内容摘要：2019年，美国国税局IRS）上线了一套新的身份验证系统，要求纳税人通过面部识别公司ID.me来验证身份。表面上看，这是为了防止身份盗窃。但问题出在细节里：ID.me的验证流程允许用户上传一张自拍照和

2019年，钻制美国国税局（IRS）上线了一套新的漏洞身份验证系统，要求纳税人通过面部识别公司ID.me来验证身份。钻制表面上看，漏洞这是钻制为了防止身份盗窃。但问题出在细节里：ID.me的漏洞验证流程允许用户上传一张自拍照和一张身份证件照片，系统通过算法比对两者是钻制否匹配。漏洞在哪？漏洞系统并不要求自拍照和证件照是同一时间拍的。有人用自己十年前的钻制照片，配上现在的漏洞证件，照样通过了。钻制更离谱的漏洞是，有人用一张打印出来的钻制证件照片，对着摄像头晃了晃，漏洞也过了。钻制这个漏洞被一个普通纳税人发现后发到网上，IRS才紧急修补。钻漏洞的人不是黑客，就是个不想跑税务局排队的普通人。

制度这东西，设计出来的时候往往是假设人会按规矩来。但人不是程序，人有惰性、有急智、有“能不能省一步”的本能。钻漏洞的本质，不是违法，而是在规则的字面意思和设计意图之间找缝隙。法律条文写的是“应当”，但没写“必须如何证明应当”。这就是缝隙。

我住的小区有个快递柜，规定超过24小时取件要收1块钱保管费。有次我出差三天，回来取件时发现系统只认“取件时间”，不认“超时天数”。也就是说，我只要在取件前先点一下“延长保管”，系统就重新计时24小时。这个按钮本来是给“预计无法按时取件”的人用的，但没人规定你必须在超时之前点。于是我先点延长，再取件，一分钱没花。快递柜公司后来改成了按天累计，但那个漏洞存在了至少两年。

钻漏洞和作弊是两回事。作弊是伪造信息，钻漏洞是利用规则本身的逻辑缺陷。前者是欺骗，后者是解构。比如有些电商平台的“七天无理由退货”，规定“商品完好”。但什么叫“完好”？有人买了相机，拍完一场婚礼，再退回去。平台判定“外观无损伤、配件齐全”就算完好。这不是伪造，是规则没写“不得使用”。后来平台加了“激活后不支持退货”的条款，漏洞才堵上。

漏洞往往出现在制度的“接口”处。一个部门管审批，另一个部门管核验，两个部门的数据不互通，中间就有操作空间。比如有些城市的公租房申请，要求“名下无房”。但“无房”的认定只看不动产登记，不看实际居住。有人把房子卖了，户口挂在朋友家，照样申请。审核人员不是不知道，但系统只认登记信息，人工复核又没权限查银行流水。这不是懒政，是制度设计时没想过有人会这么干。

钻漏洞的人未必是坏人。很多时候，他们只是比制度设计者更早地发现了逻辑上的不严谨。制度是静态的，人的行为是动态的。一个规则从起草到落地，中间要经过无数轮妥协和简化，简化掉的细节就是漏洞的温床。设计者想的是“大多数人会按常理出牌”，但总有人不按常理，也不违法。

堵漏洞的方式有两种：一种是打补丁，把规则写得更细，但细到极致就成了枷锁；另一种是改逻辑，让制度本身不依赖“人不会钻”这个假设。前者快，后者难。多数机构选前者，因为快。但补丁摞补丁，最后连设计者自己都说不清规则到底在防什么。这时候，新的漏洞又出现了。