网络产品的提供者不得设置
工信部一纸《网络产品安全漏洞管理规定》征求意见稿里，网络藏着句容易被划过去的产品话：“网络产品的提供者不得设置恶意程序。” 这话看着像废话，设置可你要是网络知道多少智能设备出厂时就带着后门，就知道这七个字砸了多少饭碗。产品
我拆过一台某品牌的设置廉价摄像头。电路板干净，网络固件没加壳，产品串口直接裸露。设置连上去一看，网络好家伙，产品里面躺着一个telnet服务，设置用户名root，网络密码是产品硬编码的123456。这不是设置漏洞，这是设计者故意留的钥匙——方便自己随时进去看，也方便任何扫到端口的人进去看。厂商图什么？图的是你哪天不续费云存储，他还能远程唤醒摄像头，用你的带宽给他的服务器做压力测试。这种事，你在说明书上找得到吗？
更阴的招数在路由器里。有些运营商定制版路由器，固件里藏着个“管理通道”，平时不声不响，一旦检测到特定域名解析请求，就自动向某个IP回传你的浏览记录。美其名曰“网络优化”，实则把你的上网习惯打包卖给广告联盟。你换了DNS也没用，因为后门在更底层——它直接hook了内核的网络栈。这种设计，算不算“恶意程序”？按字面定义，它没破坏你的设备，但它未经你同意，把你的隐私当商品卖了，这比明抢还恶心。
有人会抬杠：厂商留后门是为了远程维护，方便排查故障。这话半真半假。真正的远程维护需要加密通道和用户授权，而不是藏着掖着的固定密码。我见过某工业交换机，调试端口绑定了厂商的运维服务器，每次开机都要先跟那台服务器握个手。万一那台服务器被黑了，整个工厂的PLC都得裸奔。厂商省了客服成本，用户扛了安全风险，这买卖做得真划算。
法律条文写得再漂亮，执行起来全是猫腻。什么叫“恶意程序”？定义权在厂商手里。他说那是“功能模块”，你说是“后门”，吵到法院也扯不清。所以这条规定最狠的地方不在惩罚，而在举证责任倒置——要求提供者自证清白。可现实是，大多数用户连自己设备里跑着什么进程都看不明白，更别提去审计固件了。指望靠一纸文件管住所有厂商？不如指望明天太阳从西边出来。
说到底，这问题根子在商业模式上。硬件卖不上价，厂商就靠软件和服务捞钱。你买台电视，他恨不得把你家客厅变成广告屏；你买个扫地机器人，他连你家户型图都想传到云端去训练算法。设置恶意程序不是目的，是手段——为了让你离不开他的“免费服务”，为了让你不知不觉交数据税。要是哪天法律规定“默认关闭一切非核心功能”，你猜还有多少厂商敢拍胸脯说“没问题”？
我有个做安防的朋友说过句糙理不糙的话：“设备出厂时越干净，后期麻烦越少。那些一上来就塞满全家桶的，十有八九心里有鬼。” 可惜现在的市场，干净的产品活不下去，因为用户已经习惯了被喂食。你让他自己装防火墙，他说不会；你让他关掉云服务，他说不方便。到最后，监管层只能下场当保姆，用最笨的办法划底线——哪怕这底线低得跟没有似的。
规则是给守规矩的人定的。真正想作恶的厂商，早把服务器挪到境外，把后门藏在硬件芯片里了。但这条规则至少撕开个口子——让那些半推半就、想占便宜又怕担责的企业掂量掂量。哪天你买的智能门锁不再偷偷给你家保姆发开门记录，哪天你的行车记录仪不再把GPS轨迹传到厂商的“大数据平台”，那时候再谈“网络产品安全”才不算空话。