去年秋天，漏洞起诉我陪朋友去法院旁听一场官司。漏洞起诉原告是漏洞起诉家做工业控制软件的小公司，被告是漏洞起诉他们的前员工。庭审没什么戏剧性，漏洞起诉双方律师念着技术文档，漏洞起诉法官偶尔皱眉。漏洞起诉直到原告律师放出一段屏幕录像——被告在离职前三天，漏洞起诉登录服务器，漏洞起诉复制了核心代码库，漏洞起诉然后删掉了日志。漏洞起诉法官问被告代理人怎么解释，漏洞起诉对方沉默了几秒，漏洞起诉说“技术操作失误”。漏洞起诉旁听席上有人笑出声。漏洞起诉

这案子最后判了，但让我记住的不是判决结果。是庭审结束后，原告的技术总监在走廊里抽烟，跟我说了句：“我们花了两年写的代码，他一个git clone就带走了。漏洞不在系统里，在人身上。”

这句话我琢磨了很久。我们习惯把“漏洞”当成技术问题——缓冲区溢出、SQL注入、权限绕过。修补丁、加防火墙、做渗透测试。可真正让公司栽跟头的，往往不是这些。是某个员工觉得“反正没人看”，是某个管理员图省事把密码写在便签上，是某个高管觉得“我们小公司没人盯”。这些漏洞没法用CVE编号，也没法用扫描器发现。但它们造成的损失，一点不比技术漏洞小。

我见过一家电商平台，技术团队很牛，WAF规则写得滴水不漏。结果客服主管被钓鱼邮件骗了，把后台账号密码给了冒充IT支持的人。攻击者没碰任何技术漏洞，直接登录后台，导走了三十万用户的订单数据。事后复盘，安全团队说“我们防住了所有外部攻击”，可没人防住内部的人。那封钓鱼邮件其实很粗糙，语法错误一堆，但客服主管那天急着处理客诉，没细看。

漏洞起诉这件事，有意思的地方在于它把“技术问题”拉回了“人的问题”。代码是死的，人是活的。你可以在代码里写if (user.isAdmin) { ... }，但你没法在代码里写“如果员工心情不好，别让他碰数据库”。法律能做的，是事后追责。可事后追责有个尴尬：证据往往在对方手里。就像我朋友那案子，要不是原告提前做了屏幕录像，根本拿不出证据。被告删了日志，服务器上干干净净。你说他偷了代码，他说“我正常操作”。法官信谁？

所以现在有些公司学聪明了。不是加更多技术防护，而是加“法律防护”。入职签保密协议，离职做审计，关键操作录屏，代码库加水印。听起来很麻烦，但比起打官司，这些成本低得多。我认识一个创业公司老板，他要求所有核心开发人员每天下班前提交代码变更记录，不是不信任，是“万一出事，我得有东西给法官看”。他说这话时语气平淡，像在说“出门记得带钥匙”。

漏洞起诉的案子越来越多，但赢的往往是准备充分的那一方。技术漏洞可以修，人的漏洞只能靠制度补。而制度这东西，平时看着多余，出事时就是救命稻草。那个技术总监后来跟我说，他们现在招人，技术面试过了还要加一轮“安全意识面试”。我问问什么，他说：“我问他们，如果捡到一个U盘，会不会插进公司电脑。答‘会’的，技术再好也不要。”

这标准听起来有点极端。但想想那些因为一个U盘、一封邮件、一次疏忽就垮掉的公司，好像也不极端。