2026年10月6日，佛罗里达、爱荷华、蒙大拿和内布拉斯加四个州的总检察长在各自州法院起诉总部位于加州欧文市的路由器厂商TP-Link Systems Inc.，指控其在“产品安全”和“与中国切割”两方面对消费者作出误导性陈述。得克萨斯州此前已于2026年2月提起类似诉讼，至此对TP-Link提起诉讼的州增至五个。次日，内布拉斯加州总检察长牵头，另有20位总检察长联署，就TP-Link申请新型号路由器上市一事致函联邦通信委员会（FCC）。这组案件的特别之处在于：州执法机关没有主张“中国政府拿到了用户数据”，而是把公司对外讲的安全故事和供应链故事是否站得住脚，直接变成消费者保护法下的案由。对所有在美销售联网硬件的中资企业而言，这是一份值得对照自查的清单。
一、案件背景
据内布拉斯加州总检察长办公室的通报，TP-Link控制着美国Wi-Fi系统及小型办公室/家用路由器零售市场至少60%的份额，并通过大型零售商销售。TP-Link Systems在2024年重组之前与中国公司TP-Link Technologies存在关联；本次诉讼的被告是美国公司TP-Link Systems，并未将中国公司列为被告。据媒体报道，TP-Link公开表示，诉讼“建立在错误前提之上”，其美国市场产品在越南生产，公司是“不受任何外国政府拥有或控制的独立美国公司”，并将在法庭上应诉。
需要先厘清各方各自“说了什么”。据报道，佛罗里达、蒙大拿、内布拉斯加三份起诉书在结构和措辞上高度相似，并明确没有指控中国政府已经通过TP-Link获取了客户数据，也没有指控TP-Link在产品中预置后门；它们把中国法律下的数据调取可能性描述为一种“风险”。案由是：公司对安全性和中国关联性的陈述，是否构成误导。
二、三类核心指控
第一，安全性宣传与实际不符。起诉书援引TP-Link内置网络防护服务HomeShield的网页表述（“覆盖所有安全场景”），并对照多款路由器曾被入侵、部分型号停止更新的事实。据报道，起诉书以Archer AX21的两个版本为例：厂商自述其在2024年5月已进入生命周期终止（EOL），不再提供更新。
第二，“与中国切割”的说法被指夸大。起诉书引述TP-Link称重组后其拥有“完全不同的所有权、管理和运营”。州方则主张：TP-Link仍依赖中国的研发和制造力量；据起诉书所称，越南工厂所用零部件按价值计算只有约0.5%在越南采购，其余来自中国或经中国转运。内布拉斯加州还指称TP-Link聘请了与中国军方有关联的承包商建设越南工厂。以上均为起诉书主张，尚待法院审理。
第三，隐私政策“漏说了一个风险”。TP-Link的Tether、Tapo、Deco、Kasa Smart等应用会收集邮箱、位置和手机标识符。起诉书认为，2017年《中华人民共和国国家情报法》要求组织和公民配合国家情报工作，这一风险在隐私政策中未被披露。这条理由的法律逻辑值得中资企业特别留意：它不要求证明数据已被调取，只要求证明“应当告知而未告知”。
三、请求的救济与联邦层面的并行动向
据报道，佛罗里达州请求永久性禁令、交出违法所得，并按每次故意违法最高1万美元计算民事罚款；蒙大拿州请求每次违法最高1万美元的罚款；内布拉斯加州除民事罚款和律师费外，还请求法院责令TP-Link向购买者披露产品及零部件的来源、与中国的关联，以及已被利用的已知漏洞。
联邦层面，据报道，自2026年3月23日起，FCC不再对新的外国制造消费类路由器颁发设备授权，只有获得国土安全部或国防部作出的“有条件批准”才可例外；该规则按生产地而非按企业国籍适用。已获授权的路由器，在FCC的豁免下可继续接收缓解消费者损害的软件和固件更新，期限至少到2027年3月1日。联署致函FCC的总检察长们并未要求FCC拒绝或附条件批准TP-Link的申请，只是表示愿意配合。州诉讼与联邦准入因此形成两条并行线索。
四、对中资企业的合规要点
1. 把每一句对外宣称都配上书面证据。“安全”“加密”“独立运营”“数据留在本地”这类措辞，应当有可追溯的测试报告、审计记录或合同依据。本案的核心矛盾，正是网页上的一句话与内部事实之间的距离。
2. 统一产地与供应链的对外口径。“越南制造”“美国公司”不能只指最终组装地；研发所在地、关键零部件来源、关联公司关系，应当在广告、包装、官网和对政府的陈述中保持一致。
3. 重新审视隐私政策与应用权限披露。列明收集的数据类型、存储地点、关联公司和服务商的所在地与访问权限。是否需要说明他国法律下的数据调取可能性，目前是执法机关提出的主张而非定论，但已足以促使企业对这一披露作出有记录的决策。
4. 建立产品生命周期与漏洞响应机制。对停止更新的型号，及时、显著地告知用户；对已披露的漏洞，保留发现、修复、推送的时间线。起诉书援引了停更型号，以及通过ISP分发的设备所存在的五项漏洞，作为安全问题持续存在的佐证。
5. 提前准备应对调查函与联邦并行程序。州总检察长往往先发调查函，再决定是否起诉。企业应预先明确内部牵头人、文件保全范围和对外口径，并评估州诉讼、FCC授权与美国司法部数据安全项目之间的交叉影响。
五、格知律所如何协助
针对本案揭示的风险，格知律所可以在以下方面为中资硬件和联网设备企业提供协助：对产品页面、广告、包装和销售渠道话术进行“宣称—证据”核对，识别易被认定为误导的表述；审查隐私政策、应用权限提示和数据流向披露，使其与实际的数据架构一致；梳理股权、关联公司与供应链关系，辅助形成对外陈述口径；协助建立停更型号告知与漏洞响应流程的文件化机制；以及在收到州总检察长调查函或民事调查令时，协助做好文件保全、响应和与执法机关的沟通。涉及FCC授权等联邦准入事项时，我们也会与相应领域的专业人士配合，统筹处理。
六、结语
从得克萨斯州到佛罗里达、爱荷华、蒙大拿和内布拉斯加，州一级执法机关正在把“中国关联”问题转化为熟悉的消费者保护问题：你说的和你做的是否一致。目前这些指控均未经法院裁判，TP-Link也已表示将应诉，案件走向仍有待观察。但无论结果如何，对在美销售联网产品的中资企业而言，把安全、产地和隐私的对外表述逐条核实，是成本最低、也最能在调查来临前发挥作用的一步。
本文仅为一般性信息，不构成法律意见。文中关于诉讼指控的内容均来自公开报道和总检察长通报，尚待法院认定。