一款新软件即使完全开源、代码审计通过、承诺不传数据，它依然可能运行在美国公司控制的平台上、依赖美国公司维护的运行时、通过美国公司签发的证书分发更新，任何一层都可以成为施加控制的切入点。