Kill switch та інституційне захоплення

Обіцянка, що тримається на можливості її відкликання

У 2017 році, під час урагану Ірма, кілька власників Tesla у Флориді виявили, що їхня машина після отримання дистанційного оновлення від виробника раптово отримала додаткові кілометри запасу ходу. Вони за них не платили. Батарея завжди була здатна їх видати; виробник вирішив з метою сегментації ринку не дозволяти цього клієнту. Під час надзвичайної ситуації Tesla тимчасово активувала повну потужність. Після закінчення надзвичайної ситуації вона її деактивувала.

Те, що новини описували як жест щедрості, при уважному прочитанні виявилося чимось іншим. Власник ніколи не володів продуктом, за який він заплатив, у повному обсязі. Виробник зберіг технічну можливість — дистанційно розширювати або зменшувати характеристики — і вирішив використати її на користь клієнта у цьому конкретному випадку. Він міг вибрати протилежне. Ця історія розкриває архітектуру влади, що стоїть за жестом щедрості.

Ця стаття присвячена цій архітектурі. Ми називаємо її, за галузевою конвенцією, kill switch: дистанційний вимикач, який дозволяє оператору деактивувати, змінювати або відкликати можливості продукту, послуги чи пристрою, які користувач уже вважав своїми. Питання не в тому, чи чесний оператор. Питання в тому, що відбувається, коли він перестає ним бути або коли хтось змушує його використовувати вимикач в іншому напрямку.

Що саме таке kill switch

Термін походить з англійської і важко перекладається: вимикач смерті звучить драматично; дистанційний вимикач звучить занадто нейтрально. Kill switch визначається простою властивістю, а не драматизмом терміну: це технічна можливість дистанційно деактивувати щось, яка перебуває в руках того, хто не є користувачем. Це може бути повне відключення — машина, яка не заводиться, файл, який видаляється, обліковий запис, який призупиняється — або часткове відключення — функція, яка зникає, акумулятор, який втрачає запас ходу, підписка, яка переривається.

Не будь-яке дистанційне керування є kill switch. Планове оновлення безпеки, дозволене користувачем при встановленні продукту, ним не є. Як і протиугінна система, яку власник може активувати сам при крадіжці телефону. Kill switch у повному розумінні слова має три риси: його використання є рішенням оператора, а не користувача; він не потребує точкової згоди зацікавленої особи для активації; і він застосовується до продукту або послуги, яку користувач уже вважав повністю своєю.

Європейська галерея активних вимикачів

Tesla часто повторює цю схему, у її випадку — документованим чином: контрактне зниження запасу ходу, що застосовується до вживаних автомобілів, які змінили власника, відкликання функцій допоміжного водіння після анулювання ліцензії, односторонні зміни в поведінці продукту між версіями прошивки. John Deere вже багато років перебуває в центрі європейських та американських дебатів про право на ремонт: купівля трактора включає програмний шар, обслуговування якого залежить від офіційної мережі виробника; коли ця мережа відмовляє в реєстрації, трактор обмежує основні функції. BMW запропонувала у 2022 році щомісячну підписку на активацію підігріву сидінь в автомобілях, де він уже був встановлений фізично; суспільний тиск змусив відкликати цю модель, але технічна можливість залишилася.

У сфері програмного забезпечення ця схема є структурною. Adobe Creative Cloud анулює місячні ліцензії при непродовженні підписки, роблячи непридатними файли, створені користувачем за допомогою цих інструментів. Microsoft може деактивувати копії Windows, які вона вважає неліцензійними, без практичної можливості оскарження. Google видаляє додатки з Play Store на виконання судових наказів або внутрішніх рішень; видалений додаток також видаляється з телефонів, на яких він був установлений. Apple Pay був відключений у Росії в березні 2022 року в рамках дотримання Apple міжнародних санкцій: легітимно в даному контексті, але процедура завжди була доступна.

Легітимний аргумент з боку виробника

Розробник таких систем зазвичай пропонує цілком обґрунтовані аргументи:

1. Запобігання крадіжкам. Якщо в мене вкрадуть машину або телефон, я ціную те, що виробник може дистанційно вивести їх з ладу.
2. Запобігання шахрайству. Неоплачені підписки потребують механізму відключення; без цього механізму бізнес-модель руйнується.
3. Запобігання зловживанню. Небезпечний інструмент у чужих руках може виграти від можливості його відкликання.
4. Дотримання нормативних вимог. Певні судові накази зобов'язують оператора видаляти контент, вимикати функції або призупиняти дію облікових записів, і система без вимикача — це система, яка не може їх виконати.

Всі чотири аргументи вірні. Жоден з них не змінює суті справи. Вірно, що kill switch полегшує запобігання крадіжкам; вірно і те, що ця сама можливість служить для примусу живого клієнта, а не тільки для нанесення шкоди злодієві. Вірно, що модель підписки потребує відключення; вірно і те, що відключення може бути здійснене завтра щодо діючого клієнта з причини, відмінної від передбаченої в договорі. Питання не в тому, чи має kill switch законне застосування. Питання в тому, що як тільки він з'являється, його використання не обмежується тим, що було передбачено в початковій документації.

Інституційне захоплення

Тут вступає в дію поняття, що дало назву статті. Інституційне захоплення — це ситуація, в якій суб'єкт — приватна компанія, адміністрація, регулюючий орган — зрештою використовує можливості, які він набув або які були йому надані для обмежених цілей, у цілях більш широких, інших або прямо протилежних початковим. Політична економія знає це явище десятиліттями у фінансовому регулюванні. Технологічна індустрія відкриває його на власному досвіді.

Механізм наступний. Компанія розробляє kill switch у законних цілях: захист від крадіжок, управління підписками, дотримання вимог. Компанія документує ці цілі у своїх умовах використання, у своїй політиці конфіденційності, у своїх публічних повідомленнях. Минають роки. Уряд видає наказ відповідно до нового законодавства; компанія змушена використовувати вимикач у напрямку, не описаному в її початковій документації. До ради директорів входить акціонер-активіст і змінює комерційну політику; вимикачі існують і застосовуються відповідно до нової політики. Компанія поглинається більшою; умови обслуговування переписуються в односторонньому порядку з повідомленням за тридцять днів. У кожному випадку клієнт, який довірився вимикачу в задокументованих цілях, виявляє, що вимикач все ще на місці, але відповідає іншим інтересам.

Парадигматичний випадок для європейського читача: справа Apple проти ФБР у Сан-Бернардіно у 2016 році. Після теракту в Каліфорнії ФБР вимагало від Apple розблокувати iPhone зловмисника. Apple відмовилася, стверджуючи частково принципові аргументи, а частково технічний аргумент: система, якою вона була спроектована, не дозволяла самій компанії розблокувати пристрій без переписування базового програмного забезпечення. Найміцніший захист був архітектурним, а не моральним. Apple трималася не на обіцянці не натискати на вимикач; вона трималася на відсутності вимикача. Інші компанії, в архітектурі яких є вимикачі, не змогли зберегти таку ж позицію перед лицем еквівалентного тиску.

Європейська траєкторія регулювання

Європейське право протягом останнього законодавчого терміну підштовхувало до розширення можливостей дистанційного керування, а не до їх скорочення. Регламент про цифрові послуги (DSA), який повністю застосовується з лютого 2024 року, зобов'язує платформи впроваджувати швидкі механізми видалення контенту за розпорядженням компетентного органу; механізми, які б не існували без базових технічних можливостей. Регламент про штучний інтелект (AI Act), що вступає в дію поетапно з серпня 2024 року, вимагає від постачальників певних систем ШІ високого ризику мати заходи, що дозволяють їх деактивацію або значний людський нагляд: нормативна форма обов'язкового kill switch. Регламент про цифрові ринки (DMA), навпаки, вводить зобов'язання щодо функціональної сумісності: протилежний напрямок, що обмежує ефект блокування.

Для європейського фахівця чесне прочитання полягає в наступному: запитання «чи може оператор відключити цю послугу для мене?» з кожним роком отримує все більше ствердних відповідей через вимоги законодавства, а не менше. Це не ставить під сумнів легітимність нормативних актів — DSA відповідає на реальні проблеми — але це підкріплює одну річ: довіра до того, що оператор не використовуватиме вимикач, вимагає також довіри до того, що жодні майбутні юридичні зобов'язання не змусять його використовувати його в напрямку, який сьогодні не передбачається. Це довіра, яка залежить як від компанії, так і від усього нормативного середовища, що її оточує.

Питання дизайну, яке рідко формулюється

Більшість сучасних технічних рішень припускають наявність перемикача і обіцяють не зловживати ним. Існує альтернатива, більш вимоглива, але цілком здійсненна: проектування виходячи з припущення, що перемикача бути не повинно. Це не гасло. Це передбачає конкретні рішення: розподілена архітектура замість централізованої, права на пристроях користувача замість похідних від облікового запису, контент, зашифрований ключами, яких немає в оператора, замість контенту, зашифрованого ключами, які зберігає оператор, криптографічна ідентифікація користувача замість ідентифікації, керованої оператором. Кожне з цих рішень має реальну технічну вартість і реальні комерційні наслідки. Але всі вони мають одну властивість: після їх прийняття вони виключають певні судові накази як можливий об'єкт. Те, що неможливо виконати, неможливо наказати виконати.

Для професійного читача

П'ять запитань, які слід поставити постачальнику будь-якої критично важливої професійної послуги перед її впровадженням, сформульовані в тому порядку, в якому їх поставив би інспектор із забезпечення безперервності бізнесу:

1. Чи існує технічна можливість у провайдера дистанційно призупинити, заблокувати, видалити або погіршити якість моїх послуг, даних або продукту?
2. За яких обставин, заявлених у договорі, провайдер може скористатися цією можливістю?
3. За яких незаявлених обставин — судовий наказ, міжнародні санкції, одностороння зміна політики, корпоративне поглинання — він також може нею скористатися?
4. У разі її використання, який час безперервності професійної діяльності у мене є і який план виходу доступний?
5. Чи існує архітектурна альтернатива, в якій відповіддю на перше питання буде «ні» в силу конструкції, а не обіцянки?

Відповідь на п'яте запитання не завжди доступна або пропорційна. Особиста електронна таблиця, ймовірно, не заслуговує на таку вимогу. Активне юридичне досьє, історія хвороби пацієнта, податкова звітність, розмова, захищена професійною таємницею, — так. Пропорційність — це професійне рішення; чесне прочитання першого запитання — ні: або вимикач існує, або ні.

---

Захист, що зберігає можливість відкликання, не є структурним захистом; це перейменована довіра. Довіра, як ми говорили в іншому Зошиті, — це дієве соціальне рішення, коли вона дається тому, хто на неї заслуговує, але вона крихка при першій же зміні власника. Найчистіший структурний захист — це той, який неможливо відкликати, бо його спочатку не існує. Як і в усьому, що стосується архітектури: це вибір дизайну, а не маркетингове рішення.