TP-Link的美国问题

中国路由器厂商TP-Link在美国又碰上了麻烦。2026年10月6号，佛罗里达州总检察长James Uthmeier在波尔克县法院起诉了TP-Link Systems Inc.，也就是总部设在加州的那家公司。

TP-Link此前已经宣布跟中国大陆业务分拆，并且多次强调，卖到美国的设备是在越南制造的。但佛州认为，这些说法没有把公司和中国的联系交代清楚，对产品安全的宣传也误导了消费者。

这次起诉依据的是州消费者保护法，总共提出了五项指控，要求法院制止相关行为、追缴不当所得并处以罚款。这就完美避开了以国家安全为理由起诉，州政府需要面对的复杂的权限和证据问题。

同日，爱荷华州、内布拉斯加州和蒙大拿州也分别起诉，加上2月的得州案件，TP-Link目前已经面对来自五个州的诉讼。整体看，这是一轮由共和党州的司法部长推动、以消费者保护法为法律工具、以中国科技安全风险为议题的协调执法行动。

10月7号，内布拉斯加州牵头的21州检察长也致函FCC，要求在审查TP-Link新型号的条件批准申请时，考虑其中国供应链、研发和安全问题。

针对佛州的诉讼，TP-Link发表声明否认了相关指控，并重点强调了三点：

第一，在美国销售的 TP-Link Systems 设备是在越南制造的，并且 TP-Link Systems 是一家独立的美国公司，不受任何外国政府拥有或控制。

第二，TP-Link Systems 是一家美国公司，遵守美国隐私和数据保护法律。公司进行全面的安全测试，并委托值得信赖的第三方安全实验室进行额外审查，以确保产品符合最高安全标准，并被公认为市场上最安全的产品之一。

第三，TP-Link Systems现在不会，将来也不会和外国政府或未经授权的第三方共享客户网络数据。

我喜欢读这些关于中国公司在美国的诉讼的起诉书、答辩书、判决等法律文件，因为它们会披露很多以前不公开的信息，从里面你甚至能大概勾勒出一家公司在美国是怎么处理那些公共事务危机的。

这些年观察TP-Link处理在美国的事情，我对这家公司还是有不少敬意的。尽管没有完全起到效果，但在美国的公共事务战略方面，他们还是做得可圈可点。作为像路由器这样核心的通信设备生产商，这家公司在美国稳定保持第一的市占率，并且到现在还在压力下持续运营，这本身也说明了一些问题。

TP-Link这家公司是Cliff Chao和Jeffrey Chao（赵建军）两兄弟1996年在深圳创办的，2008年进入美国，后来从路由器扩展到摄像头和其他智能家居设备，Deco、Tapo、Kasa和Omada都在其产品、品牌和应用之列。

2024年8月，美国众议院中国特设委员会的两党领导人要求商务部调查TP-Link路由器的安全风险和中国关联，并考虑动用信息通信技术与服务审查权限。同年12月，《华尔街日报》和路透报道，商务部、国防部和司法部分别开展了调查，商务部已经向TP-Link发出传票。

此后，调查范围逐渐扩大。2025年4月，有报道称司法部正在调查公司的定价策略，涉及刑事反垄断问题；10月，得州启动消费者保护调查；12月，路透又报道，联邦贸易委员会正在调查TP-Link是否通过“美国公司”身份和分拆表述误导消费者。各方关注的内容并不完全一样，产品安全之外，公司的经营方式和对外宣传也成了调查对象。

2026年一度传出来缓和的消息。2月12日，路透报道，由于中美达成了贸易休兵的协议，美国政府暂缓了包括针对TP-Link拟议销售禁令在内的部分对华科技限制，但五天后，得州就起诉了TP-Link Systems。

3月23日，美国联邦通信委员会把外国生产的消费级路由器纳入限制新设备授权的制度，TP-Link的新产品上市受到限制，但已经获授权的型号还可以经营，没有全面退出美国市场。

在这些调查推进的同时，TP-Link在美国做了大量的工作，试图解决这些问题。

2022年起，TP-Link开始把中国大陆和国际业务分拆。到2024年，Cliff Chao通过TP-Link Technologies负责中国销售业务，Jeffrey Chao则担任TP-Link Systems首席执行官。2024年5月11日，公司宣布分拆已经完成，股权、法律实体、员工，以及研发、生产、营销和客户服务都在分拆范围内。当时采用美国和新加坡双总部安排，同年10月，TP-Link Global与TP-Link USA合并为TP-Link Systems，全球总部落在加州尔湾。按公司现在的说明，Jeffrey Chao和妻子Hillary是唯一所有者，国际业务不向中国大陆客户销售产品，与TP-Link Technologies有不同的所有权、管理层和运营体系。

除了分拆公司，TP-Link还做了很多在美国培养信任的动作。2025年2月，该公司任命Adam Robertson为信息与安全总监，公布独立安全评估、漏洞披露和奖励计划，参与美国网络安全和基础设施安全局CISA的Secure by Design承诺及技术交流组。它还委托美国安全公司Finite State评估其2024年的安全投入，按公司公布的结果，部分表现与主要同行相当或更好。TP-Link同时表示，美国公司的核心数据安全工作由美国信息安全团队负责，客户云端数据的安全和完整性由美国云运维团队监控。

FCC收紧授权后，TP-Link申请了附条件批准，并提出把更多制造和研发搬到美国。PCMag在2026年4月报道，公司律师和FCC主席的国家安全顾问Adam Chan会面，介绍了申请方案。按其提交的材料，公司正在投入数亿美元，把消费级路由器制造和研发迁往美国，美国员工已超过550人，包括加州总部的数百名工程师。此前，公司主要强调面向美国的产品在越南制造；这一次，它向监管机构提出的方案又往前走了一步，希望用美国本地的生产和研发安排，争取新产品继续进入市场。

与此同时，TP-Link也花了大量资源投入华盛顿的游说和沟通。2026年第二季度，Akin Gump申报为TP-Link提供服务的相关游说收入为41万美元，接触对象包括国会、商务部和FCC，议题涉及网络安全、路由器和设备授权。Ballard Partners申报30万美元，客户栏写的是“Akin Gump代表TP-Link Systems”，主要就路由器供应链向白宫沟通，参与人员包括Brian Ballard和Thomas Boodry。Boodry此前给Mike Waltz工作，2025年1月至4月还担任过特朗普特别助理及白宫国家安全委员会立法事务高级主管。

TP-Link还雇佣了Mercury Public Affairs和Vernonburg Group两家游说公司。同一季度，Mercury Public Affairs申报20万美元，向商务部和总统行政办公室介绍TP-Link的美国运营、加州总部、数据安全和供应链合规情况；Vernonburg Group申报3万美元，工作涉及网络安全、频谱和FCC设备授权等事项。

2026年3月19日，彭博社援引知情人士报道，Jeffrey Chao正在通过特朗普“金卡”项目申请美国永久居留权，公司已经把这件事告知正在调查它的联邦机构。TP-Link确认，Jeffrey Chao和妻子正在寻求美国公民身份，但没有确认金卡申请的细节。

沿着这些安排看下来，TP-Link的思路并不难理解。公司把国际业务的总部放在美国，强调越南制造，再扩大美国研发和生产，希望让外界相信，它的美国身份有实际业务支撑。同时，它用第三方评估解释产品安全，用游说和直接沟通向政府介绍调整方案，试图在美国政府、公众关心的网络安全和数据安全方面构建信任。公司老板申请美国绿卡，具体事实不清楚，但如果是真的，应该也是相关工作的一部分。毕竟，创始人申请美国身份，可以被理解为具有长期在美国生活和经营的意愿

但在佛州看来，这些显然还不够。从其提交的诉状来看，佛州的主要关切有五个方面：

第一，TP-Link虽然拆分为美国和中国两家公司，但是不是真正摆脱了中国的影响。

佛州在诉状中花了很大篇幅调查TP-Link与中国的关系。彭博社2025年4月的报道称，两家公司在中国合计雇用约1.1万人，而美国员工只有约305人。TP-Link自己的《2024年可持续发展报告》也显示，公司在深圳、东莞设有多个研发和制造中心，成都还有一个投资1.8亿美元的在建项目。公司后来表示，已经停止增加在中国的人员、研发和制造投资。

佛州还想弄清楚，美国公司的重要决定究竟在哪里作出。诉状引用了2026年6月一名自称前员工在Glassdoor上的评价，称美国管理人员的实际权限似乎没有职务显示的那么大，重要决定往往在别处作出。不过，这只是一名前员工的个人说法，不能直接证明公司的实际决策结构。

佛州也调查了TP-Link与中国政府的关系。诉状援引彭博报道，称公司负责人Jeffrey Chao承认，中国设施和子公司曾获得政府奖励和优惠支持，但没有具体说明支持项目和金额。彭博社还报道，两家公司宣布完全分拆后，双方代表仍曾一起参加在中国举行的一场中国共产党活动。诉状引用的照片显示，两名员工站在党徽下，分别举着印有两家公司标识的TP-Link牌子。

此外，2026年6月，美国国防部依据2021财年《国防授权法》第1260H条，将中国的TP-Link Technologies（普联技术）列入“中国军事企业”清单。佛州也把这件事写进了诉状。不过，被列入清单的是中国的TP-Link Technologies，而佛州起诉的是美国的TP-Link Systems，两者是不同的法律主体。

第二，TP-Link强调越南制造，但其供应链是不是仍然高度依赖中国。

TP-Link一直强调，从2018年起，面向美国市场的产品就在越南自有工厂生产，工厂和员工都由公司直接管理。2023年9月，公司还宣布智能家居产品的制造全部由Lianyue Vietnam Co. Ltd.承担。2025年3月，面对美国国会对其供应链安全的质疑，公司再次强调越南工厂的独立运营。

但佛州沿着零部件采购继续调查，发现了不同的情况。诉状援引贸易数据称，按采购价值计算，越南工厂只有约0.5%的零部件在越南本地采购，其余主要从中国或经中国进口。 当然，这并不意味着99.5%的零部件都原产于中国，而是说明其采购和运输仍高度依赖中国供应链。

佛州还调查了越南工厂的建设背景。诉状援引彭博社2025年11月的报道，称湖南省曾将这座工厂列为对外投资合作重点项目，相关通知还提到，一家被美国列入中国军事企业清单的企业参与了制造和研发设施扩建。中国建筑也参与了工厂施工，佛州同时引用了这家企业被美国列名的记录。

货运数据也被纳入调查。佛州查阅ImportGenius和ImportInfo等数据库后指出，直到2026年1月，仍有来自Lianzhou Technologies Co., Ltd.的TP-Link货物从中国运往加州长滩港；2025年12月，也有从上海发出、由TP-Link USA Corporation接收的货物。

佛州因此质疑，TP-Link虽然强调产品在越南制造，但并没有向消费者充分说明，其背后的零部件采购、工厂建设和货物流转仍与中国存在密切联系。

第三，中国政府是不是可能通过在中国的人员和业务，接触TP-Link的产品技术、安全漏洞和美国用户数据。

这是佛州追查TP-Link中国业务关系的一个重要原因。诉状引用中国《国家情报法》第7条和第14条，以及美国国土安全部2020年的商业风险提示，认为中国企业和公民可能被要求协助政府情报工作。

佛州还引用中国2021年网络产品安全漏洞管理规定，特别提到发现相关漏洞后两日内报告的要求。按照佛州的担忧，如果TP-Link仍有大量研发、制造和技术人员在中国，中国政府就可能在安全补丁发布前获知相关漏洞，甚至通过这些业务关系影响设备设计、固件开发和安全维护。

这种担忧也延伸到了美国用户数据。TP-Link的Tether、Deco、Tapo和Kasa Smart等应用会收集邮箱、位置、手机标识符等信息。佛州查看了相关隐私政策，发现公司允许在一定条件下与供应商、顾问、合作伙伴和获授权的关联方共享信息，也允许为遵守法律要求而披露数据。

佛州认为，消费者看到这些条款时，并不知道TP-Link在中国的设施、人员和关联方可能承担哪些法律义务，因此也无法充分了解自己的数据可能面临什么风险。

第四，TP-Link路由器是不是存在严重安全漏洞，以及公司是否及时修复。

佛州列举了多起TP-Link路由器被黑客利用的案例。2023年，网络安全公司Check Point披露，攻击者曾修改TP-Link路由器固件，植入名为Horse Shell的恶意程序。2024年10月，微软报告称，CovertNetwork-1658网络中大多数被攻陷设备是TP-Link路由器，相关网络和凭据被包括Storm-0940在内的中国黑客组织利用。2026年4月，美国司法部又披露，俄罗斯军事情报机构曾利用TP-Link路由器的已知漏洞，修改域名解析设置，对特定目标开展窃密活动。

除了这些攻击案例，佛州还调查了具体产品的漏洞修复情况。例如，Archer AX21的部分硬件版本存在CVE-2023-1389漏洞，攻击者即使不知道密码，也可能向设备注入恶意命令。部分版本不默认支持自动固件更新，用户必须自行安装补丁，而Tether应用提供的更新提醒只是菜单里的一个小红点。这些版本还在2024年5月停止了技术支持。

佛州也关注其他老型号的维护问题，包括TL-WR940N、Archer C7和Archer AXE75等。根据公司公布的安全说明，部分旧型号后来获得了额外补丁，但仍有一些没有得到修复。

佛州借这些案例质疑，TP-Link是否及时发现和修复漏洞，是否向用户提供了足够明确的安全提醒，以及停止支持旧型号后，是否仍有大量存在安全隐患的设备在美国市场使用。

第五，TP-Link是不是通过强调美国公司的独立性、越南制造和产品安全，误导了美国消费者。

这是贯穿佛州诉状的一项核心指控，也是前面几方面担忧最终落到消费者保护问题上的关键。

佛州认为，TP-Link对外强调美国公司已经与中国业务分拆，产品在越南自有工厂制造，试图让消费者相信其经营和供应链具有独立性。但根据佛州调查，公司仍有大量人员、研发和制造活动留在中国，越南工厂也高度依赖来自中国或经中国运输的零部件。这些信息可能影响消费者对产品安全和供应链风险的判断，却没有得到充分披露。

产品安全宣传同样受到质疑。TP-Link曾宣称HomeShield能够提供“100%保护”“覆盖所有安全场景”，但佛州列举了多款路由器的已知漏洞、补丁更新困难和技术支持终止等问题，认为这些宣传可能让消费者高估产品的安全性。

佛州还指责公司披露漏洞信息不完整。例如，2026年4月公布受影响设备名单时，TP-Link漏掉了TL-WR940N，直到5月才将其补充进去。

在用户数据方面，佛州认为，TP-Link虽然在隐私政策中说明了信息共享和依法披露的可能性，却没有充分解释其中国业务关系可能带来的额外风险。

在当前的地缘政治现实下，在美国政府已经盯上的情况下，如何还能继续维系美国的业务，这已经是很多跨国中资企业国际公共事务中最具挑战的课题。具体到每家公司，尽管面临一些共性的问题，但具体情况又都不太一样。

TP-Link事件的特殊意义在于，它将成为一个试金石，检验美国到底在多大程度上愿意为一家具有中国背景、但已经在法律和经营上实现分拆的企业，提供一条清晰、可执行、结果可预期的合规路径。美国监管方是会接受经过整改的TP-Link，还是认为其中国关联本身就构成难以消除的风险。

这里存在两种不同的监管思路。如果监管目标是降低可以识别和验证的网络安全风险，那么整改、审计和有条件批准这些就有实际意义。TP-Link仍然可以通过本土化、治理调整和安全审查争取继续经营。即使代价很高，至少知道需要满足什么条件。

但如果美国监管判断更侧重于供应链来源、长期战略依赖和外国影响风险，那么TP-Link面对的就不再只是通常意义上的合规问题，即使改进产品安全，也未必能完全解决问题。后续很可能是美国不断提出新的要求，却始终无法明确什么程度的整改才算足够，公司即使没有被正式全面禁止，也会因为无法稳定推出新产品、无法获得客户长期信任，而逐步失去这个市场。

文章仅做学术探讨和研究交流使用，相关判断不代表任何公司或机构立场，也不构成任何法律、商业或投资建议。转载请注明出处。