凌晨三点，漏洞我第五次刷新后台，漏洞那条“服务器异常”的漏洞告警还在。数据库里多出一张表，漏洞叫“backup_accounts”，漏洞里面躺着四千多个用户名和密码哈希。漏洞攻击者甚至没费心加密表名——这就是漏洞漏洞的可爱之处，它总是漏洞诚实得让人想笑。

漏洞这东西，漏洞分两种。漏洞一种藏在代码里，漏洞叫技术漏洞；另一种藏在人脑子里，漏洞叫逻辑漏洞。漏洞后者往往更致命。漏洞去年某银行升级系统，漏洞测试环境连着生产库，开发小哥图省事，把测试账号设成admin/admin123。这事没人知道，直到某个外包运维顺手用这账号登录，发现能查全行客户余额。他看了三天，没动任何数据，然后在内部论坛发帖：“你们知道这个漏洞吗？”——结果他被开除了。漏洞还在，举报漏洞的人没了。

别笑。你手机里每个App都是漏洞博物馆。外卖App的优惠券计算逻辑，早被薅羊毛工作室逆向得底朝天，但平台宁可每天损失几十万，也不愿重构代码——因为重构要花三个月，而漏洞修补只需要封掉几个异常IP。这是商业逻辑对安全逻辑的碾压，你没法说谁错。

真正让人后背发凉的，是那种“看起来没问题”的漏洞。比如权限校验，很多系统只检查“是否登录”，不检查“是否该看这份数据”。上个月某云盘厂商的漏洞就是典型：用户分享文件时生成链接，链接里带个ID，ID是自增的。把ID减个1，就能看到别人分享的合同、身份证扫描件、甚至离婚协议书。厂商修复方式更绝——把链接改成随机字符串。但底层逻辑没变，只是把门锁换成了密码锁，钥匙还是配的。

我见过最讽刺的漏洞，是某政务系统。他们花了三千万做等保测评，防火墙、入侵检测、日志审计全套上齐。结果呢？运维人员把服务器密码贴在显示器边框上，用便签纸。便签纸颜色跟桌面壁纸融为一体，不凑近看根本发现不了。黑客没破解任何加密算法，就是拍了张照片——透过办公室窗户，用长焦镜头。这算什么漏洞？物理漏洞？人性漏洞？

说回技术本身。现在AI写代码越来越溜，漏洞也跟着“智能化”。以前是程序员手滑写错变量名，现在是AI生成一段看似完美的代码，边界条件处理得滴水不漏，但训练数据里根本没包含“用户输入emoji”这种场景。结果某个社交App，发一条带特定emoji的动态，能让对方手机直接崩溃。这漏洞是AI“无意识”造出来的，它们不懂人类的恶意能有多刁钻。

有个安全圈的老前辈跟我说过句话，我一直记着：“漏洞不是bug，是特性。”每个漏洞背后，都藏着设计者某个想当然的瞬间。那个觉得“没人会猜到我用生日做密码”的运维，那个认为“测试环境没人访问”的开发，那个坚信“我们系统很安全”的CTO——漏洞就是这些瞬间的化石。

写到这里，告警又响了。这次是新的攻击源，来自一个我从来没听过的国家IP段。我点开详情，发现攻击者尝试的漏洞，是去年就公开的旧洞。他们还在一遍遍试，像固执的敲门人，不知道门早换了锁。

但我知道，锁永远有被打开的方式。区别只在于，开门的人是想进来偷东西，还是想进来告诉你——你这锁该换了。