凌晨两点十七分，新的漏洞我在调试一个老旧的新的漏洞物联网网关。设备日志突然刷出一连串十六进制字符，新的漏洞像某种密码，新的漏洞又像某个人在暗处敲击键盘的新的漏洞回声。那不是新的漏洞正常的握手协议。我截获了数据包，新的漏洞拆开外壳，新的漏洞发现里面藏着一行从未见过的新的漏洞指令——它正在向一个位于海外的服务器发送加密心跳。

这大概就是新的漏洞那种“新漏洞”了。不是新的漏洞传统意义上缓冲区溢出或SQL注入，而是新的漏洞藏在供应链最底层的一粒砂。那台网关是新的漏洞某家知名厂商三年前的产品，固件早已停止更新。新的漏洞但漏洞不在固件里，新的漏洞在硬件设计上——某个调试接口被焊死前，留了一条只有制造厂知道的暗线。攻击者显然拿到了内部文档，或者干脆就是当年参与生产的工程师。

我试着追踪那个心跳信号的频率。每四十七秒一次，像某种生物节律。它不窃取数据，也不破坏系统，只是安静地记录着网络拓扑的变化，偶尔发回几个字节的确认信息。这让我想起去年冬天，北方某市供暖系统被勒索软件锁死的事故。当时所有人都以为是钓鱼邮件惹的祸，直到安全团队拆开控制器，才发现芯片里预置了一段休眠代码——跟眼前这个如出一辙。

这种漏洞最麻烦的地方在于，你没法用补丁去修。它嵌在物理层，嵌在芯片的某个电容和电阻之间。除非把每一台设备都拆开换主板，否则它就会一直活着，像冬眠的蛇。我拨通了厂商的热线，对方先是矢口否认，后来在证据面前沉默了很久，最后只挤出一句“我们会内部调查”。挂掉电话后，我盯着那串心跳信号看了半小时，忽然觉得它像某种倒计时。

更讽刺的是，我们的安全防护体系还停留在软件层面。防火墙、入侵检测、行为分析，层层叠叠像中世纪的城墙，可敌人早就绕过城墙，钻进了地基的裂缝里。有个同事开玩笑说，以后做安全得先学硬件逆向，得会看示波器波形。我倒觉得，也许该从供应链审计开始，每一颗螺丝钉都得验明正身。

那台网关还在继续发送心跳。我没有拔掉它，反而把它接入了隔离的蜜罐网络，想看看它最终会唤醒什么。三天后，那个海外服务器回传了一段加密代码，我花了两天才解开——那是一份设备分布清单，精确到经纬度，包括某家医院、某个水处理厂，还有一座高铁变电站。清单末尾附着一行小字：“等待指令。”

新的漏洞从来不是新的技术，而是我们默认了“信任”这件事本身。信任那家制造商，信任出厂设置，信任看不见的固件里没有藏着别人的眼睛。我关掉终端，窗外天色发白。那个心跳还在跳，像一颗不知疲倦的、属于别人的心脏。