如何看待2015年7月31日《紐約時報》和《華爾街日報》上David Sanger關于網絡戰的文章，尤其是其中關于美國“報復”中國選項的內容？Brandon Valeriano（英國格拉斯大學政治和國際安全高級講師）和Ryan C. Maness（美國東北大學政治系訪問學者）給出了基于“應然”的分析結論：有了網絡規范和戰略克制的結合，哪怕是曾經非常出格的網絡攻擊者都可能展現出和平的網絡使用者形象，即便是遭到攻擊之時。這個結論比較近似的通俗表達，就是大國網絡戰是“杞人憂天”。（編注：原文請見“繼續閱讀”《中美網絡戰即將開打？或杞人憂天了》）

這種觀點展現出了篤信國際規范約束作用以及人性本善假設的自由主義者對全球空間網絡安全前景的美好假定。如果能夠成為現實，對全人類來說，無疑是非常美好的。但可惜的是，自威爾遜總統沒能讓美國加入國聯之后，美國的外交與安全戰略更多表現為理想主義包裹下的現實主義，網絡安全與網絡戰領域，也不例外。

整體來說，這兩位學者認為大國網絡戰有些杞人憂天的論述有待商榷，理由如下：

首先，兩位學者將David Sanger的文章等同于普通的網絡安全新聞報道，忽視了其作為戰略試探氣球的特性。

David Sanger文章出現本身，就是網絡戰的一種信號和實踐——威懾。如果美國政府真的如Brandon Valeriano和Ryan C. Maness那樣糾結，真的如他們所描述的那樣關注戰略克制，這篇文章就沒有必要出現，亦或者直接在文章里闡明，準備對攻擊者提起司法訴訟，也就足夠了。

但現在的文章里，用三種方式否定了這種可能：一是援引美國國會研究所（CRS）的報告稱“司法訴訟不適用于OPM攻擊案”，二是重新解釋了斯諾登案之后，美國認為常規情報搜集行動不適合司法起訴；三是強調司法起訴可能曝光美國在中國境內的情報行動。

從這點來說，得出美國有意保持戰略克制、并可能更偏好提起司法訴訟而非網絡反擊的結論，其主觀闡釋的意味更多，并沒有準確把握美國決策者的意圖。

其次，兩位學者對“不回應”的原因解釋過于一廂情愿。

Brandon Valeriano和Ryan C. Maness文中提到“不回應是典型的回應方式，占壓倒性比例”，并將“不回應”的原因，解釋為“保持克制”。這個解釋是不完整的。

造成“不回應”的原因，可能是“保持克制”——即“知道誰是攻擊者，但仍然基于戰略克制的原因保持克制”；也可能是“無法回應”，這里可能包含兩種不同的場景：一種場景是“沒有能力找出誰是攻擊者，所以不知道應該向誰做出回應”；另一種場景是“知道誰是攻擊者，但是無法用升級的網絡攻擊做出回應”。

“回應”與技術能力相關，尤其是取證和溯源的能力。在取證和溯源能力不足之前，要做出回應是困難的。比如，美國國防部曾經決定要對源自中國的攻擊做出強烈回應，但還在糾結于如何回應的時候，持續取證和溯源發現中國只是攻擊者的跳板，真實攻擊來源于美國的加州，自然以升級的“網絡戰”進行回應就變成了一種不可能。此外，即使發現攻擊源頭位于中國，“網絡戰”回應還需要確定真實的攻擊者是中國政府，就目前的技術而言，仍然存在實現的難度。

就此而言，至少需要在論證“能力足夠的情況下仍然不回應”，“保持戰略克制”才能成為足夠有效的解釋因素。

第三，兩位學者沒有認識到身份建構對戰略意圖解讀的重要影響。

Brandon Valeriano和Ryan C. Maness文中提到“大國認可網絡規范”，指出“美國與其他國家力圖在網絡空間推行一套網絡規范。如同交通法規一樣，對事件運行以及限制在哪有基本認識造福所有人。”確實，規范非常重要，但這里的問題在于，挑戰規范的最主要來源首先在于美國，美國確實在推行一套網絡規范，但這套規范的核心是約束其他國家的行為自由，拓展美國及其盟友的行為自由。換言之，這是一套不對稱的規范，并且這種不對稱性公開體現在美國的戰略文件中。

比如，美國網軍司令部的官方網站上，就將美國網軍的展露目標界定為“獲取和保障美國及其盟友在網絡空間的行動自由，并壓縮美國競爭對手的這種自由”；比如，美國國務院網站上對網絡外交行動的認知，就包含了對互聯網的進攻性運用；比如，美國國防部1995年提出的互聯網戰略評估中，就包括了在網絡空間實施心理行動；比如，2015年美國國防部公布的網絡戰略文件中，明確指出了要將對其他國家關鍵基礎設施的攻擊作為一種實現危機管理的“選項”，謀求在沖突的各環節中保持塑造對美國有利的戰略環境。

當然，話說回來，如果中國和美國的戰略關系能夠比擬英國和美國關系的程度，中國也確實可以有充分理由相信美國推行的網絡空間行為規范，在此之前，恐怕中國還是要相當謹慎小心的。

美國自曝在中國境內節點植入后門

回到David Sanger報道本身來看，可以說他不僅是某種釋放信號的試探氣球，他還不經意間展示出美國正在著手準備的網絡戰的一角，在其文中提及：情報官員表示，任何法律行動（即提起法律訴訟）都會暴露美國在中國國內實施的情報行動(American intelligence operations inside China)，包括在中國計算機網絡內數千個節點，這些節點已經被美方植入軟件或硬件后門，并受其控制。這些節點主要用于在中方向美國發起攻擊時提供預警。

一個簡單的事實是，如果這段話真是情報官員的表述，而不是Sanger本人的想象，那么這些裝置是“在中國境內”且“植入中國計算機網絡內”。這意味著，這些東西不是裝置在抵近中國專屬經濟區的空中或者海面平臺上，也不是裝置在中國境內類似美國使、領館這些空間內，搜集在有線和無線信道中傳播時散溢出來的通訊信號并從中獲取情報；也不是放置在歸屬美國政府或者公司所有的計算機網絡內，讓后攔截借用或者租用這些網絡的中國用戶所傳遞的數據和信息；而是直接“植入”在中國的計算機網絡中。

完成這種“植入”，還放置了數千個之多，首先意味著美國情報機構至少成功的入侵了中國計算機網絡數千次；其次，這種入侵的主體，是美國情報機構，是美國政府，其行為是國家行為；第三，參照美國此前就中國對美國構成“黑客威脅”的類似標準，美國情報機構入侵中國計算機網絡并植入系統已經對中國國家安全構成威脅。

NSA對中國網絡空間滲透已到第2階段

至于這些被植入的軟件/硬件后門，一個可供參考的潛在選項，是斯諾登披露的50頁的ANT文檔，這些后門針對的對象可以是服務器，可以是特定品牌和型號的軟硬件防火墻，可以是處于物理隔離狀態的工作站，可以是計算機硬盤的主引導扇區，可以是某種USB插口或者是插座。

除去上述這些曝光了原文件的裝置，斯諾登還向德國《明鏡周刊》的記者展示了其他國家安全局的內部文件，看完這些文件的記者于2015年1月17日撰文，題為《數字軍備競賽：國安局助力美國為未來戰爭做好準備》，其中提及：

“監控”（Surveillance）只是第0階段（Phase 0），目的旨在獲取被監視系統的“脆弱性”；后繼階段則是“隱秘注入”（stealthy implants），以獲得“永久接入”（permanent accesses）；到了第3階段（Phase 3），記者轉述美方文件以“主宰”（Dominate），指“根據事先定位的接入（Phase 0中指出的接入），視需要控制/摧毀關鍵系統和網絡”（control/destroy critical systems & networks at will through pre-positioned accesses (laid in Phase 0)）。

這里的關鍵系統，國安局定義為對維持社會正常運轉至關重要的系統，包括能源、通訊和交通。這份文件描述國安局最終的目標，“實時控制的升級”（real time controlled escalation）。

將斯諾登披露的文件，和此次公開刊發的威脅對華實施報復的報道一起看，美國國家安全局對中國網絡空間的滲透，基本上已經超過了第0階段，正處于第2階段，距離最終的第3階段，已經不遠。這一狀況其實是比較嚴重的：

首先，美方間接證實了對中國境內計算機網絡的入侵。配合斯諾登文件披露的國家安全局各種ANT產品，就能發現美方公開提及“擊破防火墻”的底氣，來自于其注入中國網絡系統的各類軟硬件。而美方有足夠的自信，至少一部分這些被動過手腳的Juniper防火墻、思科防火墻等，被用于構建中國的“長城防火墻”。

其次，美方植入的軟硬件系統足以保障美對華實施網絡空間的先發制人，中國關鍵基礎設施的安全面臨巨大的戰略威脅。《紐約時報》公開披露的美國的植入主要用于搜集和感知可能對美國發起的攻擊，但斯諾登文件中披露的相關產品，以及國家安全局行動的戰略目標，遠非“靜靜地看著你”那么簡單，伴隨監控和注入要實現的終極目標，是“主宰”，是隨時毀你沒商量的“主宰”。

那么問題來了，中國怎么辦？

首先，中國要對此有清醒的認識，這不是美國媒體或者政府在“炒作”中國黑客威脅，而是中國國家網絡安全（尤其是中國關鍵基礎設施，比如股市、銀行、水電等系統）正面臨美國國家網絡攻擊的戰略威脅。

正如美國在《紐約時報》發文所指出的，來自中國境內網絡對美國的攻擊，目前實際達到的效果，是從美國竊取數據和信息；而美國所具備的能力，是借助已經布局在中國計算機網絡內的注入，毀傷中國的關鍵基礎設施。

前者如果真的存在，是美國前中情局局長海登認可的正常的國家情報行為；后者，則是真正的網絡空間的戰爭行為。相比整天宣示自己是“網絡攻擊受害者”的美國，中國必須清醒認識到我們才正處于網絡戰爭威脅的陰影下。盡速采取一切相關措施，走出這種陰影，是關鍵所在。

其次，中國要盡速實施關鍵基礎設施的排查檢測，找到美國自己已經承認的這些“植入”，從而證明自己的網絡安全戰略能力，懾止美國基于戰略誤判而可能采取的攻擊行為。

從《紐約時報》已經披露的情況來看，主動攻擊毀傷中國網絡軟硬件設施，已經成為認真考慮的美方戰略選項；這種充滿投機色彩的戰略冒險，其前提假設是對中國網絡安全戰略能力的評估，即認定中國既沒有能力發現這些植入（所以可以肆無忌憚的公開放話承認有植入），也沒有能力可以有效的防御美國可能發起的攻擊；至于反擊和報復的能力，也停留在讓美國擔憂而不是忌憚的地步，遠談不上有效威懾。

第三，中國要盡速啟動并扎實推進“攻防兼備的國家網絡安全戰略能力建設進程”。

網絡空間安全，以美國在此次事件中反應出來的戰略認知和觀念看，本質上仍然更多的體現“實力政治”的原則，美國并無意對自己掌握的優勢能力進行限制性的使用，憑借實力優勢對中國進行各種美式威懾，也就是美國可以放火，中國別想點燈。

當前的力量對比和態勢，有些類似1950年代開始直到1964年10月16日之前的戰略態勢，超級大國憑借其在核武器領域的壓倒性優勢（那時中國還沒有核武器），隨意揮舞自己的優勢力量，對中國進行各種威懾、威脅。要擺脫這種戰略被動的局面，需要啟動一個扎實的網絡安全戰略能力建設進程，以符合中國國家網絡安全戰略需求以及網絡安全內生規律的方式，以縮小、拉近和美國網絡安全戰略能力差距為主要目標，盡速推進。

需要指出的是，Brandon Valeriano和Ryan C. Maness這兩位學者的愿望是美好的，但要實現這種愿望的前提，不是大國的戰略克制和對國際規范的迷信，而是必要的技術與戰略能力、不畏懼脅迫的政治意志，以及堅定而靈活的戰略談判。

（作者系復旦大學網絡空間治理研究中心副主任）