135份生物识别合同揭开新疆监控底座：制裁名单上的宇视仍通过第三方进入项目

摄像头只是新疆大规模监控体系最容易被看见的一层。真正决定监控能力的，是摄像头之后的数据中心、服务器、算法、数据库以及把不同设备连接起来的采购网络。

世界维吾尔代表大会10月2日发布的周报再次聚焦C4ADS近期调查。研究人员梳理新疆等地政府采购和企业关系后，在新疆发现135份涉及生物识别数据采集技术的合同；已受到美国制裁的中国监控企业宇视科技（Uniview）出现在54份相关合同中，而且相当一部分通过第三方企业进入项目。

这个数字的重要性不在于又证明中国安装了多少摄像头，而在于它揭示制裁与实际采购之间的缺口：一家企业即使被列入限制名单，只要设备、软件和服务能够通过集成商、经销商和项目承包商继续流动，监控基础设施就不会因为名单上的一个公司名称而停止运作。

传统城市监控的核心功能是录像和事后查找。新疆形成的系统则把人脸、身份证、通信、车辆、位置以及其他行为数据汇集到可以持续分析的基础设施中。

C4ADS此前在《Hardwired Repression》报告中指出，数据中心是这套体系容易被忽视的基础层。大量生物识别和行为数据必须经过服务器存储、匹配和处理，才能把一个普通居民转换成可被算法筛查、标记和追踪的数据对象。

这意味着人权风险并不只存在于“哪一台摄像头是谁制造的”。服务器、硬盘、处理器、网络设备、数据库软件和系统集成商都可能成为监控链条的一部分。

宇视科技长期生产视频监控和智能安防设备，并因新疆人权问题受到美国限制。C4ADS梳理的合同却显示，宇视仍频繁出现在相关监控项目中，其中许多并非以制造商直接承包的形式出现。

政府采购通常由本地系统集成商承担整体项目，再从不同厂商采购摄像机、存储、识别软件和网络设备。这种多层承包结构能够把最终制造商隐藏在项目链条深处，也使外国政府和企业更难仅凭一级供应商名单判断技术是否最终进入新疆监控系统。

因此，真正有效的供应链审查必须从“公司名单”转向“合同网络”。需要追踪的不只是哪个公司中标，还包括中标企业采购谁的设备、软件许可证来自哪里、谁提供后续维护，以及硬件之间要求兼容哪些外国技术。

最新研究把新疆、西藏、内蒙古和香港的控制技术放在同一架构中观察。这并不是说四个地区存在完全相同的监控系统，而是北京正在不同政治环境中重复使用数据化治理、身份识别、网络控制和风险人员管理的逻辑。

新疆是这套体系最极端的实验场之一。针对维吾尔人和其他突厥穆斯林的长期大规模监控，与拘禁、宗教限制、出行控制和家庭分离政策相互配合。技术在这里并非中性的城市管理工具，而成为国家区分、筛查和干预特定族群日常生活的基础设施。

当类似采购模式和技术标准向其他地区扩散，问题就不再只是新疆人权，而是中国党国治理如何把数字基础设施变成政治控制基础设施。

美国及其他民主国家过去几年已经把多家参与新疆监控的中国企业列入制裁或出口限制名单。但C4ADS的合同数据提醒，制裁如果只停留在企业名称层面，很容易被复杂供应链稀释。

更有效的做法需要同时追踪三个方向：政府采购合同中的实际设备品牌；中间集成商与受制裁公司的股权和商业关系；以及外国芯片、服务器组件和软件是否仍通过第三国或非受限子公司进入系统。

新疆监控体系能够长期扩张，不只是因为北京愿意投入巨额公共资金，也因为全球技术供应链足够复杂，使责任可以被分散到几十家公司和多层合同中。

135份生物识别合同和54次宇视相关记录把这种结构具体化了。每一份合同看起来都只是一次政府采购，但把它们连接起来，就能看到一套国家级监控工程如何依靠商业网络持续更新。要阻断这套机器，国际制裁必须像调查者一样追踪网络，而不能只在名单上划掉几个公司名字。