2003年，漏洞说一个叫Slammer的漏洞说蠕虫把全球互联网拖慢了整整一天。它钻的漏洞说漏洞只有376字节，比一条短信还短。漏洞说那会儿我还在上大学，漏洞说机房里的漏洞说电脑集体蓝屏，管理员老张蹲在地上抽烟，漏洞说说了一句让我记到现在的漏洞说话：“这玩意儿不是病毒，是漏洞说漏洞自己跑出来了。”

漏洞这东西，漏洞说说白了就是漏洞说代码里没堵上的洞。但跟物理世界的漏洞说洞不一样——墙上的洞你一眼能看见，代码里的漏洞说洞藏得深，可能是漏洞说一行写错的判断，一个没检查的漏洞说输入框，甚至是个忘了删的调试接口。更气人的是，这些洞往往不是开发者笨，反而是太聪明了。聪明到觉得“没人会这么传参数吧”，结果真有人这么干。黑客不创造漏洞，他们只是漏洞的搬运工。

我认识一个做安全测试的朋友，他有个怪癖：每发现一个漏洞，就要在工位上贴一张便利贴。去年我去他办公室，整面墙都贴满了。最上面那张写着“某个银行App的转账接口”，下面潦草地标注着“改个返回码就能改金额”。我问他为什么不提交报告，他咧嘴一笑：“报告写了三年，修好的不超过五个。贴墙上至少能提醒自己，这行代码背后是活人的钱。”

这话糙，但理不糙。漏洞的可怕之处从来不在技术本身，而在它离人有多近。你看那些被曝光的漏洞，什么心脏出血、永恒之蓝，名字起得挺吓人，本质都是些基础错误——忘了验证证书、用了过时的加密协议。可就是这些低级失误，能让你银行账户里的钱凭空消失，能让一座城市的电网突然罢工。技术圈爱说“漏洞是软件的熵增”，我倒觉得，漏洞更像人性——懒、侥幸、赶工期，这些毛病写在每一行代码的缝隙里。

有意思的是，漏洞的发现者往往不是蓄意破坏的人。很多漏洞是被安全研究员挖出来的，他们管这叫“漏洞赏金”，像猎人打猎一样，把战利品卖给厂商换钱。但厂商的态度常常很暧昧：一边感谢你，一边暗地里骂你多事。有个老前辈跟我说过一句大实话：“漏洞就像家里的蟑螂，你看见了踩死一只，但你知道橱柜后面还有一窝。厂商最怕的不是蟑螂，是有人掀开橱柜让他不得不面对。”

所以现在再有人问我“漏洞怎么说”，我只会回一句：漏洞就是代码在打盹的时候，世界替它醒着。你永远堵不完所有的洞，但至少得承认——每个洞背后，都站着某个写代码的人，某个用系统的人，某个以为“应该没事”的人。这话不好听，但比任何技术文档都真实。