2017年5月12日，网络一个叫WannaCry的安全勒索病毒像野火一样烧遍了全球。英国医院的漏洞电脑屏幕上突然跳出红色警告框，病人的网络CT影像、手术安排、安全急诊记录全部被加密锁定。漏洞手术被迫取消，网络救护车改道，安全那场面不像网络攻击，漏洞倒像医院着了火——只是网络烧的是数据，救火的安全是穿格子衫的安全工程师。而这一切的漏洞起点，不过是网络美国国家安全局泄露的一个漏洞工具，代号“永恒之蓝”。安全

漏洞这东西，漏洞说穿了就是代码里藏着的“没想到”。程序员写代码时想着“用户应该会输入正常数据”，但有人偏不。他们输入一长串特殊字符，输入超出变量范围的数字，输入精心构造的恶意负载。2003年的SQL Slammer蠕虫，攻击的是微软SQL Server一个2002年就公布补丁的漏洞。但全球有大量服务器没打补丁，结果蠕虫在10分钟内就感染了7.5万台机器，导致韩国互联网全面瘫痪，ATM机集体罢工。讽刺的是，打补丁只需要几分钟，但很多人就是懒得做。

漏洞的可怕之处在于它的“连锁反应”属性。一个看似不起眼的小毛病，可能被拼接到意想不到的链条上。2020年，安全研究员在特斯拉的系统中发现了一个漏洞——通过蓝牙协议栈的某个缺陷，攻击者可以远程解锁车门并启动引擎。但前提是，攻击者必须在车辆附近，而且目标车主的手机蓝牙必须处于开启状态。你看，漏洞利用就像开锁，单开一把锁可能不难，但锁在什么样的门上、门后有什么，才是关键。

我自己经历过一次小规模漏洞风波。几年前，我帮朋友维护一个小型电商网站，用的是某开源购物车系统。有一天，后台日志里突然出现大量奇怪的SQL查询语句。查了半天，发现是某个第三方插件的老版本存在注入漏洞——攻击者通过商品搜索框输入了特殊代码，试图绕过登录验证。幸运的是，那次攻击没有成功，因为数据库账号权限设置得比较低。但这件事让我明白：漏洞不总是“攻破防线”，更多时候是“绕过防线”。你装了防火墙、加密了传输、加了验证码，但一个小小的插件漏洞就能让你所有的安全措施形同虚设。

漏洞的另一个维度是“人”。2021年，美国科洛尼尔管道公司遭到勒索攻击，导致美国东海岸燃油供应中断。黑客用的不是高超的技术，而是通过一个泄露的VPN密码——这个密码属于一个已经不在这家公司工作的员工。密码没有及时撤销，VPN没有启用多因素认证。说白了，技术漏洞背后，是管理漏洞的放大镜。

我有时候会想，互联网就像一座老城，街道越修越宽，路灯越装越亮，但地下管道年久失修，你不知道哪一段已经锈穿了。每个漏洞修补公告，都是一次管道维修通知。但总有人觉得“我家这段还没漏水”，于是继续拖。直到某天，某个管道爆了，污水涌上来，大家才手忙脚乱地抢修。

漏洞无法清零，就像文字永远有错别字的可能。但安全不是追求完美，而是控制风险——及时打补丁、缩小权限、假设自己已经被攻破、然后设计出即使被攻破也能快速恢复的系统。说到底，网络安全不是一场速决战，而是一场持续的猫鼠游戏。老鼠永远在进化，猫也只能不断学习。这不是悲观，而是清醒。你唯一能做的，就是让每一次攻击的成本高于收益，让每一个漏洞的利用难度高于它本身的价值。