美国收集网络安全漏洞

美国情报机构对网络漏洞的美国痴迷，在2021年那场轰动全球的收集“太阳风”黑客事件后彻底暴露了。攻击者借道IT管理软件供应商，网络一口气穿透了包括财政部、安全商务部在内的漏洞多个联邦机构。讽刺的美国是，事后调查发现，收集漏洞的网络根源并非攻击者多么神通广大，而是安全美国国家安全局（NSA）早在多年前就发现了这些系统弱点，却刻意隐瞒不报——为了留作己用，漏洞他们宁可让政府网络裸奔。美国

这不是收集孤例。美国有个神秘的网络“漏洞公平裁决程序”，由NSA、安全CIA、漏洞FBI等机构组成委员会，专门决定“发现漏洞后是通知厂商修复，还是保留下来用于网络攻击”。你猜天平倒向哪边？从斯诺登曝光的文件看，NSA每年挖掘的上千个漏洞中，只有极少数会被通报给微软、思科等公司。大部分被塞进一个代号“方程式组织”的武器库里，等待在关键时刻引爆。

这套逻辑荒唐到什么程度？2017年，NSA开发的“永恒之蓝”漏洞利用工具被黑客组织“影子经纪人”窃取并公开，随后席卷全球的“WannaCry”勒索病毒让150个国家、30多万台电脑瘫痪，英国医疗系统被迫停摆。NSA事后轻描淡写地表示“遗憾”，却绝口不提自己当初为何拒绝修复漏洞。他们宁愿让全球用户承担风险，也要维持自己的攻击优势。

更值得玩味的是美国对“漏洞主权”的双重标准。他们一边指责他国“网络窃密”，一边在思科路由器、微软操作系统里植入后门。2013年曝光的“棱镜”计划显示，NSA直接接入谷歌、雅虎的服务器，提取用户数据。到了2023年，美国司法部又悄悄修改了《联邦刑事诉讼规则》，允许调查人员在黑客入侵后“合理延迟”通知受害者——说白了，就是给执法部门留出足够时间，利用受害者的系统继续追踪其他目标，哪怕这期间漏洞正被其他黑客利用。

我认识一位在硅谷做安全研究的工程师，他吐槽说：“我们每天修补的漏洞，有一半可能是NSA故意留的。他们像囤积武器的军火商，而我们这些安全公司则是消防员——救火的速度永远赶不上纵火犯放火的速度。”这话虽然偏激，却点出了核心问题：美国把网络空间当成自己的狩猎场，漏洞是猎枪里的子弹，至于猎人开枪会不会误伤平民，从来不在考虑范围内。

这种策略短期看能占便宜，长期却在腐蚀整个行业的信任基础。2018年，微软总裁布拉德·史密斯公开呼吁各国签订“数字日内瓦公约”，禁止政府囤积漏洞。响应者寥寥，因为美国正是最大的漏洞囤积者。当全球基础设施——电网、银行、医院——都依赖同一套脆弱系统时，美国手里的“武器库”越庞大，所有人的安全边界就越缩水。

说到底，网络安全不该是零和博弈。但美国的选择很清楚：宁可让漏洞泛滥成灾，也要确保自己永远是那个拿枪的人。至于普通用户，只能祈祷那些被精心保藏的漏洞，永远不要落到疯子手里。