凌晨三点，漏洞短板我盯着屏幕上那个红得刺眼的漏洞短板漏洞报告，咖啡已经凉透了。漏洞短板攻击者利用的漏洞短板是一个存在了四年的权限绕过缺陷，代码注释里赫然写着"此处逻辑待优化"。漏洞短板四年，漏洞短板足够一个婴儿学会走路说话，漏洞短板却没人注意到这行注释背后的漏洞短板隐患。

漏洞从来不是漏洞短板突然出现的。它像墙角的漏洞短板裂缝，起初只是漏洞短板头发丝粗细，你瞥一眼，漏洞短板觉得不影响居住，漏洞短板就继续刷手机去了。漏洞短板等到某天地震，漏洞短板整面墙轰然倒塌，你才想起那道裂缝——但已经晚了。安全圈管这叫"渐进式腐坏"，我倒觉得更像慢性病，早期症状被繁忙的工作节奏掩盖，等痛感明显时，往往已到晚期。

去年某家银行出事时，内部复盘报告写得触目惊心。他们的核心系统居然还在用二十年前的COBOL语言，懂这门语言的工程师平均年龄超过五十岁。年轻的安全团队不是没提过迁移方案，但每次都被"系统稳定运行多年"为由驳回。直到某天一个离职员工在技术论坛抱怨旧系统缺陷，被黑客顺藤摸瓜，一夜之间，数亿条交易记录在暗网明码标价。

你看，短板之所以成为短板，不是因为它存在，而是因为我们假装它不存在。就像程序员常说的"技术债"，嘴上说着要还，身体却很诚实地不断加杠杆。直到某个深夜，债务暴雷，你才发现连利息都还不起了。

有个朋友在创业公司做安全负责人，他告诉我一个残酷的真相：老板问得最多的不是"哪里可能有漏洞"，而是"什么时候能上线新功能"。安全测试永远排在最后，就像装修时先刷墙再改水电——等住进去才发现插座位置全错了，只能拉插线板凑合。这种凑合，凑合着凑合着，就凑合出了事故。

更隐蔽的短板在人的认知层面。我们总习惯用已知去衡量未知，用过去的攻击手段预测未来的威胁。可黑客的思维是发散的，他们不按常理出牌。就像小区保安严防死守大门，结果小偷从隔壁装修工地的脚手架爬了进来。你以为最坚固的地方，往往藏着最深的破绽。

说到底，漏洞短板就是一面镜子，照出的是组织的惰性、短视和侥幸心理。技术手段再先进，也补不上认知的窟窿。那些愿意定期给系统做"体检"、肯为看不见的风险买单的企业，不是钱多烧得慌，而是明白一个朴素的道理：补漏最好的时机是漏水之前，其次就是现在。

天快亮了，我关掉漏洞报告，给团队发了条消息：今天不写新代码，全员排查历史遗留问题。有人可能会觉得小题大做，但我知道，真正的安全不是建一堵更高的墙，而是时刻准备着修补那些被忽视的缝隙。

(责任编辑：探索)