚兴趣，他经常在网络上追踪相关线索，试图了解中国当局对国内民众的监控手段。
进入2024年后不久，46岁的霍弗在日常搜索中发现了一个称为「境外人员动态管控平台」的奇特系统。其控制面板设计颇具科幻感，仿佛从《少数派报告》电影中走了出来，而它的真实功能是追踪位于华北地区张家口市的外籍人士。该市以冬季运动胜地著称，还曾联合举办2022年冬季奥运会。
监控面板表明，该平台已将700多位在张家口定居的外国人纳入视线，数据库内累积近1.2万条信息记录，内容涉及逃犯、港澳台访客及300名左右的国外记者。值得注意的是，被记录在案的部分人员甚至从未踏足过这座城市。
令人震惊的是，在翻阅记录时，霍弗赫然发现了自己的照片。这张由中国移民部门拍摄存档的照片旁，详细记录着他的护照编号和曾在华使用过的手机号码。
外国记者的信息条目
这一发现使他备感惊愕。霍弗随后回忆说，「输入这些数据的人必然可以获取真实数据来源」。更令人不安的是，他发现了一份包含近期登录账户的清单，其中囊括了张家口及周边城市多个派出所的账号。
依靠监控摄像头、移动信号追踪和身份证系统，中国政府向全国14亿人口推行了一场前所未有的全面监视工程。霍弗所发现的这套数据库为局外人打开了一扇认识窗口，使人得以观察中国对外籍人口监控广度之甚。该数据库按照国籍进行人员分类，详实记录包括出生年月、生理性别、家庭关系、居住地和工作性质等内容，某些情况下还涵盖宗教背景信息。
该系统同时记录了这些外籍人士在街道十字路口、商业市集、商业综合体乃至宗教场所（如清真寺）等地被监控摄像头捕捉的图像。
通常而言，寻求将监控方案推销给执法机构的中国企业会搭建展示网站，其中多用从互联网社交平台采集的人物肖像及个人信息作为示范。然而这套系统显然不属于这一类，霍弗指出：「这并非某人的业余尝试，也不像是学生作业或初创项目的水准。」
自1月份意外发现该平台伊始，霍弗随即展开数据抓取工作，不遗余力地下载其中信息。进入5月后，这个网站悄然离线消失。
为警方打造
通过审视公开发布的招标信息，《纽约时报》发现该平台背后与一家名为长源动力科技有限公司的北京企业有所牵连。该公司业务范围涵盖为公安机关供应机器人解决方案、监控系统以及相关硬件设施。
2023年，该公司曾针对一套功能相似的系统提出专利申请，文件中将其命名为「外籍人员信息界面」，其结构与张家口系统在设计理念和工作机制上高度吻合。值得一提的是，该企业的股份中含有江苏盐城市政府的投资成分。
针对《纽约时报》通过电邮及传真发出的采访邀请，长源动力和张家口警察部门都未提供任何回应或说明。
霍弗随后把其获得的数据资料提交给了《纽约时报》。他判断该系统主要为张家口警务部门量身定制。此系统存储的某些数据只能由中国官方机构才能接触，而用户访问日志恰好记录了张家口市内的8个基层派出所与相邻市县的3个派出所的登录痕迹。
当前尚无法准确判断警务部门是否以及以何种方式将此数据库应用于日常执法工作。然而其存在这一事实本身揭示了一个更深层的现象：中国的政府机构正在进行前所未有的数据汇聚，将来源于视频监控、病历档案、账单记录、面部辨识技术及多种其他渠道的巨量信息进行整合，藉以追踪及剖析外国常住民众的各类活动。该数据库涵盖的内容包括个人经常出没的场所、医疗就诊情况、车辆加油消费等多类信息，同时还记录了乘客所乘坐的班机与列车，精确到座位编号。
具体而言，系统曾对一位蒙古籍女性的行动路线进行了追踪与记录，其足迹在住宅区、购物广场、餐饮场所及零售门店间往返。根据数据库的标注说明，这位女性的某些活动信息系通过面部识别手段所获。
一名女性的追踪记录
自习近平上台执政以后，中共中央打着维护公安稳定的旗号，积极推崇以大数据为支撑的监控体系建设，目的是限制反对声浪并预防极端恐怖活动的发生。
虽然世界范围内的多个国家都采用过类似的监控技术方案，但据人权观察组织亚太事务负责人王亚秋的观点，中国在制约执法部队权力滥用方面的防护机制基本付诸阙如。
王亚秋进一步强调：「这样的数据汇聚规模在历史上属实无先例可循，同时深刻反映出了国内防御措施体系的严重空缺。」
一个没有安全防护的平台
当霍弗初次接触该平台的登录界面时，用户ID及登录密钥均已预先输入完毕。这一现象意味着，一套存储了众多人士隐私数据的平台系统竟可被任意网络访客轻易进入，充分暴露了其在个人隐私防御方面的重大漏洞。
拥有对华安全研究背景的网络专家格雷格·沃尔顿指出，此类安全事件的爆发并非首次。他的看法是，此现象乃源于国内「监控功能的无限扩张」，而以系统设计商、施工方及警察部门为三角的商业生态不断膨胀，进一步催化了这一趋势。
身为加拿大研究机构SecDev Group的资深调查专家，沃尔顿进一步阐述道，每当有新的监控系统上线运行时，「就等于增加了一处敏感信息遭遇配置失误、被非法传播或向外泄露的风险源。」
《纽约时报》的核查小组在排除霍弗本人外，还对其他6名人士的条目进行了逐一校验，结果证实所有数据信息都符合事实。其中还涉及该报一位在北京供职过的记者，其档案内甚至包括了她子女的具体名字。虽然该记者的中文名拼写存在错误，但她的护照号与其他身份信息的准确度都经得起检查。
根据霍弗的分析，该平台的研发时间线大约从2021年开始，而最后的系统更新发生在今年4月份。值得关注的是，部分数据库字段存在空值或填充符号，这暗示该系统在那个阶段可能还处于持续完善的状态。霍弗随后在Substack个人博客栏目中发表了一篇长文，详细记录了他的调查成果与发现过程。
尽管居民的日常行动在街道摄像头下被实时记录，但该系统的信息来源绝非止于公安机关一家。其中一项关键数据来自于张家口太舞滑雪度假区的访客登记簿，涵盖外国游客及国内游客的详细信息，包括其在景区被拍摄的照片、完整姓名及护照编号等。
按国籍和宗教分类
该系统对来自澳洲、加国、新西兰、英伦及美国的人员进行了专门标签化处理，将其归类为「五眼联盟」参与者。这一国际组织系五国之间的谍报交换协约，而中国领导层历来对其提出批评，认为其强化了类同于两极对抗年代的地缘政治分裂。
此外，该平台还为来自所谓「战略重点国家」的人士设置了独特标记——这个名单涵盖埃及、伊朗、以色列、摩洛哥、巴基斯坦与苏丹等国。
来自香港（2019年爆发了反中央政府的大规模集会活动）及台湾（北京声称其为自己的行政管辖区但实行民主制度）的来访者被系统单独划分归类。此外，平台还收集了国际学生、涉外婚配人士以及所谓「重点人选」的档案信息——这个术语在国内官僚体系中是对活跃分子、逃犯及其他被官方视为威胁社会秩序群体的婉言代指。
在该数据库所收纳的海外学生中，多数籍贯为巴基斯坦和印度，他们在河北北方学院这一张家口市内的高等学府接受教育。这些学子的电子档案记录涵盖其宗教信念、婚配状况、所攻专业方向，乃至他们在校门口被监控设备抓拍的频次统计。
该系统同时具备绘制人际联系网络的功能声称。其中一张功能演示示意图描绘了三位年纪在20余岁的巴基斯坦青年，他们仅因多次同时出现在摄像头视野范围内而被该系统自动关联串联起来。
人员关系网
霍弗所获数据集的内部还收录了若干因触犯国内法规而遭受制裁的外籍人士的档案。作为实例，某位女性在2021年因未即时报备住所迁移信息而被处以人民币千元罚款。除此之外，还有多个外籍人士因未取得许可而从事授课工作遭到了相应处罚的记录。
依据霍弗所获得的文档资料显示，这批数据的录入工作似乎由张家口市警察部门的一名叫做张经龙的民警负责执行，档案中明确标注了他的身份为数据输入操作员。
在2020年那一年，张家口的警务宣传部门曾为一位姓名相同的警官撰写过宣传性报道，在文章中对其加强网络话题监管、主动干预公共舆论以「确保民众思想导向正确」的做法进行了褒扬。
在2023年期间，张家口市公安部门随后以这位民警的名字来命名建立了一家AI技术研究中心。
