美国参议员罗恩·怀登要求国家安全局更新针对商业VPN的联邦网络安全指南；犹他州政府则于9月3日同意在法院审理期间暂停执行一项针对VPN使用的年龄验证法。两项进展凸显VPN工具在安全防护与法律合规之间面临的复杂处境。

据TechRadar和Ars Technica报道，怀登在信中援引国会研究服务处的一份备忘录指出，常见的单跳商业VPN难以防御外国情报机构发起的监控。攻击者即便无法破解加密，仍可通过比对数据进入和离开单一VPN服务器的精确时间与流量大小，即“流量分析”技术，推断用户浏览活动。怀登因此要求国安局明确是否推荐Tor、NymVPN和苹果iCloud Private Relay等多跳工具，以取代普通商业VPN。

报道称，VPN的加密隧道通常会在某一台服务器处解密流量并继续发送至最终目的地，解密后的流量或源与目标IP地址可能被恶意员工或入侵服务器的攻击者截获；同时，时间戳等元数据并未加密，可能被国家行为体用于情报搜集。怀登在信中说，面临外国高级威胁的美国人，包括政府人员、国防承包商、记者和人权捍卫者，理应获得清晰、诚实的建议。

这并非首次出现此类警告。据TechRadar报道，Proton VPN专家曾提醒美国消费者的隐私面临风险；谷歌也发布过安全警报，称部分VPN应用可能是伪装的情报软件。

在法律层面，犹他州成为美国首个针对VPN使用立法的州。据Engadget报道，犹他州商务部表示，在联邦法官裁决一项法律挑战之前，不会执行9月3日生效的SB 73法案。该法是该州年龄验证法的修正案，规定任何实际身处犹他州的人，无论是否使用VPN，均被视为从该州访问网站；同时，托管大量对未成年人有害材料的网站所有者不得促进或鼓励使用VPN。

这项法律遭到成人内容平台运营商Aylo（Pornhub母公司）的联邦诉讼挑战。该法案3月签署，原定5月生效，因Aylo提起诉讼而暂停执行，如今又因诉讼未决再次暂停。电子前沿基金会4月曾解释，如果网站无法可靠识别VPN用户的真实位置，法律风险可能迫使网站封禁所有已知VPN IP或要求全球访客进行年龄验证，使数百万用户面临身份检查。Aylo表示并不反对所有形式的年龄验证，但美国的实施方式给身份盗窃和其他隐私问题带来实质性风险。目前，Pornhub已选择在25个州屏蔽访问，而不是遵守相关法律。