2023年冬天，网络某三甲医院的安全挂号系统被拖进暗网叫卖。八百万条患者数据，论文姓名、网络身份证号、安全手机号、论文就诊记录，网络打包价0.3个比特币。安全院方三天后才发现异常——因为攻击者根本没触发任何告警，论文他们用的网络是一个离职两年的运维账号，密码从未更换。安全

这不是论文孤例。网络安全的网络核心矛盾从来不是技术不够先进，而是安全“人”这个变量永远算不准。防火墙能挡住每秒十万次的论文暴力破解，却挡不住一个员工把密码写在便利贴上贴显示器边框。我见过最离谱的案例：某银行数据中心机房的门禁日志显示，凌晨两点有人刷卡进入，停留四十分钟，没碰任何服务器。后来查监控，是保洁阿姨进去给绿植浇水——但她的门禁卡权限本该只覆盖办公区。权限蔓延这事儿，比漏洞本身更常见。

漏洞扫描器扫不出逻辑缺陷。去年某电商平台被薅走两千万优惠券，攻击者没用什么高深技术，就是发现“退货时优惠券按面额退还而非按比例”的规则漏洞。写这段代码的程序员大概觉得没人会注意，可黑产团伙用脚本跑了三天，每单净赚八十块。安全圈有句话：所有系统都按设计运行，但设计本身可能就是错的。

零信任架构这两年喊得响，落地时往往变成“零信任但信任内网”。某制造业企业的工控网络物理隔离，结果工程师为了传文件方便，自己插了张4G网卡。Stuxnet当年怎么进的伊朗离心机？U盘。物理隔离在人性面前脆得像纸。我参与过一次红队演练，最有效的攻击路径不是0day，是给目标公司前台打电话：“我是IT部的，新来的同事电脑连不上WiFi，能帮我查下访客网络密码吗？”成功率超过六成。

加密算法在数学上牢不可破，实现上却千疮百孔。某加密聊天软件号称端到端加密，安全研究人员发现它把密钥存在了服务器日志里。这就像给保险柜装了钛合金门，然后把钥匙插在锁孔上。更隐蔽的是侧信道攻击——通过分析CPU功耗波动推断加密密钥，这种攻击在实验室里能成功，放到真实环境里受噪声干扰，但针对智能卡芯片的差分功耗分析已经能稳定提取AES密钥。硬件层面的安全，比软件更难修补。

供应链攻击是另一个黑洞。你用的开源组件，可能三年前就被投毒了。event-stream事件、SolarWinds后门、Log4j漏洞——每次爆发都像地震，震中在千里之外，你的系统跟着塌。问题在于，大多数团队根本不知道自己的代码库里有多少个间接依赖。我见过一个项目，package.json里只写了十二个直接依赖，npm ls展开后是四百七十三个包。其中某个包的维护者账号被盗，攻击者发了新版本，你的CI/CD流水线自动拉取、构建、部署，全程无人审查。

安全预算的分配也很魔幻。企业愿意花两百万买下一代防火墙，却不肯给安全团队加一个人手做代码审计。某次渗透测试，客户要求“必须找出高危漏洞”，我们交了报告，他们转头就把漏洞详情发给了开发组，抄送了运维、产品、甚至市场部。三个月后回访，那个SQL注入还在，因为开发说“排期排到明年了”。安全不是买产品，是持续的过程。可过程需要人，人需要钱，钱在老板眼里永远不如新功能重要。

说回开头那家医院。事后复盘，攻击者最早入口是一个测试环境的Jenkins，默认口令admin/admin，暴露在公网。测试环境没人管，因为它“不重要”。可它连着生产数据库的只读账号。链条上每一环单独看都“问题不大”，串起来就是八百万条数据。安全领域有个说法叫“纵深防御”，但现实往往是“纵深疏忽”。

写这些不是要贩卖焦虑。攻击成本在降，防御成本在升，这个剪刀差短期内不会逆转。能做的无非是：改掉默认密码，关掉不用的端口，给离职员工及时销号，别把密钥提交到GitHub。这些事不酷，不新，不AI。但它们有用。