缺陷一天没有价钱，就一天没人修

寻常的无障碍报告读起来像盘点：多少张图没有描述，多少个字段没有标签。对写代码的人这是活儿，对管事的人这是噪音。任务被打上「次要」的标记滑进待办，一躺就是几年——因为那份清单里没有一行回答老板唯一在意的问题：这会让我们赔多少。

奥拉克用一个数字回答。它把查出的每一处漏洞按上限罚款累加，只打印一个总的财务威胁额。文中给了这样一行的样子：四处 ADA 严重违规加两处 GDPR 违规，合成三十二万美元以上的潜在风险。看见这一行之后，优先级不必开会就变了。

三张从法条上取来的价签

头一张是 ADA Title III：美国司法部的联邦民事罚款，初次最高七万五千美元，此后每次最高十五万。原文那句提醒要原样搬来，因为它改变了这个数字的含义——这是罚款的上限，不是平均账单。第二张是 GDPR，按两千万欧元或年营业额的百分之四来算。第三张是 CCPA：无意违规两千五百美元，有意违规最高七千五百，而且按每一位受影响的用户计。

旁边还有一层底色，正是它让这些数目不至于抽象。专攻无障碍的律师事务所用自动解析器成批寻找有漏洞的站点，提起集体诉讼，一次违规会期索赔一万五千到十五万美元。原告不必等一个真人来投诉：一台挨个走过网站的机器就够了。

总数要诚实，就不能由误报堆成——而静态分析恰恰在这里裂开。靠正则和简单选择器干活的扫描器，查的是属性在不在，不是它有没有用。一张销售图表写着「image」也算通过：属性确实摆在那儿。对看不见的读者来说这条描述毫无用处，是对 WCAG 与 ADA 的粗暴违反——报告里却什么也没有。

反过来的错误同源：工具分不清该对辅助技术隐藏的装饰性分隔符，和必须写出描述的功能性图像。于是有成百上千的虚假警报与静悄悄的漏掉，在这样一份报告之上，也就无从搭起一份金额估算。

越帮越忙的那层覆盖件

第二条老路是在站点上罩一个小部件，宣称换字体、换对比度、加语音合成，一键搞定无障碍。美国的司法实践表明，这类小部件挡不住诉讼，反倒常常起反作用，把原告的目光引过来。更糟的是，覆盖件会弄坏盲人依赖的内置屏幕阅读器，让站点比原先更难用。

而关键在于：小部件不碰源代码。它改的是浏览器里的 DOM，律师事务所的扫描器读的却是服务器发出去的 HTML，那里的一切原封不动。第三处缺口是领域之间没有连线：工具会去量文字对比度，却永远不会注意到，同一个页面在任何同意之前，就已经通过跟踪像素把个人数据送了出去。

奥拉克把活儿分成两个不相像的阶段。先由抓取模块搭出页面的一张蓝图，沉重的媒体文件与多余的标记都被挡在外面。留下的是元数据——编码、语言、描述、视口参数；交互元素连同它们的标识与 ARIA 属性；从一级到六级的标题层次；图像以及它们描述里的内容；分析脚本、像素与同意横幅留下的痕迹；还有服务器的安全响应头——HSTS、CSP 与证书状态。

蓝图随后交给语言模型。主用的是 Grok 4.3，遇上网络延迟或额度耗尽，就自动切到 Gemini 2.5 Flash。模型拿蓝图去比对一张两千条检查的矩阵，判断正则看不见的东西：把一个徽标描述成「logo」够不够，只装了一枚图标的按钮到底有没有可访问的名字。

一张违规卡片里装着什么

每处发现都按同一种样子成形：写明为何构成违规的证据；从页面里剪下的那段问题代码；以用户语言写成的分步修复说明——俄文、英文、西班牙文或中文——外加一段可直接复制的补丁。规则分作七类，各有自己的风险权重（严重、较重、中等、提示），附着监管机构文件的链接与罚则的计算。

凡是把公式说出口的地方，评判就不再凭感觉。文字与背景的对比度不得低于 4.5 比 1，18 磅以上或 14 磅加粗的大字允许 3 比 1；相对亮度按 L = 0.2126 · R + 0.7152 · G + 0.0722 · B 计算，比值本身则按 (L1 + 0.05) / (L2 + 0.05) 计算。

服务器那侧写得一样细。强制 HTTPS 的响应头存活不得少于一百八十天——即 15768000 秒——并且要带上 includeSubDomains 与 preload。内容安全策略必须限制来源，不许没有哈希或一次性令牌的不安全内联。还要查禁止被他人套进框架、禁止猜测内容类型，以及 well-known 目录下那份符合 RFC 9116 的漏洞联络文件。另有一项单独看的是已发布政策的最后更新日期：不得超过十二个月。

还有一份西方扫描器通常跳过的附录，针对俄罗斯与独联体法域。国家标准 ГОСТ Р 52872-2019 要求提供视障版本，配色方案可切换，字号能放大到两百而不产生横向滚动。ФЗ-152 要求同意勾选框不得预先勾上，并链向政策本身。ФЗ-38 则要求广告同意单独成框，绝不与数据处理的同意合并。

对比表在会算数的那一半是公道的：两千余项复合检查，对 Lighthouse 的约五十项基础检查、WAVE 扩展的约六十项；站点地图最多抓三页，对两者都只看当前一页；还有一项罚款测算——所列工具里没有一个提供。

再往后是几个直接交代了来路的数字，这点值得保留。扫描深度：按内部评估，参数最多可多出三十倍。误报按内部评估减少约八成五。修复耗时按团队自己的估算缩短约七成。这些是估算，不是第三方的测量，文章本身也是这么称呼它们的。

奥拉克站在冷开发漏斗的入口：三十个域名、九十个预热信箱每天发出个性化审计，信里写着收件方真实存在的违规和可能的罚款数额。提议只有一个——由 AI 智能体在四十八小时内清掉关键漏洞，一次性收五百美元。此后客户迁到 AIfa Works 托管，检查每月在后台重复一遍。

付款走 Solana 智能合约，分账固定：百分之五给创始人基金，百分之五销毁，百分之十五、七、三给三层大使，百分之六十五进国库去买 AR。代币发行量封顶一百亿。给伙伴的钱被称作网络验证费；若选择以代币结算，比率抬到八、四、二，平台则在公开市场上买回相应的量。

路线图三个阶段，没有一个宣称已经完成。2026 年第三季度留给 GitHub Action 与 GitLab CI 插件：每次提交都跑一遍合规审计，代码若破坏无障碍或隐私，构建就被拦下。第四季度是零知识证明：站点可以拿出一份链上证明，说明自己以两千比两千通过了审计，同时不公开后端源码，并把它作为压缩 NFT 记在 Solana 上。

2027 年上半年计划把矩阵扩到五千项检查，补上亚洲与中东的标准，并为超过一万页的应用调优本地模型。这些都还是计划，解析没有权利把它们记进已完成。

整套手法就在这里。站点上的违规，无论主人知不知道，都照样存在；早在第一次扫描之前，法律与判例就已经给它们标好了价。奥拉克没有给风险添上任何东西——它只是让风险显形，并换算成一个生意人本来就懂得据以决断的单位。