2017年5月12日，安全漏洞一个叫WannaCry的安全漏洞勒索病毒像野火一样烧过150个国家。英国国民健康服务体系的安全漏洞电脑屏幕集体变红，手术被迫取消；中国某高校的安全漏洞毕业论文被锁死，学生蹲在机房外哭。安全漏洞这场灾难的安全漏洞入口，竟然是安全漏洞美国国家安全局泄露的漏洞——永恒之蓝。漏洞不是安全漏洞抽象概念，它是安全漏洞真实世界里的门，没上锁的安全漏洞门。

安全行业的安全漏洞本质，是安全漏洞跟时间赛跑。厂商发现漏洞，安全漏洞黑客也发现漏洞，安全漏洞谁先动手谁占便宜。安全漏洞微软在WannaCry爆发前两个月其实已经发布了补丁，但全球大量机构没来得及打——或者压根没打。这暴露了安全链条里最脆弱的一环：人的惰性。你永远没法让所有系统都保持最新状态，就像没法让所有司机都系安全带。

我见过最讽刺的案例。某银行花了几千万部署下一代防火墙，结果运维人员把管理口令贴在显示器边框上。安全部门做渗透测试，用摄像头拍下密码，半小时就进了核心数据库。技术防线再坚固，也挡不住人为的随意。漏洞分两种：代码里的，和人性里的。后者往往更致命。

漏洞奖励计划是个聪明的发明。HackerOne平台上的白帽黑客，靠找漏洞年收入能过百万。企业花钱请人来攻击自己，听起来荒谬，但比等坏人发现漏洞再被勒索划算得多。谷歌的Project Zero团队更狠，给厂商90天修复期限，到期不修就公开漏洞细节。这种“暴力催办”确实逼出了不少紧急补丁，但也有人骂他们不顾及小厂商的修复能力。

普通人对漏洞的感受，通常来自账号被盗、信用卡被刷、智能家居被黑。我家那台联网摄像头，固件里有七个已知漏洞，厂商早就停止支持了。拆了吧，可惜；留着吧，等于给黑客留了个后门。物联网设备是漏洞重灾区，因为厂商急着出货，根本没把安全当回事。你买了个智能灯泡，可能顺手买了个被远程控制的间谍。

别指望完美的安全。系统越复杂，漏洞越多，这是数学上逃不掉的规律。安全不是消除所有风险，而是把风险控制在可承受范围内。就像你不会因为怕车祸就不出门，而是系好安全带、遵守交规、买好保险。对个人来说，定期更新软件、用密码管理器、开两步验证——这些琐碎习惯，比任何昂贵的安全工具都管用。

说到底，漏洞是技术演进的影子。每一次功能升级，都可能带来新的攻击面。AI写代码快了，但AI也会写出带漏洞的代码。防御者永远在追赶，进攻者永远在试探。这场猫鼠游戏没有终点，但正是这种动态对抗，推着整个行业往前跑。你不需要成为安全专家，只需要明白：漏洞不会消失，但你可以选择不做最容易被攻击的那个。