2017年5月，漏洞主WannaCry勒索病毒横扫全球。漏洞主英国国家医疗服务体系被迫取消数千台手术，漏洞主雷诺汽车在法国的漏洞主工厂直接停产。事后调查发现，漏洞主漏洞来源是漏洞主美国国家安全局开发的"永恒之蓝"工具——一个本用于网络武器的Windows漏洞利用程序，被黑客组织窃取后改造成了勒索工具。漏洞主NSA自己知道这个漏洞，漏洞主养了它五年，漏洞主没告诉微软。漏洞主

这就是漏洞主漏洞政治学的核心矛盾：发现漏洞的人，未必想让漏洞被修复。漏洞主

谁在养漏洞

安全行业有个术语叫"0day"——指厂商尚未发布补丁的漏洞主漏洞。一个高质量的漏洞主0day在灰色市场上的价格从几万美元到数百万美元不等。iOS的漏洞主完整远程利用链，报价能到250万美元以上。买家通常是政府机构、情报承包商，偶尔也有犯罪组织。

卖方呢？安全研究员、渗透测试工程师、甚至厂商内部人员。Zero Day Initiative、Pwn2Own这些平台把漏洞交易做成了合法生意。但真正敏感的漏洞，不会出现在公开拍卖上。

这里有个不太被讨论的事实：很多漏洞不是"被发现"的，而是"被制造"的。开发者写代码时留下的逻辑缺陷、架构设计时忽略的边界条件，这些东西在系统上线那一刻就存在了，只是没人知道。漏洞的本质是信息不对称——你不知道它存在，它就在那里。

补丁为什么总是慢半拍

微软每月第二个周二发补丁，这个节奏维持了二十年。但从漏洞被报告到补丁发布，平均周期是90到120天。这段时间里，漏洞处于"半公开"状态——厂商知道了，攻击者可能也知道。

更麻烦的是补丁本身。2014年，苹果发布iOS 8.1.1修复了"面具"漏洞，结果补丁引入了新的问题，部分用户设备变砖。修复一个漏洞可能打开另一个漏洞，这不是段子，是软件工程的常态。代码越复杂，这种连锁反应越难避免。

企业端的补丁更慢。一家银行的核心系统可能跑着十年前的Windows Server 2003，不是不想升级，是升级成本太高——业务系统要重新适配，停机窗口要协调，万一出问题谁负责？于是漏洞就一直在那里，像老房子墙里的白蚁。

漏洞的"合法"使用

FBI和苹果在2016年那场解锁iPhone的官司，最后FBI撤诉了。原因是有第三方提供了破解工具。后来泄露的信息显示，那家第三方公司叫Azimuth Security，他们用的漏洞是花了一百多万美元从研究人员手里买的。

政府买漏洞、养漏洞，逻辑是"为了执法和情报需要"。但这个逻辑有个漏洞：你养的漏洞，别人也可能找到。NSA的永恒之蓝被偷了，CIA的Vault 7工具包泄露了。养漏洞的人，最终也可能被漏洞反噬。

安全圈有个说法叫"漏洞不灭"。一个漏洞被修复了，类似的逻辑缺陷会在其他系统里重现。因为写代码的是人，人就会犯错。我们能做的，只是让犯错的代价小一点——比如及时打补丁，比如别把关键系统暴露在公网上，比如承认没有绝对安全的系统。

WannaCry之后，微软罕见地给已经停止支持的Windows XP发了补丁。这个决定本身就说明问题：当漏洞的破坏力足够大时，商业逻辑要让位于安全逻辑。但为什么非要等到出事才行动？这个问题，比漏洞本身更难回答。