2014年，漏洞样一个叫侯赛因的漏洞样巴基斯坦小伙在拉合尔用手机拍了一段视频。画面里，漏洞样他站在一堵墙前，漏洞样墙上用粉笔写着几行字。漏洞样他按了发送键，漏洞样视频传到了Facebook。漏洞样接下来48小时，漏洞样这个视频被下载了超过200万次，漏洞样服务器日志里出现了大量来自美国、漏洞样英国、漏洞样沙特的漏洞样IP。没人想到，漏洞样这段视频里藏着一个漏洞——不是漏洞样代码漏洞，是漏洞样人的漏洞。视频中的墙后面，是当地一所女子学校的临时教室，而视频的配文写着“塔利班下一个目标”。消息是假的，但传播是真的。

漏洞这个词，最早来自《汉书·艺文志》，原意是“漏水的孔洞”。后来被计算机领域借走，变成了系统里能被利用的缺陷。但我觉得，真正的漏洞从来不在代码里。代码是人写的，人写代码的时候会累、会偷懒、会想当然。2017年，WannaCry勒索病毒席卷全球，靠的是美国国家安全局泄露的“永恒之蓝”漏洞。这个漏洞本身不复杂——微软早在三个月前就发布了补丁。可全球仍有超过20万台电脑没打补丁。为什么？因为有人觉得“我的电脑不重要”，因为IT部门说“下周再更新”，因为那个负责打补丁的工程师那天请假了。

人是最难修补的漏洞。我认识一个做渗透测试的朋友，他给银行做安全评估。他说最有效的攻击方式不是写复杂的exploit，而是穿一件快递员的衣服，手里拿个纸箱，走到前台说“你们技术部张经理的包裹，需要他本人签收”。十次有八次，前台会让他直接去办公区找张经理。他走进去，找个没人的工位，插上U盘，五分钟拿到内网权限。银行花了上千万买防火墙、入侵检测系统，最后败给了一件快递服。

漏洞的另一个名字叫“没想到”。2018年，一个叫“剑桥分析”的公司被曝光。他们没黑进Facebook服务器，而是做了一个心理测试App，用户授权后能拿到自己和好友的数据。27万人下载，最终波及8700万用户。Facebook的隐私设置里没有“好友的好友”这个选项——他们没想到有人会通过好友关系链来挖数据。漏洞就是这样，它不在系统里，它在设计系统的人脑子里。那个人当时可能觉得“这样设计更方便用户”，或者“没人会这么无聊去分析好友数据”。

修补漏洞的速度，永远赶不上发现漏洞的速度。2021年，Log4j漏洞爆发，这个Java日志组件被无数企业使用。漏洞公开后，全球安全工程师通宵打补丁。可就在补丁发布后几小时，就有人找到了绕过补丁的新方法。这不是技术问题，这是数学问题——一个系统越复杂，可能的攻击路径就越多。你堵住一条路，攻击者会找另一条。就像你家门锁再结实，窗户没关，贼还是进得来。

我有时候想，我们每个人都是一个系统。你的习惯、你的判断、你的信任，都是可以被利用的漏洞。骗子打电话说“你涉嫌洗钱”，你慌了，这是情绪漏洞。同事说“这个项目很简单，你随便弄弄就行”，你信了，这是认知漏洞。漏洞不会消失，它只会换个地方出现。我们能做的，不是追求完美无缺的系统——那不存在。我们能做的，是承认自己会犯错，然后定期检查那些“没想到”的地方。就像那个巴基斯坦小伙的视频，后来被证实是假的，但传播已经发生了。漏洞被利用了，你只能事后修补，然后等着下一个漏洞出现。