“想哭”之后，中美网络安全合作如何继续？

5月12日，“想哭”勒索攻击（WannaCry ransomware attack）在全球互联网上迅速蔓延，先后袭击了全球超过150个国家的近30万台电脑设备。在英国，此次攻击破坏了多个医院的网络系统，导致一些手术被迫中断；在中国，大学院校所使用的校园网受害最为严重，不少毕业生的毕业论文因此被破坏。此次攻击持续3天后才逐步消退，但造成的很多损失已经难以修复。

此次攻击本来有可能造成更大的损失。攻击利用了视窗操作系统中名为“永恒之蓝”（EternalBlue）的漏洞，结合了多种先进的木马和后门工具，这些工具部分来源于美国国家安全局的网络武器库，这种军事化的攻击手段本来是用来瘫痪一个国家的网络设备的。

幸运的是，国际社会对此次攻击的反应异常迅速。包括360、腾讯、百度在内的多家中国互联网公司第一时间发送了针对“想哭”勒索软件的补丁，中国和美国互联网应急中心立刻发布了关于该攻击的警示，微软公司为已经停止更新的视窗XP系统提供了升级服务。在各国政府和企业的共同努力下，这次攻击的传播被迅速制止，没有造成第二波破坏。

“想哭”事件后，类似的攻击方式仍然在继续，黑客正在发展更为先进的攻击手段，下一次类似甚至更为严重的网络灾难随时可能发生。然而，此次事件也给国际社会带来了一些宝贵的启示，澄清了一些国际互联网合作的迷思。这些启示也能给中美网络安全合作带来帮助。

其一，在全球性的互联网灾难来临面前，没有一个国家能够成为幸存者。“想哭”攻击是近年来罕见的攻击形式，攻击者并没有确定明确的攻击目标，而是试图尽可能扩大勒索软件的传播范围，把互联网上的每个用户都当做目标。

此次攻击的扩散速度极为惊人，超过“爱虫病毒”和“熊猫烧香”等类似案例，表明黑客的网络攻击技术已出现了显著进步，能够大规模突破各国现有的网络安全体系并造成损害。

因此，网络空间不存在“零和博弈”和“绝对安全区”，各国仅仅增强本国网络安全能力不足以应对此类挑战，通过更为广泛的国际合作才是减缓此类威胁的可行出路。

其二，网络军事化加剧了全球网络空间的不确定性和不安全感。近年来，以美国为首的西方大国积极增强网络军事能力，组建网络部队，研制网络武器。

此次攻击的技术手段即源于美国研发的网络武器。美国认为，网络武器是美军事实力的重要组成部分，能够用于反恐、非传统战争等领域，并且对美国的潜在敌手构成威慑。然而，美国并没有考虑到，网络武器与其说像航母、飞机、大炮等传统武器，其实更像简易枪支或爆炸品，很容易丢失或扩散，犯罪分子还可以根据需要将其改装甚至创新。

因此，网络军事化带来的风险被显著低估，其他国家的网络武器也同样可能被黑客或恐怖分子获取。

其三，网络威胁情报共享是减少网络安全威胁最有效、最直接的手段。“想哭”攻击发生后，各国政府、企业快速提供针对系统漏洞的补丁程序是中止此次攻击快速传播的主要原因。

从技术角度来说，程序开发者无法避免系统或软件存在漏洞，一些漏洞可能在若干年后才被发现并且被黑客利用。在这种情况下，各国政府和企业有责任分享所知的网络系统漏洞，而不是利用这种漏洞谋利或研制网络武器。6月1日中国通过的《网络安全法》包含大量关于系统漏洞的规定，要求企业及时告知和弥补已发现的系统漏洞，严厉打击滥用系统漏洞的网络犯罪行为。美国政府和企业应理解中方这一立法的初衷和目的。

在日益严峻的网络安全形势下，中国需要依靠一套系统、全面的法律制度来遏制国内的网络犯罪和不当行为，促使企业提升网络安全意识，提升全社会的网络安全防护能力。中美在这一点上的立场是一致的，正如同“想哭”攻击后中美企业同时采取的应对行动。

上述三点启示为下阶段中美网络安全合作提供了一些可行的路径。例如，中美应进一步加强对跨国黑客组织的信息交换和联合执法活动，消除此类威胁源头。此外，中美还应实施网络领域军备控制，就防范网络武器扩散开展早期合作，防止网络武器被黑客组织获得，限制网络武器对民用设施的破坏能力。最后，中美应进一步加强网络威胁情报共享领域的合作，尤其是促使中美两国企业在这一领域充分发挥各自的技术优势，达成有成效的合作成果，从而降低两国政府对对方国企业的猜疑和误解。

---

本文原题“‘想哭’勒索攻击对中美网络安全合作的启示”，首发于“中美聚焦”网。“澎湃”经授权转载。