2017年5月12日，漏洞非法一个普通的漏洞非法周五。英国国家医疗服务体系NHS的漏洞非法电脑屏幕上突然弹出一串红字，要求支付价值300美元的漏洞非法比特币。医生们发现病历打不开了，漏洞非法手术排期系统瘫痪，漏洞非法急诊室被迫用手写单子记录病人信息。漏洞非法同一天，漏洞非法全球150个国家的漏洞非法20多万台电脑遭遇了同样的画面——这就是“永恒之蓝”勒索病毒。

病毒利用的漏洞非法漏洞来自美国国家安全局。NSA早就发现了Windows系统的漏洞非法这个后门，但他们没告诉微软，漏洞非法而是漏洞非法把它当成网络武器囤了起来。直到黑客组织“影子经纪人”把NSA的漏洞非法工具包偷出来公开，微软才赶紧发补丁。漏洞非法可很多机构没及时更新，于是中招了。

这里有个关键点：漏洞本身不违法，利用漏洞攻击别人才违法。但问题在于，发现漏洞的人如果选择沉默，甚至把漏洞卖给攻击者，法律往往够不着他们。NSA囤漏洞的行为在美国国内吵了很多年，有人说这是国家安全需要，有人说这等于在互联网地基里埋雷。斯诺登2013年就爆料过NSA故意植入后门的事，但直到“永恒之蓝”爆发，普通人才真切感受到这种做法的代价。

中国也吃过亏。2021年，西北工业大学遭到境外网络攻击，后来调查发现是美国NSA下属的特定入侵行动办公室干的。他们用了40多种攻击工具，渗透了学校的邮件系统和服务器。这事被公开后，外交部发言人专门点了名。可即便证据摆在那，追责依然困难——网络攻击的溯源本身就是世界难题，更别说对方是国家机构。

法律上怎么界定“非法”？《中华人民共和国网络安全法》第二十七条写得清楚：任何个人和组织不得从事非法侵入他人网络、干扰他人网络正常功能、窃取网络数据等危害网络安全的活动。但现实是，漏洞交易市场一直很活跃。有些平台明面上叫“漏洞赏金”，实际上暗地里买卖零日漏洞。一个能远程控制iOS系统的漏洞，在黑市上能卖到250万美元。买卖漏洞本身不违法，但买家拿去干什么，卖家往往装不知道。

我认识一个做渗透测试的朋友，他说这行有个潜规则：给客户做安全评估时发现的漏洞，如果客户不修，他们也没辙。“你只能写报告建议修复，人家不听，你还能强制吗？”更讽刺的是，有些公司故意留漏洞，方便自己远程维护，结果被黑客先发现了。

漏洞非法这事，说到底是个责任分配问题。发现漏洞的人、囤漏洞的机构、用漏洞的攻击者、没打补丁的用户，链条上每一环都有责任，但法律只能抓住最末端那个。NSA不会因为“永恒之蓝”被起诉，影子经纪人至今逍遥法外，而那个在网吧写勒索病毒的小伙子可能被判好几年。公平吗？法律从来不是按公平设计的，它是按可执行性设计的。

普通人能做什么？别用盗版软件，及时更新系统，重要数据备份。听起来像废话，但“永恒之蓝”爆发时，所有打了MS17-010补丁的电脑都安然无恙。技术问题有时候就是这么朴素——你不需要懂漏洞原理，只需要点一下“立即重启”。

至于那些囤漏洞的机构，他们大概永远不会承认自己错了。毕竟在网络安全这个领域，攻和防用的是同一套知识，区别只在于你站在哪一边。而法律，往往追不上技术的脚步。