假如某个作案人想策划实施网络色情犯罪、网络赌博犯罪、网络侵入犯罪与网络数据窃取或篡改犯罪等，显然他本身不能直接闯入虚拟空间，而必须通过一定的计算机系统行事。没有可供操作的计算机登录网络，就不可能有形形色色的网络犯罪。在所有网络犯罪的过程中，计算机实际上起到了“帮凶”或“电子代理人”的角色，它虽然不是传统刑法学或犯罪学意义上的行为主体，但却实质上起到了协助犯罪的作用。这就表明，大凡网络犯罪都至少经历过两个形成阶段：一是作案人操作计算机，敲打键盘等向外发出犯罪指令；二是有关犯罪指令以数字形式发出、传递与被执行。前者使得计算机实现了向作案“帮凶”或“代理人”的转变，后者使犯罪得以实现，这是网络犯罪的演变顺序；前者是在物理空间完成的，后者则处在虚拟空间。
人们常说侦查犹如历史考古。侦查人员的思考方向必然与犯罪的演变顺序相反，他总是千方百计地“重建”过去的案件情况。在网络犯罪侦查中，这一“重建”的过程大致情形如下：他首先要找到作案的计算机，然后找到操作计算机犯罪的作案人，即遵循“事——机——人”模式。
这种新的侦查模式也相应地分为两个阶段：一是“从事到机”阶段，侦查人员要追根溯源定位到作案的计算机；二是“从机到人”阶段，侦查人员要对操作计算机的作案人进行同一认定。这两个侦查阶段有着重大的不同：
1、“从事到机”阶段是虚拟空间的侦查，而“从机到人”阶段则是物理空间的侦查；
2、前一阶段的任务是查找虚拟空间的“元凶”，后一阶段的任务则是认定物理世界的元凶；
3、前一阶段的依据是电子形式的痕迹物证（如比特流、电子指令、密码、IP地址、电子文件等），后一阶段的依据则是各种传统形式的证据；
4、前一阶段的侦查措施是各种技术手段，如网络监控、滤网、数据跟踪、计算机系统勘查、电子数据分析与鉴定等，后一阶段的侦查措施则是传统的取证手段，如讯问、询问、辨认、实地勘验、物理搜查等。如果说前一阶段的侦查是带有高科技性的，必须由网络警察或聘请的计算机专家等人员完成，那么后一阶段的侦查实际上仍属于典型的传统侦查，带有排查法的特点。图3现代的“事——机——人”侦查模式
以前文所说的操纵他人计算机实施的网络犯罪为例。假如美国某一黑客采取迂回曲折的手段非法访问美国国防部的数据库，他先登录到日本某网站，再转“道”澳大利亚某网站，然后借助德国某网站来攻击目标。黑客这一扑溯迷离的行为似乎不能追踪，其实他每登录一网站都在系统日志留下前一服务器设备IP地址等电子信息，通过追踪IP地址和分析系统日志等内容就能逐层追踪到其终端计算机，然后再结合传统的侦查手段侦破此案。在这样的侦查活动中，“从事到机”与“从机到人”两个阶段都是客观存在的。任何一个阶段的疏忽都将导致侦查工作的失败。具体来说，在“从事到机”阶段，如果侦查人员找到的不是作案人直接操纵的计算机，而是“傀儡机”，就不可能破案；同样，在“从机到人”阶段，如果侦查人员无法确定案发时操纵该计算机的人，也不能侦查终结。
