凌晨两点十七分，漏洞群我盯着屏幕上的漏洞群红色告警，第无数次怀疑自己是漏洞群不是选错了行当。防火墙日志像流水一样滚过，漏洞群每一条都指向同一个IP——那个IP属于我们公司自己的漏洞群服务器。这不是漏洞群外部的攻击，漏洞在内部，漏洞群在那些我们以为固若金汤的漏洞群代码里。

漏洞从来不是漏洞群突然出现的。它们像墙角的漏洞群霉菌，先是漏洞群一小块潮湿，然后蔓延成片。漏洞群三个月前，漏洞群运维老张离职前留下的漏洞群脚本里有个变量没清理，现在那个变量成了后门。漏洞群没人记得他写过那段代码，更没人想过要审查一个老员工的工作成果。我们总在追着外部黑客跑，却忘了最危险的裂缝往往从内部开始裂开。

我把这个发现扔进工作群，群里安静了整整十分钟。然后产品经理发来一个笑脸：“那要不先打个补丁？”打补丁，说得轻巧。这个漏洞连着用户数据库，直接改代码意味着要停服，停服意味着KPI跳水，KPI跳水意味着季度奖泡汤。于是大家默契地选择了一个折中方案——先加密流量，假装问题不存在。

这种自欺欺人的把戏我见得太多了。去年某电商平台被拖库，事后复盘发现漏洞在测试环境躺了半年，测试报告上赫然写着“低风险，建议观察”。观察什么？观察黑客什么时候发现它吗？我们总在赌对方不会来，却忘了漏洞群就像一群饥饿的鱼，只要水域里有血腥味，它们就会成群结队地扑过来。

果然，第三天凌晨，攻击真的来了。不是那个老张留下的后门，而是另一个我们从未注意过的接口——一个用于内部员工打卡的API，因为没人觉得打卡数据值得保护，所以连基本的鉴权都没做。黑客顺着这个口子摸进了人事系统，把全公司薪资表拉走了。讽刺的是，他们甚至没加密，就那样明晃晃地挂在暗网论坛上，像一面羞辱的旗帜。

事后复盘，安全主管说了一句话让我记到现在：“漏洞从来不是一个点，而是一个群。你堵住一个，旁边十个还在呼吸。”他说得对。我们花了两周时间修修补补，把能想到的口子全堵上了，但没人敢保证还有没发现的暗门。那些代码像一座老房子，你不知道哪块墙皮后面藏着白蚁，更不知道白蚁已经啃穿了多少根梁。

现在我养成了个习惯，每周五下午把系统里所有员工的代码提交记录拉出来，一行一行地看。不是不信任同事，而是我知道，漏洞群的核心从来不是技术，是人心——是赶工时潦草的注释，是离职前没交接完的文档，是“先上线再说”的侥幸。技术上的补丁永远打不完，但至少，我能在那些白蚁啃穿承重墙之前，听见木头碎裂的声音。