凌晨两点十七分，漏洞警告我的漏洞警告手机屏幕突然亮起。不是漏洞警告闹钟，是漏洞警告安全团队群发的警报——某个广泛使用的开源库被爆出远程代码执行漏洞，CVE编号后面跟着一串触目惊心的漏洞警告CVSS评分：9.8。

我爬起来打开电脑，漏洞警告咖啡壶在黑暗中发出咕噜声。漏洞警告这已经是漏洞警告本月第三次深夜紧急响应了。上一次是漏洞警告Log4j，上上次是漏洞警告某个被遗忘的VPN网关。说真的漏洞警告，我有点麻木了。漏洞警告

漏洞本身不复杂。漏洞警告攻击者只需构造一个特制的漏洞警告HTTP请求，就能在服务器上执行任意命令。漏洞警告问题是，这个库被嵌入了超过四万个项目，包括不少银行核心系统和医疗设备。修复它？你得先找到它嵌在哪。很多公司压根不知道自己用了这个库——他们用的是某个框架，框架又依赖另一个工具包，工具包底层才藏着这个炸弹。

我盯着依赖树发呆，想起上周跟一个初创公司CTO的对话。他说他们用AI辅助写代码，每周发布三次，测试覆盖率百分之八十。我问他依赖审计怎么做，他愣了一下：“什么依赖审计？”

这就是问题的核心。我们造软件的方式变了，但安全意识还停留在十年前。以前你写代码，每一行都是自己敲的，出了问题你知道去哪查。现在呢？你import一个包，那个包又import了另外二十个包，其中某个包的维护者可能三年前就放弃了项目，但你的代码依然在依赖它。供应链攻击不是未来威胁，是此刻正在发生的事。

有个细节特别讽刺。这个漏洞的修复补丁其实在四个月前就发布了，但只有百分之十二的受影响项目更新了。不是开发者懒，而是很多人根本不知道自己在用这个库。自动化工具扫描出来的结果往往是几百页PDF，没人有精力逐条看。

凌晨四点，我关掉电脑。窗外开始泛白，手机又震了一下——是另一个客户发来的消息，他们的生产环境也中招了。我回了个“收到”，心里清楚，这波攻击浪潮至少还要持续几周。总有人以为漏洞是别人的事，直到攻击者摸到自己家门口。

但说实话，我反而有点乐观。每次这种大规模漏洞事件，都会逼着一批公司开始认真做安全基建。那些熬过这波的企业，下次再遇到类似情况，至少知道该看哪份报告，该找哪个负责人。

天亮了。我给自己倒了第三杯咖啡，打开漏洞数据库，开始整理今天的通报。路还长着呢，但总得有人走。