电子设备非法内容案件中"木马防御"命题构建与证据评估的数字化革新

为解决电子设备非法内容案件中证据评估不平衡问题，荷兰法医研究所研究人员系统研究了"木马防御"案件中的命题构建方法。研究提出五类解释框架，将物理证据评估原则（如LR框架）引入数字取证领域，建立了涵盖故意/非故意行为、自动化过程等场景的命题体系，为数字证据的透明化评估提供了方法论基础。该成果发表于《Forensic Science International: Digital Investigation》，推动了数字法医学向标准化、可量化评估方向发展。

　　

在数字犯罪调查中，电子设备非法内容案件呈现爆炸式增长，但证据评估方法却严重滞后。当前数字取证报告仍普遍采用"是/否"式结论（Boddington, 2012），而辩护方常提出的"木马防御"理论——即非法内容可能通过黑客攻击或恶意软件自动植入——使得案件定性变得复杂。更棘手的是，现有研究多聚焦调查流程标准化（如Casey等2019年研究），对如何量化评估数字证据权重（如使用似然比LR）缺乏系统指导。这种现状导致法庭常面临一个尴尬问题：当在嫌疑人电脑发现非法内容时，究竟是其主动下载，还是被第三方利用漏洞植入？

荷兰法医研究所的团队针对这一难题展开了创新研究。他们首先系统梳理了五类非法内容出现机制：嫌疑人故意行为、他人直接操作、自动化程序、嫌疑人非故意行为及其他特殊情况。通过借鉴物理证据评估中的"命题层级"理论（Cook等1998），研究者建立了适配数字取证特点的命题构建框架。例如在涉及犯罪意图争议时，采用"嫌疑人明知（knowingly）下载"与"嫌疑人非故意下载"的命题对，既避开"犯罪意图性质"的专业判断禁区，又为法庭提供科学评估依据。

研究采用案例模拟法，构建了典型文件共享网络非法传播场景：警方追踪到某IP在2023年9月8-11日传播非法文件，嫌疑人Mr.X的电脑中发现450个非法文件。针对该案例，团队演示了如何根据争议焦点构建不同层级的命题组合。当争议集中在"谁执行下载"时，采用"Mr.X明知下载"对"他人远程下载"的命题组；当争议涉及"下载时间"时，则构建"特定时段下载"对"设备购买前已存在"的命题组。研究特别强调，数字取证专家应聚焦"意图存在与否"而非"意图性质"，这种精准定位使专家意见既保持科学性又不越界。

关键技术方面，研究团队主要运用：1）法律案例回溯分析法，梳理美国、荷兰等地的典型"木马防御"判例；2）命题构建的框架迁移技术，将物理证据领域的LR评估体系（Evett等2000）适配到数字取证场景；3）多维度验证方法，通过模拟案例测试不同命题组合下证据评估的效度。

研究结果部分，"解释框架分类"首次将"木马防御"细化为五类机制：

• 类别1（嫌疑人故意行为）：涵盖明知下载、传播等主动犯罪行为
• 类别2（他人行为）：包括黑客远程操作或家庭成员物理接触设备
• 类别3（自动化过程）：典型如木马病毒自动下载非法内容
• 类别4（嫌疑人非故意行为）：如下载合法内容时混入非法文件
• 类别5（其他）：如取证过程中的污染等罕见情况

"命题构建实践"部分通过典型案例展示：

• 针对"行为主体争议"，构建H_1.1（Mr.X明知下载）与H_2.1（他人下载）的命题对
• 针对"时间争议"，采用H_1.2（特定时段下载）与H_2.3（购机前已存在）的对比
• 突破性提出"意图相关命题"，如H_1.3（明知下载）与H_2.4（非故意下载）

"技术难点突破"中解决了三大关键问题：
1）设备与使用者关联性：当多人可接触设备时，仍建议命题明确指向嫌疑人而非模糊的"设备使用者"
2）复合争议处理：对"下载+传播"的多重指控，给出分项评估与合并评估的灵活方案
3）模糊辩护应对：当被告仅称"不知情"时，提供三种应对策略包括专家协助列举可能解释

这项研究的意义在于，首次系统建立了数字取证领域的命题构建标准，其创新点体现在：将物理证据评估的LR框架成功迁移至数字领域；突破性地处理了"犯罪意图"这一传统禁区；提出的五分类法覆盖了90%以上的"木马防御"场景。正如研究者强调，即便不采用量化评估，遵循这些命题构建原则也能显著提升证据分析的逻辑性与透明度。该成果为数字取证从"描述性结论"迈向"量化评估"提供了关键方法论支撑，对提升司法公正具有重要实践价值。