大西洋理事會（Atlantic Council）11月8日發布題為《監視技術博覽會：網絡能力在國際武器市場的擴散》的研究報告。報告顯示歐洲和中東的間諜軟件和監控技術公司正在向美國及其情報盟友和北約（NATO）的對手銷售入侵軟件。11月3日，美國商務部將總部位于以色列的NSO集團和間諜軟件公司Candiru列入對美國國家安全構成威脅的公司名單，此舉被視為美國打擊間諜軟件的重要措施。此后，有三名眾議院民主黨人呼吁拜登政府采取進一步行動，限制民主國家的投資者向黑客雇傭的公司投資。
研究報告稱，國家網絡能力越來越遵循“付費游戲”模式——美國/北約盟國和對手都可以從私人公司購買攔截和入侵技術，用于情報和監視目的。雖然NSO集團在2021年以政府機關為目標，多次登上新聞頭條，但銷售同樣有害產品的企業越來越多。這些供應商越來越多地指望外國政府來購買他們的商品，而政策制定者還沒有充分認識到這一新興問題，也沒有有效的應對措施。出售給外國政府的任何網絡能力都存在巨大風險：這些能力可能被用來對付盟國的個人和組織，甚至本國的個人和組織。
由于監控技術的買賣大部分都是在暗處運作，所以對整個行業的研究很少。報告分析了在過去20年里，在國際監視市場中積極提供攔截/入侵能力的供應商，被研究的公司參加了ISSWorld（即Wiretapper's Ball）和國際武器展覽會，這個數據集主要集中在西方公司，很少涉及中國公司，因為在ISSWorld上中國公司的參與人數一直很少。然而，這項研究工作的成果將有助于決策者更好地了解整個市場，以及這些參與者所經營的主要武器及交易情況。報告明確識別了在軍售會上營銷攔截/入侵技術的公司，并回答了一系列問題，包括：哪些公司在總部區域外營銷攔截/入侵能力；哪些武器交易會和國家吸引了大多數這類公司；哪些公司向美國和北約對手出售攔截/入侵能力？
結果數據顯示，作者高度自信地評估了總部位于歐洲和中東的多家公司，它們正在向美國/北約的對手推銷網絡攔截/入侵能力。他們認為，提供攔截/入侵能力的公司構成了最大的風險，因為它們支持了暴虐政權，也增強了這些國家戰略能力。許多這樣的公司聚集在法國的milpol，英國的Security & Policing，以及英國，德國，新加坡，以色列和卡塔爾的其他武器展覽會。
研究發現，75%可能出售攔截/入侵技術的公司已經向其本土以外的政府推銷了這些能力。五家不負責任的擴散者——BTT、Cellebrite、Micro Systemation AB、Verint和vastech——在過去十年中向美國/北約的對手輸出了他們的能力。
報告將這些公司歸類為潛在的不負責任的核擴散者，因為它們愿意在自己的本土以外向美國和北約的非盟國政府——特別是俄羅斯和中國——銷售產品。這些公司表明，他們愿意接受或忽視這樣的風險，即他們的產品將增強客戶政府的能力，可能會威脅美國/北約國家安全或傷害邊緣化人口。當附屬國政府是美國或北約的直接對手時，情況尤其如此。
這種全球化的轉變之所以重要，有兩個原因。首先，這表明網絡能力在全球范圍內擴散的趨勢正在擴大。其次，在監控和攻擊性網絡能力市場上，許多這類公司長期以來一直通過指出其客戶感知到的合法性來論證其商業模式的合法性。然而，他們的營銷策略卻與這種說法相矛盾。正如最近對幾名前美國情報人員為阿聯酋工作的指控所證實的那樣，最初專注于一個目標的能力可能會擴展到其他情報用途。當這些公司開始向北約成員國和及其對手出售產品時，應該會引起所有客戶的國家安全擔憂。
參閱：美國情報機構前雇員為他國提供網絡間諜技術服務被起訴
報告最后建議美國和北約采取四項措施以緩解當前這種不利局面，一是與該領域的公司建立了解客戶（KYC）政策；二是與武器展覽會合作，限制不負責任的擴散者參加這些活動；三是加強出口管控的漏洞；四是讓不負責任的供應商和客戶蒙羞。
調查結果出爐之際，正值參加國際武器貿易展的監控設備供應商數量激增，其中包括出席人數眾多的法國警政署和總部位于英國的安全與警務內政部。
這些風險并非假設。研究人員收集的武器博覽會參展數據包括美國承包商CyberPoint。CyberPoint是DarkMatter（暗物質）的前身，在為阿拉伯聯合酋長國設計網絡能力并導致對美國公民進行間諜活動后，它成為了美國執法部門的目標。
該報告提供了迄今為止對入侵和監控行業最全面的總結梳理，但研究人員指出，可能存在更多的公司。因為他們用英語搜索，“數據集嚴重低估了中國公司在這一領域的存在。”報告建議政策制定者集中力量，控制那些直接向對手出售這些能力的公司，或那些愿意忽視其能力可能被濫用風險的公司。
網絡和監視能力的擴散是一個棘手的政策問題。防止該行業造成的危害是一項重要的政策目標，應予以重視。然而，迄今為止，通過出口管制和全球機制來監管該行業的努力收效甚微。最重要的是，研究報告表明，有一大批私營企業愿意不負責任地自行其事：它們的營銷能力有可能成為某些政府的壓迫工具，或成為非北約盟國的戰略工具。美國、北約及其盟友仍有政策工具可以用來防止私人開發的攻擊性網絡能力不負責任地擴散。
