漏洞国外
美国东部时间凌晨两点，漏洞国外一个叫“零日”的漏洞国外漏洞在暗网论坛标价450万美元。买家是漏洞国外个中间人，自称代表“某主权国家”。漏洞国外这不是漏洞国外电影情节。上个月，漏洞国外同样的漏洞国外漏洞被用于攻击中东某国的核设施离心机——虽然官方否认，但离心机更换记录骗不了人。漏洞国外
漏洞这东西，漏洞国外本质是漏洞国外代码里的语法错误或逻辑缺陷。但到了国家层面，漏洞国外它就是漏洞国外数字时代的军火。美国国安局（NSA）的漏洞国外“方程式组织”被曝光的漏洞库里有超过300个零日漏洞，每个都能穿透全球90%以上的漏洞国外防火墙。他们不修，漏洞国外因为要留着用。微软知道这些漏洞存在，但只能等NSA“用完”才拿到补丁——这种默契，像极了冷战时期美苏互相默许的间谍卫星。
有个细节很多人没注意。2017年NSA的漏洞库被黑客盗走，其中“永恒之蓝”后来引发了全球勒索病毒灾难。讽刺的是，NSA早已知晓该漏洞，却为了情报收集拒绝通知微软修补。结果医院瘫痪、工厂停产，损失超过80亿美元。这算不算搬起石头砸自己的脚？
欧洲人也没干净到哪去。德国联邦情报局被曝监听本国企业高管邮件，用的就是思科路由器的一个后门——思科总部在加州，但后门代码风格一看就是慕尼黑的手笔。法国更绝，他们曾向利比亚出售加密通信设备，结果设备里藏着法国情报部门的监听芯片。卡扎菲到死都不知道，自己跟将领的每一次通话都在巴黎的录音带上。
再说个冷门的。以色列的“飞马”间谍软件能攻破任何iPhone，靠的就是苹果来不及修补的四个漏洞。他们卖给了墨西哥政府，用来监听毒枭和记者。结果这软件被反噬，墨西哥总统的兄弟也被监听了——因为卖出去的软件，以色列自己留着后门。这圈子里的信任，比沙漠里的冰还薄。
漏洞交易已经形成完整产业链。俄罗斯的漏洞经纪人会公开拍卖“高端货”，起拍价不低于200万美元。印度则搞“漏洞赏金猎人工会”，合法收集漏洞卖给政府。最魔幻的是朝鲜，他们派人伪装成安全研究员，在GitHub上提交恶意代码，实际是在向开源项目植入后门——去年有研究发现，至少37个流行开源库被植入了朝鲜的窃密代码，下载量超过千万次。
我认识一个白帽黑客，他发现自己公司的产品漏洞被NSA利用后，曾试图公开。结果三天内，他的银行账户被冻结，护照被吊销，理由是“涉嫌危害国家安全”。他后来告诉我：“漏洞就像核废料，你知道它有害，但总有人抢着要，因为能发电，也能做炸弹。”
说到底，漏洞是代码世界的影子。只要人类写代码，它就会存在。但真正可怕的不是漏洞本身，而是那些把漏洞当武器、当商品、当筹码的人。他们嘴上喊着“网络安全”，背地里却在掘网络世界的根基。今天你花钱买的“安全”，可能正是别人故意留下的“钥匙孔”。