2023年5月，网络某主流手机厂商被曝出系统内核存在一个零日漏洞。产品攻击者只需向用户发送一条精心构造的安全彩信，无需任何点击操作，漏洞就能在后台完全控制设备。网络这个漏洞被黑市标价200万美元。产品我盯着这条新闻看了很久，安全想起自己那台已经三年没收到系统更新的漏洞旧手机，后背发凉。网络

漏洞从来不是产品抽象的代码缺陷，而是安全实实在在的攻防博弈。安全研究员老张跟我说过一句话："你以为你用的漏洞是手机，其实你用的网络是厂商的安全承诺。"这话听着刺耳，产品但翻翻漏洞库就明白了——那些销量过亿的安全热门机型，平均每千行代码就藏着0.7个高危漏洞。相比之下，冷门机型反而因为没人研究而显得"安全"，这本身就是种黑色幽默。

厂商的修复速度更耐人寻味。谷歌的Project Zero团队做过统计，从漏洞被报告到官方发布补丁，平均需要47天。而攻击者利用漏洞发起攻击的平均时间，只要3天。这44天的窗口期里，普通用户就像站在敞开的保险库门前，门上的报警器还在响，但钥匙掌握在别人手里。

有个案例特别能说明问题。2022年某路由器厂商被曝出后门漏洞，波及全球数百万台设备。厂商的回应是"建议用户重启设备以清除缓存"。这种敷衍态度直接导致该品牌在二手市场的价格暴跌三成。讽刺的是，真正受到伤害的往往是最不会折腾技术的普通人——他们不知道什么是固件更新，更不懂什么叫"缓解措施"。

我认识一个做物联网安全的工程师，他办公桌上贴着一张便签："每个漏洞背后，都藏着某个程序员凌晨三点的疲惫。"这话有点浪漫化风险了。现实是，很多漏洞源于企业压缩开发周期、削减安全测试预算的短视决策。某智能家居公司内部流出的会议纪要显示，他们曾讨论"是否值得花80万美元修复一个影响所有智能门锁的漏洞"，最终结论是"先观望市场反应"。

别指望监管能立竿见影。虽然《网络产品安全漏洞管理规定》已经实施两年多，但实际处罚案例屈指可数。我查过公开记录，最大的一笔罚款是某云服务商的300万元——对比他们因数据泄露导致的市值蒸发，这点钱连零头都算不上。更麻烦的是，漏洞挖掘本身已经形成灰色产业链，白帽黑客和黑产团伙常常在同一个论坛里交换信息。

说到底，这是个责任分配的问题。厂商追求利润无可厚非，但把安全成本转嫁给用户，就像卖汽车不配刹车片还振振有词。我自己的做法是：把手机系统更新设为自动，路由器每季度重启一次，重要账户全部开启双重验证。这些动作花不了十分钟，但至少能让我在下次看到漏洞新闻时，不至于觉得自己是个裸奔的透明人。

技术圈有句老话：没有绝对安全的系统，只有没被发现的漏洞。这话对了一半。另一半是，漏洞管理本质上是对人性的管理——厂商的贪婪、开发者的疏忽、监管的滞后，都在给那扇保险库的门添砖加瓦。而你我这些普通用户能做的，除了祈祷自己不在攻击名单上，也就剩下保持警惕了。

(责任编辑：焦点)