犹他州的 VPN 条款被暂时叫停：Aylo 禁令改变了什么，又没有改变什么

2026 年 10 月 6 日更新：这篇文章一直在等的那份裁决已经到来，而且提前了一个月。9 月 24 日，美国犹他州联邦地区法院的 David Barlow 法官批准了 Aylo 的初步禁令动议，叫停了视为所在地条款，即 SB 73 中规定无论网站看到什么 IP 地址、人在犹他州境内的 VPN 用户都算作犹他州访问者的那部分。他的理由用他自己的两句话就能概括：这项修正案“要求 Aylo 这样的实体以完美的精度对其网站用户进行地理定位才能免于责任”，而“地理定位的完美目前并不可能，这一点没有争议”。

这项禁令比大多数报道所暗示的要窄，而 9 月里曾经重要的那些日期如今已完全不重要。本文已通篇更新：法官叫停了什么，拒绝叫停什么，犹他州今天仍然有效的是什么，以及该州的 95% 检测规则原本打算向网站提出什么要求。

这篇文章于 9 月 3 日首发时，新闻焦点是一个远不如标题所宣称的那么重要的日期。Gizmodo 等媒体报道称，美国首部针对 VPN 使用的法律将于当天生效。实际上，SB 73 自 2026 年 5 月 6 日起就已生效，9 月 3 日只是一场法庭休战的到期日：犹他州承诺，在法官审议 Pornhub 运营商 Aylo 这一家公司提出的质疑期间，不对该公司执行 VPN 条款。这一休战于 8 月 27 日被延长，并在裁决落地的那一刻结束。

下面是这项法案的内容、约束对象、法院的裁定，以及这一切对使用 VPN 的人意味着什么。

犹他州的 VPN 法律在 9 月 3 日生效了吗？

没有。混淆源于把两份文件混为一谈。

第一份是法律本身。SB 73，即《在线年龄验证修正案》，由参议员 Calvin Musselman 和众议员 Steve Eliason 提案，于 2026 年 3 月 19 日由州长 Spencer Cox 签署。已颁布法案的第 22 条规定了生效日期：2026 年 5 月 6 日，少数税务条款则于 10 月 1 日随后生效。VPN 相关文字位于第 14 条，该条修订了犹他州法典 78B-3-1002，与其余条款一样适用 5 月 6 日这一日期。

第二份文件是 2026 年 4 月 27 日提交联邦法院的联合约定书，即 Aylo 起诉五天之后。在这份文件中，犹他州消费者保护司和犹他州商务部同意暂不对 Aylo 及其关联公司执行“视为所在地条款”，“直至 2026 年 9 月 3 日，即该条款原定生效之日后 120 天”。Aylo 方面则同意不改变其目前在犹他州的地理围栏，也就是说 Pornhub 及其姊妹网站将继续对犹他州 IP 地址保持屏蔽，正如自 2023 年以来的状态。

这就是 9 月 3 日这个日期的由来。它从来不是生效日期，而是对某一位诉讼当事人作出的不执行承诺的到期日。根据法院案卷，双方于 8 月 27 日又提交了一份“延长不执行期的联合约定书”，法院于次日予以确认。正如 XBIZ 在 8 月 28 日报道的，延长期持续到 2026 年 10 月 22 日，或法院就 Aylo 的初步禁令动议作出裁决之时，以先到者为准。约定书把这段额外时间与犹他州的一项规则制定联系起来：“这一持续暂缓执行期使原告能够参与该规则制定程序，而在此期间不受追责的威胁。”

因此，准确的表述曾经比一条标题所能容纳的要长。VPN 条款于 5 月成为法律，在纸面上适用于除 Aylo 之外的所有受约束网站，而就公开记录所示，它从未因 VPN 流量对任何人执行过。自 9 月 24 日起，它被初步禁止执行。裁决书是针对该条款本身批准禁令的，并未把禁令的适用范围限定于原告，电子前哨基金会的解读是：只要禁令有效，这一条款就被整个搁置。

SB 73 究竟要求什么，又是对谁提出要求？

犹他州自 2023 年起就要求成人网站进行年龄验证。SB 73 重建了这一制度：在现有的私人起诉权之外增加了由消费者保护司进行的公共执法，增加罚款，对受约束网站设立消费税，并加入了两段关于 VPN 的规定。这两段在已颁布文本中的内容如下。

视为所在地规则，即 78B-3-1002 新增第 (3) 款：“如果个人实际位于本州境内，则视为其从本州访问该网站，无论该个人是否使用虚拟专用网络、代理服务器或其他手段掩饰或谎报其地理位置，以使其看起来像是从本州以外的地点访问网站。”

协助禁令，即新增第 (4) 款：受约束网站“不得协助或鼓励使用虚拟专用网络、代理服务器或其他手段规避年龄验证要求”，包括提供“如何使用虚拟专用网络或代理服务器访问该网站的说明”或“供本州个人规避地理围栏或屏蔽的手段”。

这两项规则的对象都是“运营包含相当大比例对未成年人有害内容的网站的商业实体”。相当大比例有一个具体数字：超过网站全部内容的 33 1/3%。将自身定位为以成人内容为主、或使用成人主题域名的网站，被推定越过了这条线。

处罚针对的是同一实体。根据新增第 78B-3-1004 条，该司司长可对每次违规处以最高 2,500 美元的行政罚款，法院还可追加每次违规最高 2,500 美元的民事罚款、没收违法所得、禁令和实际损害赔偿，无视命令的每次违规另加最高 5,000 美元。第 78B-3-1002(6) 条豁免仅传输流量的互联网服务提供商、搜索引擎和云服务商，第 (5) 款则豁免真正的新闻和公共利益内容。

请注意缺少了什么。没有“VPN 用户”的定义，没有加在 VPN 服务商身上的义务，也没有针对通过 VPN 连接的个人的罚款、罪名或民事责任。可以直接引用的版本是：犹他州的 SB 73 并不监管 VPN 用户；它监管的是网站，方式是宣布人在犹他州境内的访问者无论网站看到什么 IP 地址都算作犹他州访问者。

现在在犹他州使用 VPN 违法吗？

不违法，5 月 6 日时也同样不违法。SB 73 的每一条实施性条款都把商业实体列为承担义务的一方。盐湖城的一位居民打开 VPN 使用酒店 Wi-Fi、连接工作网络、防止互联网服务提供商分析其浏览记录，或在旅行时观看家里订阅的内容，这些都不在该法规的调整范围之内。

这部法律改变的是网站的风险敞口。在 SB 73 之前，一个受约束的网站可以辩称，一位从荷兰或加拿大 IP 地址来访的用户，就其目的而言身在荷兰或加拿大。现在犹他州说，如果该访问者实际身在犹他州，网站就要承担责任。网站能否知道这一点，是下一个问题，也是整个案件的关键。

如果你使用 VPN，网站该如何知道你身在犹他州？

它基本上做不到，这正是对 SB 73 的批评来自截然不同阵营的原因。

电子前哨基金会称屏蔽 VPN 地址是“一场恐怕没有任何公司能赢的技术打地鼠游戏”，并指出 VPN 服务商不断增加地址，完整的屏蔽列表并不存在。据 KUER 在 5 月的引述，Fight for the Future 的 Lia Holland 说得更直白：判断一位正规 VPN 用户从哪里浏览“从设计上就根本不可能”。NordVPN 在回答 Gizmodo 提问时把这部法规形容为一个“责任陷阱”，其中“平台因为无法完成一项目前没人知道如何可靠完成的技术任务而面临真实的财务风险”。

技术原因并无争议。IP 地理定位是根据路由数据和注册记录得出的商业推断，而不是对设备位置的测量，即便是普通连接，它在州一级也经常出错。VPN 和代理检测依赖已知出口地址列表，而这些列表总是落后于现实。而且，标记出消费者 VPN 的那些信号，同样会标记出企业网络、大学网络、把流量经由州外网关转发的移动运营商，以及主流浏览器内置的隐私功能。一个屏蔽所有看起来像 VPN 的连接的网站，会把大量合法访问者挡在门外，在犹他州如此，在其他任何地方也如此。

用一句话概括 Aylo 的论点就是：在犹他州确保合规的唯一办法，要么是对所有地方的所有人进行年龄验证（该公司告诉法院这最多可能赶走其 80% 的客户），要么是屏蔽任何可能身在犹他州的人。参议员 Musselman 的回应，据 KUER 引述，是“SB 73 关乎问责”，网站可以验证年龄或确认位置，“同时仍为用户保留加密选项”。

法院如今记录了这场争论实际走到哪一步，答案是：没走多远。裁决书原文写道：“这部法律要求地理定位做到完美，但双方一致认为，当前的技术进展并不能让一个实体完美地 (1) 识别 VPN/代理用户，或 (2) 定位所有这些 VPN/代理用户是从哪里访问网站的。”在这起案件中，犹他州和 Aylo 在其他所有问题上都针锋相对。唯独在这一点上没有。

犹他州自己的答案当时正通过规则制定到来，而文本现已公开。该司的拟议规则 R152-78B 于 9 月 1 日刊登在《犹他州公报》上，将“地理位置混淆”定义为掩盖设备位置的 VPN、代理服务器或其他技术，并具体说明了“商业上合理”的检测意味着什么：一套经设计能以至少 95% 的准确率判断访问者是否身在犹他州的系统，旁边还有一条独立的 95% 标准用于判断访问者是否为未成年人。网站可以分析“潜在信号”，规则点名了两种：连接延迟，以及设备或浏览器的时区设置。被标记为混淆位置的访问者会看到一份三选一的菜单：共享设备位置以确认自己不在犹他州；关闭混淆功能，如果确实在犹他州就进行年龄验证；或者干脆直接验证年龄。该司自己的成本估算是每次年龄核查 0.01 至 0.12 美元，位置筛查约为每位访问者 1 美分。

把这份规则与裁决放在一起读，时间点本身就成了故事。法规文本要求的是完美；而本应把完美软化为 95% 目标的规则，送到法院时已经太晚。裁决书第 73 号脚注直截了当地写明：由于拟议规则是在书面辩论和口头辩论之后才提交的，“本院在此不予考虑”。意见征集期于 10 月 1 日结束，电子前哨基金会提交了反对意见。公报列出 10 月 8 日为该规则可以生效的最早日期，截至本次更新尚无使其生效的通知发布，而其位置条款如今实施的，是一条已被联邦法院禁止执行的条款。

Barlow 法官在 9 月 24 日裁定了什么？

Aylo Freesites 和 Aylo Group 于 2026 年 4 月 22 日向美国犹他州联邦地区法院提起诉讼，案号 2:26-cv-00340，被告为消费者保护司及其司长 Katie Hass、商务部及其执行主任 Margaret Busse。案件由 David Barlow 法官审理。诉状专门针对视为所在地条款，并据 Deseret News 报道主张，该条款“把名义上的犹他州法规变成了事实上的全球性强制规定”，违反了宪法对各州监管州际和对外商业的限制。

Aylo 并未质疑年龄验证本身。最高法院已于 2025 年 6 月在 Free Speech Coalition 诉 Paxton 案中解决了这一问题，维持了德克萨斯州的年龄验证法。Aylo 的主张范围更窄：一个州可以要求对其居民进行年龄核查，但不能让一家外国公司为其无法可靠定位到该州境内的访问者承担责任。

2026 年 9 月 24 日，这一范围更窄的主张在其两套理论中的一套上胜出了。在一份 40 页的备忘录裁决中，Barlow 法官认定，视为所在地条款很可能违反休眠商业条款，即宪法对各州监管其边界之外商业活动的限制：既构成第十巡回上诉法院 ACLU 诉 Johnson 案判例脉络下对州外行为的直接监管，在 Pike 利益权衡测试下也站不住脚。法院给出的例证最值得记住：Aylo 每月约有 2,800 万美国访问者，而由于法规要求的是任何工具都无法提供的确定性，唯一稳妥的做法就是对所有人进行验证，无论对方坐在盐湖城还是檀香山。法院的结论是，一部迫使公司把每一个美国人都当作可能的犹他州人来对待的犹他州法规，监管的就是整个国家。

犹他州总检察长曾辩称，该州只会要求合理的地理定位努力，而非完美的定位。法院认为这一说法出于真诚，但在法律上无关紧要：法规文本中没有任何合理性限定词，往里读出一个限定词需要的是“改写，而不仅仅是重新解释”，法院必须依据立法机关通过的文本作出判断，而不是依据总检察长提出的执法政策。Aylo 方面则告诉法院，如果这部法律写成总检察长所辩护的那个样子，“我们就不会站在这里了”。这段交锋是接下来走向的最清晰路线图：一个一词之差的立法修正，加上某种形式的“合理”，很可能就能终结这场争斗。

这份裁决并非一边倒的大获全胜，而大多数报道把这一点抹平了。Barlow 法官驳回了 Aylo 另行提出的该条款构成不被允许的域外立法的主张，没有触及对外商业条款的问题，并拒绝了 Aylo 把禁令同时扩展到针对看似身在犹他州之外的访问者的一般年龄验证义务的请求：“此项救济无法批准。”该禁令是初步禁令，不是终局判决，覆盖的是一部法规中的一个条款。

还有一段话值得引用，因为联邦法院很少把话说得这么直白。裁决书在背景部分指出，VPN 和位置隐私工具有着“完全正当的用途”，并一一列举：保护公共网络上的通信安全、防止网站收割个人数据，以及绕过压迫性政府的审查。这句话如今写进了美国首起关于点名 VPN 的法规的案件的公开记录。

时间线，来自案卷和双方提交的文件：

犹他州今天实际有效的是什么？

这是各路标题回答得最糟的一个问题，所以这里逐条列出，以本次更新时的状态为准：

从这张表可以得出两点。对于使用 VPN 的个人，这份裁决什么都没有改变，因为法规中从来没有任何条款适用于他们。对于受约束的网站，今天可执行的义务与全美大约一半州都存在的年龄验证义务相同，只是少了那条曾让犹他州与众不同的条款。至于 Aylo 是否会解除其自 2023 年起对犹他州的自愿屏蔽，这是一项公司尚未宣布的商业决定；冻结其地理围栏的约定已随裁决一同终结。

还有哪些州在效仿犹他州的做法？

成人网站的年龄验证如今已是美国的常态。年龄验证服务商协会统计，截至 2026 年 2 月，至少已有 25 个州通过了此类法律，而夏季更新的追踪数据显示这一数字还在继续上升。犹他州是第二个加入的州，其法律于 2023 年 5 月 3 日生效，并促使 Pornhub 在两天前屏蔽了整个州。Google Trends 显示，犹他州的 VPN 搜索量在 2023 年 5 月 2 日凌晨飙升至热度峰值，Newsweek 当时对此作了报道。这一插曲比任何其他因素都更能解释为什么 2026 年的法案会提到 VPN。

效仿 VPN 条款则是另一回事，而 9 月 24 日的裁决刚刚让它更难被推荐。密歇根州的立法者在 2025 年提出了一项走得更远的法案，要求互联网服务提供商直接屏蔽 VPN 流量；该法案在委员会阶段搁浅。威斯康星州的年龄验证法案原本包含 VPN 相关内容，2026 年 2 月被删除，随后州长于 4 月否决了该法案。Aylo 的诉状称此前没有任何州颁布过视为所在地条款，而我们也没有找到其他任何提及 VPN 的美国已颁布法规。一直关注此案的各州议会现在有了答案：第一条视为所在地条款没能挺过第一个动议。裁决书甚至勾勒出了什么样的条款能挺过去：一部要求合理地理定位努力而非完美定位的法规。可以预计，下一轮起草，无论是在犹他州 2027 年会期还是在其他州，都会用上这个词。与此同时，加利福尼亚州正从另一端绕开这个问题：其《数字年龄保障法》将于 2027 年 1 月生效，由操作系统把家长申报的年龄段传递给应用，这种方案不需要 IP 地理定位，也只字未提 VPN。

身在犹他州的人该拿自己的 VPN 怎么办？

什么都不用做，因为没有任何义务落到你身上，也没有任何拟议中的义务。不过有几点实用提示，因为此类法律的次级效应往往由普通用户承受，而不是由它们针对的网站承受。

1. 让 VPN 继续做它该做的事。公共 Wi-Fi 上的加密、用于网上银行和工作登录的稳定 IP，以及在你的浏览与互联网服务提供商之间设置的屏障，这些都不受影响。如果你想要一个就近的出口，Le VPN 在盐湖城设有服务器，与其其他美国节点并列，因此以犹他州为起点的连接可以留在犹他州。
2. 预计会有更多网站在各地对 VPN 流量提出质疑。面对一条没有可靠检测手段的责任规则，理性的应对就是过度屏蔽。如果一个与犹他州毫无关系的网站开始拒绝你的 VPN 连接，那是合规反射在蔓延，而不是你的 VPN 出了什么问题。切换服务器通常就够了。
3. 不要把这部法律当作一道待解的谜题。SB 73 禁止受约束网站教访问者如何绕过年龄核查，本文也不会替它们去做。成人内容的年龄验证符合宪法，而且会长期存在；犹他州悬而未决的问题只是，当工具无法判断一个人身在何处时，由谁来承担这一负担。
4. 关注上诉窗口和 2027 年会期，而不是 10 月 22 日。本文曾经让你关注的那些日期已经作废：裁决于 9 月 24 日落地，使 10 月 22 日的休战期限失去了意义。仍然悬而未决的是：犹他州是否会在约 10 月 26 日前后其大约 30 天的窗口关闭之前向第十巡回上诉法院提起上诉；该司是否会在规则 R152-78B 的位置部分如今实施一条被叫停的条款的情况下仍让其定稿生效；以及立法机关在 1 月下旬开会时是否会用合理性标准改写这部法规。

如果你想了解更广泛的图景，即哪些地方限制 VPN、哪些地方只是加以监管，我们的2026 年各国 VPN 合法性指南有全面介绍，我们的美国页面列出了美国服务器节点。作为欧洲的对照，法国监管机构去年在成人网站年龄核查问题上经历了一场非常相似的争斗；我们报道过那场争斗的经过，包括犹他州如今正在引入的同样的过度屏蔽现象。

给任何把这条标题发给你的人的简短版本：犹他州的 VPN 条款监管的是网站而不是个人，一位联邦法官现已将其叫停，因为它要求的是任何技术都无法交付的完美，法律的其余部分依然有效，而下一步棋在犹他州手里，要么走向上诉法院，要么走向明年的立法会期。