Kill switch และการยึดกุมโดยสถาบัน

คำมั่นสัญญาที่ตั้งอยู่บนความเป็นไปได้ในการเพิกถอน

ในปี 2017 ระหว่างพายุเฮอริเคนเออร์มา เจ้าของรถ Tesla หลายรายในฟลอริดาพบว่ารถของพวกเขาได้รับระยะทางวิ่งเพิ่มขึ้นกะทันหันจากการอัปเดตทางไกลจากผู้ผลิต พวกเขาไม่ได้จ่ายเงินซื้อเพิ่ม แบตเตอรี่มีความสามารถในการจ่ายพลังงานนั้นอยู่แล้ว แต่ผู้ผลิตตัดสินใจที่จะไม่เปิดให้ลูกค้าใช้เพื่อแบ่งส่วนการตลาด ในช่วงภาวะฉุกเฉิน Tesla ได้เปิดใช้งานความจุเต็มชั่วคราว เมื่อภาวะฉุกเฉินผ่านพ้นไป พวกเขาก็ปิดการใช้งานนั้น

สิ่งที่ข่าวอธิบายว่าเป็นท่าทีที่เอื้อเฟื้อ เมื่ออ่านอย่างละเอียดกลับเป็นอีกเรื่องหนึ่ง เจ้าของไม่เคยเป็นเจ้าของผลิตภัณฑ์ทั้งหมดที่พวกเขาจ่ายเงินซื้อเลย ผู้ผลิตยังคงรักษาขีดความสามารถทางเทคนิคไว้ — ในการเพิ่มหรือลดคุณสมบัติจากระยะไกล — และเลือกที่จะใช้มันเพื่อประโยชน์ของลูกค้าในกรณีเฉพาะนั้น พวกเขาสามารถเลือกทำในสิ่งตรงกันข้ามได้ เรื่องนี้ไม่ได้บอกเล่าถึงการกระทำที่ใจดี แต่บอกเล่าถึงสถาปัตยกรรมแห่งอำนาจ

บทความนี้เกี่ยวข้องกับสถาปัตยกรรมนั้น เราเรียกมันตามธรรมเนียมของอุตสาหกรรมว่า kill switch: สวิตช์ทางไกลที่ช่วยให้ผู้ให้บริการสามารถปิดการใช้งาน แก้ไข หรือถอนขีดความสามารถของผลิตภัณฑ์ บริการ หรืออุปกรณ์ที่ผู้ใช้เชื่อว่าเป็นของตนเองแล้ว คำถามไม่ใช่ว่าผู้ให้บริการมีความซื่อสัตย์หรือไม่ คำถามคือจะเกิดอะไรขึ้นเมื่อพวกเขาเลิกซื่อสัตย์ หรือเมื่อมีคนบังคับให้พวกเขาใช้สวิตช์ไปในทิศทางอื่น

kill switch คืออะไรกันแน่

คำนี้มาจากภาษาอังกฤษและแปลได้ยาก: interruptor de muerte ฟังดูดราม่าเกินไป; interruptor remoto ฟังดูเป็นกลางเกินไป สิ่งที่นิยาม kill switch ไม่ใช่ความดราม่า แต่เป็นคุณสมบัติง่ายๆ: ความสามารถทางเทคนิคในการปิดใช้งานบางสิ่งจากระยะไกล โดยอยู่ในมือของคนอื่นที่ไม่ใช่ผู้ใช้งานที่ใช้มันอยู่ อาจเป็นการปิดเครื่องโดยสมบูรณ์ —รถที่สตาร์ทไม่ติด, ไฟล์ที่ถูกลบ, บัญชีที่ถูกระงับ— หรือการปิดใช้งานบางส่วน —ฟังก์ชันที่หายไป, แบตเตอรี่ที่สูญเสียระยะทาง, การสมัครสมาชิกที่ถูกขัดจังหวะ

ไม่ใช่การรีโมทคอนโทรลทุกอย่างที่เป็น kill switch การอัปเดตความปลอดภัยตามปกติที่ผู้ใช้ได้รับอนุญาตเมื่อติดตั้งผลิตภัณฑ์นั้นไม่ใช่ และไม่ใช่ระบบป้องกันการโจรกรรมที่เจ้าของสามารถเปิดใช้งานได้เองเมื่อโทรศัพท์ถูกขโมย kill switch ในความหมายที่เหมาะสมมีสามลักษณะ: การใช้งานเป็นการตัดสินใจของผู้ให้บริการไม่ใช่ผู้ใช้; ไม่ต้องการความยินยอมเป็นครั้งคราวจากผู้ได้รับผลกระทบเพื่อเปิดใช้งาน; และใช้กับผลิตภัณฑ์หรือบริการที่ผู้ใช้ถือว่าเป็นของตนเองโดยสมบูรณ์แล้ว

คลังภาพสวิตช์ที่ใช้งานอยู่ในยุโรป

Tesla ทำซ้ำรูปแบบนี้บ่อยครั้ง ในกรณีของพวกเขาเป็นวิธีที่มีเอกสารยืนยัน: การลดระยะทางตามสัญญาที่ใช้กับรถมือสองที่เปลี่ยนเจ้าของ, การถอนฟังก์ชันการขับขี่แบบช่วยเหลือหลังจากเพิกถอนใบอนุญาต, การแก้ไขพฤติกรรมของผลิตภัณฑ์ฝ่ายเดียวระหว่างเวอร์ชันเฟิร์มแวร์ John Deere อยู่ในศูนย์กลางของการอภิปรายในยุโรปและสหรัฐอเมริกาเกี่ยวกับสิทธิในการซ่อมแซมมาหลายปี: การซื้อรถแทรกเตอร์รวมถึงเลเยอร์ซอฟต์แวร์ที่บริการขึ้นอยู่กับเครือข่ายอย่างเป็นทางการของผู้ผลิต; เมื่อเครือข่ายนั้นปฏิเสธการลงทะเบียน รถแทรกเตอร์จะลดฟังก์ชันที่จำเป็นลง BMW เสนอการสมัครสมาชิกรายเดือนในปี 2022 เพื่อเปิดใช้งานการอุ่นเบาะในรถที่มีการติดตั้งทางกายภาพอยู่แล้ว; แรงกดดันจากสาธารณะบังคับให้ถอนรุ่นดังกล่าวออกไป แต่ความสามารถทางเทคนิคยังคงอยู่

ในด้านซอฟต์แวร์ รูปแบบนี้เป็นแบบโครงสร้าง Adobe Creative Cloud เพิกถอนใบอนุญาตรายเดือนเมื่อไม่มีการต่ออายุการสมัครสมาชิก ทำให้ไฟล์ที่ผู้ใช้สร้างด้วยเครื่องมือเหล่านั้นไม่สามารถใช้งานได้ Microsoft สามารถปิดใช้งานสำเนา Windows ที่ถือว่าไม่ใช่ของแท้ได้โดยไม่มีทางแก้ไขที่ทำได้จริง Google ถอนแอปพลิเคชันจาก Play Store ตามคำสั่งศาลหรือการตัดสินใจภายใน; แอปพลิเคชันที่ถูกถอนการติดตั้งจะถูกถอนการติดตั้งจากโทรศัพท์ที่มีมันอยู่ด้วย Apple Pay ถูกปิดใช้งานในรัสเซียในเดือนมีนาคม 2022 เมื่อ Apple ปฏิบัติตามการคว่ำบาตรระหว่างประเทศ: ถูกต้องตามกฎหมายในบริบท แต่ขั้นตอนนั้นมีอยู่เสมอ

อาร์กิวเมนต์ที่ถูกต้องตามกฎหมายในฝั่งของผู้ผลิต

ผู้ที่ออกแบบระบบเหล่านี้มักจะเสนออาร์กิวเมนต์ที่สมเหตุสมผลอย่างยิ่ง:

1. การป้องกันการโจรกรรม หากรถหรือโทรศัพท์ของฉันถูกขโมย ฉันยินดีที่ผู้ผลิตสามารถทำให้มันใช้งานไม่ได้จากระยะไกล
2. การป้องกันการฉ้อโกง การสมัครสมาชิกที่ค้างชำระจำเป็นต้องมีกลไกการตัด; หากไม่มีกลไกดังกล่าว รูปแบบธุรกิจก็จะพังทลายลง
3. การป้องกันการใช้ในทางที่ผิด เครื่องมือที่อันตรายในมือของคนผิดสามารถได้รับประโยชน์จากการที่สามารถเพิกถอนได้
4. การปฏิบัติตามกฎระเบียบ คำสั่งทางกฎหมายบางประการบังคับให้ผู้ดำเนินการต้องนำเนื้อหาออก ปิดใช้งานฟังก์ชัน หรือระงับบัญชี และระบบที่ไม่มีสวิตช์คือระบบที่ไม่สามารถปฏิบัติตามคำสั่งเหล่านั้นได้

ข้อโต้แย้งทั้งสี่ประการเป็นความจริง ไม่มีข้อใดเปลี่ยนลักษณะของเรื่องนี้ เป็นความจริงที่ kill switch ช่วยอำนวยความสะดวกในการป้องกันการโจรกรรม และยังเป็นความจริงที่ความสามารถเดียวกันนี้ใช้เพื่อบีบบังคับลูกค้าที่ยังมีชีวิตอยู่ ไม่ใช่เพียงเพื่อทำร้ายขโมยเท่านั้น เป็นความจริงที่รูปแบบการสมัครสมาชิกต้องการการตัดไฟ และยังเป็นความจริงที่การตัดไฟสามารถดำเนินการได้ในวันพรุ่งนี้กับลูกค้าปัจจุบันด้วยเหตุผลอื่นนอกเหนือจากที่ระบุไว้ในสัญญา ประเด็นไม่ใช่ว่า kill switch มีการใช้งานที่ชอบด้วยกฎหมายหรือไม่ ประเด็นคือเมื่อมันมีอยู่จริง การใช้งานของมันไม่ได้จำกัดอยู่แค่เพียงที่คาดการณ์ไว้ในเอกสารเบื้องต้นเท่านั้น

การยึดกุมโดยสถาบัน (Institutional capture)

นี่คือแนวคิดที่เป็นชื่อของบทความ การยึดกุมโดยสถาบันคือสถานการณ์ที่ตัวแสดงหนึ่ง — บริษัทเอกชน หน่วยงานบริหาร องค์กรกำกับดูแล — ลงเอยด้วยการใช้ความสามารถที่ตนได้รับมาเพื่อวัตถุประสงค์ที่จำกัด ไปใช้เพื่อวัตถุประสงค์ที่กว้างขึ้น แตกต่างออกไป หรือตรงกันข้ามกับวัตถุประสงค์เดิมอย่างสิ้นเชิง เศรษฐศาสตร์การเมืองรู้จักปรากฏการณ์นี้มานานหลายทศวรรษในการกำกับดูแลทางการเงิน อุตสาหกรรมเทคโนโลยีกำลังค้นพบสิ่งนี้ด้วยมือของตนเอง

กลไกเป็นดังนี้ บริษัทออกแบบ kill switch เพื่อวัตถุประสงค์ที่ชอบด้วยกฎหมาย: การป้องกันการโจรกรรม การจัดการการสมัครสมาชิก การปฏิบัติตามกฎระเบียบ บริษัทระบุวัตถุประสงค์เหล่านั้นไว้ในเงื่อนไขการใช้งาน ในนโยบายความเป็นส่วนตัว ในข้อความสาธารณะ เวลาผ่านไปหลายปี รัฐบาลออกคำสั่งภายใต้กฎหมายใหม่ บริษัทถูกบังคับให้ใช้สวิตช์ในทิศทางที่ไม่ได้อธิบายไว้ในเอกสารต้นฉบับ ผู้ถือหุ้นที่เป็นนักเคลื่อนไหวเข้าสู่คณะกรรมการและแก้ไขนโยบายการค้า สวิตช์มีอยู่จริงและถูกนำไปใช้ตามนโยบายใหม่ บริษัทถูกซื้อโดยบริษัทที่ใหญ่กว่า เงื่อนไขการให้บริการถูกเขียนขึ้นใหม่ฝ่ายเดียวพร้อมแจ้งล่วงหน้าสามสิบวัน ในแต่ละกรณี ลูกค้าที่ไว้วางใจสวิตช์สำหรับวัตถุประสงค์ที่ระบุไว้จะพบว่าสวิตช์ยังคงอยู่ที่นั่น แต่ตอบสนองต่อผลประโยชน์อื่น

กรณีตัวอย่างสำหรับผู้อ่านชาวยุโรป: กรณี Apple กับ FBI ใน San Bernardino ในปี 2016 หลังจากการโจมตีในแคลิฟอร์เนีย FBI ได้เรียกร้องให้ Apple ปลดล็อก iPhone ของผู้ก่อเหตุ Apple ปฏิเสธ โดยอ้างเหตุผลด้านหลักการบางส่วนและเหตุผลทางเทคนิคบางส่วน: ระบบตามที่ได้รับการออกแบบมานั้น ไม่อนุญาตให้บริษัทเองสามารถปลดล็อกอุปกรณ์ได้โดยไม่ต้องเขียนซอฟต์แวร์พื้นฐานใหม่ การป้องกันที่แข็งแกร่งที่สุดไม่ใช่เรื่องศีลธรรม แต่เป็นเรื่องของสถาปัตยกรรม Apple ไม่ได้ยืนหยัดอยู่บนคำสัญญาว่าจะไม่กดสวิตช์ แต่ยืนหยัดอยู่บนการไม่มีสวิตช์ บริษัทอื่นที่มีสวิตช์อยู่ในสถาปัตยกรรมของตนไม่สามารถยืนหยัดในตำแหน่งเดียวกันได้เมื่อเผชิญกับแรงกดดันที่เทียบเท่ากัน

วิถีแห่งการกำกับดูแลของยุโรป

กฎหมายยุโรปในวาระการออกกฎหมายล่าสุดได้ผลักดันให้มีความสามารถในการควบคุมระยะไกลมากขึ้น ไม่ใช่น้อยลง กฎหมายบริการดิจิทัล (DSA) ซึ่งมีผลบังคับใช้อย่างสมบูรณ์ตั้งแต่เดือนกุมภาพันธ์ 2024 บังคับให้แพลตฟอร์มต่างๆ ต้องเปิดใช้งานกลไกที่รวดเร็วในการถอนเนื้อหาภายใต้คำสั่งของหน่วยงานที่มีอำนาจ ซึ่งเป็นกลไกที่จะไม่มีอยู่หากไม่มีความสามารถทางเทคนิคที่รองรับอยู่ กฎหมายปัญญาประดิษฐ์ (AI Act) ซึ่งมีผลบังคับใช้เป็นลำดับขั้นตั้งแต่เดือนสิงหาคม 2024 กำหนดให้ผู้ให้บริการระบบ AI ที่มีความเสี่ยงสูงบางประเภทต้องมีมาตรการที่อนุญาตให้มีการปิดใช้งานหรือการควบคุมดูแลโดยมนุษย์อย่างมีนัยสำคัญ: ซึ่งเป็นรูปแบบเชิงบรรทัดฐานของ kill switch ที่บังคับ ในทางตรงกันข้าม กฎหมายตลาดดิจิทัล (DMA) ได้กำหนดภาระผูกพันในการทำงานร่วมกัน: ซึ่งเป็นกระแสที่ตรงกันข้ามซึ่งจำกัดผลกระทบของการปิดกั้น

สำหรับมืออาชีพชาวยุโรป การตีความที่ตรงไปตรงมาคือ: คำถามที่ว่า "ผู้ให้บริการสามารถปิดใช้งานบริการนี้สำหรับฉันได้หรือไม่?" มีคำตอบว่าใช่มากขึ้นทุกปีเนื่องจากข้อกำหนดทางกฎหมาย ไม่ใช่น้อยลง สิ่งนี้ไม่ได้ตั้งคำถามถึงความชอบธรรมของกฎระเบียบ — DSA ตอบสนองต่อปัญหาที่เกิดขึ้นจริง — แต่มันตอกย้ำสิ่งหนึ่งว่า: การไว้วางใจว่าผู้ให้บริการจะไม่ใช้สวิตช์นั้นยังต้องการความไว้วางใจอีกด้วยว่า ไม่มีภาระผูกพันทางกฎหมายในอนาคตที่จะบังคับให้พวกเขาใช้สวิตช์ในทิศทางที่ไม่ได้คาดการณ์ไว้ในปัจจุบัน มันเป็นความไว้วางใจที่ไม่ได้ขึ้นอยู่กับบริษัทเท่านั้น แต่ขึ้นอยู่กับสภาพแวดล้อมทางกฎหมายทั้งหมด

คำถามด้านการออกแบบที่นานๆ ครั้งจะถูกตั้งขึ้น

การออกแบบทางเทคนิคร่วมสมัยส่วนใหญ่สันนิษฐานว่าจะมีสวิตช์อยู่แล้วสัญญาว่าจะไม่ใช้มันในทางที่ผิด มีทางเลือกอื่นที่ท้าทายกว่าแต่สามารถทำได้จริงอย่างสมบูรณ์: การออกแบบโดยสันนิษฐานว่าสวิตช์ไม่ควรมีอยู่จริง มันไม่ใช่สโลแกน แต่มันหมายถึงการตัดสินใจที่เป็นรูปธรรม: สถาปัตยกรรมแบบกระจายศูนย์เทียบกับแบบรวมศูนย์ สิทธิในอุปกรณ์ของผู้ใช้เทียบกับสิทธิที่ได้จากบัญชี เนื้อหาที่เข้ารหัสด้วยคีย์ที่ผู้ให้บริการไม่มีเทียบกับเนื้อหาที่เข้ารหัสด้วยคีย์ที่ผู้ให้บริการเก็บไว้ อัตลักษณ์การเข้ารหัสของผู้ใช้เทียบกับอัตลักษณ์ที่จัดการโดยผู้ให้บริการ การตัดสินใจแต่ละอย่างเหล่านี้มีต้นทุนทางเทคนิคที่แท้จริงและผลทางธุรกิจที่แท้จริง แต่ทั้งหมดมีคุณสมบัติร่วมกันอย่างหนึ่ง: เมื่อตัดสินใจไปแล้ว จะเป็นการขจัดคำสั่งทางกฎหมายบางประการออกไปในฐานะวัตถุที่เป็นไปได้ สิ่งที่ไม่สามารถดำเนินการได้ ย่อมไม่สามารถถูกสั่งให้ดำเนินการได้

สำหรับผู้อ่านมืออาชีพ

คำถาม 5 ข้อที่ควรถามผู้ให้บริการวิชาชีพที่สำคัญก่อนนำไปใช้ โดยเรียงลำดับตามที่ผู้ตรวจสอบความต่อเนื่องทางธุรกิจจะถาม:

1. ผู้ให้บริการมีความสามารถทางเทคนิคในการระงับ บล็อก ลบ หรือลดคุณภาพบริการ ข้อมูล หรือผลิตภัณฑ์ของฉันจากระยะไกลหรือไม่?
2. ภายใต้เงื่อนไขที่ระบุไว้ในสัญญาข้อใดบ้างที่ผู้ให้บริการสามารถใช้ความสามารถนั้นได้?
3. ภายใต้เงื่อนไขที่ไม่ได้ระบุไว้ข้อใดบ้าง เช่น คำสั่งศาล การคว่ำบาตรระหว่างประเทศ การเปลี่ยนแปลงนโยบายฝ่ายเดียว การเข้าซื้อกิจการขององค์กร ที่พวกเขาสามารถใช้ความสามารถนั้นได้เช่นกัน?
4. หากมีการใช้งาน ฉันมีเวลาต่อเนื่องในการดำเนินกิจกรรมทางวิชาชีพเท่าใด และมีแผนทางออกใดบ้างที่พร้อมใช้งาน?
5. มีทางเลือกทางสถาปัตยกรรมที่คำตอบสำหรับคำถามข้อแรกคือ "ไม่" โดยโครงสร้าง ไม่ใช่โดยคำสัญญาหรือไม่?

คำตอบสำหรับคำถามข้อที่ 5 อาจไม่ได้มีให้เสมอไปหรืออาจไม่สมเหตุสมผล สเปรดชีตส่วนตัวอาจไม่สมควรได้รับข้อกำหนดนั้น แต่แฟ้มกฎหมายที่ใช้งานอยู่ ประวัติการรักษาของผู้ป่วย บัญชีภาษี การสนทนาที่ได้รับความคุ้มครองทางจรรยาบรรณวิชาชีพ ใช่ ความสมเหตุสมผลคือการตัดสินใจทางวิชาชีพ แต่การอ่านคำถามข้อที่ 1 อย่างตรงไปตรงมาไม่ใช่: สวิตช์นั้นมีอยู่ หรือไม่มีอยู่

---

การคุ้มครองที่ยังคงรักษาความเป็นไปได้ในการเพิกถอนไม่ใช่การคุ้มครองเชิงโครงสร้าง แต่มันคือความไว้วางใจที่เปลี่ยนชื่อใหม่ ความไว้วางใจ ดังที่เราได้กล่าวไว้ในสมุดบันทึกเล่มอื่น เป็นวิธีแก้ปัญหาทางสังคมที่ใช้ได้เมื่อมอบให้กับผู้ที่สมควรได้รับ แต่มันเปราะบางเมื่อมีการเปลี่ยนมือครั้งแรก การป้องกันเชิงโครงสร้างที่สะอาดที่สุดคือสิ่งที่ไม่สามารถเพิกถอนได้เพราะมันไม่มีอยู่ตั้งแต่แรก เหมือนกับทุกสิ่งในสถาปัตยกรรม: มันคือทางเลือกในการออกแบบ ไม่ใช่การตัดสินใจทางการตลาด