【编者按】根据中国音数协游戏工委公布的《2021中国游戏产业报告》，2021年，中国游戏市场规模逼近3000亿元，达2965.13亿元，中国游戏用户规模达到6.66亿人。随着网络游戏吸引越来越多的玩家参与，游戏外挂成为影响公众游戏体验的重要因素，游戏外挂的罪与非罪也成为司法界极具争议的话题之一。
《互联网法律评论》特约专家、中国政法大学教授刘艳红认为，对于网络游戏外挂软件，需要意识到其所提供的便利，同时也要强化监管，不能将制作、销售、使用网络游戏外挂的行为一律入刑，需要分清平台责任与个人责任、单独犯罪与共同犯罪、罪与非罪等之间的界限。
本文原载于《华东政法大学学报》2022年第1期，原文标题为《人工智能时代网络游戏外挂的刑法规制》。《互联网法律评论》今日获作者授权编辑转发该文。
网络游戏外挂通过使用特定的人工智能技术来代替人工操作发出指令。当前网络游戏外挂由单一技术型升级为复合技术型，自动操作性大幅增强，并主要分为辅助操作类游戏外挂和数据修改类游戏外挂。司法实践中对于网络游戏外挂的刑法规制，存在对网络游戏外挂行为入罪标准的理解不一、个人责任和平台责任归责错位的问题。
对于网络游戏外挂的刑法规制，要考虑到其具备的自我学习和迭代升级特征，不能一概入罪，而是要在坚守刑法的根基与信仰的前提下，厘清网络游戏外挂领域罪与非罪、此罪与彼罪、平台责任与个人责任、单独犯罪与共同犯罪之间的界限，从而实现刑法对网络游戏外挂的有效规制。
01
问题的提出：人工智能时代游戏外挂的刑法规制争议
人工智能时代网络游戏外挂的刑法规制问题，根源在于网络游戏外挂的多样性导致对其性质的认定存在争议，并且对于具体入罪标准的解释也存在偏颇。因此，当下网络游戏外挂刑法规制的争议集中在入罪门槛不清、入罪标准模糊所导致的罪名适用争议，以及个人责任和平台责任的分配错位。
（一）刑法规制的入罪标准不清：罪与非罪、此罪与彼罪混淆
一方面，司法实践对网络游戏外挂的入罪门槛认识不清，对不同类型的网络游戏外挂及不同模式之间的差异缺乏认识，导致其入罪标准不统一。
案例一
阿拉德之怒外挂案
被告人赵磊被判决构成破坏计算机信息系统罪，而其只是在自己的游戏主机上运行多个账号，并利用辅助类外挂减少了自己不必要的机械性操作，其用外设的游戏外挂进行操作本质上和使用“按键精灵”类程序软件无异，却因此被认定对网络游戏的运行方式造成破坏，这是对游戏外挂入罪门槛产生了误解。
通过拆分行为步骤可以发现，赵磊使用外挂的行为是将原本复杂的游戏操作行为通过电脑程序代码的模式进行虚拟操作，赵磊是在自己所拥有的电脑上安装虚拟程序，模拟人类操作来运行游戏，其行为并没有干涉游戏厂商的正常经营活动，也并未在实质上对游戏程序的运行造成干扰，案件中记载的30至50个游戏账号，并不构成对游戏秩序的破坏。
另一方面，司法实践对于网络游戏外挂的类型划分含混，将辅助操作类外挂和数据修改类外挂混为一谈，导致罪名适用不准确或罪名选择的冲突。
司法实践中，出现行为人从事相近甚至同一外挂行为，但是最终的裁判结果却并不相同的情况，这是由于司法机关对网络游戏外挂的理解不够深入所致。尤其是当下网络游戏外挂借助人工智能技术不断迭代升级，其运行基础和理论架构与以往的外挂已经截然不同，如果基于错误的理解判断网络游戏外挂的运行机理，并且没有对行为进行实质解释，那么在罪名选择上容易出现误判和争议。
案例二
金刚狼外挂案
被告人陈哲下载“绝地求生”网络游戏外挂程序源代码后，通过自主编写修改，制作出外挂程序“金刚狼”，破坏了正常的游戏流程，系破坏性程序，一审判决认定构成非法经营罪。但是本案二审却认定“金刚狼”程序侵入了游戏程序的计算机信息系统，构成提供侵入、非法控制计算机信息系统的程序、工具罪。
可以看出，一审中对技术的关注重心在于其中破坏性程序对游戏秩序的“破坏”，但是，一方面，游戏秩序并不能被简单地直接归纳为市场经济秩序，另一方面，游戏秩序本身难以被定义，其中的秩序构成内容亦无定论，遑论其保护范围，而外挂程序对计算机信息系统的破坏则更值得重视。
与之相对，二审中对于技术的解读更加精进，对“金刚狼”程序的剖析更加彻底，认定其破坏的主要是计算机信息系统而非虚置的游戏秩序，因为程序本身已经对信息系统的安全构成了破坏，从而在保护法益认定上“脱虚向实”，符合司法实践的认知。
案例三
海豚AVA辅助外挂案
本案中，法院认为网络游戏外挂的制作侵犯了程序代码的著作权，判决被告人赵周华的行为构成侵犯著作权罪，这则是对游戏外挂制作机理的“误读”。
对于外挂而言，即使部分参考程序代码，但是其程序核心仍然是围绕自主编译展开，这也是平台会购买、雇佣个人编写程序脚本的原因，所以对著作权的保护导致刑法保护的重心产生偏差。
具体罪名的选择应该在正确解读网络游戏外挂运行机理和技术核心的背景下进行。赵周华虽然复制了游戏中的部分代码，但是其行为的出发点并非是侵犯代码的知识产权，而是在游戏代码的基础上进行“二次加工”，这种对底层代码程序的侵害，如若认为其仅侵犯了知识产权，那么将无法规制其他非“二次加工”游戏底层代码数据的行为，而后者才是网络游戏外挂制作中的绝大多数行为，这将导致刑法规制的漏洞。
对于网络游戏外挂而言，案例3中所认定的通信协议属于格式条款，是网络游戏运行所必备的技术框架，在其基础上进行改进和创作，则很难被《著作权法》认定为侵犯游戏开发者的著作权。既然通信协议本身不具有可保护的价值，那么适用侵犯著作权罪就缺乏适格的保护对象。
（二）刑事责任的界限划分不明：个人责任和平台责任错位
在人工智能时代，如若忽视网络游戏外挂的客观技术特征，将平台责任和个人责任等同视之，则会加重个人责任，导致个人刑事责任被无限扩大。
实际上，人工智能时代的高速发展导致网络游戏外挂平台“野蛮生长”，平台会倾向于将制作外挂的流程拆分为不同的部分，对于其中的脚本制作模块，倾向于招募人员进行撰写或修改，对收购的脚本进行筛选，放入由平台控制的脚本引擎，最终制成网络游戏外挂。
案例四
XO外挂案
被告人卢敏鹏被判处提供侵入、非法控制计算机信息系统程序、工具罪，但其只是受招募修改脚本，后续的脚本封装、外挂制作则是由平台组织完成的，卢敏鹏个人并未参与。卢敏鹏行为的核心在于制作修改脚本文件的阶段，而平台则是主导网络外挂制售全程的主体。在案件过程中，平台明显主导了外挂的制作，就卢敏鹏从事的脚本编写而言，其也仅是在平台提供的脚本语言上进行修改。
本案中，个人责任和平台责任的分配存在较大争议。本案中的卢敏鹏，在平台中不仅没有创作的自主性，而且主要从事机械性的重复工作，将计算语言进行类型转换修改，外挂程序的运行逻辑本身是由平台进行掌控的，所以其更应该被视为“工具”而非“主导者”。他对外挂程序投入使用的促进极为有限，判处其构成提供侵入、非法控制计算机信息系统的程序、工具罪有过于严苛之嫌。
02
现实的难题：网络游戏外挂刑法规制的入罪标准界析
对于网络游戏外挂的刑法规制，应该首先对网络游戏外挂进行类型化区分，分为辅助操作类外挂和数据修改类外挂，基于不同类型的外挂，对制作、销售、使用行为进行刑法解释，分析在犯罪构成上的争议，对刑法规制的入罪标准展开探讨。
（一）辅助操作类网络游戏外挂的入罪标准分析
辅助操作类外挂，是指在游戏主要起辅助操作功能的外挂程序，其并不需要对游戏程序进行修改，而是另设程序“模拟”计算机中的鼠标或键盘进行操作，为游戏用户提供使用便利、改善使用体验。
案例五
火影忍者外挂案
当事人开发外挂的初始目的是感觉到手动操作游戏比较累，因此研发了一个全自动的辅助器，代替机主实现游戏中的自动打怪、自动做任务，不用人为操作，这是典型的辅助操作类外挂。
辅助操作类外挂的主要特征有二：一是不会突破网络游戏原有设定的规则，不会超出游戏内部对玩家的限制，而是在遵守既有游戏规则的前提下，将大量烦琐和重复的操作通过外挂自动完成。二是对游戏数据不产生直接影响，不会修改、伪造传输中的数据封包，不会破坏游戏开发商为保护数据安全而设置的加密、封包技术，也不会对游戏服务器的数据进行修改。
1.制作辅助操作类网络游戏外挂的入罪标准
制作者制作辅助操作类外挂的脚本，在设计程序代码时，参照的并非游戏程序自身的数据代码，而是依托游戏运行的客观规律，将地图、方位等游戏要素编入辅助程序的脚本，实现对个人实体操作的模拟。因为没有抄袭游戏的源代码，所以不构成对网络游戏数据的抄袭。
通过分析制作辅助操作类外挂的行为可以发现，因为其并不具有法益侵害性，并未侵害游戏程序的著作权，也没有扰乱游戏的正常运行，而是通过技术手段的研发来提升游戏操作的效率，所以对于这种所谓的“新型危害行为”入罪应该谨慎判断，判定其不构成犯罪。
2.销售辅助操作类网络游戏外挂的入罪标准
对于销售辅助操作类外挂的行为，通过分析技术原理和适用场景可知其不具有社会危害性，所以需要限定或合理确定刑事处罚的范围。司法实践中涉及销售辅助操作类外挂的罪名有非法经营罪和提供侵入、非法控制计算机信息系统的程序、工具罪，但实际上其是否应该入罪值得商榷。
通过技术分析可以发现，此类外挂对游戏系统不具有威胁，和一般的虚拟鼠标、虚拟键盘等辅助操作程序一样，属于计算机操作系统的软件，而不是非法出版物，更不符合“扰乱市场秩序，情节严重”的结果要素。同理可以适用于提供侵入、非法控制计算机信息系统程序、工具罪的刑法解释，无论从技术外观还是使用效果上分析，辅助操作类外挂都应该被视为正常的计算机操作程序，也应该正常地被销售和购买。
3.使用辅助操作类网络游戏外挂的入罪标准
使用辅助操作类外挂可以理解为当事人雇用了多个机器人助手帮助其进行游戏，对于网络游戏程序本身并没有产生破坏，其依旧遵循现有的游戏规则逻辑运行游戏，实质上并没有破坏游戏的公平性，更没有直接侵入网络计算机系统，没有对计算机系统造成破坏，所以不构成犯罪。
辅助操作类外挂的相关行为属于网络技术产业的灰色地带，运用民事、行政或者商业合规手段即可规制。
（二）数据修改类网络游戏外挂的入罪标准界定
数据修改类外挂，通过在游戏中用封包和抓包等工具截取用户端与游戏服务器之间的传输数据流，修改发往服务器的反馈数据封包，提交修改后的数据，从而虚构用户端对服务器的反馈，使服务器端错误地识别玩家的操作，但不影响服务器端自身的数据，其篡改和伪造数据封包的攻击目标是客户端与服务器的数据交互过程。
数据修改类外挂具有一定的技术危险性，而且大数据时代其可能具备自我迭代升级的功能，可能超越原有的外挂适用权限边界，所以制作、销售、使用数据修改类外挂，需要结合行为特征判断其是否构成犯罪。
1.制作数据修改类网络游戏外挂的入罪标准
司法实践中对于制作数据修改类外挂的刑法规制，主要采用的罪名是提供侵入、非法控制计算机信息系统程序、工具罪，但本罪的适用存在争议。数据修改类外挂的制作可以拆解为两个流程，即编写数据脚本和上传服务器程序，而实践中这两个行为多数时候是分离的，前者多为个人完成，而后者多为平台完成。所以，对于制作数据修改类外挂的个人和平台的刑事责任分配，应该区别对待，不能让个人和平台承担相同的刑事责任。
从技术角度分析，数据修改类外挂并不属于2011年8月1日最高人民法院、最高人民检察院联合发布的《关于办理危害计算机信息系统安全刑事案件应用法律若干问题的解释》第2条规定的“专门用于侵入、非法控制计算机信息系统的程序、工具”，理由如下：
第一，数据修改类外挂不具有避开或突破计算机信息系统安全保护措施的功能，也就不构成“侵入”计算机信息系统。第二，数据修改类外挂不具有侵入计算机信息系统的功能。第三，数据修改类外挂没有达到非法控制计算机信息系统的程度。第四，数据修改类外挂没有非法获取计算机信息系统数据。
2.销售数据修改类网络游戏外挂的入罪标准
司法实践对销售数据修改类外挂的行为多以非法经营罪进行规制。但是，司法实践中也存在否定论。
案例六
空岛外挂案
虽然空岛外挂是数据修改类外挂，通过注入DLL文件的方式修改游戏客户端，但是其销售行为并不属于非法经营。因为该功能的实现必须复制互联网游戏程序的源代码，在破译原网络游戏的通信协议后，截取并修改游戏发送到游戏服务器的数据，修改客户端内存中的数据，以达到增强客户端透视功能的目的。其中复制游戏源代码的行为被认为属于“复制发行”，符合侵犯著作权罪的犯罪构成，并且最终因为涉案数额达不到侵犯著作权罪的入罪标准而免于起诉。
非法经营罪的法益是“国家对特种商品的经营许可管制制度，即国家对特定商品经营、特定许可证制度、特定行业准入制度以及其他特定的市场经营方面的正常管理秩序。”数据修改类外挂不属于国家专营专卖物品，它在市场上的交易也不存在对国家特许专营专卖物品等有关规定的违反，不应构成非法经营罪。
那么，此种行为是否构成侵犯著作权类犯罪?对此，答案也是否定的。制作数据修改类外挂虽然参考了原来游戏程序的部分数据，但本质上仍然是脱离原有的游戏程序、另起炉灶构建的全新程序框架，也就是对网络游戏进行“二次开发”。其参考行为并没有抄袭游戏程序的核心内容，参考的目的也不相同，不应该认定为复制侵权，也不构成发行和传播，所以不宜视为侵犯著作权罪。
3.使用数据修改类网络游戏外挂的入罪标准
司法实践中对于使用数据修改类外挂的行为是否入罪存在争议，同时在入罪立场上适用的罪名多为破坏计算机信息系统罪。然而，将使用数据修改类外挂行为认定为破坏计算机信息系统罪存在疑问。
破坏计算机信息系统罪包括三种行为类型。一是违反国家规定，对计算机信息系统功能进行删除、修改、增加、干扰，造成计算机信息系统不能正常运行，后果严重的行为。二是违反国家规定，对计算机信息系统中存储、处理或者传输的数据和应用程序进行删除、修改、增加的操作，后果严重的行为。三是故意制作、传播计算机病毒等破坏性程序，影响计算机系统正常运行，后果严重的行为。
对于第一种行为类型，数据修改类外挂并没有对计算机信息系统功能进行删除、修改、增加、干扰，其劫持的是数据传输过程中的数据封包，对计算机信息系统功能并无影响，所以并不符合。对于第二种行为类型，数据修改类外挂并没有对游戏程序的主机系统造成影响，而对于传输过程中数据的删除、修改、增加，获得了游戏用户的同意，是自陷风险的行为，不具有违法性。对于第三种行为类型，参照司法解释中的规定，数据修改类外挂并不符合“计算机病毒等破坏性程序”的要求，它不具有复制、传播的特性。因此使用修改类外挂不构成破坏计算机信息系统罪。
（三）网络游戏外挂入罪基本立场归纳
通过对辅助操作类和数据修改类外挂的入罪标准进行分析可以发现，对于辅助操作类外挂，无论是制作、销售还是使用行为，都因为其自身的特性而不具有刑事可罚性，而对于数据修改类外挂，使用的行为不构成犯罪，而制作和销售行为在一般情况下也不构成犯罪。
但是也有例外情况。在司法实践中，很多数据修改类外挂为了更好地实现其效果，在原有技术路径上，对外挂程序进行加强，不仅拦截修改数据封包，而且对计算机信息系统也进行破坏和控制，制作并销售了“超规格数据修改类外挂”。
案例七
丸子外挂案
被告高飞针对“地下城与勇士”编写非法外挂辅助程序，超出了一般数据修改类游戏外挂的技术范畴，深度介入计算机信息系统的正常运行，做到开机自动启动、自动创设并进入游戏角色、自动进行游戏任务、自动向指定地址寄送游戏金币。在技术分析上，“丸子外挂”除了传统意义上的修改数据封包，还提取电脑中的Windows批量处理脚本文件，在程序启用时调用客户端中的程序，采用杀死进程（Task kill）操作破坏了游戏正常运行，关闭了该游戏的保护程序，删除（Del）游戏客户端中正常产生的日志文件且私自提取游戏账户运行的卡密记录数据。
有鉴于此，笔者认为，对于那些超出正常运行机理的超规格数据修改类外挂，可以适用刑法规制。在具体责任的分配上，此类案件中个人作为脚本的制作者一般并不涉及超出部分的违规程序，而超出部分的加入一般是平台为了更好盈利而自行添加的，平台在整个过程中起绝对的主导作用，所以需要在责任分配上对个人责任和平台责任有所区分。
03
归责的趋势：人工智能时代网络游戏外挂刑事责任的分配模式转型
人工智能时代的网络游戏外挂，已经从传统的单一技术操作类外挂转型为复合型的智能操作型外挂，其特征在于一个外挂是由多个部分组合而成的。对于网络外挂平台而言，其通过发布招聘人员和购买脚本的信息，从外挂脚本的制作者中收购合适的脚本并进行筛选，再将选择后的脚本插入脚本引擎内，最终利用人工智能技术形成有效的网络游戏外挂进行售卖。“超规格的数据修改类外挂”尤其如此，其程序脚本必须借助平台提供的脚本引擎工具模块才能发挥效用，平台在其中扮演着更为重要的角色。
因此，我们不能将个人责任和平台责任混为一谈，应当避免“平台割韭菜，个人来担责”现象的发生。
（一）人工智能背景下网络游戏外挂平台责任的确立
正是由于人工智能技术的介入，在责任分配上，人工智能背后的平台逐步“浮出水面”。对于平台而言，个人仅仅负责原始的程序校对、分析和编译工作，而核心的研发、训练、修改等工作都可以由人工智能系统完成，那么平台自身便可以主导网络游戏外挂的开发、使用和维护，比如插入APC（Asynchronous Procedure Call）、线程劫持、创建远程线程以及Hook Windows消息等方式都可以由人工智能技术进行操作。
个人作用的弱化导致责任分配方向的转化。平台通过人工智能技术在整个流程中发挥主导作用，个人的作用削弱导致承担责任减弱，那么自然增加了平台的责任比重。
对于网络平台而言，如果其主动开发并销售超规格数据修改类游戏外挂，则符合提供侵入、非法控制计算机信息系统程序、工具罪的犯罪构成要件，同时其也属于适格的刑事责任主体，应承担刑事责任。
对网络平台加以刑事制裁也要从客观不法和主观罪责两方面入手进行判断，结合其平台的组织架构分析其主观犯意，并将平台责任分析的重点置于事前与事中的责任履行，以及对人工智能技术的运用方式，进而分析其中的过程责任。
在客观不法层面，网络游戏外挂平台从事了具体的提供行为，尤其是借助网络平台属性，招募撰写外挂脚本的工作人员，将收购的脚本传输至服务器，并借助脚本引擎工具模块使得外挂程序发挥效用，据此形成了以开发商、运营商、代理商为主的完整严密的产业链。网络平台在制作、销售外挂的过程中起主导作用，也直接导致了法益损害后果。
在主观罪责层面，由于人工智能技术的迭代升级，需要强化对平台责任的监管。平台在整个制作、销售网络游戏外挂的过程中，第一是招募、收购用于游戏外挂程序的脚本，具有从事制作网络外挂的故意，并且其招募个人从事脚本制作的行为，存在组织策划的意思表示，在主观犯意上强于一般个人制作脚本的犯罪故意。第二是逃避监管、推销网络游戏外挂的故意。第三是撮合信息、借助人工智能技术对海量信息进行违规处理分析的故意。
（二）平台责任视野下网络游戏外挂个人责任的辨析
网络外挂的案件中，个人是否属于适格的犯罪主体实际上值得反思。在制作、销售网络游戏外挂的过程中，个人所从事的多为制作行为，对销售行为涉猎较少。而制作行为中个人的类型也有所不同，主要分为业余的游戏外挂脚本制作者和专业的游戏外挂脚本制作者，两者承担的刑事责任也各不相同。
业余的游戏外挂脚本制作者大多自身就是游戏玩家，编写脚本的直接目的就是提升自身的游戏体验，对于营利的期待性较低。比如案例4中的卢敏鹏，其本身就热衷于体验网络游戏，因而为网络平台所招募，并撰写脚本，其通过撰写脚本所获得的收益一般数额较低，而且会通过购买游戏外挂等方式又流回外挂平台。所以业余的游戏外挂脚本制作者的主观犯意较低、法益损害较小，不宜适用刑法规制。
在部分裁判文书中，将业余游戏外挂脚本制作者认定为提供侵入、非法控制计算机信息系统程序、工具罪的从犯，实际上，认定为从犯并不符合行为特征，制作者提供脚本的行为是从帮助的角度起辅助作用，所以认定为帮助行为更为妥当。
业余的游戏外挂脚本制作者提供脚本帮助的行为，不宜被一概认定为共同犯罪。多数情况下其仅为帮助行为，不必承担刑事责任并科处刑罚。在初始判断上应该对行为人做无罪推定，举证责任由控方承担，只有排除合理怀疑的有罪证据才能推翻无罪推定。而即便被认定为帮助犯，也仅需要承担有限的刑事责任。
专业的游戏外挂脚本制作者一般横跨多个游戏软件，并且从平台的非法盈利中大量“抽成”，和平台具有长期稳固的合作关系。对于这种类型的制作者，则可以认定为和平台构成共同犯罪。
在客观行为层面，专业的游戏外挂脚本制作者主要从事多种类型外挂脚本的制作，对于制作游戏外挂的机理较为熟悉，也知晓自己的行为将带来何种损害后果。
在主观犯意层面，此类制作者作为专业人员，并且从中大量获取非法利益，将手中所有的核心“脚本”转化为非法所得，一般在事先都存在通谋，因而可以被视为共犯加以规制。
案例八
大话西游2外挂案
被告司金磊属于比较专业的脚本制作者。其在家中非法编写对“大话西游2”游戏具有破坏性的“新V**.exe”“新神鹰.exe”游戏外挂程序，并出售给“飘零网站”等平台。司金磊本身和诸多平台有长期稳固的合作关系，也以此进行大量牟利，最终被判处提供侵入、非法控制计算机信息系统程序、工具罪。
04
结语
人工智能时代，对于与人工智能相伴相生的新技术，不能一律定罪入刑，国家治理现代化需要以人民为中心，尽可能保障公民的合法权利，所以需要分清平台责任与个人责任、单独犯罪与共同犯罪、罪与非罪等之间的界限。对于网络游戏外挂软件，需要意识到其所提供的便利，同时也要强化监管，不能将制作、销售、使用网络游戏外挂的行为一律入刑，应该采用重点监督模式，将法律作为社会控制的手段，有秩序并系统地发挥法律的强制力，避免传统社会监管和网络社会监管之间的脱节，在网络空间中最大程度地发挥新技术所带来的生产力。
作者：刘艳红
《互联网法律评论》特约专家
中国政法大学教授
中国政法大学刑事司法学院院长
【免责声明】此文仅代表作者个人观点，与本平台无关。本平台对文中陈述、观点判断保持中立，不对所包含内容的准确性、完整性或可靠性提供任何明示或暗示的保证。
