ChinaTalk 分析为何网络末日可能对中国冲击更大

ChinaTalk· Chang Che·2026-11-08 19:03· 1 小时前

网络末日中的中国

AI 导读

加州安全公司用 OpenAI 模型发现 PHP 漏洞，该语言支撑约七成网站，公开披露一周后美国修补了 1400 万个暴露服务中的逾四分之一，中国仅修补 4%。文章认为 AI 正把零日漏洞从稀缺推向泛滥，网络安全须转向以最快速度修补漏洞，而这一转变考验社会自下而上的激励与协同能力。

正文 · 原文

Chang Che 是《纽约客》的撰稿人。

今年八月，加州一家安全公司的研究人员使用 OpenAI 模型发现了 PHP 中的一个软件漏洞。PHP 是一种编程语言，支撑着全球约七成的网站，包括 Wikipedia 和 WordPress。他们通知了 PHP 的开发者，后者随即悄然着手修复。到十月下旬，修复程序已准备就绪，但还没等他们向外界发出警告，入侵尝试就已经开始了。几天前，亚马逊检测到有人试图入侵其服务器；攻击代码开始在网上流传。一些政府和公司开始将网站下线，以免冒安全泄露的风险。一家安全公司称这些缺陷是 PHP 有史以来发现的最严重漏洞之一，“也可以说是软件史上最严重的漏洞之一”。

在 AI 出现之前，对黑客而言，互联网或许就像一块破旧的纱窗。眼力敏锐的人能看出一些孔洞，而这种知识可靠地保持着不对称——别人很可能不知道你发现的孔洞。此外，要悄无声息地钻过这些孔洞，需要耗费数月或数年的人力、才华和金钱。如今，有了 AI，互联网更像是一整块瑞士奶酪：孔洞显而易见，任何人都能看到，或者终将看到，而利用这些软件漏洞所需的时间和成本已以惊人的速度骤降。根据谷歌事件响应团队的数据，网络犯罪分子利用一个新漏洞的平均时间为-7天，这意味着黑客攻击“常常在补丁发布之前就已发生”。

共同关注]一问到底：PHP漏洞危机进入第二天如何牵动全球互联网？ — 中国中央电视台（CCTV）关于网络安全公司 Calif 借助 OpenAI 模型发现 PHP 漏洞的专题报道。来源。

黑客将像 PHP 这样不为人知的软件漏洞称为“零日”，因为防御者在漏洞被发现时，可用于保护自己的时间只有零天。一旦黑客在比如 iOS 软件中发现一个零日漏洞，在苹果发现它、修复它、发布新补丁，并且关键的是让用户安装软件更新之前，每个 iPhone 用户都可能面临被攻击的风险。除了加密钱包可能失窃之外，还有一个问题：从战略角度看，网络末日对美国和中国意味着什么。根据数据追踪网站 Censys 的数据，两国对 PHP 零日漏洞的反应速度截然不同。在漏洞公开披露一周后，美国已成功修补了 1400 万个受该漏洞影响的服务中的逾四分之一。（日本的修补比例大致相同。）相比之下，中国仅修补了其潜在易受攻击服务中惨淡的 4%。

ChinaTalk 是一家由读者支持的出版物。要接收新文章并支持我们的工作，请考虑成为免费或付费订阅者。

为什么中国花了十年时间建立起一套强大的网络安全治理体系，却在修补史上最大的软件漏洞之一时如此迟缓？迄今为止，网络安全行业在很大程度上是围绕发现漏洞建立起来的。公司从黑客手中购买漏洞，政府则囤积漏洞以监视敌人。一个围绕漏洞发现建立的行业，似乎类似于AI竞赛或曼哈顿计划：问题在于一个国家如何调动一小群精英去实现某个特定目标。中国非常擅长前者——它在AI、半导体、电池、机器人等领域已反复证明这一点。

我们现在正从零日漏洞稀缺的时代迈向零日漏洞充裕的时代。华盛顿、莫斯科和北京过去像囤积核裂变材料一样囤积的漏洞，如今正变得能为受过训练的AI用户所用。零日漏洞充裕的时代将迫使网络安全转向一个围绕修复漏洞建立的行业，以人类所能、甚至超人类所能的最快速度修复。这是对多数人而非少数人的挑战——它要求学校的普通IT人员、运营当地水厂的承包商、科技公司中警告可能曾被忽视的安全团队都付出努力。这几乎是对一个社会新陈代谢的考验：自下而上的激励机制运转得如何。中国以其列宁主义治理体系，在一个要求如此不协调却又集体行动的时代，可能会遇到困难。

哈耶克与披露规范的诞生

与概念验证不同，“零日漏洞”可以被武器化，而在20世纪90年代，对于潜在网络核弹的原料该如何处理，几乎没有任何规则。向公司告知其漏洞的“白帽”黑客——即通过黑客手段帮助加固防御的人——往往被忽视、欺凌或威胁起诉。于是黑客开始公开公布漏洞。这迫使公司修复漏洞，但也等于把银行蓝图的网络版交给了“黑帽”黑客，因此必须达成某种交易。关于黑客社区与科技公司之间斗争的书籍已有很多，但结果是到2010年代，一种平衡得以稳固。在“协调漏洞披露”规则下，研究人员先通知受影响的公司，给他们时间修复，然后再告知全世界。

如今，一个以美国为锚点的机构和标准网络支撑着这些规范。谷歌的Project Zero是一支精英漏洞搜寻团队，它给软件制造商90天时间在漏洞公开前修复。1995年由网景开创的“漏洞赏金”计划，从一项古怪的实验变成了行业标准，单个漏洞可向黑客支付六位数报酬。严重漏洞会从CVE——一个由美国政府运营的目录——获得编号。引人注目的是，这个系统并非自上而下设计。它更接近弗里德里希·哈耶克的“自发秩序”理论：自由、受商业动机驱动的群体——黑客和公司——相互调整适应，规则和制度由此涌现。黑客想要荣誉和奖励；公司需要时间。金钱为漏洞修补生态提供了激励，从而造就了一个更安全的网络。

衡量这一代谢过程有多“美国”的一个方法是，比较其他国家漏洞赏金计划的成熟度。根据2026年的一项研究，美国十大科技公司中有九家设有漏洞赏金计划；在中国，十家中有六家。（设有该计划的公司，如阿里巴巴，面向国际；而没有的则是像中国移动这样的国有企业。）薪酬水平无法相提并论。苹果和谷歌可以为关键的零日漏洞支付数百万美元，而腾讯等中国顶级计划最高只有1.5万美元。西方为修补互联网的生态系统提供资金支持。

斯诺登之后

当然，这种状况并未持续。在漏洞披露规范逐渐成形的同时，还并行着一场秘密的网络军火交易。在2021年出版的《这就是他们告诉我世界末日的方式》一书中，前纽约时报网络安全记者妮可·珀尔罗斯揭示了NSA如何秘密从黑客手中购买零日漏洞，用以监视美国公民和全世界。黑客们获得改变人生的巨款，以对其漏洞保密，而斯诺登泄密事件曝光了这种囤积行为，帮助终结了中国黑客与西方漏洞赏金计划之间的恋情。

File:Edward Snowden-2.jpg - Wikimedia Commons — 爱德华·斯诺登。来源：维基共享资源

2013年斯诺登的揭露催化了中国的网络安全军备竞赛。2014年，习近平掌管了一个新获授权的网络安全部门。北京开始通过法律，推动中国技术栈的去美国化，而国家对美国发起的网络攻击激增。中国实施的最大变化之一，是将零日漏洞视为国家安全资产。2018年，中国黑客突然消失于他们曾主导的国际黑客竞赛中。2020年，中国研究人员对微软漏洞赏金计划的贡献骤降。一年后，即2021年，北京通过法律，禁止中国安全研究人员公开零日漏洞或将其传递给外国漏洞经纪人。他们可以将漏洞报告给运行该软件的公司，或报告给中国工业和信息化部（MIIT）。中国任何获悉漏洞的公司必须在48小时内告知该部。

几十年来，西方科技公司和白帽黑客创建了一个重视开放和防御的漏洞修复生态系统。中国黑客参与其中，不仅是为了金钱和名声，还因为当中国办公室运行Windows、中国手机运行Android时，修复这些漏洞几乎不让人觉得“西方”。但可以理解，鉴于NSA决心将美国科技公司招为“后门”，中国对看着本国黑客修补微软的漏洞感到不安。

美国国家安全局的安全理念有一个名字：“只有我们”，即 NOBUS。在这种观点看来，只要没有其他国家知道这些漏洞并加以利用，故意让互联网保持脆弱是可以接受的。在获取并保密零日漏洞以用于网络攻击能力的过程中，美国政府破坏了其自身社会所孕育的全球披露体系。中国的网络安全法正是对 NOBUS 的回应。其传达的信息是：“如果你们要囤积零日漏洞来监视我们，我们也会这么做。”多位专家向我描述，2021 年的那部法律是一个“真空吸尘器”，把零日漏洞吸向大西洋理事会的研究人员所发现的、中国间谍机构可见的国家数据库。不到三个月后，这些规则就在 2021 年受到了检验：一名阿里巴巴研究员在美国非营利组织 Apache 软件基金会维护的一个免费代码库中，发现了十年来最严重的软件漏洞之一。他按照全球规范向 Apache 报告了该漏洞，而工信部则暂停了与阿里巴巴的合作关系作为惩罚。

中国动用法律力量迫使其黑客复制美国国家安全局的零日漏洞武器库，而且似乎奏效了。珀尔罗斯告诉我，在零日漏洞真空法出台后，与中国有关联的黑客所利用的零日漏洞数量激增。“中国利用其威权体制和这些新法律为自己谋利，”她告诉我。“这是一次惊人的升级。”但它无法很好复制的是西方的漏洞披露生态系统——一个自下而上的过程，动员黑客社区和科技公司合作，以相对透明的方式修补漏洞。问题在于激励机制。没有任何一部网络安全法律鼓励中国研究人员去发现漏洞。事实上，2021 年的法律阻断了支付高额报酬的外国漏洞经纪人，并禁止能赋予研究人员江湖地位的公开披露。2024 年一份关于中国网络生态系统的报告得出结论：“中国的漏洞赏金平台对黑客的激励有限，奖励往往不明确或相对较低。”中国在试图用网络武器武装自己的同时，却破坏了自己的网络免疫系统。

中国的 AI 实验室和科技巨头被困在 2000 年代初硅谷“快速行动、打破常规”的思维模式中。竞争过于激烈，利润率薄如刀片，而且法律已经过于繁琐，无法投资于漏洞基础设施以及相关的 AI 安全这类奢侈品。私营部门对国家指令非常顺从，这带来了一个意想不到的后果：未能激励企业去做超出要求范围的任何事情。我认为，对于修补源源不断的零日漏洞发现所需的代谢能力而言，严打是一种过于生硬的武器。

现在让我们回到网络末日。

国家网络安全宣传周丨中国移动网信安全亮点纷呈_中国移动通信 — 一个中国移动的展台，标语是：“网络安全为人民；网络安全靠人民。”来源。

NOBUS 之死

Perlroth 的书止于 2021 年，彼时美国的对手——俄罗斯、伊朗、中国、朝鲜——已经学会像 NSA 一样收集并将“零日漏洞”武器化。甚至在 ChatGPT 问世之前，一场网络武器军备竞赛就已全面展开，而中国在将软件漏洞安全化方面堪称成功典范。我最近与 Perlroth 交谈，问她如何看待 Mythos 之后的局面。其一，所有人都想知道她的续作何时问世，但 Perlroth 并不情愿：她说，形势变化太快，她写下的任何东西都会过时。其二，她所报道的零日漏洞灰色市场——承包商从黑客手中购买软件漏洞再卖给政府——很可能“正在被摧毁”。“政府为什么要花数百万美元去买一样花 450 美元用模型就能找到的东西？”Perlroth 对我说。

但我们谈话中最大的收获是，这个零日漏洞充裕的新时代将推动整个行业尽快修复缺陷。在零日漏洞稀缺的世界里，将某些软件漏洞保密以保留一些网络攻击选项或许还说得通。而如今，一个国家若以为自己能垄断某个 AI 尚未发现的软件漏洞，就越来越愚蠢了。因此，所有的漏洞都需要被堵上。“这是 NOBUS 的死亡，”Perlroth 对我说。“所有的激励都指向：如果你发现了什么，最好尽快把它修好，因为模型也会发现它。”

自 2014 年以来，中国围绕类似 NOBUS 的规则建立了一个有竞争力的网络攻击生态系统。但如今有了 AI，国安部面临“不用就作废”的处境，他们现有的零日漏洞很快就会被发现并修补。与此同时，中国日益去美国化的技术栈看起来越来越像瑞士奶酪。

我认为，拥有公民社会和自我纠错机制的美国，能比中国更好地解决他们的瑞士奶酪问题。未能保护客户的美国科技公司会面临代价高昂的集体诉讼和《纽约时报》上令人难堪的头条新闻。像微软这样的公司在美国也足够强大，能够将自己的利益置于 NSA 之上。相比之下，在中国，安全优先于一切。

在我最近发表于《纽约客》的文章中，我报道了政治学家 Jeff Ding 的研究，他认为共产主义体制往往擅长在技术上做到“第一”，比如人造卫星，却不擅长将其扩散到全社会。多年来，西方因担忧自身衰落，一直试图比中国更中国，鼓吹用威权手段解决自身问题。但在网络安全领域，正是一群特立独行的黑客和企业巨头自下而上的辩论，催生了抵御网络威胁的免疫系统。我认为美国人需要重新发现是什么让他们的社会如此具有适应性。这或许才是安然度过网络末日的关键。

ChinaTalk 是由读者支持的出版物。要接收新文章并支持我们的工作，请考虑成为免费或付费订阅者。

来源：ChinaTalk · chinatalk.media

事件后续 · 7

查看事件全部