全球科技巨头微软公司与网络安全圈之间爆发了一场激烈的口水战。这场冲突不仅让大批网络安全专家感到心寒也揭示了一个关乎每个人切身利益的危机如果发现软件漏洞的人不敢上报了我们的电脑、手机和网络还会安全吗一、 导火索一次“搞砸”了的漏洞上报今年5月一位在网络上化名为“Nightmare Eclipse”的独立安全研究员突然在网上公开了一系列微软 Windows 系统的“未修复漏洞”甚至直接贴出了可以用来发起攻击的示例代码概念验证。这在科技圈无异于“不讲武德”。但这位研究员感到非常委屈他解释说“我之前早就按规矩把漏洞报告给微软了。但不知为什么微软的系统竟然把我的报告账户给删了我的沟通渠道彻底断了为了逼他们重视并修复我才不得不选择公开。”而微软的反应极其强硬。他们不仅没有安抚反而公开指责该研究员在“助长犯罪活动”启动了旗下的数字犯罪部门甚至暗示可能会采取法律手段、动用执法力量去抓他。虽然微软后来赶紧出来打圆场澄清说“无意对善意的技术研究人员采取法律行动”但伤害已经造成。整个安全社区群情激愤许多专家纷纷公开吐槽自己在和微软合作时遇到的各种傲慢与挫折。二、 什么是“协调漏洞披露”为什么它像拆弹配合要理解这次冲突为什么严重我们需要了解网络安全界的一个黄金法则——协调漏洞披露CVD。这就像“平民发现炸弹”与“警方拆弹”的默契配合1. 发现缺陷一个正义的程序员俗称“白帽黑客”在代码里发现了漏洞炸弹。2. 私下上报他没有把漏洞卖给坏人也没有在街上大喊而是私下联系微软等大公司“喂我发现你们系统有个后门快去补上。”3. 闭门修补软件公司抓紧时间秘密制作补丁。4. 共同发布补丁做好了公司和研究员一起公开这件事。既提醒用户升级也给研究员应有的技术荣誉或奖金。这个过程能够运转核心全靠两个字信任。研究员信任公司不会赖账或起诉他公司信任研究员不会提前泄密。三、 历史的教训保护“吹哨人”是古老的智慧这种保护“挺身而出者”的制度设计其实有着非常悠久的历史渊源。早在1778年美国大陆会议时期建国初期几名水手和海军陆战队员举报了大陆海军指挥官的不当行为随后便遭到了刑事诽谤诉讼。当时的大陆会议立即出台了法律去保护这些“吹哨人”。这个200多年前的教训至今适用一个依赖内部发现、主动报告来防范风险的系统如果不能保护好那些愿意挺身而出的人系统就会彻底瘫痪。根据美国国家电信和信息管理局NTIA的一项权威调查显示60% 的安全研究人员表示如果一家公司动不动就威胁要起诉他们他们以后就会拒绝向这家公司报告漏洞。绝大多数92%的研究人员其实非常愿意配合走正规渠道。他们中 70% 的人要的根本不是巨额奖金他们要的只是定期的沟通、及时的反馈以及不被当成罪犯对待的“法律安全感”。四、 反面典型与正面教材在对待安全研究员的态度上行业内有着截然不同的企业形象反面典型Voatz 投票软件2020年一款在美国大选中使用的移动投票软件被麻省理工学院MIT的研究人员找出了漏洞。该公司不仅全盘否认取消了对独立研究人员的法律保护甚至据传还向联邦调查局FBI举报了其中一名研究人员。结果引发了安全圈的强烈抵制合作平台最终直接将其踢出了服务名单。正面教材苹果公司 Apple与微软和 Voatz 形成鲜明对比的是苹果公司近期扩大了其“安全赏金计划”不仅将金钱奖励提到了行业最高水平之一还极大地优化了沟通流程。苹果选择将外部研究员视为“安全的贡献者”而不是“找麻烦的刺头”。五、 AI 时代我们输不起时间作者在文章最后发出了严厉的警告在人工智能AI飞速发展的今天这场信任危机可能会带来灾难性的后果。现在AI 正在重塑网络攻防的生态。黑客和研究人员都在使用 AI 来自动寻找漏洞。这意味着新漏洞被发现的速度会呈指数级增长黑客把漏洞变成武器的时间被大大缩短了。在这种高强度的对抗下“时间”就是一切。如果一个正义的研究员发现漏洞后因为害怕被大公司报复需要花几天时间去咨询律师“我上报这个会不会坐牢”或者因为沟通不畅而犹豫不决那么在这耽误的几个小时、几天里真正的坏人和恶意的 AI 可能就已经攻破了防线。六、 指控是一种巨大的权力必须克制美国历史上著名的纽伦堡审判首席检察官、最高法院大法官罗伯特·杰克逊曾在一场著名的演讲中警告过“指控本身就会造成巨大的伤害。它是一种巨大的权力来源必须极度克制、极度严谨地使用。”对于微软这样一家掌握着全球数字世界命脉、甚至能影响国家网络安全的巨头来说更应该明白自己的社会责任。当大公司动辄使用“数字犯罪”、“移交执法部门”这样的刑法语言去威胁一个技术人员时它是在建立一种极坏的行业示范。刑法的特殊威力和剥夺自由的权力应当且只应当留给那些真正具有恶意、试图造成实质伤害和非法窃取利益的真罪犯。面对AI时代的挑战大公司需要的是更通畅的报告渠道、更友善的沟通和更严格的分类而不是用恐吓让帮我们“拆弹”的白帽黑客们保持沉默。