凌晨两点，安全李工被手机震动吵醒。漏洞值班同事发来一段监控视频：一个穿外卖服的视频人，在机房门口蹲了整整四十分钟。安全没人拦他，漏洞也没人问。视频视频最后十秒，安全他掏出一台巴掌大的漏洞设备，插进交换机端口，视频三分钟后拔掉走人。安全整个过程像在取快递。漏洞

这不是视频电影桥段。上个月某中型电商平台被拖库，安全源头就是漏洞这段视频里的“外卖员”。他插进去的视频东西叫“网络植入器”，淘宝上三百块能买到，伪装成充电宝。安全团队事后复盘，发现那三分钟里，攻击者拿到了内网VLAN划分表、核心交换机ACL规则，还有一台测试服务器的root权限。测试服务器密码是`admin123`，写在旁边便签纸上——便签纸被视频拍得清清楚楚。

安全漏洞视频最可怕的地方，不是漏洞本身多高级。恰恰相反，它拍出来的东西往往蠢得让人想笑。去年某银行分行做红蓝对抗，蓝队防守严密，WAF、IDS、蜜罐全上。红队进不去，最后派了个实习生穿工装，拿个“网络维护登记表”让前台签字。前台签完还帮他刷了门禁。实习生进机房后，直接拔掉业务服务器网线插自己笔记本上。视频回放里，他甚至还擦了擦机柜上的灰。事后通报写“社会工程学攻击”，说白了就是没人看工牌。

我翻过几十份泄露的安防视频，发现一个规律：真正被攻破的瞬间，画面里几乎没人。摄像头拍到的，通常是空荡荡的走廊、没锁的机柜门、亮着屏的运维终端。有个视频我印象极深——某政务云机房，晚上十一点，一只老鼠从桥架爬过，碰到一个没插紧的网线头，网络闪断三秒。就这三秒，攻击者利用心跳超时窗口，注入了一条恶意BGP路由。老鼠成了年度最佳渗透测试员。视频里老鼠跑得很快，安全响应跑了六个小时。

更荒诞的是内部人。某游戏公司主程离职前，用自己工卡刷进机房，把备份服务器硬盘拔了，塞进双肩包。监控视频里他动作熟练，像在换自己家路由器。门禁日志显示“正常出入”，因为HR忘了注销他的卡。视频被传到内网论坛，标题叫《离职福利》。第二天全公司换门禁，但数据已经没了。

这些视频看多了，你会觉得安全漏洞像空气——看不见，但到处在漏。摄像头装得再多，角度不对就是摆设。某物流仓库装了128个摄像头，唯独没拍机房后门。后门常年开着，因为搬货方便。攻击者从后门进去，在服务器上挂了个挖矿程序，跑了三个月。视频里后门进进出出的人，没一个回头看摄像头。他们觉得“反正拍不到我脸”。

我认识一个做渗透测试的老哥，他包里永远带三样东西：假工牌、旧工装、一包烟。他说进机房比进小区容易，小区保安还问你去哪栋楼，机房保安只问“你找谁”。你说“找张工”，他指个方向就继续刷抖音。视频里保安低头那几秒，够老哥拍完整个机柜布局图。

安全漏洞视频不是教学片，是恐怖片。恐怖的不是画面，是画面里那些“正常”。正常的外卖员、正常的工装、正常的便签纸、正常的老鼠。每个正常背后，都有一条没关的门、没改的密码、没注销的账号。视频存下来，是证据。但证据放久了，就变成下一条视频的预告片。