WhatsApp说，Paragon的Graphite间谍软件曾涉及全球约90名目标。意大利收到通知的人里，有记者，也有活动人士。现在更刺眼的一点是：据Wired Italy报道，意大利检方通过以色列政府向Paragon发出的正式信息请求，约一年后仍没有得到公司回复。
这件事最反常的地方，不是又一家间谍软件公司卷入争议。真正的测试在于，Paragon过去一直把自己放在NSO Group、Intellexa的反面：更克制、更合规、更讲伦理。可当司法调查要求它解释技术链条和客户链条时，据报沉默本身就成了问题。
目前不能说Paragon违法，也不能说它故意阻挠调查。公开材料还撑不起这个判断。能看到的是，Paragon的“道德替代者”叙事，正在被一个很硬的问题逼到台前：合规如果不能被外部核验，采购方和受害者该凭什么相信？
Paragon被指未回应：目前能确认什么
这起风波从WhatsApp的披露开始。WhatsApp曾表示，它挫败了一起使用Paragon Graphite间谍软件的攻击活动，全球约90人受到影响。意大利相关对象包括记者和活动人士。
这里要分清两层：有人被确认遭入侵，有人是收到平台通知或被列为目标。二者不能混写。对间谍软件案件来说，这个区别很重要，因为它决定证据能走到哪一步。
随后，多名受害者向意大利当局提交刑事控告。罗马和那不勒斯检方展开调查。Wired Italy称，检方向Paragon发出正式信息请求，但约一年后仍未获得公司回复。Paragon、以色列驻华盛顿使馆以及相关检方，均未回应TechCrunch的置评请求。
几个锚点可以先放清楚：
| 问题 | 目前公开信息 | 判断边界 |
|---|---|---|
| Graphite涉及范围 | WhatsApp称全球约90名目标受到影响 | 不等于90人全部被成功入侵 |
| 意大利对象 | 包括记者和活动人士 | 个案证据强度不同 |
| 独立技术确认 | Citizen Lab确认Fanpage两名记者Francesco Cancellato、Ciro Pellegrino遭Graphite入侵 | 这是目前最硬的公开技术锚点 |
| Paragon态度 | 曾公开称愿意协助调查 | 据报未回应检方正式请求，原因不明 |
意大利政府否认黑客攻击两名Fanpage记者。意大利议会监督情报机构的委员会也不是给所有争议“一笔勾销”。它曾认定对部分活动人士的监控合法，但对记者案没有给出全面洗白式结论；其中包括称未能找到Cancellato遭针对的证据，且并未完整调查所有相关个案。
这也是为什么检方的信息请求关键。手机取证、平台通知、研究机构报告，只能拼出部分链条。谁采购、谁授权、谁实际操作、日志是否保存，很多材料掌握在供应商和政府客户手里。
如果这些材料不出来，案件就容易卡在半空。技术上知道发生过什么，司法上却很难追到责任人。
从公开表态到据报沉默：Paragon的卖点被反向检验
Paragon此前姿态并不低调。公司曾公开称，意大利政府拒绝其协助调查是否有记者遭Graphite入侵。随后，Paragon取消了与意大利两家情报机构AISE和AISI的合同。
对一家商业间谍软件公司来说，公开与前客户交恶并不常见。这本来能服务它的品牌叙事：我们不是滥用工具的帮凶，我们会对客户设边界。
问题在于，边界不是声明出来的。它要靠审计、日志、滥用调查和司法问询证明。Paragon官网曾宣称提供“基于伦理的工具、团队和洞察”。官网目前已无法正常加载，但这句口号留下的压力还在。
我更在意的是，这类公司到底能不能在“客户保密”和“外部问责”之间给出可验证方案。不能只在市场营销里讲伦理，在司法程序里又退回黑箱。
这对两类读者有直接影响。
| 读者/机构 | 现在该怎么做 | 原因 |
|---|---|---|
| 网络安全研究人员、取证团队 | 保存平台通知、设备镜像、IOC和时间线，避免只依赖厂商声明 | 供应商不配合时，独立证据链更关键 |
| 隐私政策研究者、政府采购监督者 | 把“可审计日志、滥用响应、跨境司法配合”列为采购和监管核心条款 | “道德供应商”不能只看口号，要看可执行义务 |
对政府采购方也是同一件事。若一个供应商主打“更干净”，那采购延后、增加尽调、要求第三方审计，就是合理动作。否则所谓合规，只是把风险从旧品牌换到新品牌。
对被监控者，成本更具体。平台弹窗出现后，他们可能要做设备取证、提交刑事控告、联系律师和研究机构。若跨境调查停在公文流转里，救济就会变成一份难以闭合的案卷。
跨境司法协助，是商业间谍软件监管最硬的短板
这起案件还有一个现实约束：Paragon是公司，但调查会碰到国家。意大利检方的信息请求需要经由以色列政府。这意味着进度不只取决于检方，也不只取决于Paragon。
Pegasus案提供了一个近距离参照。西班牙高等法院今年早些时候关闭了关于NSO Pegasus被用于针对西班牙政界人士的调查，理由之一是以色列方面未配合。另据The Guardian此前报道，以色列政府曾从NSO办公室取得文件，以阻止该公司回应WhatsApp诉讼中的部分要求。
这些案例不能证明以色列政府已经介入Paragon案。两件事不能简单画等号。但它们说明一个制度背景：商业间谍软件一旦挂上出口管制、国家安全和情报合作，公司的透明度承诺就会变脆。
接下来不必盯着Paragon会不会再发一份公关声明。更该看三个变量：
- 意大利检方是否公开更多请求范围.它到底要技术日志、客户信息，还是攻击基础设施线索。
- 以色列方面是否推动或限制Paragon回应：这决定案件会不会重演Pegasus式卡壳。
- Paragon在其他市场的政府合同是否被重新审查：TechCrunch此前报道，美国移民与海关执法局ICE与Paragon有有效合同，HSI称用途包括反恐和打击毒品走私。
这些变量比口号重要。因为商业间谍软件的买家通常不是普通企业，而是执法和情报机构。采购方要的不是供应商“看起来更好”，而是出事后能不能查、能不能停、能不能追责。
回到开头那个问题：Paragon到底是不是“道德替代者”？现在还不能下最终结论。但据报未回应检方请求这件事，已经足够说明一个更现实的标准：间谍软件公司的伦理，不在网页标语里，而在被调查时能交出多少可核验材料。