基于漏洞管理推动网络军控实践的思考*

赵子鹏

（中国人民解放军国防大学，北京100091）

0 引 言

军备本身不是目的，它只是保卫国家安全的一种方法；同样地，军备控制是达成同一目标的另一种方法[1]。网络武器和网络攻击的出现，刺激产生了新的军备竞赛。长期以来，学者将网络武器与核武器进行类比，但在扩散性方面，网络武器展现出更严重的安全威胁[2]。目前，世界公认的拥核国家有9个。早在2013年，联合国裁军研究所的调查显示，已有47个国家组建了网络战部队，组建非军方网络安全机构的国家达到了67个。越来越多的国家卷入网络军备竞赛，导致网络武器泛滥。2021年3月，英国政府发布声明称，在面临“可能产生与生化物武器相当影响的新兴技术攻击”时，英国将保留使用核武器的权力。媒体援引英国政府内部人士说法，网络攻击属于可能触发英国核打击的“新兴技术”[3]。4月，伊朗纳坦兹地下核设施发生爆炸。据以色列媒体称，以色列摩萨德对伊朗纳坦兹核设施进行的网络攻击导致核设施断电。这标志着网络虚拟空间与现实空间的战争壁垒被彻底击穿，网络军控已迫在眉睫。

1 已有网络军控实践面临的挑战

网络空间战略稳定性至少包括危机稳定性和军备竞赛稳定性。其中，危机稳定性可通过限制可能被误解的网络行动、为对方了解自己的网络行动提供便利等建立信任措施予以实现。与之相比，军备竞赛稳定性能够从根本上削弱网络战风险，更能决定网络空间的长远稳定。国际网络军控始于20世纪90年代，最初称为“信息战军备控制”，俄罗斯是初期相关倡议的主要发起者。在2009年奥巴马就任美国总统之前，美对国际网络军控始终持消极态度，直接阻碍了其发展。在多边领域，美国于2009年10月首次做出决定不再反对联合国大会“探讨以可能方式强化全球层面信息安全”的决议。2010年7月，美、俄、中等15个国家的网络安全专家与外交官员，向联合国秘书长递交一系列建议，呼吁各国展开更有效合作，就“制定信息与通信技术应用准则、国家在武装冲突中使用信息与通信技术的影响及其应对措施”等进行探讨。这些建议虽无强制约束力，却是世界主要国家首次就网络冲突问题达成共识，具有明显的标志性意义[4]。国际网络军控被提上议事日程已有10余年时间，受到重视的程度不断提升。但是，网络空间有诸多与传统领域截然不同的新特点，直接阻碍了针对网络武器的国际军控进程，导致至今尚未达成任何重要条约。其面临的挑战主要包括以下几个方面。

1.1 网络攻击模糊的破坏能力削弱军控共识

20世纪40年代核武器在日本广岛和长崎的使用，已经向世界展示了核武器的破坏力。核武器的先进性以及毁灭性，促使各国共同制定规则和约束战争行为。但是在网络安全领域，网络武器的杀伤力有些模糊不定。部分学者认为，网络武器具备堪比核武器的破坏潜力，但这种毁灭性的打击还没出现，普遍的网络军控共识也就难以形成。同时，网络军控的基本概念界定不清。为监管武器发展与使用，国际网络军控必须明确什么是网络武器、什么样的网络攻击属于战争行为，但相关概念的界定存在诸多争议。更为危险的是，部分国家相信，可以使用网络武器产生局部化、暂时性、可逆转而且有限的破坏效应，并借此实现网络空间的军事优势地位，导致的结果就是网络攻击的泛在化。

1.2 网络武器研发及使用主体超越国家范畴

核武器的原料稀缺度和工艺复杂度，保障了限制核武器扩散的实效。但在网络空间，网络攻防技术研发已经高度产业化，武器化的网络工具正以惊人的速度扩散。火眼公司2020年4月发布漏洞管理报告，总结了过去7年全球零日漏洞的利用情况，指出零日漏洞的使用正在变得越来越商品化，大量国家支持的行为体从私营公司购买零日漏洞，开展攻击活动，预测未来此类活动数量还会持续增加。网络空间行为主体多元，行动目的多样，很难确定一国政府在其中的角色，对于源自该国的网络攻击难以判定是有意为之、刻意默许还是监察不力，也就无法基于传统军控条约对其追责。此外，网络设备军民共用特点突出，军队往往与民间混用网络没施、通信节点和软硬件，界定国家发动的网络军事行动尤其困难。从近年看，地缘冲突出现时，网络攻击数量同步抬升已成必然规律。其中，固然有冲突国家将现实矛盾延伸到网络空间的原因，但是大量民众、网络犯罪组织乃至网络恐怖势力在国家网络冲突掩护下的趁乱入局也不容忽视。多样化的行为主体，带来不可控的网络攻击泛滥及网络武器扩散，能够将局部的地缘冲突迅速扩大为全球范围的网络安全威胁。

1.3 网络军控缺少供监督核查的具体标的

军备控制要行之有效，除形成条约外，还要保证其可核查性。《核不扩散条约》《化学武器公约》《生物武器公约》对大规模杀伤性武器及其原料的存在进行了一些严格的限制。纵观传统的军备控制条约，其规范的对象都是看得见摸得着的武器，确保能够通过核查实现监督程序。但在网络空间，网络武器是能够轻易存贮、复制、删除的代码，其研发、使用、扩散极为隐秘，几乎没有国家对其网络武器信息进行主动披露。如果针对网络武器设计军控规则，军控的核查监督将面临巨大障碍。即使是在网络武器已被使用的情况下，虽然网络溯源技术层出不穷，但由于各类反制技术频繁出现，攻击源头、攻击动因和攻击路径仍难以查明。目前在网络入侵中广泛使用的僵尸网络，不仅可以隐匿黑客的电脑IP地址，而且可以将该地址映射到其他电脑上，实施核查监督将面临重重障碍。

2 基于漏洞管理的网络军控条件趋于成熟

2010年曝光的“震网”病毒，具有不同于普通黑客攻击、针对工业基础设施的物理破坏能力，其能力生成的关键在于对多个零日漏洞的综合运用。长期以来，个别国家借网络侦察名义对其网络攻击行为进行辩护，虽然网络侦察与网络攻击不易区分，但两者工作原理都高度依赖对系统漏洞的挖掘和利用。相较于隐秘的网络武器，漏洞是更加公开的存在，却是打造高破坏性网络武器的关键。因此，漏洞管理或将孕育网络军控的雏形。

2.1 各国公认漏洞管理是网络安全的关键

军控协议的达成需要基于广泛的国家共识。目前，各国已普遍认识到漏洞武器化正对国家安全、经济发展和隐私保护带来严峻挑战。即使是长期对全球网络军控持消极态度的美国，也一直将漏洞管理作为网络安全战略的重要内容，持续投入力量建立开放灵活的漏洞收集、发布等机制。特朗普当选后，美国政府更是将漏洞管理作为网络安全政策的优先项。2018年11月，美国白宫网站发布报告《美国联邦政府漏洞公平裁决政策和程序》，将“漏洞公平裁决程序”由“秘密”转为“公开”，主要规制对象是“新发现且未公开”的漏洞，以平衡“情报收集”“调查事项”和“信息安全保障”三方面的影响[5]。

2.2 全球及国家层面漏洞披露平台日益成熟

必要的信息获取是军控措施可持续的基础。目前，漏洞披露已经具备成熟的国际化平台，如面向全球黑客的CVE、ExploitDB等漏洞披露平台。此外，中、美、俄、英多国都建立了国家级的漏洞披露平台。以中国国家信息安全漏洞共享平台为例，通过集合国家政府部门、重要信息系统用户、运营商、主要安全厂商、软件厂商、科研机构、公共互联网用户等多类型力量，共同建立了软件安全漏洞统一收集验证、预警发布及应急处理体系。虽然各类平台的信息时效及透明度参差不齐，但仍提供了漏洞信息共享共用的必要支撑，未来可基于此拓展形成必要的网络军控信息平台。而且，从漏洞管理的政策和实践看，各主要国家在漏洞发现、报送、评估等程序上基本具有一致性。

2.3 漏洞的自杀伤效应初步显现

军备与安全的作用并不总是正单调关系[6]。研究、储存、部署或者使用过多的火力强大的武器会出现自杀伤效应，这种武器作用的逆序是促使多数国家停止扩大军备、转而实施军控的内在动因。在互联网时代，漏洞被视为国家级战略资源，一个国家对漏洞的储量甚至被视为网络空间战力的重要标准。长期以来，国家行为体具有隐藏新发现漏洞的倾向，导致漏洞的披露和修补被延迟，为网络犯罪或网络恐怖活动发现并利用这些漏洞提供了更长的时间窗口，从而触发漏洞的自杀伤效应。目前，美国在漏洞领域占据领先地位，2013年斯诺登事件揭露美国政府利用其掌握的漏洞资源在全球网络空间从事情报搜集。2014年爆发“心脏滴血”漏洞攻击，媒体报道美国国家安全局两年前已知晓该漏洞，并且定期利用该漏洞获取重要情报[7]。2016年，美国国家安全局“永恒之蓝”等网络工具被窃取，随后全球爆发基于该工具的网络勒索病毒，美国亦未能幸免，导致美国囤积漏洞的行为备受质疑。由此可见，虽然漏洞自杀伤效应的全面显现仍需较长时间，但其影响已初步显现。

3 构建基于漏洞管理的网络军控理论框架

由于网络空间的特殊属性，其军备竞赛较为隐秘，传统的军控理论及实践难以直接应用到网络空间。构建基于漏洞的网络军控体系，需要大量的理论创新和实践探索。作为这一理论框架的基础，需要对三个基本问题进行澄清。

3.1 确定监督核查的具体标的

漏洞管理涉及国家政府部门、重要信息系统用户、运营商、主要安全厂商等多类主体。因此，基于漏洞的网络军控，不能涵盖各类漏洞，由此导致国家行为与非国家行为、军事行为与商业行为、重大安全行为与普通安全行为混淆。网络军控应针对可能导致关键基础设施受损等重大网络安全威胁的漏洞，如通用漏洞评分系统判定的分值高于7的漏洞。2021年初披露的Treck公司软件存在的漏洞CVE-2020-25066、CVE-2020-27337，远程攻击者可利用这些漏洞实施DoS攻击，对数百万物联网设备造成影响。这类漏洞对于网络武器的价值，类似核生化原料对核武器、生化武器的价值，必须成为未来网络军控的重点。在2015年《瓦森纳协定》的新出口限制禁令中，美国将软件漏洞视为潜在的武器进行限制和监管，规定在未经特别许可的情况下，禁止在美国、英国、加拿大、澳大利亚和新西兰等国之外销售零日漏洞技术及相关产品[8]。由于新出口限制禁令的目的是保持对漏洞的垄断和利用优势，因此该禁令并没有推动全球范围的网络军控，但是其将软件漏洞视为军控标的做法具有开创性。

3.2 界定战争企图的漏洞行为

对战争企图的预判是触发军控行为的重要依据。军控行为大体包括两种途径：一是对军备的量进行控制，包括数量和质量的控制；二是对军备的使用进行控制。即使是对同一军控领域，不同国家的侧重点也常常存在差异。如在核军控方面，部分国家强调不使用核武器，其他国家则通过研发战术核武器方式降低使用门槛，同时强调核武器不扩散。无论其侧重点如何，究其本质始终是对战争应对的“端口前置”，对蕴含战争企图的征兆性行为进行扼阻。网络空间是基于“比特流”的数字化空间，网络空间战场无声无息、没有硝烟，数据以接近“光速”流动，战场形势瞬息万变，侦攻行动转换迅速，网络空间作战是以接近“光速”进行的“秒杀”作战。因此，网络空间的战争意图判定，必须充分“前移”，定位在网络武器的研发阶段，即漏洞的武器化阶段。任何试图对漏洞进行武器化的行为，无论其行为主体，无论其是否针对具体目标，都应视为网络战争企图。这是触发网络军控的最低标准，也是防范网络战争的最高准则。

3.3 制定网络军控的发展路线

对军备的量进行控制包括透明、不扩散、限制、冻结、裁减、禁止，其控制强度逐步增强。对军备使用的控制措施包括不使用、负面安全保证、限制使用、限制部署、降低戒备、建立信任措施等，其控制强度逐步减弱。历史上，化学裁军的线路是分两步，先对化学武器的使用进行控制，再对化学武器的量进行控制。美、苏（俄罗斯）之间核裁军的线路则是兼顾对核武器的使用和数量进行限制。考虑到网络武器的特殊性，必须采取与化学武器、核武器不同的军控路线。当前，国家及非国家行为体对网络武器的使用已经趋于常态，短时间内难以遏制，而漏洞的武器化正是引发并维持这一现状的重要驱动。因此，网络军控应首先从控制数量开始，通过限制网络武器的产生及扩散，对网络武器滥用这一势头釜底抽薪，进而逐步实现对网络武器使用的限制。生化、核、网络领域的军控路线对比如图1所示。

图1 生化、核、网络领域的军控路线对比

4 结 语

有学者认为，网络安全议题方面的挑战，可以说是大于核方面的[9]。网络军控的体系建立，将比核军控面临更多挑战，构建网络军控特色理论、突破当前网络军控困境只是迈出第一步。未来，必须用好传统军控公约、组织架构等现有存量，同时立足网络空间的特点和规律，积极拓展网络军控增量。经过多年实践，联合国已建立完整的军控审议、谈判与监督机制，应继续推动联合国主导、各国平等参与的网络军控规则制定，推动国际网络军控加速迈入正轨。鉴于网络空间行为主体多元，应将非政府组织、行业代表性机构等纳入，打造多层次的网络安全与军备控制力量结构。此外，各国应更加理性看待网络军备扩张的逆序。由于网络空间的无国界，网络战无论由谁挑起，最终都没有胜利者。在网络空间国际立法严重滞后的现状下，为避免网络空间陷入“一切人反对一切人”的霍布斯式战争状态[10]，即使当前没有条件立刻实现多边条约式的网络军控，也应考虑以更加主动公开的姿态加强严重漏洞的预警性信息发布，克制将漏洞武器化的倾向，治理国内滥用漏洞的网络黑产，实行自我克制式的单边网络军控。